Upgradeproces voor beveiligde e-mailgateway

Inleiding

In dit document worden de stappen beschreven die zijn gekoppeld aan het upgradeproces voor AsyncOS voor de Cisco Secure Email Gateway (SEG) of Cisco Email Security Appliance.

Voorwaarden

Vereisten

• Zorg ervoor dat de RAID-status van het toestel GEREED of OPTIMAAL is in de uitvoer Systeemstatus. Start geen upgrade op een toestel met een RAID-status DEGRADED. Neem contact op met Cisco TAC om een RMA-case (Return Material Authorization) voor uw apparaat te starten.
• Controleer of het e-mailbeveiligingsapparaat (ESA) een zelfstandig apparaat is of zich in een geclusterde omgeving bevindt. Als clusters zijn geclusterd, moet u het gedeelte Cluster Upgrade van dit document goed bekijken.
• Zorg ervoor dat er internetconnectiviteit is van de ESA op poorten 80 en 443 zonder pakketinspecties.
• Een functionele DNS-server(s) is vereist.

Let op: Het gebruik van Cisco Smart Software Licensing is verplicht vanaf AsyncOS 15.5.0 en alle toekomstige versies/releases voor Cisco Secure Email Gateway.

Gebruikte componenten

Dit document is niet beperkt tot specifieke software- en hardware-versies.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Compatibiliteit tussen ESA/SMA

Controleer de compatibiliteit van de ESA- en SMA-systemen voordat u een upgrade uitvoert. Oudere versies van AsyncOS voor e-mailbeveiliging kunnen meer dan één upgrade vereisen om naar de nieuwste versie te gaan. Neem voor bevestiging van het upgradepad en de levering van het toestel contact op met Cisco TAC.

Klaar om te upgraden

1. Sla het XML-configuratiebestand off-box op. Als u om welke reden dan ook terug moet naar de pre-upgrade versie, kunt u dit bestand gebruiken om de vorige configuratie te importeren.
2. Als u de functie Safelist/Blocklist gebruikt, exporteert u de lijst uit het vak.
3. Schort alle listeners op. Als u de upgrade vanuit de CLI uitvoert, gebruikt u de opdracht suspendlistener. Als u de upgrade uitvoert vanuit de GUI, wordt de luisteraar automatisch onderbroken.
4. Wacht tot de wachtrij leeg is. U kunt de opdracht werkvoorraad gebruiken om het aantal berichten in de werkvoorraad te bekijken of de opdracht snelheid in de CLI om de berichtdoorvoer op uw toestel te controleren.

Download en installeer de upgrade

Vanaf AsyncOS voor e-mailbeveiliging versie 8.0 zijn de upgradeopties bijgewerkt om nu naast DOWNLOADINSTALL ook DOWNLOADINSTALL te bevatten. Dit geeft de beheerder de flexibiliteit om te downloaden en te installeren in een enkele bewerking, of te downloaden op de achtergrond en later te installeren.

(ESA_CLI)> upgrade


Choose the operation you want to perform:
- DOWNLOADINSTALL - Downloads and installs the upgrade image (needs reboot).
- DOWNLOAD - Downloads the upgrade image.
[]> download

Upgrades available.
1. AsyncOS 14.2.0 build 616 upgrade For Email, 2022-05-27,release available as General Deployment
2. AsyncOS 14.2.0 build 620 upgrade For Email, 2022-07-05,release available as General Deployment
[2]>

Raadpleeg de gebruikershandleiding voor volledige informatie.

Upgrade op de CLI

1. Voer de opdracht status in en controleer of de listener is geschorst. U kunt de systeemstatus zien: Het bericht wordt geschorst ontvangen.
2. Voer de opdracht Upgrade in.
3. Kies een optie voor DOWNLOADINSTALLEREN of DOWNLOADEN.
4. Kies het juiste nummer dat is gekoppeld aan de gewenste upgradeversie.
5. Voltooi de vragen die nodig zijn om de huidige configuratie op te slaan en keur het opnieuw opstarten goed wanneer de upgrade wordt toegepast.
6. Na de upgrade meldt u zich aan bij de CLI en voert u het cv in om de luisteraars te hervatten en de werking te garanderen. Voer de opdracht status in en bevestig Systeemstatus: Online.

