Einleitung

In diesem Dokument wird der Vorgang zum Ersetzen von vESA und vSMA beschrieben, wenn ein Upgrade aufgrund einer kleinen Nextroot-Partition fehlschlägt. 

Hintergrundinformationen

Zunächst wurden virtuelle Email Security Appliance (vESA)- und virtuelle Security Management Appliance (vSMA)-Images mit einer Nextroot-Partitionsgröße von weniger als 500 MB erstellt. Im Laufe der Jahre und mit neueren AsyncOS-Versionen, die zusätzliche Funktionen enthalten, haben Upgrades während des gesamten Upgrade-Prozesses mehr Speicherplatz in dieser Partition benötigt. Upgrades können aufgrund dieser Partitionsgröße fehlschlagen. Dieses Dokument enthält Details zur Lösung, die die Bereitstellung eines neuen virtuellen Images mit einer 4-GB-Nextroot-Partition vorsieht. 

Verwandte Fehler für ESA:Cisco Bug-ID CSCvy69068 und SMA: Cisco Bug-ID CSCvy69076

Symptome

Bei älteren vESA- oder vSMA-Images mit einer Nextroot-Partitionsgröße von weniger als 500 Mio. kann das Upgrade fehlschlagen, wenn diese Fehler erkannt werden. 

...
...
...
Finding partitions... done.
Setting next boot partition to current partition as a precaution... done.
Erasing new boot partition... done.
Extracting eapp done.
Extracting scanerroot done.
Extracting splunkroot done.
Extracting savroot done.
Extracting ipasroot done.
Extracting ecroot done.
Removing unwanted files in nextroot done.
Extracting distroot
/nextroot: write failed, filesystem is full
./usr/share/misc/termcap: Write failed
./usr/share/misc/pci_vendors: Write to restore size failed
./usr/libexec/getty: Write to restore size failed
./usr/libexec/ld-elf.so.1: Write to restore size failed
./usr/lib/libBlocksRuntime.so: Write to restore size failed
./usr/lib/libBlocksRuntime.so.0: Write to restore size failed
./usr/lib/libalias.so: Write to restore size failed
./usr/lib/libarchive.so: Write to restore size failed

Lösung

Um sicherzustellen, dass die virtuelle Appliance aktualisiert werden kann, stellen Sie sicher, dass die Nextroot-Partitionsgröße 4 GB beträgt.

Command: Scheck

(example.cisco.com) > ipcheck

<----- Example output (relevant section) ----->

  Root                  4GB 7%
  Nextroot 4GB 1%
  Var                   400MB 3%
  Log                   172GB 3%
  DB                    2GB 0%
  Swap                  6GB
  Mail Queue            10GB

<----- End of example output ----->

Erwartete Ausgabe: Nextroot zeigt 4 GB.

Wenn die Nextroot-Partition kleiner als 4 GB ist, führen Sie das entsprechende Verfahren aus, um die aktuelle Vorlage des virtuellen Systems zu einem neueren Image zu migrieren.

Wichtig: Wählen Sie einen Pfad basierend auf dem Appliance-Typ aus: vESA verwendet eine Cluster-basierte Migration (Schritte 4-5). vSMA verwendet eine Backup-basierte Migration (Schritt 6).

Schritt 1:

Bereitstellung Ihrer neuen vESA/vSMA

Laden Sie unter den Voraussetzungen das virtuelle ESA/SMA-Image herunter, und stellen Sie es gemäß dem Installationsleitfaden für die Cisco Content Security Virtual Appliance bereit.

Anmerkung: Die Installationsanleitung enthält Informationen zu DHCP (**Interfaceconfig**), zum Festlegen des Standard-Gateways (**setgateway**) und zum Laden der Lizenzdatei für die virtuelle Appliance. Stellen Sie sicher, dass die Bereitstellung wie angewiesen abgeschlossen ist.

