Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Antecedentes

Instalación de parches con GUI

Instalación de parches con CLI

¿Cómo instalar el parche en todos los nodos ISE en la implementación

¿Cómo revertir el parche en todos los nodos ISE en la implementación

¿Cómo revertir el parche desde la CLI de ISE?

Verificación

La referencia del registro de instalación de parches se realizó correctamente.

Introducción

Este documento describe las formas de instalar parches ISE y preguntas frecuentes durante la instalación.

Prerequisites

Requirements

Conocimientos básicos de Identity Service Engine (ISE).

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

- Cisco Identity Services Engine 2.X

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Antecedentes

Cisco lanza parches de ISE de forma semirregular. Estos parches contienen correcciones de errores y, cuando es necesario, correcciones de seguridad (por ejemplo, el  Heartbleed y  Poodle detectadas con SSL).

Para garantizar que se aplican correcciones de errores, se conectan las vulnerabilidades de seguridad y la solución funciona sin problemas.

Al instalar un parche en un nodo ISE, el nodo se reinicia. Reinicie los servicios una vez finalizada la instalación. Espere unos minutos antes de volver a iniciar sesión.

Puede programar la instalación de parches durante un período de mantenimiento para evitar una interrupción temporal.

Instale sólo los parches aplicables a la versión de Cisco implementada en la red. Cisco informa cuando no hay coincidencias en las versiones y los errores en el archivo de parche.

No puede instalar un parche de una versión inferior a la que está instalada actualmente en Cisco. De manera similar, no puede revertir los cambios de un parche de versión inferior si actualmente hay una versión superior instalada en Cisco.

Al instalar un parche desde el  Primary Administration Node (PAN) que forma parte de una implementación distribuida, Cisco ISE instala la revisión en el nodo principal y, a continuación, en todos los nodos secundarios de la implementación.

Si la instalación de la revisión se realiza correctamente en el  PAN, Cisco ISE continúa con la instalación de parches en los nodos secundarios. Si falla en el  PAN, la instalación no continúa con los nodos secundarios.

Sin embargo, si la instalación falla en cualquiera de los nodos secundarios por cualquier motivo, aún continúa con el siguiente nodo secundario en su implementación.

Al instalar un parche desde el  PAN que forma parte de una implementación de dos nodos, Cisco instala el parche en el nodo principal y, a continuación, en el secundario.

Si la instalación de la revisión se realiza correctamente en el  PAN, Cisco continúa con la instalación de parches en el nodo secundario. Si falla en el  PAN, la instalación no continúa en el nodo secundario.

Debe tener el rol de administrador del sistema o de superadministrador para instalar o revertir los parches. Recopile la copia de seguridad de la configuración y la copia de seguridad operativa antes de que se inicie la instalación del parche.

Instalación de parches con GUI

Para descargar los parches de ISE desde Cisco.com, vaya a  Downloads > Products > Security > Access Control and Policy > Identity Services Engine > Identity Services Engine Software, ( aquí.)

Nota: Los parches de Cisco ISE suelen ser acumulativos, lo que significa que la instalación del parche 11 incluye todos los parches del parche 1 al parche 10. La instalación del parche requiere reiniciar el servidor de ISE.

Nota: Verifique la suma de comprobación MD5/SHA512 después de descargar el archivo de parche.

Para aplicar el parche en ISE, inicie sesión en ISE  Primary Administration Node (PAN) GUI y siga las instrucciones que se indican aquí.

Paso 1. Vaya a  Administration > System > Maintenance > Patch Management > Install.

Paso 2. Haga clic en  Browse y elija el archivo de revisión que se descargó de Cisco.com.

Paso 3.Haga clic en  Install para instalar el parche.

Instalación de parches con CLI

Paso 1. Configure un repositorio de ISE y coloque el parche de ISE necesario en el repositorio. Para configurar el repositorio de ISE, consulte Cómo configurar el repositorio en ISE

Paso 2. Inicie sesión en ISE CLI con SSH.

Paso 3. Asegúrese de que la CLI de ISE puede mostrar el contenido del repositorio.