Upgrade via de GUI

1. Kies Systeembeheer > Systeemupgrade.
2. Klik op Upgradeopties...
3. Kies een optie voor Downloaden en installeren of Downloaden.
4. Klik en markeer de gewenste upgradeversie.
5. Kies de juiste opties voor het voorbereiden van upgrades.
6. Ga verder, om de upgrade te starten en de voortgangsbalk voor uw monitoring weer te geven.
7. Na de upgrade meldt u zich aan bij de CLI en gaat u verder om de luisteraars te hervatten en de werking te garanderen: Kies Systeembeheer > Afsluiten/opschorten > Hervatten (Alles controleren).
8. Kies Vastleggen in het gedeelte Mail Operations.

Clusterupgrade

ESA's in een cluster zouden hetzelfde upgradeproces van de CLI of de GUI gebruiken als in de vorige secties, met als enige uitzondering dat er een prompt zou zijn om apparaten uit het cluster te verwijderen.

Opmerking: u kunt de upgrade uitvoeren met de CLI of de GUI, maar de opdrachten voor opnieuwclusterconfigverbinden zijn alleen beschikbaar via de CLI. In dit document wordt beschreven hoe u de machines kunt upgraden via de CLI.

Voorbeeld zoals gezien vanuit CLI:

(Cluster my_cluster)> upgrade

This command is restricted to run in machine mode of the machine you are logged in to.
 Do you want to switch to "Machine applianceA.local" mode? [Y]> y

Voorbeeld zoals gezien vanuit GUI:

Opmerking: dit is alleen een administratieve verbroken verbinding. Hierdoor zouden alle synchronisatiepogingen van de configuratie in het cluster van of naar de niet-verbonden toestellen worden gestopt. Hierdoor wordt de toestelconfiguratie niet verwijderd of gewijzigd.

Voer de volgende stappen uit om ESA's te upgraden die via de CLI in een cluster worden uitgevoerd:

1. Voer de opdracht upgrade in de CLI in om AsyncOS naar een latere versie te upgraden. Wanneer u wordt gevraagd of u de verbinding met het cluster wilt verbreken, antwoordt u met de letter Y om verder te gaan:
   
   

   (ESA_CLI)> upgrade
   
   You must disconnect all machines in the cluster in order to upgrade them. Do you wish
   to disconnect all machines in the cluster now? [Y]> Y

   
   
   
2. Gebruik alle upgradeprompts (inclusief reboot-prompt).
3. Nadat alle machines in het cluster zijn bijgewerkt en opnieuw zijn opgestart, meldt u zich via de CLI aan bij een van de machines in het cluster en voert u de opdracht clusterconfig in. Sluit ze opnieuw aan op clusterniveau zodat de configuratie kan worden gesynchroniseerd en de clusterwerking kan worden hervat.
4. Antwoord Ja om opnieuw verbinding te maken. Het is niet nodig om te plegen.
   
   

   Choose the machine to reattach to the cluster. Separate multiple machines with commas
   or specify a range with a dash.
   
   1. host2.example.com (group Main)
   2. host3.example.com (group Main)
   3. host4.example.com (group Main)
   
   [1]> 1-3

5. Geef de opdracht constatus op om te bevestigen dat alle apparaten zich in het cluster bevinden. Geef ook de opdracht clustercheck om te bevestigen dat er geen inconsistentie is.

Aanbevelingen voor clusterupgrades zijn:

• Sluit ESA's niet opnieuw aan op het cluster totdat ALLE apparaten zijn geüpgraded naar een aangepaste versie.
• Indien nodig, zodra een ESA een upgrade heeft voltooid, hervat de luisteraar, indien eerder opgeschort, en laat deze functioneren als een stand-alone toestel.
• Breng geen configuratiewijzigingen of wijzigingen aan wanneer ESA's worden losgekoppeld van een cluster om inconsistenties in de configuratie te voorkomen wanneer ze na de upgrade opnieuw worden verbonden met een cluster.
• Zodra ALLE toestellen naar dezelfde versie zijn geüpgraded, sluit u ze opnieuw aan op clusterniveau zodat de configuratie kan worden gesynchroniseerd en de clusterwerking kan worden hervat.

