Gestion des firmwares réseau : des versions dispersées aux campagnes de mise à jour organisées.
Savoir qu’un firmware est en retard n’est que le début. ConnectMyAssets montre la version que chaque équipement réseau exécute et celle qu’il devrait exécuter, conserve vos images dans une bibliothèque unique et mène des campagnes de mise à jour par vagues, passées en revue avant lancement et vérifiées étape par étape, sans jamais redémarrer en même temps les deux membres d’une paire MLAG, vPC ou VSX.
Revue avant lancement, puis lancement immédiat ou à une date
Paires MLAG, vPC et VSX jamais mises à jour ensemble
Chaque constructeur, modèle et version du parc, et la cible que chaque équipement devrait exécuter.
5profils constructeur avec procédure de mise à jour
1 000équipements au maximum par campagne
Maintenant ou plus tardlancement immédiat ou à la date choisie
MLAG · vPC · VSXpaires jamais mises à jour sur leurs deux membres à la fois
CAS D’USAGE
Des mises à jour firmware sans tableur
Corriger vite une vulnérabilité critique
Une CVE touche une version de firmware que vous exploitez : ajoutez l’image corrigée à la bibliothèque, voyez chaque équipement en retard, puis lancez une vague pilote et le reste du parc.
Harmoniser les versions entre sites
Fixez une cible par modèle sur le groupe de tête, ou une autre pour un site qui en a besoin, et suivez la convergence du parc sur la page Versions.
Mettre à jour les paires de data center en sécurité
Les campagnes connaissent vos paires MLAG, vPC et VSX et ne redémarrent jamais les deux membres ensemble : le service reste disponible pendant la mise à jour.
Des fenêtres de maintenance la nuit
Passez la campagne en revue en journée et planifiez-la sur la fenêtre de changement : elle démarre à la date choisie, et le journal de chaque équipement vous attend le matin.
FONCTIONNALITÉS
Gestion des firmwares : de la visibilité sur les versions à la campagne
La page Versions montre qui est en retard, la bibliothèque garde les images, et chaque campagne est passée en revue avant lancement puis suivie équipement par équipement.
01
Repérer les équipements en retard
La cible d’un équipement est l’image active la plus récente qui s’applique à son constructeur, son modèle et son groupe. La page Versions présente le parc par constructeur, modèle et version, avec le nombre d’équipements à jour et en retard ; la CMDB propose le statut et la cible du firmware en colonnes et en filtres.
02
Une bibliothèque d’images partagée par groupe
Téléversez chaque image une seule fois, avec les modèles auxquels elle s’adresse ; ses empreintes SHA-256 et MD5 sont calculées au téléversement. Une image détenue par un groupe peut s’appliquer aux groupes en dessous : une région partage ses images avec ses sites.
03
Les vulnérabilités de chaque image
Chaque image de la bibliothèque affiche ses CVE par sévérité : vous choisissez la version cible en sachant ce qu’elle corrige et ce qu’elle porte encore. Le choix reste le vôtre : aucune image n’est masquée.
04
Revue avant lancement
Avant tout lancement, la revue liste les équipements par image avec chaque ligne qui sera tapée, les équipements laissés de côté et pourquoi, et les paires MLAG, vPC ou VSX concernées. Si le parc a changé entre-temps, rien ne démarre avant une nouvelle revue.
05
Lancer tout de suite ou à une date
Démarrez la campagne immédiatement ou planifiez-la sur votre fenêtre de maintenance. Une campagne planifiée peut être annulée jusqu’à son démarrage, et une campagne en cours peut être arrêtée.
06
Une mise à jour vérifiée de bout en bout
Sauvegarde de la configuration, contrôle de l’espace flash, copie de l’image depuis ConnectMyAssets, vérification de l’empreinte, installation, enregistrement, redémarrage, puis contrôle de la version réellement exécutée et nouvelle collecte. Chaque étape et chaque réponse de l’équipement sont journalisées.
