Validation et dépannage d'une mise à niveau AsyncOS sur Cisco ESA

Introduction

Ce document décrit les étapes postérieures à la mise à niveau pour valider une mise à niveau réussie d'AsyncOS et résoudre les problèmes courants sur la passerelle de messagerie sécurisée Cisco (SEG), anciennement connue sous le nom d'appareil de sécurité de la messagerie Cisco (ESA). 

Composants utilisés

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Conditions préalables

Exigences

• L'état RAID de l'appliance doit être READY (PRÊT) ou OPTIMAL (OPTIMAL) dans la sortie System Status ; ne lancez pas de mise à niveau si l'état est DEGRADED et contactez le TAC Cisco pour obtenir une autorisation de retour de matériel (RMA).
• Vérifiez qu'il n'existe aucune erreur significative, en particulier des problèmes de connectivité réseau ou DNS, en consultant les alertes système dans l'interface utilisateur graphique sous Administration système > Alertes ou en exécutant la commande displayalerts dans l'interface de ligne de commande.
• Déterminez si l'ESA fonctionne comme un appareil autonome ou dans un cluster et passez en revue la section Mise à niveau du cluster de ce document pour les environnements en cluster.
• Vérifiez la configuration d'un serveur DNS fonctionnel et assurez la connectivité Internet sur les ports 80 et 443 sans inspection des paquets.

Remarque : Lorsque l'accès au pare-feu est basé sur des noms de domaine complets, assurez-vous que ESA et le pare-feu utilisent le même serveur DNS pour le mappage correct nom d'hôte/adresse IP. Les URL de mise à niveau et de mise à jour, notamment downloads.ironport.com, upgrades.ironport.com, updates.ironport.com et les URL de manifeste, sont hébergées sur le réseau CDN d'Akamai.

Mise en garde : L'utilisation de la licence logicielle Cisco Smart est obligatoire à partir d'AsyncOS 15.5.x et de toutes les versions futures de Cisco Secure Email Gateway.

Compatibilité entre ESA et SMA

Vous devez examiner la matrice de compatibilité entre ESA et SMA avant de commencer la mise à niveau. Certaines versions nécessitent plusieurs mises à niveau pour atteindre la dernière version. Pour obtenir la confirmation du chemin de mise à niveau et le provisionnement des appareils, contactez le TAC Cisco.

Préparation et exécution d'une mise à niveau AsyncOS

Pour connaître les exigences et les étapes de mise à niveau d'AsyncOS, consultez le Guide de l'utilisateur. Veuillez vous familiariser avec ces étapes avant de continuer. 

Effectuer des contrôles après la mise à niveau

• Si les appliances sont gérées par SMA :
• Accédez à Appliance de gestion > Centralized Services > Security Appliances pour vous assurer que tous les services sont opérationnels.
• Vérifiez Email > Message Tracking > Message Tracking Data Availability pour connaître l'état OK sur tous les ESA.
• Sur chaque appliance, exécutez l'état et confirmez l'état « En ligne ».
• Exécutez displayalerts pour afficher les nouvelles alertes après la mise à niveau.
• Dans un cluster, clustercheck doit montrer aucune incohérence et connstatus doit montrer toutes les appliances connectées.
• Pour vérifier le flux de messages, utilisez la commande CLI tail mail_logs pour observer le traitement en temps réel.

Résolution des problèmes de mise à niveau

1. Exécutez tail updater_logs et tail upgrade_logs à partir de l'interface de ligne de commande pour obtenir des détails sur le problème de mise à niveau.
2. Si le téléchargement de l'image ou la mise à jour antispam/antivirus échoue, vérifiez la connectivité réseau pour mettre à jour les serveurs.
3. Si la mise à niveau échoue en raison d'interruptions du réseau, des erreurs peuvent apparaître :

Reinstalling AsyncOS... 66% 01:05ETA.
/usr/local/share/doc/jpeg/libjpeg.doc: Premature end of gzip compressed data: Input/output error
tar: Error exit delayed from previous errors.
Upgrade failure.

1. Cela résulte généralement d’interruptions du réseau lors de la transmission de données entre ESA et les serveurs de mise à jour.
2. Vérifiez les journaux de pare-feu ou surveillez le trafic des paquets pour détecter les problèmes.
3. Pour capturer des paquets réseau sur l'ESA, utilisez l'outil de capture de paquets dans l'interface graphique utilisateur ou l'interface de ligne de commande.

Remarque : Les pare-feu doivent permettre aux connexions inactives de rester actives pendant le processus de mise à niveau.

Pour les appliances matérielles, testez la connectivité aux serveurs dynamiques à l'aide des commandes suivantes :

• telnet updates.ironport.com 80
• telnet downloads.ironport.com 80

Pour les appareils virtuels, testez la connectivité à ces serveurs à l'aide des commandes suivantes :

• telnet update-manifests.sco.cisco.com 443
• telnet updates.ironport.com 80
• telnet downloads.ironport.com 80

Reportez-vous au Guide de l'utilisateur pour connaître la configuration requise du pare-feu et des ports.

Informations connexes

• Matrice de compatibilité pour les appareils de gestion de la sécurité du contenu Cisco
• Procédures de capture de paquets ESA
• Mises à niveau ou mises à jour de Content Security Appliance avec un serveur statique
• Présentation des licences Smart et des meilleures pratiques en matière de sécurisation de la messagerie et du web