Proceso de actualización para Secure Email Gateway

Introducción

Este documento describe los pasos asociados con el proceso de actualización de AsyncOS para Cisco Secure Email Gateway (SEG), también conocido como Cisco Email Security Appliance (ESA).

Requirements

• Asegúrese de que el estado de RAID del dispositivo es READY (LISTO) u OPTIMAL en la salida de Estado del sistema. No inicie una actualización en un dispositivo con el estado RAID DEGRADADO. Póngase en contacto con Cisco TAC para iniciar un caso de autorización de devolución de mercancía (RMA) para su dispositivo.
• Verifique si el ESA es un dispositivo independiente o en un entorno agrupado. Si está en clúster, asegúrese de revisar correctamente la sección Actualización del clúster de este documento.
• Asegúrese de que haya conectividad a Internet desde el ESA en los puertos 80 y 443 sin inspecciones de paquetes.
• Se requiere un servidor DNS funcional.

Compatibilidad entre ESA/SMA

Revise la compatibilidad de los sistemas ESA y SMA antes de realizar la actualización. Las versiones anteriores de AsyncOS para Email Security pueden requerir más de una actualización para obtener la última versión. Para obtener confirmación de la ruta de actualización y el aprovisionamiento de dispositivos, póngase en contacto con Cisco TAC.

Preparación para la Actualización

1. Guarde el archivo de configuración XML fuera de la caja. Si necesita volver a la versión anterior a la actualización por cualquier motivo, puede utilizar este archivo para importar la configuración anterior.
2. Si utiliza la función Lista de seguridad/lista de bloqueo, exporte la lista fuera de caja.
3. Suspender todos los receptores. Si realiza la actualización desde la CLI, utilice el suspendlistener comando. Si realiza la actualización desde la GUI, la suspensión del receptor se produce automáticamente.
4. Espere a que la cola se vacíe. Puede utilizar el workqueue para ver el número de mensajes en la cola de trabajo o el comando rate en la CLI para supervisar el rendimiento de mensajes en su dispositivo.

Descargue e instale la actualización

A partir de AsyncOS para Email Security versión 8.0, las opciones de actualización se actualizan para incluir ahora DOWNLOADINSTALL además de DOWNLOAD. Esto proporciona al administrador flexibilidad para descargar e instalar en una sola operación, o descargar en segundo plano e instalar más tarde.

(Machine host1.example.com)> upgrade


Choose the operation you want to perform:
- DOWNLOADINSTALL - Downloads and installs the upgrade image (needs reboot).
- DOWNLOAD - Downloads the upgrade image.
[]> download

Upgrades available.
1. AsyncOS 14.2.0 build 616 upgrade For Email, 2022-05-27,release available as General Deployment
2. AsyncOS 14.2.0 build 620 upgrade For Email, 2022-07-05,release available as General Deployment
[2]>

Consulte la guía del usuario para obtener información completa.

Actualización en la CLI

1. Escriba el status y asegúrese de que el receptor esté suspendido. Puede ver "Estado del sistema: Recepción suspendida".
2. Escriba el upgrade comando.
3. Elija una opción para DOWNLOADINSTALL o DOWNLOAD.
4. Elija el número adecuado asociado a la versión de actualización deseada.
5. Complete las preguntas necesarias para guardar la configuración actual y aprobar el reinicio cuando se aplique la actualización.
6. Después de la actualización, inicie sesión en la CLI y escriba resume para reanudar los receptores y garantizar el funcionamiento. Escriba el status y confirme "Estado del sistema: En línea".

Actualizar mediante la GUI

1. Elija Administración del sistema > Actualización del sistema.
2. Haga clic en Opciones de actualización...
3. Elija una opción para Download and install o Download.
4. Haga clic y resalte la versión de actualización que desee.
5. Elija las opciones adecuadas para Preparación de la actualización.
6. Continúe, para comenzar la actualización y mostrar la barra de progreso para su monitoreo.
7. Después de la actualización, inicie sesión en la CLI e introduzca resume para reanudar los receptores y garantizar el funcionamiento: Elija System Administration > Shutdown/Suspend > Resume (Check All).
8. En la sección Operaciones de Correo, elija Confirmar.

Actualización de clúster

Los ESA de un clúster seguirían el mismo proceso de actualización desde la CLI o la GUI que en las secciones anteriores, con la única excepción de que se solicitaría la desconexión de los dispositivos del clúster.

Nota: Puede realizar la actualización con la CLI o la GUI, pero la reconexión clusterconfig solo están disponibles a través de la CLI. Este documento describe cómo actualizar las máquinas a través de la CLI.

Ejemplo visto desde CLI:

(Cluster my_cluster)> upgrade

This command is restricted to run in machine mode of the machine you are logged in to.
 Do you want to switch to "Machine applianceA.local" mode? [Y]> y

Ejemplo visto desde la GUI:

Nota:  Esto es solo una desconexión administrativa. Esto detendría cualquier intento de sincronización de la configuración a través del clúster desde o hacia los dispositivos desconectados. Esto no elimina ni modifica la configuración del dispositivo.