Controles achteraf:

• Als de apparaten worden beheerd door de SMA:
  • Navigeer naar Apparaatbeheer > Gecentraliseerde services > Beveiligingstoestellen en zorg ervoor dat alle services zijn ingeschakeld en dat de verbinding wordt gemaakt.Navigeer naar E-mail > Berichtentracering > Beschikbaarheid van gegevens voor berichtentracering en controleer of de status OK wordt weergegeven voor alle ESA's.
  • Voer op elk toestel de opdracht status in en kijk of deze online wordt weergegeven.
  • Voer de opdracht DisplayAlerts in en controleer of er nieuwe meldingen zijn die na de upgrade worden weergegeven.
  • Als in een cluster, dan mag de opdracht clustercheck geen inconsistenties tonen, en de opdracht constatus moet toestellen weergeven als aangesloten zonder fouten.
  • Als u de e-mailstroom wilt verifiëren, voert u de opdracht tail_mail_logs in de CLI in.

Problemen oplossen

1. Opdrachten tail updater_logs en tail upgrade_logs kunnen ook informatie geven als er een probleem is met de upgrade.
2. Als er een probleem is wanneer u het image downloadt, of wanneer u de antispam of antivirus update, is dit waarschijnlijk omdat de processen niet in staat zijn om de service-engine of -regelsets te bereiken en bij te werken. Gebruik de stappen in vESA Kan updates voor antispam of antivirus niet downloaden en toepassen.
3. Als de upgrade mislukt als gevolg van netwerkonderbrekingen, kunnen vergelijkbare fouten worden gezien tijdens de uitvoer van het upgradeproces:

Reinstalling AsyncOS... 66% 01:05ETA.
/usr/local/share/doc/jpeg/libjpeg.doc: Premature end of gzip compressed data:
 Input/output error
tar: Error exit delayed from previous errors.
Upgrade failure.

Dit is meestal te wijten aan een netwerkonderbreking die kan zijn opgetreden tijdens de overdracht van gegevens tussen de ESA en de updateservers. Onderzoeken van netwerkfirewalllogs of controleren van pakketverkeer van de ESA om servers bij te werken.

Raadpleeg indien nodig de ESA Packet Capture Procedures om packet capture op de ESA mogelijk te maken en probeer vervolgens het upgradeproces opnieuw.

Opmerking: Firewalls moeten inactieve verbindingen mogelijk maken om actief te blijven, vooral voor het upgradeproces.

Raadpleeg Upgrades of updates van het apparaat voor contentbeveiliging met een statische server voor informatie over het configureren van statische updates en upgrades van servers bij een strikte netwerkfirewall waarvoor statische upgradeservers nodig zijn.

Test voor hardwareapparaten de verbindingen met deze dynamische servers:

• Telnet updates.ironport.com 80
• Telnet downloads.ironport.com 80

Voor virtuele apparaten moet u deze dynamische servers gebruiken:

• Telnet update-manifests.sco.cisco.com 443
• Telnet updates.ironport.com 80
• Telnet downloads.ironport.com 80 

Raadpleeg de gebruikershandleiding voor alle informatie over de firewall en de poortvereisten.

Gerelateerde informatie

• Compatibiliteitsmatrix voor Cisco Content Security Management-apparaten
• ESA-upgradeprocedures
• ESA Packet Capture Procedures
• Upgrades of updates van het toestel voor contentbeveiliging met een statische server
• Begrijp Smart Licensing Overzicht en Best Practices voor E-mail en Web Security
• Hoe een Smart Account aan te vragen
• Technische ondersteuning en documentatie – Cisco Systems