Zyxel USG FLEX-, ATP- en VPN-apparaten updaten vanaf zeer oude firmwareversies

Dit artikel beschrijft een aanbevolen en veilige aanpak voor het updaten van Zyxel USG FLEX-, ATP- en VPN-apparaten die al lange tijd niet zijn bijgewerkt en momenteel zeer oude firmwareversies gebruiken. Het artikel richt zich specifiek op complexe upgradescenario's met verouderde firmware, waarbij een directe upgrade naar de nieuwste versie kan leiden tot fouten, configuratieverlies of onstabiel systeemgedrag.

Doel van het artikel

• Het beschrijven van een veilige en aanbevolen aanpak voor het upgraden van zeer oude firmwareversies naar de huidige releases.

• De risico's benadrukken van het uitvoeren van een directe upgrade zonder tussenstappen.

• Uitleggen hoe configuratiebeschadiging of -verlies tijdens het upgradeproces kan worden voorkomen.

• Een overzicht geven van de firmwareversiegeschiedenis voor elke productlijn van apparaten.

Geschiedenis van firmwareversies

Hieronder vindt u een algemene firmwareversiegeschiedenis die wordt gebruikt voor het plannen van een correct en veilig upgradepad.

USG FLEX: V4.50 → V4.55 → V4.60 → V4.62 → V5.00 → V5.01 → V5.02 → V5.10 → V5.20 → V5.21 → V5.30 → V5.31 → V5.32 → V5.35 → V5.36 → V5.37 → V5.38 → V5.39 → V5.40 → V5.41

ATP: V4 .32 → V4.33 → V4.35 → V4.50 → V4.55 → V4.60 → V4.62 → V5.00 → V5.01 → V5.02 → V5.10 → V5.20 → V5.21 → V5.30 → V5.32 → V5.35 → V5.36 → V5.37 → V5.38 → V5.39 → V5.40 → V5.41

VPN: V4 .35 → V4.39 → V4.60 → V4.62 → V5.00 → V5.01 → V5.02 → V5.10 → V5.20 → V5.21 → V5.30 → V5.31 → V5.32 → V5.35 → V5.36 → V5.37

Aanbeveling:
VPN-apparaten zijn bijzonder gevoelig bij het upgraden van zeer oude firmwareversies, omdat er in meerdere branches wijzigingen in de IPsec- en SSL VPN-functionaliteit zijn doorgevoerd.

Hoe bepaal ik welke firmware ik moet toepassen voordat ik upgrade naar de nieuwste firmware? 

Deze informatie is te vinden in de release-opmerkingen bij de firmware (alleen beschikbaar in het Engels). De meeste, zo niet alle, release-opmerkingen bij firmware bevatten een gedeelte 'Lees eerst', waarin belangrijke opmerkingen en overwegingen met betrekking tot die firmwareversie worden benadrukt.

Lees eerst

In deze secties 'Lees eerst' vindt u informatie over de minimaal vereiste firmwareversie die moet worden geïnstalleerd voordat u de firmwareversie kunt toepassen die in de release-opmerkingen wordt beschreven. Hieronder volgt een voorbeeld uit de release-opmerkingen van USG FLEX 500 ZLD5.38C0:

Aanvullende overwegingen

Bij het upgraden van firmware, met name op op afstand geïmplementeerde apparaten, bestaat het risico dat een oudere configuratie niet volledig compatibel is met de nieuwe firmwareversie.

Als dit gebeurt, kan het apparaat meerdere keren opnieuw opstarten om de bestaande opstartconfiguratie toe te passen. Als dit niet lukt, zal het apparaat uit veiligheidsoverwegingen automatisch terugvallen op de standaardconfiguratie van het systeem. Dit kan leiden tot onderbreking van de dienstverlening, vooral als er geen toegang of hulp ter plaatse beschikbaar is.

Bij het upgraden van een apparaat met een zeer oude firmwareversie is er een verhoogd risico op configuratiecompatibiliteitsproblemen tijdens het herstartproces. Om dit risico te minimaliseren, raadt Zyxel ten zeerste aan om de hieronder beschreven preventieve maatregelen te nemen voordat u met de firmware-upgrade begint, aangezien dit de kans op een soepele en succesvolle update aanzienlijk vergroot.

Dezelfde procedure wordt ook aanbevolen bij het uitvoeren van een firmware-downgrade of bij het installeren van wekelijkse (bugfix) firmware, evenals bij upgrades op afstand, waar vergelijkbare risico's van toepassing kunnen zijn.

Hoe kan dit in de eerste plaats worden voorkomen?

Bij het toepassen van een configuratie krijgt u meestal verschillende rollback-keuzes te zien. Met andere woorden: het apparaat vraagt "Wat moet ik doen als ik ontdek dat de configuratie die u wilt toepassen op de een of andere manier beschadigd is?":

Standaard is het apparaat ingesteld op "Stop onmiddellijk met het toepassen van het configuratiebestand en rol terug naar de vorige configuratie." In de meeste gevallen werkt dit gedrag zoals verwacht. Als het systeem echter bepaalde configuratie-invoer opnieuw als problematisch interpreteert, kan het terugdraaiproces zelf mislukken. In dergelijke situaties kan het apparaat terugkeren naar de standaardconfiguratie van het systeem als een zelfbeschermingsmechanisme.

Om deze reden raadt Zyxel aan om bij het toepassen van een configuratie in het kader van een firmware-upgrade vanaf een zeer oude versie de derde terugdraaioptie te selecteren : "Fouten negeren en het configuratiebestand toepassen". 

Met deze optie verwerkt het apparaat de configuratie regel voor regel, slaat het alleen de problematische vermeldingen over en voltooit het het laden van de configuratie. Alle genegeerde of mislukte vermeldingen worden geregistreerd in de monitorlogboeken, zodat beheerders ze achteraf kunnen bekijken en aanpakken.

Monitor > Logboeken

Setenv-script

Tijdens een firmware-upgrade is het niet mogelijk om handmatig het terugdraaggedrag te selecteren voor het toepassen van de opstartconfiguratie bij het opnieuw opstarten. Om deze beperking op te lossen, biedt Zyxel een klein hulpscript, door de ondersteuning vaak aangeduid als het "setenv-script".

U kunt de manier waarop het bestand startup-config.conf wordt toegepast, wijzigen. Voeg de opdracht setenv-startup stopon-error off toe. Het Zyxel-apparaat negeert alle fouten in het bestand startup-config.conf en past alle geldige opdrachten toe. Het Zyxel-apparaat genereert nog steeds een logboek voor eventuele fouten.

CLI-opdrachten die het in het apparaat schrijft wanneer het wordt toegepast:

1. Download het bestand setenv.zip

2. Upload en pas het script toe via
   Onderhoud → Bestandsbeheer → Shell-script

3. Maak een back-up van de configuratie (zowel lokaal als op het apparaat).

4. Ga verder met de vereiste firmware-upgrade of -downgrade.

Opmerking: Hoewel deze procedure als veilig wordt beschouwd en het risico op configuratieverlies aanzienlijk vermindert, kunnen er in zeldzame gevallen toch onverwachte problemen optreden. Firmware-upgrades moeten waar mogelijk worden uitgevoerd met toegang ter plaatse. Elk abnormaal gedrag moet worden gemeld aan Zyxel Support voor verder onderzoek.