Convalida e risoluzione dei problemi di aggiornamento di AsyncOS su Cisco ESA

Introduzione

In questo documento viene descritto come convalidare l'aggiornamento di AsyncOS e risolvere i problemi comuni su Cisco Secure Email Gateway (SEG), precedentemente noto come Cisco Email Security Appliance (ESA). 

Componenti usati

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Prerequisiti

Requisiti

• Lo stato RAID dell'accessorio deve essere READY o OPTIMAL nell'output dello stato del sistema. non avviare un aggiornamento se lo stato è DEGRADED e contatta Cisco TAC per un'autorizzazione al reso (RMA).
• Verificare che non vi siano errori significativi, in particolare per quanto riguarda la connettività di rete o i problemi DNS, esaminando gli avvisi di sistema nella GUI in Amministrazione sistema > Avvisi o eseguendo il comando display alert nella CLI.
• Identificare se l'ESA funziona come appliance standalone o in un cluster ed esaminare la sezione Aggiornamento cluster di questo documento per individuare eventuali ambienti cluster.
• Verificare una configurazione server DNS funzionale e garantire la connettività Internet sulle porte 80 e 443 senza ispezione dei pacchetti.

Nota: Quando l'accesso al firewall è basato su FQDN, verificare che ESA e firewall utilizzino lo stesso server DNS per il mapping corretto da nome host a IP. Gli URL di aggiornamento, tra cui downloads.ironport.com, upgrades.ironport.com, updates.ironport.com e manifest, sono ospitati nella rete CDN di Akamai.

Attenzione: L'uso delle licenze Cisco Smart Software è obbligatorio a partire da AsyncOS 15.5.x e da tutte le versioni future per Cisco Secure Email Gateway.

Compatibilità tra ESA e SMA

Prima di avviare l'aggiornamento, è necessario rivedere la matrice di compatibilità tra ESA e SMA. Per raggiungere l'ultima release, alcune versioni richiedono più aggiornamenti. Per la conferma del percorso di aggiornamento e il provisioning dell'appliance, contattare Cisco TAC.

Preparazione e completamento di un aggiornamento di AsyncOS

Per i requisiti e le procedure per l'aggiornamento di AsyncOS, consultare il Manuale dell'utente. Prima di procedere, è necessario acquisire familiarità con questi passaggi. 

Esegui controlli successivi all'aggiornamento

• Se gli accessori sono gestiti da SMA:
• Andare a Management Appliance > Centralized Services > Security Appliance (Appliance di gestione > Servizi centralizzati > Appliance di sicurezza) per verificare che tutti i servizi siano attivi.
• Selezionare Email > Message Tracking > Message Tracking Data Availability per lo stato OK su tutte le ESA.
• Eseguire lo stato di ciascun accessorio e confermare lo stato "In linea".
• Eseguire displayalert per visualizzare eventuali nuovi avvisi dopo l'aggiornamento.
• In un cluster, clustercheck non deve mostrare incoerenze e connstatus deve mostrare tutti gli accessori connessi.
• Per verificare il flusso della posta, usare il comando tail mail_logs della CLI per controllare l'elaborazione in tempo reale.

Risoluzione dei problemi relativi all'aggiornamento

1. Eseguire tail updater_logs e tail upgrade_logs dalla CLI per i dettagli del problema di aggiornamento.
2. Se il download dell'immagine o l'aggiornamento di antispam/antivirus ha esito negativo, verificare la connettività di rete ai server di aggiornamento.
3. Se l'aggiornamento non riesce a causa di interruzioni della rete, possono essere visualizzati errori:

Reinstalling AsyncOS... 66% 01:05ETA.
/usr/local/share/doc/jpeg/libjpeg.doc: Premature end of gzip compressed data: Input/output error
tar: Error exit delayed from previous errors.
Upgrade failure.

1. Ciò è in genere dovuto a interruzioni della rete durante la trasmissione dei dati tra ESA e i server di aggiornamento.
2. Controllare i registri del firewall o monitorare il traffico dei pacchetti per individuare eventuali problemi.
3. Per acquisire pacchetti di rete sull'ESA, usare lo strumento di acquisizione dei pacchetti nella GUI o nella CLI.

Nota: I firewall devono consentire alle connessioni inattive di rimanere attive durante il processo di aggiornamento.

Per gli accessori hardware, verificare la connettività ai server dinamici utilizzando i seguenti comandi:

• telnet updates.ironport.com 80
• telnet downloads.ironport.com 80

Per le appliance virtuali, verificare la connettività a questi server utilizzando i seguenti comandi:

• telnet update-manifests.sco.cisco.com 443
• telnet updates.ironport.com 80
• telnet downloads.ironport.com 80

Per i requisiti relativi alle porte e ai firewall, consultare il manuale dell'utente.

Informazioni correlate

• Matrice di compatibilità per le appliance Cisco Content Security Management
• Procedure di acquisizione dei pacchetti ESA
• Aggiornamento di Content Security Appliance con un server statico
• Panoramica delle licenze Smart e best practice per la posta elettronica e la sicurezza Web