07
Des campagnes par vagues, paires protégées
Menez une vague pilote, puis des vagues plus larges, chacune jusqu’à 1 000 équipements. Les deux membres d’une paire MLAG, vPC ou VSX ne sont jamais mis à jour en même temps, et les équipements en échec se relancent en une action.
08
Des permissions par groupe
Consulter les versions, gérer les images et mettre à jour les équipements sont trois permissions distinctes par groupe d’équipements réseau. Une campagne ne prend que les équipements que son auteur peut mettre à jour, et chaque action est auditée.
EN IMAGES
Des équipements en retard à une campagne relue, en quelques clics.
COMMENT ÇA MARCHE
Comment se déroule une campagne firmware
Pour les ingénieurs réseau : ce qui est tapé, d’où vient l’image et ce qui se passe en cas d’échec.
Seule la procédure constructeur est tapée
Ce qui est tapé sur un équipement vient de son profil constructeur et de rien d’autre : aucun texte libre n’atteint la ligne de commande, et une question inattendue de l’équipement arrête la ligne au lieu d’obtenir une réponse à l’aveugle.
L’image est servie par ConnectMyAssets
L’équipement récupère son image auprès du service de fichiers de ConnectMyAssets en SSH (SCP ou SFTP), avec un identifiant à usage unique tiré pour cet équipement et ce transfert seulement, accepté depuis son adresse d’administration.
Un seul intervenant par équipement
Un script, un provisionnement ZTP et une mise à jour firmware ne s’exécutent jamais ensemble sur le même équipement, et un équipement en cours de mise à jour n’est pas collecté. Le nombre d’équipements mis à jour simultanément suit votre profil de dimensionnement.
Un échec arrête l’équipement concerné, et dit pourquoi
Si une étape échoue, l’équipement s’arrête là avec l’étape et la raison ; les autres continuent. La configuration sauvegardée avant la mise à jour reste dans son historique, et sur AOS-CX et ProCurve l’image précédente reste dans l’autre banque.
UN PARCOURS CONCRET
Du firmware en retard à la campagne de mise à jour
01
Repérer
Repérez les équipements en retard sur leur version cible dans la page Versions.
02
Préparer
Ajoutez l’image à la bibliothèque et passez la campagne en revue.
03
Lancer
Lancez tout de suite ou à une date, par vagues successives.
04
Vérifier
Contrôlez la version exécutée après redémarrage et relancez les échecs.
FAQ
Les réponses à vos questions.
Pour préparer votre projet et préciser votre périmètre.
Quels constructeurs les campagnes firmware prennent-elles en charge ?
Les campagnes de mise à jour couvrent aujourd’hui cinq profils constructeur : switchs Cisco IOS et IOS XE, Cisco NX-OS, Aruba AOS-CX, Aruba ProCurve (ArubaOS-Switch) et Huawei VRP. La page Versions suit le firmware de tous les équipements inventoriés, et d’autres procédures constructeur suivent.
Faut-il mettre à jour tout le parc en même temps ?
Non. Organisez la mise à jour en plusieurs vagues : un groupe pilote, puis des campagnes plus larges, chacune jusqu’à 1 000 équipements, lancées tout de suite ou à une date. Les paires MLAG, vPC et VSX sont protégées : leurs deux membres ne redémarrent jamais ensemble. Validez d’abord les prérequis constructeur de chaque version sur un équipement de test.
Que contrôle-t-on avant de lancer une campagne ?
La revue présente chaque équipement avec l’image qu’il recevra et les lignes qui seront tapées, les équipements laissés de côté (pas de permission, constructeur non pris en charge, déjà à jour, déjà dans une campagne, pas d’identifiant) et les paires concernées. Sur chaque équipement, l’espace flash est contrôlé et l’empreinte de l’image vérifiée avant toute installation.
Quel est le lien avec les CVE et la gestion EoL/EoS ?
Le suivi des CVE éclaire les priorités de sécurité, y compris les vulnérabilités des images de la bibliothèque. La gestion des firmwares porte sur les versions et les campagnes de mise à jour. La gestion EoL/EoS identifie les équipements dont le cycle de support impose un renouvellement. Ensemble, elles aident à choisir entre mettre à jour et remplacer.