ISE/admin# show repository FTP_repository

ise-patchbundle-10.2.0.7-Patch6-19021923.SPA.x86_64.tar.gz

ise-patchbundle-10.2.0.7-Patch9-19062923.SPA.x86_64.tar.gz

ise-patchbundle-10.1.0.0-Ptach3-19110111.SPA.x86_64.tar.gz

Paso 4. Para instalar la revisión en un nodo ISE específico desde la CLI, ejecute el  patch install en el modo EXEC.

Patch install

Inicie sesión en la CLI del nodo ISE a través de SSH y ejecute estos comandos:

ISE/admin#patch install ise-patchbundle-10.1.0.0-Ptach3-19110111.SPA.x86_64.tar.gz FTP_repository

% Warning: Patch installs only on this node. Install with Primary Administration node GUI to install on all nodes in deployment. Continue? (yes/no) [yes] ? yes

Save the current ADE-OS run configuration? (yes/no) [yes] ? yes

Generating configuration...

Saved the ADE-OS run Configuration to startup successfully

Initiating Application Patch installation...

Getting bundle to local machine...

Unbundling Application Package...

Verifying Application Signature...

patch successfully installed

% This application Install or Upgrade requires reboot, rebooting now...

Broadcast message from root@ISE (pts/1) (Fri Feb 14 01:06:21 2020):

Trying to stop processes gracefully. Reload lasts approximately 3 mins

Broadcast message from root@ISE (pts/1) (Fri Feb 14 01:06:21 2020):

Trying to stop processes gracefully. Reload takes approximately 3 mins

Broadcast message from root@ISE (pts/1) (Fri Feb 14 01:06:41 2020):

The system is going down for reboot NOW

Broadcast message from root@ISE (pts/1) (Fri Feb 14 01:06:41 2020):

The system is going down for reboot NOW

¿Cómo instalar el parche en todos los nodos ISE en la implementación

Al instalar un parche desde el  PAN que forma parte de una implementación distribuida, Cisco ISE instala la revisión en el nodo principal y, a continuación, en todos los nodos secundarios de la implementación.

Si la instalación del parche se realiza correctamente en el PAN principal, Cisco ISE continúa con la instalación del parche en los nodos secundarios. Si falla en el  PAN, la instalación no continúa con los nodos secundarios.

Sin embargo, si la instalación falla en cualquiera de los nodos secundarios por cualquier motivo, aún continúa con el siguiente nodo secundario en su implementación.

¿Cómo revertir el parche en todos los nodos ISE en la implementación

Para deshacer un parche de los nodos de Cisco ISE en una implementación, primero debe deshacer el cambio desde el  PAN.

Si esto tiene éxito, el parche se revierte de los nodos secundarios. Si el proceso de reversión falla en el  PAN, los parches no se deshacen de los nodos secundarios.

Sin embargo, si la reversión del parche falla en cualquier nodo secundario, aún continúa revertiendo el parche del siguiente nodo secundario en la implementación.

Mientras Cisco ISE deshace el parche de los nodos secundarios, puede continuar realizando otras tareas desde el  PAN GUI. Los nodos secundarios se reinician después de la reversión.

Para deshacer los parches de ISE, inicie sesión en  ISE GUI y navegue hasta  Administration > System > Maintenance > Patch Management > seleccione el parche necesario y haga clic en  Rollback,como se muestra:

¿Cómo revertir el parche desde la CLI de ISE?

Paso 1. SSH al nodo ISE en el que desea eliminar el parche.

Paso 2. Verifique los parches instalados en el nodo ISE con el comando   Show Version

ISE/admin# show version

Cisco Application Deployment Engine OS Release: 3.0

ADE-OS Build Version: 3.0.5.144

ADE-OS System Architecture: x86_64

Copyright (c) 2005-2019 by Cisco Systems, Inc.

All rights reserved.