Schritt 2:

Lizenzierung der neuen vESA/vSMA

Sobald die neue virtuelle ESA oder SMA bereitgestellt wurde, ist es an der Zeit, die Lizenzdatei zu laden. Bei herkömmlichen Lizenzen (Version 15.0 und frühere Versionen) ist die Lizenz in einer XML-Datei enthalten und muss über die CLI geladen werden. Verwenden Sie in der CLI den Befehl loadlicense, und befolgen Sie dann die Anweisungen, um den Lizenzimport abzuschließen.

Wenn die Version älter als 15.5 ist, können Sie diesen Artikel lesen, da Smart Licensing obligatorisch ist:Aktivieren Sie Smart Licensing und Fehlerbehebung auf ESA/SMA/WSA

Schritt 3:

Überprüfen Sie, ob auf beiden Appliances dieselbe AsyncOS-Version ausgeführt wird. Wenn sich die Versionen unterscheiden, führen Sie vor der Migration ein Upgrade für die neue Appliance durch, damit diese mit der ursprünglichen Version übereinstimmt.

Schritt 4: (Nur für vESA, Überspringen für vSMA)

Anmerkung: Bei diesem Schritt wird davon ausgegangen, dass kein Cluster vorhanden ist. Wenn bereits ein Cluster vorhanden ist, fügen Sie dem vorhandenen Cluster die neue vESA hinzu, um die Konfiguration zu kopieren, und entfernen Sie dann die neue Appliance, um den Upgrade-Prozess zu starten.

Neuen Cluster erstellen

Führen Sie auf der ursprünglichen vESA clusterconfig aus, um einen neuen Cluster zu erstellen.

Original-ESA.example.com> clusterconfig

Do you want to join or create a cluster?
1. No, configure as standalone.
2. Create a new cluster.
3. Join an existing cluster over SSH.
4. Join an existing cluster over CCS.
[1]> 2

Enter the name of the new cluster.
[]> Cluster-1

Must all machines in the cluster communicate with each other by hostname or by IP address?
1. Communicate by IP address.
2. Communicate by hostname.
[2]> 1

What IP address should other machines use to communicate with Machine C170.local?
1. 192.0.2.10 port 22 (SSH on interface Management)
2. Enter an IP address manually
[]> 1

Other machines will communicate with Machine C195.local using IP address 192.0.2.10 port 22. You can change this by using the COMMUNICATION subcommand of the clusterconfig command.
New cluster committed: Sat Jun 08 11:45:33 2019 GMT
Creating a cluster takes effect immediately, there is no need to commit.

Cluster Cluster-1

Choose the operation you want to perform:
- ADDGROUP - Add a cluster group.
- SETGROUP - Set the group that machines are a member of.
- RENAMEGROUP - Rename a cluster group.
- DELETEGROUP - Remove a cluster group.
- REMOVEMACHINE - Remove a machine from the cluster.
- SETNAME - Set the cluster name.
- LIST - List the machines in the cluster.
- CONNSTATUS - Show the status of connections between machines in the cluster.
- COMMUNICATION - Configure how machines communicate within the cluster.
- DISCONNECT - Temporarily detach machines from the cluster.
- RECONNECT - Restore connections with machines that were previously detached.
- PREPJOIN - Prepare the addition of a new machine over CCS.
[]>

(Cluster Cluster-1)>

Schritt 5: (Nur für vESA, Überspringen für vSMA)

Neue vESA im ursprünglichen ESA-Cluster

Führen Sie über die CLI der neuen vESA die clusterconfig aus, und wählen Sie Bestehenden Cluster beitreten, um die neue vESA zu dem Cluster hinzuzufügen, der auf der ursprünglichen vESA konfiguriert wurde.

New-ESA.example.com> clusterconfig

Do you want to join or create a cluster?
1. No, configure as standalone.
2. Create a new cluster.
3. Join an existing cluster over SSH.
4. Join an existing cluster over CCS.
[1]> 3

While joining a cluster, you will need to validate the SSH host key of the remote machine to which you are joining.  To get the public host key fingerprint of the remote host, connect to the cluster and run: logconfig -> hostkeyconfig -> fingerprint.

WARNING: All non-network settings will be lost. System will inherit the values set at the group or cluster mode for the non-network settings. Ensure that the cluster settings are compatible with your network settings (e.g. dnsconfig settings)

Exception:Centralized Policy, Virus, and Outbreak Quarantine settings are not inherited from the cluster.  These settings on this machine will remain intact.

