Introducción

Este documento describe el proceso para reemplazar vESA y vSMA cuando falla una actualización debido a una pequeña partición Nextroot. 

Antecedentes

Inicialmente, las imágenes de los dispositivos de seguridad de correo electrónico virtuales (vESA) y los dispositivos de gestión de seguridad virtuales (vSMA) se creaban con un tamaño de partición Nextroot inferior a 500 MB. Con el paso de los años, y con las nuevas versiones de AsyncOS que incluyen funciones adicionales, las actualizaciones han requerido más espacio en esta partición a lo largo del proceso de actualización. Las actualizaciones pueden fallar debido a este tamaño de partición. Este documento proporciona detalles sobre la solución, que consiste en implementar una nueva imagen virtual con una partición Nextroot de 4 GB. 

Defectos relacionados para ESA:ID de bug de Cisco CSCvy69068 y SMA: ID de bug de Cisco CSCvy69076

Síntomas

Una imagen anterior vESA o vSMA con un tamaño de partición Nextroot inferior a 500 M puede no actualizarse con estos errores. 

...
...
...
Finding partitions... done.
Setting next boot partition to current partition as a precaution... done.
Erasing new boot partition... done.
Extracting eapp done.
Extracting scanerroot done.
Extracting splunkroot done.
Extracting savroot done.
Extracting ipasroot done.
Extracting ecroot done.
Removing unwanted files in nextroot done.
Extracting distroot
/nextroot: write failed, filesystem is full
./usr/share/misc/termcap: Write failed
./usr/share/misc/pci_vendors: Write to restore size failed
./usr/libexec/getty: Write to restore size failed
./usr/libexec/ld-elf.so.1: Write to restore size failed
./usr/lib/libBlocksRuntime.so: Write to restore size failed
./usr/lib/libBlocksRuntime.so.0: Write to restore size failed
./usr/lib/libalias.so: Write to restore size failed
./usr/lib/libarchive.so: Write to restore size failed

Solución

Para asegurarse de que el dispositivo virtual se puede actualizar, compruebe que el tamaño de la partición Nextroot es de 4 GB.

Comando: ipcheck

(example.cisco.com) > ipcheck

<----- Example output (relevant section) ----->

  Root                  4GB 7%
  Nextroot 4GB 1%
  Var                   400MB 3%
  Log                   172GB 3%
  DB                    2GB 0%
  Swap                  6GB
  Mail Queue            10GB

<----- End of example output ----->

Resultado esperado: Nextroot muestra 4 GB.

Si la partición Nextroot es inferior a 4 GB, complete el procedimiento aplicable para migrar la plantilla de máquina virtual actual a una imagen más reciente.

Importante: Elija una ruta en función del tipo de dispositivo: vESA utiliza una migración basada en clústeres (pasos 4-5). vSMA utiliza una migración basada en copias de seguridad (paso 6).

Paso 1.

Implemente su nuevo vESA/vSMA

De los requisitos previos, descargue la imagen virtual de ESA/SMA e impleméntelo según la Guía de instalación del dispositivo virtual de seguridad de contenido de Cisco.

Nota: La guía de instalación proporciona información acerca de DHCP (**interfaceconfig**), la configuración de la puerta de enlace predeterminada (**setgateway**) y la carga del archivo de licencia del dispositivo virtual. Asegúrese de que la implementación se ha completado según las instrucciones.

Paso 2.

Licencia para el nuevo vESA/vSMA

Una vez que se ha implementado el nuevo ESA o SMA virtual, es el momento de cargar el archivo de licencia. Para las licencias tradicionales (versiones 15.0 y anteriores), la licencia se incluye en un archivo XML y se debe cargar mediante la CLI. Desde la CLI, utilice el comando loadlicense y siga las indicaciones para completar la importación de la licencia.

Si la versión es posterior a la 15.5, puede consultar este artículo, ya que las licencias inteligentes son obligatorias:Active las licencias inteligentes y solucione problemas en ESA/SMA/WSA

Paso 3.

Verifique que ambos dispositivos ejecuten la misma versión de AsyncOS. Si las versiones difieren, ejecute upgrade en el nuevo dispositivo para que coincida con la versión original antes de la migración.

Paso 4. (Solo para vESA, omitir para vSMA)

Nota: En este paso se supone que no existe ningún clúster. Si ya existe un clúster, agregue el nuevo vESA al clúster existente para copiar la configuración y, a continuación, quite el nuevo dispositivo para iniciar el proceso de actualización.

Crear un nuevo clúster

En el vESA original, ejecute clusterconfig para crear un nuevo clúster.

Original-ESA.example.com> clusterconfig

Do you want to join or create a cluster?
1. No, configure as standalone.
2. Create a new cluster.
3. Join an existing cluster over SSH.
4. Join an existing cluster over CCS.
[1]> 2

Enter the name of the new cluster.
[]> Cluster-1

Must all machines in the cluster communicate with each other by hostname or by IP address?
1. Communicate by IP address.
2. Communicate by hostname.
[2]> 1

What IP address should other machines use to communicate with Machine C170.local?
1. 192.0.2.10 port 22 (SSH on interface Management)
2. Enter an IP address manually
[]> 1

Other machines will communicate with Machine C195.local using IP address 192.0.2.10 port 22. You can change this by using the COMMUNICATION subcommand of the clusterconfig command.
New cluster committed: Sat Jun 08 11:45:33 2019 GMT
Creating a cluster takes effect immediately, there is no need to commit.

