Tomasz Wendlandt

Avatar

Tech blog

Hotfix installation on F5

Instalacja Hotfixów na BIG-IP jest bardzo prosta. Soft pobieramy z https://downloads.f5.com/esd/productlines.jsp. Przerzucamy Hotfixa na BIG-IP i uruchamiamy z CLI:

[root@f5-1:Active] ~ # im Hotfix-BIGIP-9.4.3-14.3-HF3.im
Available KiB blocks in root partition: 2700684
Checking integrity of packages...
/tmp/rpmdisk.XmfarE/RPMS/noarch/tzdata-2007f-9.4.3.14.0...
Stopping processes, please wait...
Jan 30 16:52:43 f5-1 LOGIN: Re-starting syscalld
httpd (pid 4916 3301 3300 3288 1816 1814 1772) is running...
Stopping httpd: [  OK  ]
/tmp/rpmdisk.XmfarE ~
Searching for relevant packages...
Upgrading installed packages...
>>>>>> Beginning single-package install pass 1...
Preparing packages for installation...
cssd-1.0-9.4.3.14.0
Preparing packages for installation...
f5km-1-9.4.3.14.0
Preparing packages for installation...
gtm-1.1-9.4.3.14.0
Preparing packages for installation...
gtm-big3d-1.1-9.4.3.14.0
Checking active big3d version...
Active big3d (9.4.3) is the same major version as available big3d (9.4.3)
Installing new big3d (9.4.3).
Preparing packages for installation...
iControl-wsdl-1.0.F5-9.4.3.14.0
Preparing packages for installation...
iControl-handlers-1.0.F5-9.4.3.14.0
Preparing packages for installation...
initscripts-sccp-7.31.18.EL-9.4.3.14.0
Preparing packages for installation...
initscripts-7.31.18.EL-9.4.3.14.0
Preparing packages for installation...
isomd5sum-11.1.0.95-9.4.3.14.0
Preparing packages for installation...
mcpd-1.0.F5-9.4.3.14.0
Preparing packages for installation...
system_check-1.0.F5-9.4.3.14.0
Preparing packages for installation...
tmm-1.0.F5-9.4.3.14.3
Preparing packages for installation...
tmm-debug-1.0.F5-9.4.3.14.3
Preparing packages for installation...
tmplugin-1.0.F5-9.4.3.14.0
Preparing packages for installation...
TS-bd-5.0.0-9.4.3.14.0
Preparing packages for installation...
TS-mng-scripts-5.0.0-9.4.3.14.0
Preparing packages for installation...
TS-policy-builder-5.0.0-9.4.3.14.0
Preparing packages for installation...
WA-1.0.F5-9.4.3.14.2
Loading Stored Procedures
Preparing packages for installation...
xconfig-1.0.F5-9.4.3.14.0
Preparing packages for installation...
zrd-1.0.F5-9.4.3.14.0
Preparing packages for installation...
f5base-1.0.0-9.4.3.14.0
Preparing packages for installation...
f5config-sccp-1.0-9.4.3.14.0
Preparing packages for installation...
f5config-1.0-9.4.3.14.0
Preparing packages for installation...
pkg-tools-1.0-9.4.3.14.0
Preparing packages for installation...
sccp-software-1.0-9.4.3.14.0
Preparing packages for installation...
TS-mng-crawler-5.0.0-9.4.3.14.0
Preparing packages for installation...
TS-tsui-5.0.0-9.4.3.14.3
Preparing packages for installation...
tzdata-2007f-9.4.3.14.0
Unloading SubDomain profiles[OK]
Loading SubDomain profiles[OK]
>>>>>> Beginning single-package install pass 2...
>>>>>> Upgrading all packages...
Preparing packages for installation...
iControl-modules-1.0.F5-9.4.3.14.0
iControl-1.0.F5-9.4.3.14.0
Checking for new EUD
info: EUD-update: No package found in /tmp/rpmdisk.XmfarE/RPMS
**************************************************************
Hotfix files have been applied.
Please read the hotfix.readme file
**************************************************************
!NOTICE!
This hotfix may not be operational without a FULL
system restart. To accomplish this, use the command:
/usr/bin/full_box_reboot
**************************************************************

Na koniec trzeba zrobić full_box_reboot, o którym mówi installer. I to wszystko:). Warto jeszcze pamiętać, że:

Note that each hotfix release is cumulative, and contains all previous hotfix releases.

