Risoluzione dei problemi vESA: impossibile scaricare e applicare gli aggiornamenti antivirus o antispam

Introduzione

Questo documento descrive il motivo per cui vESA non riesce ad aggiornare i motori antispam o antivirus, nonostante disponga di licenze valide.

Prerequisiti e avvisi

Requisiti

Assicurati di conoscere i seguenti prodotti e concetti:

• Email Security Appliance (ESA)
• vESA, virtual Web Security Appliance (vWSA), virtual Security Management Appliance (vSMA)
• AsyncOS

Componenti usati

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Note importanti

• Gli accessori hardware (C190, C195, C390, C395, C690 e C695) devono utilizzare solo l'URL dell'host dinamico update-manifests.ironport.com:443.
• Utilizzare gli URL del server di aggiornamento di gestione temporanea solo se Cisco ha eseguito il provisioning dell'accesso per l'utilizzo Beta. Senza una licenza Beta valida, gli aggiornamenti non verranno ricevuti dai server di gestione temporanea.
• Nelle configurazioni cluster sia con ESA che con vESA, configurare updateconfig a livello di computer e verificare che il dynamic host sia impostato di conseguenza.

Sintomi

vESA non riesce a scaricare o applicare gli aggiornamenti per i motori antispam o antivirus, anche se con una licenza adeguata. Esecuzione di comandi di aggiornamento quali:

> antispamupdate ironport
> antispamupdate ironport force
> antivirusupdate force
> updatenow force

non risolve il problema. L'analisi dei log con tail updater_logs visualizza errori simili a quelli riportati di seguito.

Mon Oct 21 17:48:43 2025 Info: Dynamic manifest fetch failure: Received invalid update manifest response

Ciò indica che l'accessorio non è in grado di raggiungere il manifesto del programma di aggiornamento corretto all'URL dell'host dinamico configurato tramite il comando updateconfig. Il sottocomando dynamichost, disponibile in updateconfig, definisce il server di aggiornamento che verrà utilizzato dall'accessorio.

Impostare l'URL dell'host dinamico corretto

Configurare l'URL dell'host dinamico in base al tipo di accessorio e allo stato del supporto:

1. update-manifests.sco.cisco.com:443
   • Da utilizzare per appliance vESA, vWSA e vSMA.
2. stage-stg-updates.ironport.com:443
   • Da utilizzare solo per dispositivi semplici, Beta virtuali e hardware con esplicita autorizzazione Cisco Beta.

Per impostare l'URL dell'host dinamico, utilizzare il comando updateconfig, accedere al sottocomando dynamichost nascosto, immettere l'host e la porta desiderati, quindi eseguire il commit delle modifiche.

esa.example.com> updateconfig
[]> dynamichost

Enter new manifest hostname : port
[update-manifests.sco.cisco.com:443]> stage-stg-updates.ironport.com:443
[]> <<<HIT RETURN TO GO BACK TO THE MAIN CLI PROMPT>>>

esa.example.com> commit

Verifica funzionalità di aggiornamento accessorio

Per verificare che l'accessorio venga aggiornato dall'URL dell'host dinamico corretto, attenersi alla procedura seguente:

1. Aumentare il livello di log updater_logs per eseguire il debug e acquisire l'attività di aggiornamento dettagliata:

esa.example.com> logconfig
[...]
28. updater_logs Updater Logs Manual Download None
[...]
[]> edit
Enter the number of the log you wish to edit.
[]> 28
Please enter the name for the log:
[updater_logs]>
Log level:
1. Critical
2. Warning
3. Information
4. Debug
5. Trace
[3]> 4
[...]
esa.example.com> commit

Nota: Il numero di registro può variare a seconda dell'accessorio.

2. Eseguire un aggiornamento forzato per verificare la connettività e la funzionalità di aggiornamento:

esa.example.com> updatenow force

Success - Force update for all components requested  

3. Esaminare updater_logs per confermare la corretta connessione all'host dinamico corretto:

Mon Oct 21 18:19:12 2025 Debug: Acquiring dynamic manifest from stage-stg-updates.ironport.com:443

Procedura di risoluzione dei problemi

1. Confermare che sia in uso updateconfig predefinito. Se vESA o il relativo host è protetto da un firewall, verificare che gli aggiornamenti siano configurati per l'utilizzo di un server statico come descritto nel documento Aggiornamenti di Content Security Appliance o Aggiornamenti con server statico.
2. Verificare la connettività all'URL dell'host dinamico utilizzando Telnet per verificare la raggiungibilità della rete:

   esa.example.com> telnet
   Please select which interface you want to telnet from.
   1. Auto
   2. Management (172.16.6.165/24: esa-mgmt.example.com)
   3. Data (192.168.1.10/24: esa-data.example.com)
   [1]>
   Enter the remote hostname or IP address.
   []> stage-stg-updates.ironport.com
   Enter the remote port.
   [25]> 443
   Trying 208.90.58.24...
   Connected to stage-stg-updates.ironport.com.
   Escape character is '^]'.
   ^] ["CTRL + ]"]
   telnet> quit
   Connection closed.

Informazioni correlate

• Aggiornamento di Content Security Appliance con un server statico
• Documentazione e supporto tecnico – Cisco Systems