Hostname: ISE

Version information of installed applications

---------------------------------------------

Cisco Identity Services Engine

---------------------------------------------

Version : 10.1.0.0

Build Date : Tue Feb 12 00:45:06 2019

Install Date : Mon Sep 30 12:17:29 2019

Cisco Identity Services Engine Patch

---------------------------------------------

Version : 1

Install Date : Tue Oct 01 01:30:12 2019

Cisco Identity Services Engine Patch

---------------------------------------------

Version : 3

Install Date : Tue Mar 24 05:35:19 2020

Paso 3. Ejecute el comando  patch remove <application name> <patch file number to be remove>

Por ejemplo:-  patch remove ise 2

ISE/admin# patch remove ise 3

Continue with application patch uninstall? [y/n] y

% Warning: Patch is removed only from this node. Remove patch with Primary Administration node GUI to remove from all nodes in deployment.

Patch successfully uninstalled

% This application Install or Upgrade requires reboot, rebooting now...

Broadcast message from root@ISE (pts/1) (Sun Mar 8 03:16:29 2020):

Trying to stop processes gracefully. Reload takes approximately 3 mins

Broadcast message from root@ISE (pts/1) (Sun Mar 8  03:16:29 2020):

Trying to stop processes gracefully. Reload takes approximately 3 mins

Broadcast message from root@ISE (pts/1) (Sun Mar 8 03:17:41 2020):

The system is going down for reboot NOW

Broadcast message from root@ISE (pts/1) (Sun Mar 8 03:17:41 2020):

The system is going down for reboot NOW

Nota: Los parches de ISE son de naturaleza acumulativa y no se pueden revertir mientras exista una versión más reciente. La versión más reciente requiere que se revierta primero.

Para desinstalar el parche anterior, desinstale primero el último parche y, a continuación, la versión anterior del parche.

ISE/admin#patch remove ise 1

Continue with application patch uninstall? [y/n] y

% Warning: Patch is removed only from this node. Remove patch with Primary Administration node GUI to remove from all nodes in deployment.

Continue? (yes/no) [yes] ? yes

% Patch cannot be rolled back while a newer version exists, which needs to rolled back first.

Verificación

Para ver el progreso de la instalación del parche de ISE, vaya a  Administration > System > Maintenance > Patch Management  > Show Node Status como se muestra en la imagen:

Verifique el estado de instalación de la revisión desde el nodo ISE. Inicie sesión en el mismo servidor ISE y ejecute el comando  Show Version

ISE1/admin# show version

Cisco Application Deployment Engine OS Release: 3.0

ADE-OS Build Version: 3.0.5.144

ADE-OS System Architecture: x86_64

Copyright (c) 2005-2019 by Cisco Systems, Inc.

All rights reserved.

Hostname: ISE1

Version information of installed applications

---------------------------------------------

Cisco Identity Services Engine

---------------------------------------------

Version : 10.1.0.0

Build Date : Tue Feb 12 06:15:06 2019

Install Date : Thu Nov 21 16:39:02 2019

Cisco Identity Services Engine Patch

---------------------------------------------

Version : 1

Install Date : Thu Apr 02 11:00:08 2020

ISE1/admin#

Verifique los mensajes de parches correctos y fallidos en las alarmas de ISE:

La referencia del registro de instalación de parches se realizó correctamente.

isea/admin# sh log system ade/ADE.log tail

2020-04-19T15:38:01.634794+05:30 isea ADEOSJAVAAPI[26999]: ADEAUDIT 2030, type=PATCH INSTALL, name=PATCH INSTALL STARTED, username=kopriadm, cause=Application patch install has been inititated, adminipaddress=10.65.80.116, interface=GUI,

detail=Patch Install initiated with bundle - ise-patchbundle-10.1.0.0-Patch3-19110111.SPA.x86_64.tar.gz, repo - tmplocalpatchinstallrepo

2020-04-19T15:38:01.635194+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[796] [test]: Install initiated with bundle - ise-patchbundle-10.1.0.0-Patch3-19110111.SPA.x86_64.tar.gz, repo - tmplocalpatchinsta

llrepo

2020-04-19T15:38:01.784100+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[913] [test]: Stage area - /storeddata/Install/.1587290881