Dokładny dokument opisujący instalacje Hotfixów na produktach F5 jest do przeczytania na: https://support.f5.com/kb/en-us/solutions/public/6000/800/sol6845.html

F5 VIPRION

VIPRION
F5 właśnie wypuściło na rynek nowy produkt pod nazwą VIPRION. Jeszcze nie miałem okazji dotknąć tego wynalazku, ale już na tą chwilę producent podaje, że urządzenie może zapewnić wydajność czterech BIG-IP 8800. Chassis od VIPRIONa ma 7U i jest w stanie pomieścić do czterech blade’ów, tak zgadza się blade’ów. Całe chassis jest modularne i można do niego wkładać karty rozszerzeń w postaci blade. Producent podaje, że każdy blade potrafi obsłużyć 50,000 TPS (transactions per second) SSL i 800,000 RPS (requests per second) w Layer 7. Co po obsadzeniu całego urządzenia daje 1 milion połączeń na sekundę w L4, przepustowość 36Gbps w L4 lub L7, 3.2 miliona requestów w L7 i 200k SSL TPS. Każdy blade ma dwa procesory dual core, 8GB pamięci, 2 porty XFP (10Gb), 12 SFP (1Gb) i 8 portów miedzianych 10/100/1000. Całość wygląda imponująco, czyżby konkurecja typu Cisco ACE miała zostać zmiażdzona?:) Pomijam w tym momencie milczeniem stabilność i funkcjonalność ACE w porównaniu do BIG-IP. To samo dotyczy poprzednika ACEa, Cisco CSM, który był mocno średnim produktem.

Dla zainteresowanych na Devcentral jest krótki filmik prezentujący VIPRIONa.

Howto Upgrade FWSM

FWSM

Jedną z prostszych spraw, ale początkowo wydająca się trudną jest upgrade FWSMów. Poniżej mini HOWTO.

1) Pobieramy nowy software z http://www.cisco.com/kobayashi/sw-center/index.shtml

Security Software -> Cisco Catalyst 6000 Firewall Services Module (FWSM) Strong Cryptographic (3DES) Software -> c6svc-fwm-k9.3-2-4.bin

2) Wrzucamy obraz na MSFC

[root@server ~]# scp c6svc-fwm-k9.3-2-4.bin juggler@sw6500.dc2:c6svc-fwm-k9.3-2-4.bin

3) Uruchamiamy na MSFC serwer TFTP

sw6500-dc2(config)#tftp-server disk0:c6svc-fwm-k9.3-2-4.bin

4) Zakładam, że istnieje wcześniej połączenie MSFC < -> FWSM, jeżeli nie należy takowe utworzyć

5) Kopiujemy obraz z MSFC na FWSMa

fwsm-dc2# copy tftp flash:

Address or name of remote host []? 1.1.1.1

Source filename []? c6svc-fwm-k9.3-2-4.bin

Destination filename [image]?

Accessing tftp://1.1.1.1/c6svc-fwm-k9.3-2 4.bin...
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
6062592 bytes copied in 27.820 secs (224540 bytes/sec)
fwsm-dc2#
[Connection to 127.0.0.11 closed by foreign host]

6) Rebootujemy FWSMa

fwsm-dc2# reload
Proceed with reload? [confirm]
fwsm-dc2#

***
*** --- START GRACEFUL SHUTDOWN ---
Shutting down isakmp
Shutting down File system

[Connection to 127.0.0.11 closed by foreign host]

7) Po rebootcie sprawdzamy wersję

fwsm-dc2# sh version
FWSM Firewall Version 3.2(4)
Device Manager Version 5.2(2)F

Compiled on Tue 08-Jan-08 17:24 by fwsmbld

fwsm-dc2 up 2 days 16 hours
failover cluster up 85 days 2 hours

Hardware:   WS-SVC-FWM-1, 1024 MB RAM, CPU Pentium III 1000 MHz
Flash STI Flash 7.4.0 @ 0xc321, 20MB

 0: Int: Not licensed        : irq 5
 1: Int: Not licensed        : irq 7
 2: Int: Not licensed        : irq 11
The Running Activation Key is not set, using default settings:

Licensed features for this platform:
Maximum Interfaces          : 256
Inside Hosts                : Unlimited
Failover                    : Active/Active
VPN-DES                     : Enabled
VPN-3DES-AES                : Enabled
Cut-through Proxy           : Enabled
Guards                      : Enabled
URL Filtering               : Enabled
Security Contexts           : 2
GTP/GPRS                    : Disabled
BGP Stub                    : Disabled
VPN Peers                   : Unlimited

Serial Number: xxxxxxxxxxx
Running Activation Key: 0x00000000 0x00000000 0x00000000 0x00000000
Configuration last modified by enable_1 at 10:01:01.000 UTC Fri Jan 25 2008

Jeżeli całość była robiona na standby’owym FWSMie po przełączeniu failoveru, możemy powtórzyć procedurę na drugim FWSMie. Przełączenie failoveru między FWSMami robimy poprzez:

fwsm-dc2# failover active

Oczywiście możemy postawić sobie serwer TFTP z boku, nie musi być uruchamiany z MSFC, ale to już kosmetyka. Osobiście bardziej odpowiada mi taka metoda. Jedna ważna sprawa, przed upgradem i ewentualnym reloadem upewnij się czy na obu Cat6500/7600 masz takie same VLANy terminowane na FWSMie.

firewall module 1 vlan-group 10
firewall vlan-group 10 10-1000

Jeżeli nie będą się zgadzały możesz narobić sobie problemów;).

,

Poznań

  • Cloud and Visibility OK
  • Temperature: -12°C
  • Visibility: 10km
  • Clouds: Cloud and Visibility OK
  • Wind: E at 15 km/h
  • Barometer: 1039 hPa
  • Humidity: 55.8%
  • Sunrise: 8:11 GMT+2
  • Sunset: 20:17 GMT+2