Introducción
Este documento describe las direcciones IP y los hosts necesarios para configurar su dispositivo de seguridad de contenido de Cisco para su uso con un host estático para descargas, actualizaciones y mejoras. Estas configuraciones se deben utilizar para el hardware o el dispositivo de seguridad virtual Cisco Email Security Appliance (ESA), el dispositivo de seguridad web Security Appliance (WSA) o el dispositivo de gestión de seguridad Security Management Appliance (SMA).
Descargas, actualizaciones o actualizaciones de Content Security Appliance mediante un host estático
Cisco ofrece hosts estáticos para clientes que tienen estrictos requisitos de firewall o proxy. Es importante tener en cuenta que si configura el dispositivo para que utilice los hosts estáticos para las descargas y las actualizaciones, se deben permitir los mismos hosts estáticos para las descargas y las actualizaciones en el firewall y también en el proxy de la red.
Estos son los nombres de host estáticos, las direcciones IP y los puertos involucrados en los procesos de descarga, actualización y actualización:
- downloads-static.ironport.com
- 208.90.58.105 (puerto 80)
- updates-static.ironport.com
- 208.90.58.25 (puerto 80)
- 184.94.240.106 (puerto 80)
Configuración de actualización del servicio mediante GUI
Complete estos pasos para cambiar la configuración de descarga, actualización o actualización en AsyncOS desde la GUI:
- Acceda a la página de configuración de la actualización
- WSA: Administración del sistema > Configuración de actualización y actualización
- ESA: Servicios de seguridad > Actualizaciones de servicios
- SMA: Administración del sistema > Configuración de actualización
- Haga clic en Editar configuración de actualización...
- En la sección Servidores de actualización (imágenes), seleccione "Servidores de actualización local (ubicación de archivos de imagen de actualización)".
- Para el campo Base URL, ingrese en http://downloads-static.ironport.com y para el campo Port, configure para el puerto 80.
- Deje vacíos los campos Autenticación (opcional).
- (*) Sólo ESA: para el campo Host (definiciones de McAfee Anti-Virus, actualizaciones del motor PXE, definiciones de Sophos Anti-Virus, reglas de IronPort Anti-Spam, reglas de filtros de brote de virus, actualizaciones de DLP, reglas de zona horaria y cliente de inscripción (utilizado para obtener certificados para el filtrado de URL), introduzca updates-static.ironport.com. (El puerto 80 es opcional.)
- Deje la sección Servidores de actualización (lista) y los campos configurados en los Servidores de actualización de Cisco IronPort predeterminados.
- Asegúrese de que ha seleccionado la interfaz según sea necesario para la comunicación externa, si es necesario para comunicarse a través de una interfaz específica. La configuración predeterminada se establecerá en Selección automática.
- Verifique y actualice los servidores proxy configurados, si es necesario.
- Haga clic en Submit (Enviar).
- En la esquina superior derecha, haga clic en Registrar cambios.
- Finalmente, haga clic en Commit Changes nuevamente para confirmar todos los cambios de configuración.
Vaya a la sección Verificación de este documento.
Configuración de updateconfig a través de CLI
Los mismos cambios se pueden aplicar a través de la CLI en el dispositivo. Complete estos pasos para cambiar la configuración de descarga, actualización o actualización en AsyncOS desde la CLI:
- Ejecute el comando CLI updateconfig.
- Ingrese el comando SETUP.
- La primera sección que se presenta para configurar es "Actualizaciones de clave de característica". Utilice "2. Utilice "servidor propio" e introduzca http://downloads-static.ironport.com:80/.
- (*) Sólo ESA: la segunda sección que se presenta para configurar es "Servicio (imágenes)". Utilice '2. Use own server' e ingrese updates-static.ironport.com.
- El resto de los mensajes de configuración se pueden dejar configurados como predeterminados.
- Asegúrese de que ha seleccionado la interfaz según sea necesario para la comunicación externa, si es necesario para comunicarse a través de una interfaz específica. La configuración predeterminada se establecerá en Auto.
- Verifique y actualice el servidor proxy configurado, si es necesario.
- Pulse Return (Volver) para volver al indicador principal de la CLI.
- Ejecute el comando CLI COMMIT para guardar todos los cambios de configuración.
Vaya a la sección Verificación de este documento.
Verificación
Actualizaciones
Para verificar las actualizaciones en el dispositivo, es mejor validarlas desde la CLI.
Desde la CLI:
- Ejecute update now.
- (*) Sólo ESA: puede ejecutar updateNow Force para que se actualicen todos los servicios y conjuntos de reglas.
- Ejecute tail updater_logs.
Preste especial atención a las siguientes líneas: "http://updates-static.ironport.com/..." Esto debería indicar la comunicación y la descarga con el servidor del actualizador estático.