2020-04-19T15:38:01.827925+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[918] [test]: Getting bundle to local machine

2020-04-19T15:38:01.829562+05:30 isea ADE-SERVICE[1158]: [26999]:[error] config:repository: rm_repos_cfg.c[552] [test]: server not found in url

2020-04-19T15:38:01.830656+05:30 isea ADE-SERVICE[1158]: [26999]:[info] transfer: cars_xfer.c[66] [test]: local copy in of ise-patchbundle-10.1.0.0-Patch3-19110111.SPA.x86_64.tar.gz requested

2020-04-19T15:38:02.873630+05:30 isea ADE-SERVICE[1158]: [26999]:[info] transfer: cars_xfer_util.c[2293] [test]: Properties file /tmp/.cars_repodownload.props exists need to cleanup after a SIGNAL or download complete

2020-04-19T15:38:03.247065+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[954] [test]: Got bundle at - /storeddata/Install/.1587290881/ise-patchbundle-10.1.0.0-Patch3-19110111.SPA.x86_64.tar.gz

2020-04-19T15:38:03.247424+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1002] [test]: Unbundling package ise-patchbundle-10.1.0.0-Patch3-19110111.SPA.x86_64.tar.gz

2020-04-19T15:38:09.066295+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1064] [test]: Verifying signature for package ise-patchbundle-10.1.0.0-Patch3-19110111.SPA.x86_64.tar.gz

2020-04-19T15:38:13.171615+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1073] [test]: Signed bundle /storeddata/Install/.1587290881/ise-patchbundle-10.1.0.0-Patch3-19110111.SPA.x86_64.tar.gz confirme

d with release key

2020-04-19T15:38:18.816986+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1166] [test]: Unbundling done. Verifying input parameters...

2020-04-19T15:38:18.877267+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1195] [test]: Manifest file is at - /storeddata/Install/.1587290881/manifest.xml

2020-04-19T15:38:18.877604+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1234] [test]: Manifest file appname - ise

2020-04-19T15:38:18.878051+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1286] [test]: Patch bundle contains patch(3) for app version(10.1.0.0)

2020-04-19T15:38:18.878254+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install ci_util.c[305] [test]: Comparing installed app version:(10.1.0.0) and version of app the patch is meant for:(10.1.0.0)

2020-04-19T15:38:18.878517+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1321] [test]: Manifest file pkgtype - CARS

2020-04-19T15:38:18.878712+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1735] [test]: Verifying zip...

2020-04-19T15:38:27.006433+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1796] [test]: Executing patch install script patchinstall.sh from patch.zip

2020-04-19T15:38:27.209692+05:30 isea test: info:[patchinstall.sh] START PATCH INSTALL SCRIPT. PATCHDIR: /storeddata/Install/.1587290881 INSTALLDIRS:

2020-04-19T15:38:27.211274+05:30 isea test: info:[patchinstall.sh] NEW PATCH VER: 3 PRIOR PATCH VER: 0

2020-04-19T15:38:27.213166+05:30 isea test: info:[patchinstall.sh] IRF-RABBITMQ-RUNTIME and IRF-CORE-ENGINE-RUNTIME Remove Begin

2020-04-19T15:38:27.214840+05:30 isea test: info:[patchinstall.sh] Remove IRF-Rabbitmq container

2020-04-19T15:38:27.753502+05:30 isea test: info:[patchinstall.sh] IRF-Rabbitmq container id -

2020-04-19T15:38:27.755172+05:30 isea test: info:[patchinstall.sh] No IRF-Rabbitmq container exist to remove.\n

2020-04-19T15:38:27.756631+05:30 isea test: info:[patchinstall.sh] Remove IRF-Core-Engine container

2020-04-19T15:38:27.781127+05:30 isea test: info:[patchinstall.sh] IRF-Core-Engine container id -

2020-04-19T15:38:27.783028+05:30 isea test: info:[patchinstall.sh] No IRF-Core-Engine container exist to remove.\n

2020-04-19T15:38:27.784724+05:30 isea test: info:[patchinstall.sh] IRF-RABBITMQ-RUNTIME and IRF-CORE-ENGINE-RUNTIME Remove Completed

