Aktualisieren von Zyxel USG FLEX-, ATP- und VPN-Geräten von sehr alten Firmware-Versionen

Dieser Artikel beschreibt eine empfohlene und sichere Vorgehensweise zur Aktualisierung von Zyxel USG FLEX-, ATP- und VPN-Geräten, die seit längerer Zeit nicht aktualisiert wurden und derzeit mit sehr alten Firmware-Versionen laufen. Der Artikel konzentriert sich speziell auf komplexe Upgrade-Szenarien mit veralteter Firmware, bei denen ein direktes Upgrade auf die neueste Version zu Fehlern, Konfigurationsverlusten oder instabilem Systemverhalten führen kann.

Zweck des Artikels

• Beschreibung eines sicheren und empfohlenen Ansatzes für das Upgrade von sehr alten Firmware-Versionen auf aktuelle Versionen.

• Aufzeigen der Risiken einer direkten Aktualisierung ohne Zwischenschritte.

• Erläuterung, wie Konfigurationsbeschädigungen oder -verluste während des Upgrade-Prozesses vermieden werden können.

• Einen Überblick über die Firmware-Versionshistorie für jede Geräteproduktlinie zu geben.

Firmware-Versionshistorie

Nachfolgend finden Sie eine allgemeine Firmware-Versionshistorie, die zur Planung eines korrekten und sicheren Upgrade-Pfads verwendet wird.

USG FLEX: V4.50 → V4.55 → V4.60 → V4.62 → V5.00 → V5.01 → V5.02 → V5.10 → V5.20 → V5.21 → V5.30 → V5.31 → V5.32 → V5.35 → V5.36 → V5.37 → V5.38 → V5.39 → V5.40 → V5.41

ATP: V4 .32 → V4.33 → V4.35 → V4.50 → V4.55 → V4.60 → V4.62 → V5.00 → V5.01 → V5.02 → V5.10 → V5.20 → V5.21 → V5.30 → V5.32 → V5.35 → V5.36 → V5.37 → V5.38 → V5.39 → V5.40 → V5.41

VPN: V4 .35 → V4.39 → V4.60 → V4.62 → V5.00 → V5.01 → V5.02 → V5.10 → V5.20 → V5.21 → V5.30 → V5.31 → V5.32 → V5.35 → V5.36 → V5.37

Empfehlung:
VPN-Geräte sind besonders empfindlich, wenn ein Upgrade von sehr alten Firmware-Versionen durchgeführt wird, da sich Änderungen an der IPsec- und SSL-VPN-Funktionalität über mehrere Zweige hinweg angesammelt haben.

Wie kann ich vor dem Upgrade auf die neueste Firmware feststellen, welche Firmware ich anwenden muss? 

Diese Informationen finden Sie in den Firmware-Versionshinweisen (nur in englischer Sprache verfügbar). Die meisten, wenn nicht sogar alle Firmware-Versionshinweise enthalten einen Abschnitt „Read Me First“ (Zuerst lesen), in dem wichtige Hinweise und Überlegungen zu dieser Firmware-Version hervorgehoben werden.

Read Me First

In diesen Abschnitten „Read Me First“ finden Sie Informationen über die mindestens erforderliche Firmware-Version, die vor der Anwendung der in den Release Notes beschriebenen Firmware-Version installiert sein muss. Das folgende Beispiel stammt aus den Release Notes für USG FLEX 500 ZLD5.38C0:

Zusätzliche Hinweise

Bei der Aktualisierung der Firmware – insbesondere auf remote bereitgestellten Geräten – besteht das Risiko, dass eine ältere Konfiguration nicht vollständig mit der neuen Firmware-Version kompatibel ist.

In diesem Fall versucht das Gerät möglicherweise mehrmals, einen Neustart durchzuführen, um die vorhandene Startkonfiguration anzuwenden. Wenn dies nicht gelingt, wird aus Sicherheitsgründen automatisch auf die Standardkonfiguration des Systems zurückgegriffen. Dies kann zu Dienstunterbrechungen führen, insbesondere wenn kein Zugriff oder keine Unterstützung vor Ort verfügbar ist.

