Fehlerbehebung: vESA kann keine Antispam- oder Antivirus-Updates herunterladen und anwenden

Einleitung

In diesem Dokument wird beschrieben, warum vESA trotz gültiger Lizenzen keine Anti-Spam- oder Antivirus-Engines aktualisiert.

Voraussetzungen und Warnungen

Anforderungen

Vergewissern Sie sich, dass Sie mit den folgenden Produkten und Konzepten vertraut sind:

• E-Mail Security Appliance (ESA)
• vESA, virtuelle Web Security Appliance (vWSA), virtuelle Security Management Appliance (vSMA)
• AsyncOS

Verwendete Komponenten

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Wichtige Hinweise

• Hardware-Appliances (C190, C195, C390, C395, C690 und C695) müssen nur die dynamische Host-URL update-manifests.ironport.com:443 verwenden.
• Verwenden Sie nur die Staging-Update-Server-URLs, wenn Cisco Zugriff für die Beta-Nutzung gewährt hat. Ohne eine gültige Beta-Lizenz werden keine Updates von den Stagingservern empfangen.
• Konfigurieren Sie in Clusterkonfigurationen mit ESA und vESA die Updatekonfiguration auf Computerebene, und stellen Sie sicher, dass der Dynamichost entsprechend eingestellt ist.

Symptome

vESA lädt keine Updates für Antispam- oder Antivirus-Engines herunter oder wendet sie nicht an, selbst wenn die Lizenz ordnungsgemäß ist. Ausführen von Aktualisierungsbefehlen wie:

> antispamupdate ironport
> antispamupdate ironport force
> antivirusupdate force
> updatenow force

löst das Problem nicht. Beim Überprüfen von Protokollen mit tail updater_logs werden ähnliche Fehler angezeigt wie:

Mon Oct 21 17:48:43 2025 Info: Dynamic manifest fetch failure: Received invalid update manifest response

Dies weist darauf hin, dass die Appliance das richtige Updatermanifest nicht an der dynamischen Host-URL erreichen kann, die über den Befehl updateconfig konfiguriert wurde. Der Unterbefehl dynamichost, der in updateconfig verfügbar ist, definiert, welchen Aktualisierungsserver die Appliance verwendet.

Einstellen der richtigen dynamischen Host-URL

Konfigurieren Sie die URL des dynamischen Hosts entsprechend Ihrem Appliance-Typ und Supportstatus:

1. update-manifests.sco.cisco.com:443
   • Zur Verwendung für vESA-, vWSA- und vSMA-Einheiten.
2. stage-stg-updates.ironport.com:443
   • Zur Verwendung auf einfachen, virtuellen Beta- und Hardware-Appliances, die über eine explizite Cisco Beta-Autorisierung verfügen.

Um die dynamische Host-URL festzulegen, verwenden Sie den Befehl updateconfig, greifen auf den Unterbefehl hidden dynamichost zu, geben Sie den gewünschten Host und Port ein, und bestätigen Sie die Änderungen.

esa.example.com> updateconfig
[]> dynamichost

Enter new manifest hostname : port
[update-manifests.sco.cisco.com:443]> stage-stg-updates.ironport.com:443
[]> <<<HIT RETURN TO GO BACK TO THE MAIN CLI PROMPT>>>

esa.example.com> commit

Überprüfen der Appliance-Aktualisierungsfunktion

Vergewissern Sie sich anhand der folgenden Schritte, dass die Appliance von der richtigen URL des dynamischen Hosts aktualisiert wird:

1. Erhöhen Sie die Protokollstufe updater_logs zum Debuggen, um detaillierte Aktualisierungsaktivitäten zu erfassen:

esa.example.com> logconfig
[...]
28. updater_logs Updater Logs Manual Download None
[...]
[]> edit
Enter the number of the log you wish to edit.
[]> 28
Please enter the name for the log:
[updater_logs]>
Log level:
1. Critical
2. Warning
3. Information
4. Debug
5. Trace
[3]> 4
[...]
esa.example.com> commit

Anmerkung: Die Protokollnummer kann auf jeder Appliance unterschiedlich sein.

2. Führen Sie ein erzwungenes Update aus, um die Konnektivität zu testen und die Funktionalität zu aktualisieren:

esa.example.com> updatenow force

Success - Force update for all components requested  

3. Überprüfen Sie updater_logs, um eine erfolgreiche Verbindung mit dem richtigen dynamischen Host zu bestätigen:

Mon Oct 21 18:19:12 2025 Debug: Acquiring dynamic manifest from stage-stg-updates.ironport.com:443

Schritte zur Fehlerbehebung

1. Vergewissern Sie sich, dass die Standardaktualisierungskonfiguration verwendet wird. Wenn sich vESA oder sein Host hinter einer Firewall befindet, stellen Sie sicher, dass die Updates für die Verwendung eines statischen Servers konfiguriert sind, wie im Dokument "Content Security Appliance Upgrades" oder "Updates with a Static Server" beschrieben.
2. Testen der Verbindung mit der URL des dynamischen Hosts mithilfe von Telnet, um die Netzwerkerreichbarkeit zu überprüfen:

   esa.example.com> telnet
   Please select which interface you want to telnet from.
   1. Auto
   2. Management (172.16.6.165/24: esa-mgmt.example.com)
   3. Data (192.168.1.10/24: esa-data.example.com)
   [1]>
   Enter the remote hostname or IP address.
   []> stage-stg-updates.ironport.com
   Enter the remote port.
   [25]> 443
   Trying 208.90.58.24...
   Connected to stage-stg-updates.ironport.com.
   Escape character is '^]'.
   ^] ["CTRL + ]"]
   telnet> quit
   Connection closed.

Zugehörige Informationen

• Content Security Appliance-Upgrades oder -Updates mit einem statischen Server
• Technischer Support und Dokumentation für Cisco Systeme