2020-04-19T15:38:33.077501+05:30 isea test: info:[application:operation:cpmcontrol.sh] In Stop Monit

2020-04-19T15:38:33.197734+05:30 isea test: Monit daemon with pid [12796] killed

2020-04-19T15:38:34.289656+05:30 isea test: info:[application:operation:cpmcontrol.sh] Done Stop Monit

2020-04-19T15:38:34.671998+05:30 isea ADEOSShell[28278]: ADEAUDIT 2062, type=USER, name=M&T Log Processor, username=system, cause=M&T Log Processor Stopped, adminipaddress=127.0.0.1, interface=CLI, detail=Stopping M&T Log Processor

2020-04-19T15:38:43.621160+05:30 isea test: info:[application:operation:adprobe.sh] adprobe:Stopping wmi probe...

2020-04-19T15:38:43.657769+05:30 isea test: info:[application:operation:adprobe.sh] adprobe:wmi probe is disabled

2020-04-19T15:38:43.989085+05:30 isea test: info:[application:operation:syslogprobe.sh] syslogprobe:Stopping syslog probe...

2020-04-19T15:38:44.019674+05:30 isea test: info:[application:operation:syslogprobe.sh] syslogprobe:syslog probe is disabled

2020-04-19T15:38:44.367442+05:30 isea test: info:[application:operation:restprobe.sh] restprobe:Stopping rest probe...

2020-04-19T15:38:44.400103+05:30 isea test: info:[application:operation:restprobe.sh] restprobe:rest probe is disabled

2020-04-19T15:38:44.713844+05:30 isea test: info:[application:operation:agentprobe.sh] agentprobe:Stopping agent probe...

2020-04-19T15:38:44.753547+05:30 isea test: info:[application:operation:agentprobe.sh] agentprobe:agent probe is disabled

2020-04-19T15:38:46.166418+05:30 isea test: info:[application:operation:appservercontrol.sh] Stopping ISE Application Server...

2020-04-19T15:38:46.168374+05:30 isea ADEOSShell[29231]: ADEAUDIT 2062, type=USER, name=Application server status, username=system, cause=Application server stopped, adminipaddress=127.0.0.1, interface=CLI, detail=Application server stopped

2020-04-19T15:41:37.224949+05:30 isea test: info:[patchinstall.sh] ISE 10.1.0.0 patch 3 installFileSystem() INVOKED

2020-04-19T15:41:37.245321+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/mnt/xde/xdeRuntime/packages/std/WorkflowsProject.xar

2020-04-19T15:41:37.251672+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/mnt/bin/ctl/radius_auth.ctl

2020-04-19T15:41:37.258874+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/mnt/report-definitionsV2/Audit/Internal-Administrator-Summary.xml

2020-04-19T15:41:37.265939+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/mnt/report-definitionsV2/Endpoints and Users/Posture-Assessment-by-Endpoint.xml

2020-04-19T15:41:37.273866+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/mnt/report-definitionsV2/Endpoints and Users/Posture-Assessment-by-Condition.xml

2020-04-19T15:41:37.280143+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/mnt/lib/mnt-collection.jar

2020-04-19T15:41:37.288008+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/mnt/lib/libJniCollector.so

2020-04-19T15:41:37.295128+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/appsrv/apache-tomcat-ca-8.5.32/apr/lib/libapr-1.a

2020-04-19T15:41:37.302031+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/appsrv/apache-tomcat-ca-8.5.32/apr/lib/libtcnative-1.a

2020-04-19T15:41:37.308615+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/appsrv/apache-tomcat-ca-8.5.32/webapps/ocsp-responder-webapp/WEB-INF/lib/import-export-2.6

.0-156.jar

Broadcast message from root@isea (Sun Apr 19 15:50:40 2020):

Trying to stop processes gracefully. Reload takes approximately 3 mins

Broadcast message from root@isea (Sun Apr 19 15:51:01 2020):

The system is going down for reboot NOW

Session terminated, killing shell... ...killed.