Ejemplo: desde un ESA que actualiza el motor antispam de Cisco (CASE) y las reglas asociadas:
Wed Aug 2 09:22:05 2017 Info: case was signalled to start a new update
Wed Aug 2 09:22:05 2017 Info: case processing files from the server manifest
Wed Aug 2 09:22:05 2017 Info: case started downloading files
Wed Aug 2 09:22:05 2017 Info: case waiting on download lock
Wed Aug 2 09:22:05 2017 Info: case acquired download lock
Wed Aug 2 09:22:05 2017 Info: case beginning download of remote file "http://updates-static.ironport.com/case/2.0/case/default/1480513074538790"
Wed Aug 2 09:22:07 2017 Info: case released download lock
Wed Aug 2 09:22:07 2017 Info: case successfully downloaded file "case/2.0/case/default/1480513074538790"
Wed Aug 2 09:22:07 2017 Info: case waiting on download lock
Wed Aug 2 09:22:07 2017 Info: case acquired download lock
Wed Aug 2 09:22:07 2017 Info: case beginning download of remote file "http://updates-static.ironport.com/case/2.0/case_rules/default/1501673364679194"
Wed Aug 2 09:22:10 2017 Info: case released download lock
<<<SNIP FOR BREVITY>>>
Siempre que el servicio se comunique, se descargue y, a continuación, se actualice correctamente, se le asignará un valor.
Una vez completada la actualización del servicio, updater_logs mostrará:
Wed Aug 2 09:22:50 2017 Info: case started applying files
Wed Aug 2 09:23:04 2017 Info: case cleaning up base dir [bindir]
Wed Aug 2 09:23:04 2017 Info: case verifying applied files
Wed Aug 2 09:23:04 2017 Info: case updating the client manifest
Wed Aug 2 09:23:04 2017 Info: case update completed
Wed Aug 2 09:23:04 2017 Info: case waiting for new updates
Actualizaciones
Para verificar que la comunicación de actualización se realice correctamente y se complete, navegue hasta la página Actualización del sistema y haga clic en Actualizaciones disponibles. Si se muestra la lista de versiones disponibles, la configuración habrá finalizado.
Desde la CLI, simplemente puede ejecutar el comando upgrade. Elija la opción download para ver el manifiesto de actualización, si hay actualizaciones disponibles.
myesa.local> upgrade
Choose the operation you want to perform:
- DOWNLOADINSTALL - Downloads and installs the upgrade image (needs reboot).
- DOWNLOAD - Downloads the upgrade image.
[]> download
Upgrades available.
1. AsyncOS 9.6.0 build 051 upgrade For Email, 2015-09-02 this release is for General Deployment
2. AsyncOS 9.7.0 build 125 upgrade For Email, 2015-10-15. This release is for General Deployment
3. AsyncOS 9.7.1 build 066 upgrade For Email, 2016-02-16. This release is for General Deployment.
4. cisco-sa-20150625-ironport SSH Keys Vulnerability Fix
[4]>
Resolución de problemas
Actualizaciones
El dispositivo envía alertas de notificación cuando las actualizaciones fallan. A continuación se muestra un ejemplo de la notificación de correo electrónico que se recibe con más frecuencia:
The updater has been unable to communicate with the update server for at least 1h.
Last message occurred 4 times between Tue Mar 1 18:02:01 2016 and Tue Mar 1 18:32:03 2016.
Version: 9.7.1-066
Serial Number: 888869DFCCCC-3##CV##
Timestamp: 01 Mar 2016 18:52:01 -0500
Deberá probar la comunicación del dispositivo con el servidor del actualizador especificado. En este caso, nos preocupa with downloads-static.ironport.com. Con telnet, el dispositivo debe tener una comunicación abierta a través del puerto 80:
myesa.local> telnet downloads-static.ironport.com 80
Trying 208.90.58.105...
Connected to downloads-static.ironport.com.
Escape character is '^]'.
De la misma manera, lo mismo debería verse para updates-static.ironport.com:
> telnet updates-static.ironport.com 80
Trying 208.90.58.25...
Connected to origin-updates.ironport.com.
Escape character is '^]'.
Si su dispositivo tiene varias interfaces, es posible que desee ejecutar telnet desde la CLI, y especificar la interfaz, para validar que se ha seleccionado la interfaz adecuada:
> telnet
Please select which interface you want to telnet from.
1. Auto
2. Management (172.18.249.120/24: myesa.local)
[1]>
Enter the remote hostname or IP address.
[]> downloads-static.ironport.com
Enter the remote port.
[25]> 80
Trying 208.90.58.105...
Connected to downloads-static.ironport.com.
Escape character is '^]'.
Actualizaciones
Al intentar actualizar, es posible que vea la siguiente respuesta:
No available upgrades. If the image has already been downloaded it has been de-provisioned from the upgrade server. Delete the downloaded image, if any and run upgrade.
Deseará revisar la versión de AsyncOS que se está ejecutando en el dispositivo y también revisar las notas de la versión de AsyncOS a la que está realizando la actualización. Es posible que no haya una ruta de actualización de la versión que está ejecutando a la versión a la que está intentando actualizar.
Si va a actualizar a una versión de Hot Patch (HP), Early Deployment (ED) o Limited Deployment (LD) AsyncOS, puede que tenga que abrir un caso de soporte para solicitar que se complete el aprovisionamiento adecuado, para que el dispositivo pueda ver la ruta de actualización según sea necesario.
Información Relacionada
Comentarios