Do you want to enable the Cluster Communication Service on esa.example.com? [N]> n

Enter the IP address of a machine in the cluster.
[]> 192.0.2.10

Enter the remote port to connect to.  This must be the normal admin ssh port, not the CCS port.
[22]>

Would you like to join this appliance to a cluster using pre-shared keys? Use this option if you have enabled two-factor authentication on the appliance. [Y]> n

Enter the name of an administrator present on the remote machine
[admin]>

Enter passphrase:
Please verify the SSH host key for 192.0.2.11:
Public host key fingerprint: 80:11:33:aa:bb:44:ee:ee:22:77:88:ff:77:88:88:bb
Is this a valid key for this host? [Y]> y

Joining cluster group Main_Group.
Joining a cluster takes effect immediately, there is no need to commit.
Cluster Cluster-1

Choose the operation you want to perform:
- ADDGROUP - Add a cluster group.
- SETGROUP - Set the group that machines are a member of.
- RENAMEGROUP - Rename a cluster group.
- DELETEGROUP - Remove a cluster group.
- REMOVEMACHINE - Remove a machine from the cluster.
- SETNAME - Set the cluster name.
- LIST - List the machines in the cluster.
- CONNSTATUS - Show the status of connections between machines in the cluster.
- COMMUNICATION - Configure how machines communicate within the cluster.
- DISCONNECT - Temporarily detach machines from the cluster.
- RECONNECT - Restore connections with machines that were previously detached.
- PREPJOIN - Prepare the addition of a new machine over CCS.
[]>

(Cluster Cluster-1)>

Nachdem die Einheiten angeschlossen und synchronisiert wurden, hat die neue vESA die gleiche Konfiguration wie die vorhandene vESA.

Command: Clusterprüfung

Erwartete Ausgabe: Es werden keine Inkonsistenzen gemeldet, und die Synchronisierung ist abgeschlossen.

Schritt 6 (nur für vSMA, Überspringen für vESA)

Voraussetzungen für SMA-Datensicherung im SMA Administratorhandbuch nachlesen: Voraussetzungen für die Datensicherung.

Führen Sie backupconfig auf der Appliance aus, die ersetzt wird, um ein Backup auf der neu bereitgestellten vSMA zu planen.

So starten Sie eine sofortige Sicherung:

1. Melden Sie sich bei der ursprünglichen SMA-CLI als admin an.
2. EnterpriseBackupConfig:
3. Wählen Sie Zeitplan aus.
4. Geben Sie die IP-Adresse des neuen Systems ein, an das die Daten übertragen werden sollen.
5. Die Quell-SMA überprüft die Existenz der Ziel-SMA und stellt sicher, dass die Ziel-SMA genügend Platz hat, um die Daten zu akzeptieren.
6. Wählen Sie3 (Jetzt eine einzelne Sicherung starten).
7. Geben Sie vieworstatus ein, um zu überprüfen, ob die Sicherung erfolgreich geplant wurde.

Anmerkung: Die Dauer der Datensicherung hängt von der Größe der Daten, der Netzwerkbandbreite usw. ab.

Nach Abschluss der Sicherung hat die neue vSMA alle Daten der vorherigen SMA erhalten.

Weitere Informationen zum Konfigurieren des neuen Systems als primäres Gerät finden Sie im SMA Administratorhandbuch: Konfigurieren Sie den neuen Computer als primäres Gerät.

Schritt 7.

Falls Sie mehr als eine ESA/SMA bereitstellen müssen, befolgen Sie die Schritte 1-6.

Zugehörige Informationen

Installationsleitfaden für die Cisco Content Security Virtual Appliance

ESA-Cluster-Anforderungen und -Einrichtung

SMA-Benutzerhandbücher

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
4.0	23-Jun-2026	Aktualisierte technische Inhalte, Titel, Einführung, maschinelle Übersetzung, Stilanforderungen und Formatierung.
1.0	27-May-2021	Erstveröffentlichung