Beim Upgrade eines Geräts von einer sehr alten Firmware-Version besteht ein erhöhtes Risiko für Konfigurationskompatibilitätsprobleme während des Neustartvorgangs. Um dieses Risiko zu minimieren, empfiehlt Zyxel dringend, vor dem Start des Firmware-Upgrades die unten beschriebenen vorbeugenden Maßnahmen zu ergreifen, da dies die Chancen für ein reibungsloses und erfolgreiches Update erheblich verbessert.

Das gleiche Verfahren wird auch empfohlen, wenn ein Firmware-Downgrade durchgeführt oder eine wöchentliche (Bug-Fix-)Firmware installiert wird, sowie in Remote-Upgrade-Szenarien, in denen ähnliche Risiken bestehen können.

Wie kann dies von vornherein vermieden werden?

Bei der Anwendung einer Konfiguration werden Sie in der Regel mit verschiedenen Rollback-Optionen konfrontiert – mit anderen Worten: Das Gerät fragt: „Was soll ich tun, wenn ich feststelle, dass die Konfiguration, die Sie anwenden möchten, irgendwie beschädigt ist?“

Standardmäßig ist das Gerät auf „Die Anwendung der Konfigurationsdatei sofort beenden und zur vorherigen Konfiguration zurückkehren“ eingestellt . In den meisten Fällen funktioniert dieses Verhalten wie erwartet. Wenn das System jedoch bestimmte Konfigurationseinträge erneut als problematisch interpretiert, kann der Rollback-Vorgang selbst fehlschlagen. In solchen Situationen kann das Gerät als Selbstschutzmechanismus zur Standardkonfiguration des Systems zurückkehren.

Aus diesem Grund empfiehlt Zyxel bei der Anwendung einer Konfiguration im Rahmen eines Firmware-Upgrades von einer sehr alten Version, die dritte Rollback-Option „Fehler ignorieren und die Anwendung der Konfigurationsdatei abschließen“auszuwählen. 

Mit dieser Option verarbeitet das Gerät die Konfiguration Zeile für Zeile, überspringt nur die problematischen Einträge und schließt das Laden der Konfiguration ab. Alle ignorierten oder fehlgeschlagenen Einträge werden in den Monitor-Protokollen aufgezeichnet, sodass Administratoren sie anschließend überprüfen und bearbeiten können.

Monitor > Protokolle

Setenv-Skript

Während eines Firmware-Upgrades ist es nicht möglich, das Rollback-Verhalten für die Anwendung der Startkonfiguration beim Neustart manuell auszuwählen. Um diese Einschränkung zu umgehen, stellt Zyxel ein kleines Hilfsskript zur Verfügung, das vom Support allgemein als „setenv-Skript“ bezeichnet wird .

Sie können die Art und Weise ändern, wie die Datei startup-config.conf angewendet wird. Fügen Sie den Befehl setenv-startup stopon-error off ein. Das Zyxel-Gerät ignoriert alle Fehler in der Datei startup-config.conf und wendet alle gültigen Befehle an. Das Zyxel-Gerät erstellt weiterhin ein Protokoll für alle Fehler.

CLI-Befehle, die es bei der Anwendung in das Gerät schreibt:

1. Laden Sie die Datei setenv.zip herunter

2. Laden Sie das Skript hoch und wenden Sie es an über
   Wartung → Dateimanager → Shell-Skript

3. Erstellen Sie eine Sicherungskopie der Konfiguration (sowohl lokal als auch auf dem Gerät).

4. Führen Sie das erforderliche Firmware-Upgrade oder -Downgrade durch.

Hinweis: Obwohl dieses Verfahren als sicher gilt und das Risiko eines Konfigurationsverlusts erheblich verringert, können in seltenen Fällen dennoch unerwartete Probleme auftreten. Firmware-Upgrades sollten nach Möglichkeit vor Ort durchgeführt werden. Jedes ungewöhnliche Verhalten sollte dem Zyxel-Support zur weiteren Untersuchung gemeldet werden.