Cluster Cluster-1

Choose the operation you want to perform:
- ADDGROUP - Add a cluster group.
- SETGROUP - Set the group that machines are a member of.
- RENAMEGROUP - Rename a cluster group.
- DELETEGROUP - Remove a cluster group.
- REMOVEMACHINE - Remove a machine from the cluster.
- SETNAME - Set the cluster name.
- LIST - List the machines in the cluster.
- CONNSTATUS - Show the status of connections between machines in the cluster.
- COMMUNICATION - Configure how machines communicate within the cluster.
- DISCONNECT - Temporarily detach machines from the cluster.
- RECONNECT - Restore connections with machines that were previously detached.
- PREPJOIN - Prepare the addition of a new machine over CCS.
[]>

(Cluster Cluster-1)>

Paso 5. (Solo para vESA, omitir para vSMA)

Incorporación de su nuevo vESA al clúster ESA original

En la CLI del nuevo vESA, ejecute clusterconfig y seleccione Unirse a un clúster existente para agregar el nuevo vESA al clúster configurado en el vESA original.

New-ESA.example.com> clusterconfig

Do you want to join or create a cluster?
1. No, configure as standalone.
2. Create a new cluster.
3. Join an existing cluster over SSH.
4. Join an existing cluster over CCS.
[1]> 3

While joining a cluster, you will need to validate the SSH host key of the remote machine to which you are joining.  To get the public host key fingerprint of the remote host, connect to the cluster and run: logconfig -> hostkeyconfig -> fingerprint.

WARNING: All non-network settings will be lost. System will inherit the values set at the group or cluster mode for the non-network settings. Ensure that the cluster settings are compatible with your network settings (e.g. dnsconfig settings)

Exception:Centralized Policy, Virus, and Outbreak Quarantine settings are not inherited from the cluster.  These settings on this machine will remain intact.

Do you want to enable the Cluster Communication Service on esa.example.com? [N]> n

Enter the IP address of a machine in the cluster.
[]> 192.0.2.10

Enter the remote port to connect to.  This must be the normal admin ssh port, not the CCS port.
[22]>

Would you like to join this appliance to a cluster using pre-shared keys? Use this option if you have enabled two-factor authentication on the appliance. [Y]> n

Enter the name of an administrator present on the remote machine
[admin]>

Enter passphrase:
Please verify the SSH host key for 192.0.2.11:
Public host key fingerprint: 80:11:33:aa:bb:44:ee:ee:22:77:88:ff:77:88:88:bb
Is this a valid key for this host? [Y]> y

Joining cluster group Main_Group.
Joining a cluster takes effect immediately, there is no need to commit.
Cluster Cluster-1

Choose the operation you want to perform:
- ADDGROUP - Add a cluster group.
- SETGROUP - Set the group that machines are a member of.
- RENAMEGROUP - Rename a cluster group.
- DELETEGROUP - Remove a cluster group.
- REMOVEMACHINE - Remove a machine from the cluster.
- SETNAME - Set the cluster name.
- LIST - List the machines in the cluster.
- CONNSTATUS - Show the status of connections between machines in the cluster.
- COMMUNICATION - Configure how machines communicate within the cluster.
- DISCONNECT - Temporarily detach machines from the cluster.
- RECONNECT - Restore connections with machines that were previously detached.
- PREPJOIN - Prepare the addition of a new machine over CCS.
[]>

(Cluster Cluster-1)>

Una vez conectados y sincronizados los dispositivos, el nuevo vESA tiene la misma configuración que el vESA existente.

Comando: clustercheck

Resultado esperado: No se informa de ninguna incoherencia y la sincronización está completa.

Paso 6. (Solo para vSMA, omitir para vESA)

Revise los requisitos previos para la copia de seguridad de datos SMA en la Guía del administrador SMA: Prerrequisitos de Copia de Seguridad.

Ejecute backupconfig en el dispositivo que se va a sustituir para programar una copia de seguridad en el vSMA recién implementado.

Para iniciar una copia de seguridad inmediata:

1. Inicie sesión en la CLI de SMA original como admin.
2. Enterbackupconfig.
3. SeleccioneProgramación.
4. Ingrese la dirección IP de la nueva máquina a la que desea transferir los datos.
5. El SMA de origen verifica la existencia del SMA de destino y se asegura de que el SMA de destino tenga suficiente espacio para aceptar los datos.
6. Elija3 (Iniciar una copia de seguridad ahora).
7. Ingrese vieworstatus para verificar que la copia de seguridad se programó correctamente.

Nota: La duración que tarda en completarse la copia de seguridad de datos varía en función del tamaño de los datos, el ancho de banda de la red, etc.

Una vez completada la copia de seguridad, el nuevo vSMA ha recibido todos los datos del SMA anterior.

Para configurar el nuevo equipo como el dispositivo principal, consulte la Guía del administrador de SMA: Configure el nuevo equipo como el dispositivo principal.

Paso 7.

En caso de que necesite implementar más de un ESA/SMA, siga los pasos del 1 al 6.

Información Relacionada

Guía de instalación del appliance virtual de Cisco Content Security

Requisitos y configuración del clúster ESA

Guías de usuario final de SMA

Historial de revisiones

Revisión	Fecha de publicación	Comentarios
4.0	23-Jun-2026	Contenido técnico actualizado, título, introducción, traducción automática, requisitos de estilo y formato.
1.0	27-May-2021	Versión inicial