Actualización de dispositivos Zyxel USG FLEX, ATP y VPN desde versiones de firmware muy antiguas

Este artículo describe un método recomendado y seguro para actualizar los dispositivos Zyxel USG FLEX, ATP y VPN que no se han actualizado durante mucho tiempo y que actualmente ejecutan versiones de firmware muy antiguas. El artículo se centra específicamente en escenarios de actualización complejos que implican firmware obsoleto, en los que una actualización directa a la última versión puede provocar errores, pérdida de configuración o un comportamiento inestable del sistema.

Objetivo del artículo

• Describir un método seguro y recomendado para actualizar versiones de firmware muy antiguas a las versiones actuales.

• Destacar los riesgos de realizar una actualización directa sin pasos intermedios.

• Explicar cómo evitar la corrupción o la pérdida de la configuración durante el proceso de actualización.

• Proporcionar una visión general del historial de ramas de firmware para cada línea de productos de dispositivos.

Historial de versiones de firmware

A continuación se muestra un historial generalizado de versiones de firmware que se utiliza para planificar una ruta de actualización correcta y segura.

USG FLEX: V4.50 → V4.55 → V4.60 → V4.62 → V5.00 → V5.01 → V5.02 → V5.10 → V5.20 → V5.21 → V5.30 → V5.31 → V5.32 → V5.35 → V5.36 → V5.37 → V5.38 → V5.39 → V5.40 → V5.41

ATP: V4 .32 → V4.33 → V4.35 → V4.50 → V4.55 → V4.60 → V4.62 → V5.00 → V5.01 → V5.02 → V5.10 → V5.20 → V5.21 → V5.30 → V5.32 → V5.35 → V5.36 → V5.37 → V5.38 → V5.39 → V5.40 → V5.41

VPN: V4 .35 → V4.39 → V4.60 → V4.62 → V5.00 → V5.01 → V5.02 → V5.10 → V5.20 → V5.21 → V5.30 → V5.31 → V5.32 → V5.35 → V5.36 → V5.37

Recomendación:
Los dispositivos VPN son especialmente sensibles cuando se actualizan desde versiones de firmware muy antiguas, ya que se han acumulado cambios en la funcionalidad IPsec y SSL VPN en múltiples ramas.

¿Cómo puedo determinar qué firmware aplicar antes de actualizar al firmware más reciente? 

Esta información se puede encontrar en las notas de la versión del firmware (disponibles solo en inglés). La mayoría, si no todas, las notas de la versión del firmware incluyen una sección «Léame primero» que destaca notas importantes y consideraciones específicas de esa versión del firmware.

Léame primero

En estas secciones «Léame primero», encontrará información sobre la versión mínima de firmware requerida que debe instalarse antes de aplicar la versión de firmware descrita en las notas de la versión. A continuación se muestra un ejemplo de las notas de la versión USG FLEX 500 ZLD5.38C0:

Consideraciones adicionales

Al actualizar el firmware, especialmente en dispositivos implementados de forma remota, existe el riesgo de que una configuración anterior no sea totalmente compatible con la nueva versión del firmware.

Si esto ocurre, el dispositivo puede intentar varios reinicios para aplicar la configuración de inicio existente. Si no lo consigue, volverá automáticamente a la configuración predeterminada del sistema como medida de seguridad. Esto puede provocar una interrupción del servicio, especialmente si no se dispone de acceso o asistencia in situ.

Al actualizar un dispositivo desde una versión de firmware muy antigua, existe un mayor riesgo de que se produzcan problemas de compatibilidad de la configuración durante el proceso de reinicio. Para minimizar este riesgo, Zyxel recomienda encarecidamente aplicar las medidas preventivas que se describen a continuación antes de iniciar la actualización del firmware, ya que esto mejora significativamente las posibilidades de que la actualización se realice sin problemas y con éxito.

Se recomienda seguir el mismo procedimiento al realizar una actualización a una versión anterior del firmware o al instalar un firmware semanal (corrección de errores), así como en casos de actualización remota, en los que pueden darse riesgos similares.

¿Cómo se puede evitar esto en primer lugar?

Al aplicar una configuración, normalmente se le preguntan diferentes opciones de reversión; en otras palabras: la unidad le pregunta «¿Qué debo hacer si descubro que la configuración que desea aplicar está dañada de alguna manera?».

De forma predeterminada, el dispositivo está configurado para «Detener inmediatamente la aplicación del archivo de configuración y revertir a la configuración anterior». En la mayoría de los casos, este comportamiento funciona como se espera. Sin embargo, si el sistema vuelve a interpretar ciertas entradas de configuración como problemáticas, el proceso de reversión en sí mismo puede fallar. En tales situaciones, el dispositivo puede revertir a la configuración predeterminada del sistema como mecanismo de autoprotección.

Por este motivo, al aplicar una configuración en el contexto de una actualización de firmware desde una versión muy antigua, Zyxel recomienda seleccionar la tercera opción de restauración, «Ignorar los errores y terminar de aplicar el archivo de configuración». 

Con esta opción, el dispositivo procesa la configuración línea por línea, omite solo las entradas problemáticas y completa la carga de la configuración. Las entradas ignoradas o fallidas se registran en los registros del monitor, lo que permite a los administradores revisarlas y solucionarlas posteriormente.

Monitor > Registros

Script Setenv

Durante una actualización de firmware, no es posible seleccionar manualmente el comportamiento de reversión para aplicar la configuración de inicio al reiniciar. Para solucionar esta limitación, Zyxel proporciona un pequeño script auxiliar, comúnmente denominado por el servicio de asistencia como «script setenv».

Puede cambiar la forma en que se aplica el archivo startup-config.conf. Incluya el comando setenv-startup stopon-error off. El dispositivo Zyxel ignora cualquier error en el archivo startup-config.conf y aplica todos los comandos válidos. El dispositivo Zyxel sigue generando un registro de cualquier error.

Comandos CLI que escribe en la unidad cuando se aplican:

1. Descargar setenv.zip

2. Cargue y aplique el script a través de
   Mantenimiento → Administrador de archivos → Script de shell

3. Cree una copia de seguridad de la configuración (tanto localmente como en el dispositivo).

4. Proceda con la actualización o degradación del firmware necesaria.

Nota: Aunque este procedimiento se considera seguro y reduce significativamente el riesgo de pérdida de configuración, en casos excepcionales pueden producirse problemas inesperados. Siempre que sea posible, las actualizaciones de firmware deben realizarse con acceso in situ. Cualquier comportamiento anormal debe comunicarse al servicio de asistencia de Zyxel para su posterior investigación.