Siga estos pasos para actualizar los ESA que se ejecutan en un clúster mediante la CLI:

1. Escriba el upgrade en la CLI para actualizar AsyncOS a una versión posterior. Cuando se le pregunte si desea desconectar el clúster, responda con la letra Y para continuar:
   
   

   (Machine host1.example.com)> upgrade
   
   You must disconnect all machines in the cluster in order to upgrade them. Do you wish
   to disconnect all machines in the cluster now? [Y]> Y

   
   
   
2. Siga todas las indicaciones de actualización (se incluye la indicación de reinicio).
   
   
3. Después de actualizar y reiniciar todas las máquinas del clúster, inicie sesión en una de las máquinas del clúster mediante la CLI e introduzca el clusterconfig comando. Vuelva a conectarlos en el nivel de clúster para permitir la sincronización de la configuración y reanudar el funcionamiento del clúster.
4. Responder Yes para volver a conectar. No es necesario comprometerse.
   
   

   Choose the machine to reattach to the cluster. Separate multiple machines with commas
   or specify a range with a dash.
   
   1. host2.example.com (group Main)
   2. host3.example.com (group Main)
   3. host4.example.com (group Main)
   
   [1]> 1-3

5. Ejecute el comando connstatus para confirmar que todos los dispositivos están en el clúster. Además, ejecute el comando clustercheck para confirmar que no hay incoherencia.

Las recomendaciones de actualización del clúster son:

• No vuelva a conectar los ESA al clúster hasta que TODOS los dispositivos se actualicen a una versión coincidente.
• Si es necesario, una vez que un ESA haya completado una actualización, reanude el receptor, si se ha suspendido anteriormente, y permita que funcione como un dispositivo independiente.
• No realice cambios ni modificaciones de configuración cuando los ESA estén desconectados de un clúster para evitar incoherencias de configuración cuando se vuelvan a conectar a la actualización posterior del clúster.
• Una vez que TODOS los dispositivos se hayan actualizado a la misma versión, vuelva a conectarlos en el nivel de clúster para permitir la sincronización de la configuración y reanudar el funcionamiento del clúster.

Registrar cheques:

• Si SMA administra los dispositivos, haga lo siguiente:
  • Navegue hasta Dispositivo de administración > Servicios centralizados > Dispositivos de seguridad y asegúrese de que todos los servicios estén activos y que la conexión muestre "Establecido".
  • Navegue hasta Email > Message Tracking > Message Tracking Data Availability y verifique si el estado muestra OK para todos los ESA.
  • En cada dispositivo, introduzca el status y busque que se muestre como en línea.
  • Escriba el displayalerts y compruebe si hay alertas nuevas después de la actualización.
  • Si está en un clúster, el clustercheck no debe mostrar ninguna incoherencia y el comando connstatus debe mostrar los dispositivos como conectados sin errores.
  • Para verificar el flujo de correo, introduzca el tail mail_logs en la CLI.

Troubleshoot

1. tail updater_logs y tail upgrade_logs También puede proporcionar información si hay algún problema con la actualización.
2. Si hay algún problema al descargar la imagen o al actualizar el antispam o antivirus, probablemente se deba a que los procesos no pueden acceder y actualizar el motor de servicio o los conjuntos de reglas. Siga los pasos proporcionados en vESA Is Not Able to Download and Apply Updates for Antispam or Antivirus.
3. Si la actualización falla debido a interrupciones en la red, se pueden ver errores similares durante el resultado del proceso de actualización:

Reinstalling AsyncOS... 66% 01:05ETA.
/usr/local/share/doc/jpeg/libjpeg.doc: Premature end of gzip compressed data:
 Input/output error
tar: Error exit delayed from previous errors.
Upgrade failure.

Esto se debe normalmente a una interrupción de la red que puede haberse producido durante la transmisión de datos entre el ESA y los servidores de actualización. Investigue los registros del firewall de la red o supervise el tráfico de paquetes desde el ESA para actualizar los servidores.

Si es necesario, consulte Procedimientos de captura de paquetes de ESA para habilitar la captura de paquetes en el ESA y luego vuelva a intentar el proceso de actualización.

Nota: Los firewalls deben permitir que las conexiones inactivas permanezcan activas, especialmente durante el proceso de actualización.

Para los firewalls de red estrictos que requieren servidores de actualización estáticos, consulte Actualizaciones del dispositivo de seguridad de contenido o Actualizaciones con un servidor estático para saber cómo configurar los servidores de actualización y actualización estáticos.

Para dispositivos de hardware, pruebe las conexiones a estos servidores dinámicos:

• telnet update-manifests.ironport.com 443
• telnet updates.ironport.com 80
• telnet downloads.ironport.com 80

Para los appliances virtuales, debe utilizar estos servidores dinámicos:

• telnet update-manifests.sco.cisco.com 443
• telnet updates.ironport.com 80
• telnet downloads.ironport.com 80  

Consulte la Guía del usuario para obtener información completa sobre el firewall y los requisitos de los puertos.

Información Relacionada

• Matriz de compatibilidad para los dispositivos de gestión de seguridad de contenido de Cisco
• Procedimientos de actualización de ESA
• Procedimientos de captura de paquetes ESA
• Actualizaciones o ampliaciones de Content Security Appliance con un servidor estático
• Soporte Técnico y Documentación - Cisco Systems