Actualizar lista de comprobación para Expressway 15.5.20 y versiones posteriores

La comprobación de preparación detuvo la actualización

El instalador se detiene antes del reinicio cuando falla el certificado, la verificación de TLS o el requisito de identidad de peer. Los nodos independientes pasan la comprobación de identidad del mismo nivel.

Alarma cuando aparece un nodo

Una ráfaga de recifrado de la base de datos del clúster puede generar una alarma de falla de comunicación del clúster. Dale tiempo para terminar. Escalar si se mantiene activa.

El administrador no puede iniciar sesión

Trate esto por separado de un fallo de instalación. Las contraseñas caducadas, reutilizadas o de primer inicio de sesión bloquean la sesión. No significan que la imagen haya fallado.

Error de certificado o de identidad del mismo nivel

1. Descargue una instantánea completa del sistema desde el nodo que se detuvo. Abra installimage.log en el directorio tmp de esa instantánea.
2. Si el mensaje es acerca de la identidad de peer, verifique si hay una mezcla de direcciones IP y FQDN, o una lista de peer vacía. Haga que cada par utilice un formato, espere a la replicación, confirme que el clúster está correcto y vuelva a intentarlo. No cambie el formato de identidad en medio de una actualización sucesiva.
3. Si el mensaje es sobre el certificado, compárelo con la regla de la nota de la versión: el FQDN del sistema debe estar en la SAN o en la CN sólo cuando la SAN está vacía. No se permite que una SAN actual vuelva a ser CN.
4. Vuelva a emitir el certificado con cada nombre DNS requerido en el tipo de SAN correcto. Rechazar un nombre que contiene un valor NUL incrustado.
5. Confirme que el nuevo certificado está en la fecha, es de confianza, RSA 2048+ o P-256+, y está firmado con SHA-2. No adjunte la clave privada al caso.
6. Establezca la verificación TLS en Forzoso, confirme que el clúster está correcto y vuelva a intentar la actualización en el nodo que se detuvo.
7. Continúe con la actualización sucesiva sólo después de que el nodo esté en buen estado. No actualice los nodos restantes mientras haya un nodo detenido en esta comprobación.

Alarma de clúster durante o justo después de la actualización

1. Confirme que la actualización ha finalizado y que el nodo está en la compilación deseada, X15.5.20 o X15.5.21.
2. Busque en el registro de eventos los mensajes developer.upgrade acerca de cómo volver a cifrar los campos ClusterDB y, a continuación, "Guardar datos migrados en CDB".
3. Espere a que se active la alarma. El material de formación indica que se borra cuando finaliza el recifrado.
4. Si permanece, recopile el estado del clúster, las alarmas y una instantánea de cada par. No copie cookies de clúster ni material clave en las notas del caso.

Problemas de inicio de sesión después de que el nodo esté activo

• La interfaz de usuario web redirige a un cambio de contraseña. Se debe introducir la contraseña actual y la nueva contraseña debe ser diferente. Esto se espera en el primer inicio de sesión de la GUI después de una instalación o restablecimiento de fábrica, y cuando una contraseña local ha caducado.
• SSH indica que el teclado interactivo/PAM ha fallado y nunca abre un shell. Se debe cambiar una contraseña local caducada. No se concede la sesión anterior.
• REST devuelve 401. Se espera que un administrador local caducado. El registro de eventos puede mostrar Password Mismatch o taa-chkpasswd failure para el rango de la API. Cambie la contraseña y vuelva a intentarlo.
• Nueva contraseña rechazada. Se encuentra en el historial (el último valor predeterminado es 12) o no ha cumplido las reglas de complejidad actuales.
• El administrador de LDAP perdió el rol esperado. Compare el grupo configurado con el nombre de grupo exacto devuelto por LDAP. Una coincidencia parcial o de subcadena ya no concede el rol. Un administrador de solo lectura no puede editar la confianza de IdP de SAML.
• No hay ninguna contraseña raíz predeterminada de fábrica en una instalación nueva o en un restablecimiento de fábrica. No buscar ni distribuir una credencial predeterminada. Una actualización no borra la contraseña de administrador actual.

Precaución: El restablecimiento de fábrica no es el paso de actualización-recuperación. Elimina la identidad del clúster y las cookies del clúster. Un restablecimiento desencadenado por el sistema después de la desagrupación en clúster o una base de datos de clúster incoherente mantiene la dirección IP y las contraseñas de administrador y raíz, borra otras configuraciones y registros y devuelve el nodo a su certificado temporal. Utilícelo sólo cuando las notas de la versión lo soliciten y sólo después de que exista una copia de seguridad.

Evidencia a recolectar en caso de que el caso TAC sea necesario

1. Versión de software y función de cada nodo, además de qué nodo se detuvo.
2. Instantánea completa del sistema desde el nodo con error, incluido tmp/installimage.log.
3. Texto de certificado de servidor (openssl x509 -text -noout). No hay clave privada.
4. Estado del clúster, alarmas y si xConfiguration Cluster TlsVerify muestra Permissive o Enforce.
5. Líneas de registro de eventos para la actualización y, si procede, fallos de autenticación sshd o httpd. Rechazar contraseñas y cookies.
6. Si utiliza administradores locales, LDAP o SAML, licencias inteligentes y cualquier automatización de API.

Después de la actualización

En cada nodo

1. La versión es la compilación deseada. Utilice X15.5.21 cuando la actualización sea para la vulnerabilidad PHP de octubre de 2026. X15.5.20 no incluye esa corrección.
2. Se puede acceder al nodo en su dirección de administración y se carga la interfaz de usuario web.
3. No se genera ninguna alarma de hardware, disco o aplicación nueva. (Una alarma de comunicación de clúster se borra después del nuevo cifrado.)
4. Se realiza una copia de seguridad nueva después de que el clúster esté estable.

Sólo clúster

1. Todos los pares están activos, en el clúster, y la replicación es saludable.
2. Los pares se comunican con TLS mutuo en TCP 4371 y 4372. (Una conexión sin un certificado de cliente válido debe fallar.)
3. El clúster TlsVerify es obligatorio.

   No se admite el permiso. Un valor permisivo heredado podría seguir siendo visible, pero no omite la validación. Establezca Forzando y confirme que el clúster se mantiene en buen estado.

4. El firewall todavía permite TCP 4371 solo desde las direcciones pares.

5. No aparece ninguna cookie de cluster o secreto de diagnóstico en los logs o las notas de instantánea que carga.

Comprobaciones de servicio, según el uso del