Validierung und Fehlerbehebung bei einem AsyncOS-Upgrade auf der Cisco ESA

Einleitung

In diesem Dokument werden die Schritte beschrieben, die nach dem Upgrade durchgeführt werden müssen, um ein erfolgreiches AsyncOS-Upgrade zu validieren und gängige Probleme auf dem Cisco Secure Email Gateway (SEG), früher bekannt als Cisco Email Security Appliance (ESA), zu beheben. 

Verwendete Komponenten

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Voraussetzungen

Anforderungen

• Der RAID-Status der Einheit muss in der Ausgabe für den Systemstatus "BEREIT" oder "OPTIMAL" lauten. Initiieren Sie kein Upgrade, wenn der Status DEGRADED lautet, und wenden Sie sich an das Cisco TAC, um eine Retourengenehmigung (Return Material Authorization, RMA) zu erhalten.
• Vergewissern Sie sich, dass keine nennenswerten Fehler vorliegen, insbesondere bei Netzwerkverbindungen oder DNS-Problemen, indem Sie Systemwarnungen in der grafischen Benutzeroberfläche unter Systemverwaltung > Warnungen überprüfen oder den Befehl displayAlerts in der CLI ausführen.
• Ermitteln Sie, ob die ESA als Standalone-Appliance oder in einem Cluster betrieben wird, und lesen Sie den Abschnitt "Cluster-Upgrade" dieses Dokuments für Cluster-Umgebungen.
• Überprüfen Sie die funktionierende DNS-Serverkonfiguration, und stellen Sie die Internetverbindung an den Ports 80 und 443 ohne Paketprüfung sicher.

Anmerkung: Wenn der Firewall-Zugriff auf FQDNs basiert, stellen Sie sicher, dass sowohl die ESA als auch die Firewall denselben DNS-Server verwenden, um die richtige Zuordnung von Hostname zu IP zu erreichen. Die Upgrade- und Update-URLs, einschließlich downloads.ironport.com, upgrades.ironport.com, updates.ironport.com und Manifest-URLs, werden im Akamai CDN-Netzwerk gehostet.

Vorsicht: Die Nutzung von Cisco Smart Software Licensing ist ab AsyncOS 15.5.x und allen zukünftigen Versionen für Cisco Secure Email Gateway obligatorisch.

Kompatibilität zwischen ESA und SMA

Sie müssen die Kompatibilitätsmatrix zwischen ESA und SMA überprüfen, bevor Sie mit dem Upgrade beginnen. Einige Versionen erfordern mehrere Upgrades, um die neueste Version zu erreichen. Wenn Sie Informationen zur Upgrade-Pfadbestätigung und Appliance-Bereitstellung benötigen, wenden Sie sich an das Cisco TAC.

Vorbereitung und Abschluss eines AsyncOS-Upgrades

Informationen zu den Upgrade-Anforderungen und -Schritten für AsyncOS finden Sie im Benutzerhandbuch. Machen Sie sich mit diesen Schritten vertraut, bevor Sie fortfahren. 

Prüfungen nach dem Upgrade durchführen

• Wenn Appliances von SMA verwaltet werden:
• Gehen Sie zu Management Appliance > Centralized Services > Security Appliances, um sicherzustellen, dass alle Services verfügbar sind.
• Überprüfen Sie E-Mail > Nachrichtenverfolgung > Verfügbarkeit der Nachrichtenverfolgungsdaten, um den Status OK auf allen ESAs anzuzeigen.
• Führen Sie auf jeder Appliance den Status aus, und bestätigen Sie den Status "Online".
• Führen Sie displayAlerts aus, um neue Alerts nach dem Upgrade anzuzeigen.
• In einem Cluster darf die Clusterüberprüfung keine Inkonsistenzen aufweisen, und connstatus muss alle verbundenen Appliances anzeigen.
• Verwenden Sie den CLI-Befehl tail mail_logs, um die Echtzeitverarbeitung zu überprüfen.

Fehlerbehebung bei Upgrade-Problemen

1. Führen Sie tail updater_logs und tail upgrade_logs über die CLI aus, um Details zu Upgrade-Problemen zu erhalten.
2. Wenn der Image-Download oder die Antispam-/Antivirus-Aktualisierung fehlschlagen, überprüfen Sie die Netzwerkverbindung zu den Update-Servern.
3. Wenn das Upgrade aufgrund von Netzwerkunterbrechungen fehlschlägt, können Fehler auftreten:

Reinstalling AsyncOS... 66% 01:05ETA.
/usr/local/share/doc/jpeg/libjpeg.doc: Premature end of gzip compressed data: Input/output error
tar: Error exit delayed from previous errors.
Upgrade failure.

1. Dies resultiert in der Regel aus Netzwerkunterbrechungen bei der Datenübertragung zwischen ESA- und Update-Servern.
2. Überprüfen Sie die Firewall-Protokolle, oder überwachen Sie den Paketverkehr auf Probleme.
3. Um Netzwerkpakete auf der ESA zu erfassen, verwenden Sie das Tool zur Paketerfassung in der GUI oder CLI.

Anmerkung: Firewalls müssen zulassen, dass freie Verbindungen während des Upgrade-Vorgangs aktiv bleiben.

Testen Sie für Hardware-Appliances die Verbindung zu dynamischen Servern mithilfe der folgenden Befehle:

• telnet updates.ironport.com 80
• telnet downloads.ironport.com 80

Testen Sie für virtuelle Appliances die Verbindung mit diesen Servern mithilfe der folgenden Befehle:

• telnet update-manifests.sco.cisco.com 443
• telnet updates.ironport.com 80
• telnet downloads.ironport.com 80

Informationen zu Firewall- und Port-Anforderungen finden Sie im Benutzerhandbuch.

Zugehörige Informationen

• Kompatibilitätsmatrix für Cisco Content Security Management Appliances
• ESA-Verfahren zur Paketerfassung
• Content Security Appliance-Upgrades oder -Updates mit einem statischen Server
• Überblick über Smart Licensing und Best Practices für Email und Web Security