ASA Failover業務不中斷升級IOS

標籤：cisco asa

之前給客戶割接，客戶其他需求升級兩台ASA5520防火牆的IOS。IOS版本842要升級到847。

當然客戶什麼都不懂，需要和大家說明的是，ASA升級IOS注意點，嚴重注意：

1. 檢查防火牆的記憶體--5520跑8.3以上版本記憶體要2G，其他型號記憶體需要都不一樣

2. 是否做了Failover--做了HA後升級IOS要保證不中斷業務

3. 明確升級到的版本是多少--有升級順序講究，842先升級到845或846再升級到847，其他IOS升級順序也不一樣

知道這些注意點，接下來就開始升級IOS。

1.先在Active的防火牆上匯入825的IOS

ASA5520#copy tftp: disk0:

Address or name of remote host []? 10.0.0.1

Source filename []? asa845-k8.bin

Destination filename [disk0]? asa845-k8.bin

完成之後通過Dir命令查看disk0是否已有845的IOS

2.通過Active防火牆將IOS也傳一份給Standby防火牆

ASA5520(config) # failover exec mate copy /noconfirm tftp://10.0.0.1/asa845-k8.bin disk0:/asa845-k8.bin

這樣主備兩個防火牆都有了845的IOS

3.在Active防火牆上更改IOS啟動

ASA5520(config)#boot system disk0:/asa845-k8.bin
ASA5520(config)#no boot system disk0:/asa842-k8.bin
ASA5520(config)# write

4.重啟Standby防火牆--注意：一定要先重啟Standby防火牆！！

ASA5520(config)#failover reload-standby

可以通過show failover觀察Standby防火牆是否重啟完畢，並保證HA狀態正常

5.將Active防火牆狀態切換成Standby後重啟

ASA5520(config)#no failover active

ASA5520(config)#reload

6.完成重啟後再將切回Active

ASA5520(config)#failover active

通過show failover確認主備狀態，升級完成！

接下來再升級到827隻需重複這些步驟一次即可。

多說一句，在升級過程中，全部操作都在Active防火牆上操作，除了匯入IOS使用內網一台TFTP伺服器外，其他動作最好通過筆記本console線串連防火牆操作，這樣中間主備切換就不會弄亂

另外生產環境下升級IOS風險本來就很大，除了儲存配置以外，也要確認上面我所說的1.2.3注意點

只要嚴格按照我的順序進行升級肯定就沒有問題，排除裝置重啟起不來的因素。

本文出自 “KINGJUNIPER” 部落格，請務必保留此出處http://kingjuniper.blog.51cto.com/10445011/1665073

ASA Failover業務不中斷升級IOS