Validar y solucionar problemas de una actualización de AsyncOS en Cisco ESA

Introducción

Este documento describe los pasos posteriores a la actualización para validar una actualización correcta de AsyncOS y solucionar problemas comunes en Cisco Secure Email Gateway (SEG), anteriormente conocido como Cisco Email Security Appliance (ESA). 

Componentes Utilizados

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Prerequisites

Requirements

• El estado de RAID del dispositivo debe ser READY u OPTIMAL en la salida de Estado del sistema; no inicie una actualización si el estado es DEGRADADO y póngase en contacto con el TAC de Cisco para obtener una autorización de devolución de mercancía (RMA).
• Confirme que no existen errores significativos, específicamente conectividad de red o problemas de DNS, revisando las alertas del sistema en la GUI bajo Administración del sistema > Alertas o ejecutando el comando displayalerts en la CLI.
• Identifique si el ESA funciona como un dispositivo independiente o en un clúster y revise la sección Actualización del clúster de este documento para los entornos agrupados.
• Verifique una configuración funcional del servidor DNS y asegure la conectividad a Internet en los puertos 80 y 443 sin inspección de paquetes.

Nota: Cuando el acceso al firewall se basa en FQDN, asegúrese de que tanto el ESA como el firewall utilizan el mismo servidor DNS para la asignación correcta de nombre de host a IP. Las URL de actualización, incluidas downloads.ironport.com, upgrades.ironport.com, updates.ironport.com y las URL de manifiesto, se alojan en la red CDN de Akamai.

Precaución: El uso de Cisco Smart Software Licensing es obligatorio a partir de AsyncOS 15.5.x y todas las versiones futuras de Cisco Secure Email Gateway.

Compatibilidad entre ESA y SMA

Debe revisar la matriz de compatibilidad entre ESA y SMA antes de iniciar la actualización. Algunas versiones requieren varias actualizaciones para alcanzar la última versión. Para obtener confirmación de ruta de actualización y aprovisionamiento de dispositivos, póngase en contacto con Cisco TAC.

Preparación y finalización de una actualización de AsyncOS

Para conocer los requisitos y los pasos de la actualización de AsyncOS, consulte la guía del usuario. Familiarícese con estos pasos antes de continuar. 

Realizar comprobaciones posteriores a la actualización

• Si SMA administra los dispositivos:
• Vaya a Dispositivo de administración > Servicios centralizados > Dispositivos de seguridad para asegurarse de que todos los servicios están activos.
• Marque Correo electrónico > Rastreo de mensajes > Disponibilidad de datos de rastreo de mensajes para el estado OK en todos los ESA.
• En cada dispositivo, ejecute status y confirme el estado "Online".
• Ejecute displayalerts para ver cualquier alerta nueva después de la actualización.
• En un clúster, clustercheck no debe mostrar incoherencias y connstatus debe mostrar todos los dispositivos conectados.
• Para verificar el flujo de correo, utilice el comando CLI tail mail_logs para observar el procesamiento en tiempo real.

Solucionar problemas de actualización

1. Ejecute tail_updater_logs y tail_upgrade_logs desde la CLI para obtener detalles de los problemas de actualización.
2. Si falla la descarga de la imagen o la actualización antispam/antivirus, compruebe la conectividad de la red para actualizar los servidores.
3. Si la actualización falla debido a interrupciones en la red, pueden aparecer errores:

Reinstalling AsyncOS... 66% 01:05ETA.
/usr/local/share/doc/jpeg/libjpeg.doc: Premature end of gzip compressed data: Input/output error
tar: Error exit delayed from previous errors.
Upgrade failure.

1. Normalmente, esto se debe a interrupciones de la red durante la transmisión de datos entre ESA y los servidores de actualización.
2. Verifique los registros del firewall o monitoree el tráfico de paquetes para detectar problemas.
3. Para capturar paquetes de red en el ESA, utilice la herramienta de captura de paquetes en la GUI o CLI.

Nota: Los firewalls deben permitir que las conexiones inactivas permanezcan activas durante el proceso de actualización.

En el caso de los dispositivos de hardware, pruebe la conectividad con los servidores dinámicos mediante estos comandos:

• telnet updates.ironport.com 80
• telnet downloads.ironport.com 80

En el caso de los appliances virtuales, pruebe la conectividad con estos servidores mediante estos comandos:

• telnet update-manifests.sco.cisco.com 443
• telnet updates.ironport.com 80
• telnet downloads.ironport.com 80

Consulte la guía del usuario para conocer los requisitos de firewall y de puertos.

Información Relacionada

• Matriz de compatibilidad para los dispositivos de gestión de seguridad de contenido de Cisco
• Procedimientos de captura de paquetes ESA
• Actualizaciones o ampliaciones de Content Security Appliance con un servidor estático
• Descripción general de las licencias inteligentes y prácticas recomendadas para la seguridad web y del correo electrónico