Palo AltoではWebコンソールからPAN-OSをアップグレードすることができます。
PAN-OSのアップグレードは、CLIを使って実施することもできますが、Webコンソールを利用すれば画面から簡単にアップグレードできます。
この記事では、Palo AltoのWebコンソールを利用してPAN-OSをアップグレードする方法をまとめてみました。
なお、CLIを利用したアップグレード方法については、別の記事でまとめています。
今回はAzure上の仮想アプライアンスを利用してアップグレードを試してみました。
※PAN-OS：12.1.4-h5→12.1.7-h3 でもこの手順で更新できました。
１．PAN‐OSのバージョンをアップグレードする
1-1. バックアップの取得
OSのアップグレード前に、今の running-config のバックアップを取得しておきます。
Device > Setup > Operations の「Configuration Management」の項目から、Export named configuration snapshot をクリックし、現在の設定（running-config.xml）を保存します。
アップグレード中に問題が発生した場合に備えて、設定のバックアップは必ず取得しておくことをおすすめします。
1-2. アップグレードさせたいバージョンをダウンロード
DEVICE > Software から、OSバージョン一覧を表示させ、Download をクリックして、該当のバージョンをダウンロードします。
※画像は日本語かつバージョンが古いですがUIは同じです。
なお、バージョン一覧が表示されない場合には画面下部の「Check Now」をクリックしてください。
アップデートサーバから利用できる PAN-OS の情報を取得できます。
ダウンロードを開始すると以下のようなポップアップ画面が表示されるのでダウンロードが完了するまで待ちます。
1-3. バージョンをインストール
Install をクリックして、インストールを開始します。
もしインストールの際にエラーが出てきたらシグネチャのバージョンが要件を満たしていない可能性があります。
これについては下部の３．「アプリケーションおよび脅威」のシグネチャの要件もあるに記載していますのでそちらを参照してください。
なおダウンロードの時と同様にインストール中はポップアップで進捗状況が分かります。
1-4. インストール後に再起動
以下のようなポップアップが出現するので再起動して OK であれば「Yes」を押して再起動させます。
再起動には少し時間がかかります。 ※今回は約 10 分かかりました。
1-4. 再起動後に PAN-OS のバージョンを確認する
上記と同じく DEVICE > Software から 再起動後に PAN-OS バージョンを確認します。
これで PAN-OS のアップデートは完了です。
２．ライセンスサーバと通信できない場合にはエラー画面が表示される
ライセンスサーバと通信ができない状態では、以下のようなエラーとなり PAN-OS のバージョン一覧を表示することはできません。
2-1. エラーの原因
エラーの原因としては以下の２つがあげられます。
2-1-１．ライセンスを適用していない場合
物理機器だとあまりないかもしれないですが、仮想アプライアンスだとライセンス形態として「BYOL」を選択することができます。
その BYOL を利用している場合、ライセンスを適用していない状態だとアップデートサーバーから情報を取得することができないのでこのようなエラーとなることがあります。
2-1-２．管理インターフェースがインターネットに通信できない状態である場合
paloalto のデフォルトの設定ではアップデートサーバーとの通信は管理インターフェースを利用します。
その管理インターフェースからの通信が FW や ルーティングなどの影響でインターネットに抜けることができない場合にもこのようなエラーが出ます。
上記の「１．」「２．」以外にも原因はあるかもしれないですが、まずはこれらを疑ってみるといいのではと思います。
３．「アプリケーションおよび脅威」のシグネチャの要件もある
PAN-OS のバージョンを上げる際に「アプリケーションおよび脅威」のシグネチャのバージョンが一定のバージョン以上でないと PAN-OS のインストール時にエラーとなります。
以下は「10.2.0」→「10.2.1」にアップデートしようとした際に出てきたエラー表示です。
エラー表示の「詳細」の欄を見ると、今回はシグネチャのバージョンが PAN-OS アップデートの要件を満たしていないので失敗をしていました。
実際にこの時のシグネチャのバージョンを見てみると、シグネチャは何もインストールされていない状況でした。
なので今回は最新のシグネチャのバージョンをあてて再度 PAN-OS のアップデートを実行しました。
「アプリケーションおよび脅威」のシグネチャは DEVICE > Dynamic Updates から確認・更新することができます。
※ダウンロード・インストールの流れは上記で記載している PAN-OS のアップデートと同じ流れです。
今回は以下のように現時点での最新のシグネチャのバージョンをあてた状態にしました。
４．アップグレードパスの確認も重要
現在のPAN-OSから目的のPAN-OSへ直接アップグレードできない場合もあります。
その場合は、途中のPAN-OSを経由してアップグレードする必要があります。
例えば、PAN-OS 10.x を利用している場合は PAN-OS 12.x にアップグレードはできません。
以下のように複数回のアップグレードが必要になる場合があります。
PAN-OS 10.x
↓
PAN-OS 11.x
↓
PAN-OS 12.xアップグレード前に、現在のPAN-OSから目的のバージョンまでのアップグレードパスを確認してください。
５．まとめ
PAN-OSのアップグレードでは、単純に新しいバージョンをインストールするだけではなく、アップグレードパスやContent Release、設定のバックアップなどを事前に確認することが重要です。
また、アップグレードではほとんどの場合、再起動が伴うため、実施する場合はメンテナンス時間を確保してから作業する形になるかと思います。
