Firepower1000/2100シリーズ（アプライアンスモード）のOSアップグレードの切り戻し手順について

[athirano1]

Firepower 2100シリーズを使用しています。
Firepowerはアプライアンスモードで動作させASAと同じように使用しており、OSには9.16(4.19)を使っています。

製品を購入したベンダーの出荷時のOSのためか、フラッシュメモリのdisk0:/にはOSのイメージファイルが見当たりません。
→もちろん
・ASA OS上でshow versionコマンドを打てば、Versionが9.16(4.19)と表示されますし
・FXOS CLI→firmware モードでshow packageコマンドを打つと9.16(4.19)のイメージファイル名が表示されます。

そして、configには明示的な boot system disk0:/[OSイメージファイル名]　の設定はありません。
→これも、「Cisco ASA アップグレードガイド」を見ると、そういうことはありうる旨の記載があります。
（https://www.cisco.com/c/ja_jp/td/docs/security/asa/upgrade/asa-upgrade/asa-appliance-asav.html）

バグに該当する事象で問題が起きているため、同じ9.16(4)系の最新版にアップグレードを考えています。
アップグレードはアップグレードガイド記載の手順で問題ないのですが、気になっているのが戻しの手順です。
boot system disk0:/[現Ver.OSイメージファイル名]　と指定しても、
ファイルがありませんとエラーになる可能性が高いと思います（前述の通りdisk0:/に現Ver.のイメージファイルが無いので）

■質問事項
出荷時のOSに戻す適切な方法は何になるでしょうか。
１．元のバージョンの上書きインストール
　Cisco ASA アップグレードガイド →「Chapter: ASA のダウングレード」の章を見ると
　（https://www.cisco.com/c/ja_jp/td/docs/security/asa/upgrade/asa-upgrade/downgrade.html#Cisco_Task.dita_d669dde0-f6ca-4326-9827-403f66183534）
　ほぼアップグレードの手順を踏めばよく、あとはバージョンの隔たりを考慮したstartupコンフィグの扱いを考慮
　ということのようです。
　ただ、disk0:/には現Ver.OSのイメージファイルが見当たらない場合は、別途、用意して、Firepowerのdisk0:/に転送して
　boot system disk0:/[現Ver.OSイメージファイル名]
　という手順になりそうです。
　→FXOS CLI→firmwareモードのshow packageコマンドでは現Ver.のパッケージが残ったままなので、
　　一種の上書きインストールによる不整合が起こらないか気がかりです。
　　（私の環境では検証機へのアクセスが制限があり、試したくても試せない。
　　ほぼ間違いない手順を用意して１回試すくらいしかできない。）
　
２．リイメージの手順を一部流用する方法
　「Firepower1000/2100/3100シリーズ: ASA（Appliance Mode）と FTD間のリイメージ手順について 」
　（https://community.cisco.com/t5/tkb-%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3-%E3%83%89%E3%82%AD%E3%83%A5%E3%83%A1%E3%83%B3%E3%83%88/firepower1000-2100-3100%E3%82%B7%E3%83%AA%E3%83%BC%E3%82%BA-asa-appliance-mode-%E3%81%A8/ta-p/4442497）
　→「FTD->ASA　リイメージする方法」に記載があるように
　　FXOS CLIにて
　　firepower /firmware # show package　で現Ver.イメージファイル名を確認
　　firepower /firmware # scope auto-install
　　firepower /firmware/auto-install # install security-pack version [現Ver.イメージファイル名]
　　→終了後に再起動が開始される
　という手順も机上では考えられますが、不自然な気もします。
　
よろしくお願いします。

[Akira Muranaka · Accepted solution]

こんばんは！ 詳しくご説明有難うございます。ご状況がよくわかりました。

なお、大きくバージョン切り戻しをする場合は、ASA⇒ASAのリイメージが鉄板かと思います。

理由ですが、Firepower1000/2100/3100シリーズは、ASA OS(通信処理用)とFXOS(シャーシ管理用)が統合されたOSを利用しており、通常運用時はASAだけ意識・触っていれば問題ないのですが、ASAとFXOSの2つのバージョンが内部で動作してます。ゴミなどなく完全にバージョン切り戻ししたい場合は、この両方のOSのバージョンをクリーンに切り戻しが必要です。

上記を実現するASA→ASAのリイメージ手順は以下で確認できます。
https://www.cisco.com/c/en/us/td/docs/security/firepower/quick_start/reimage/asa-ftd-reimage.html#task_bg5_dpg_zyb

リイメージ、ASAバージョン合わせ（するとFXOSも自動で同じバージョンに）をしたら、旧バージョンASA設定をバックアップファイルからリストアしていただければ切り戻し完了です。 リイメージは慣れれば、１時間もあればできるイメージです。

[athirano1]

Akira Muranaka さん

回答ありがとうございます。
今回は9.16(4)系の中でのVer.Up/Downなので、ASA OS上の
boot system disk0:/[OSイメージファイル名]
コマンドによる切替で問題なく対応できると判断しました。
（私の最初の書き込みで「上書きインストールによる不整合の懸念・・」ということを書きましたが、私の中でのイメージが間違っていたようです。）

リイメージについても、Ciscoのホームページの技術情報、Youtube動画での解説は見ていたのですが、今一つピンと来ないというか、「自分が使うとしたら、どのような場面か」のイメージが湧いていませんでした。今回いただいた回答で、イメージをつかむことができました。
ありがとうございます。