Een AsyncOS-upgrade valideren en oplossen op Cisco ESA

Inleiding

In dit document worden de stappen beschreven die na de upgrade moeten worden uitgevoerd om een succesvolle AsyncOS-upgrade te valideren en problemen op te lossen die vaak voorkomen op de Cisco Secure Email Gateway (SEG), voorheen bekend als de Cisco Email Security Appliance (ESA). 

Gebruikte componenten

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Voorwaarden

Vereisten

• De RAID-status van het toestel moet KLAAR of OPTIMAAL zijn in de uitvoer Systeemstatus; start geen upgrade als de status DEGRADED is en neem contact op met Cisco TAC voor een RMA (Return Material Authorization).
• Bevestig dat er geen significante fouten bestaan, met name problemen met netwerkconnectiviteit of DNS, door systeemwaarschuwingen in de GUI te bekijken onder Systeembeheer > Waarschuwingen of door de opdracht DisplayAlerts in de CLI uit te voeren.
• Geef aan of het ESA werkt als een zelfstandig apparaat of in een cluster en bekijk het gedeelte Cluster Upgrade van dit document voor geclusterde omgevingen.
• Verifieer een functionele DNS-serverconfiguratie en zorg voor internetconnectiviteit op poorten 80 en 443 zonder pakketcontrole.

Opmerking: Als de firewalltoegang is gebaseerd op FQDN's, moet u ervoor zorgen dat zowel ESA als firewall dezelfde DNS-server gebruiken voor de juiste toewijzing van hostnamen aan IP. De upgrade- en update-URL's, waaronder downloads.ironport.com, upgrades.ironport.com, updates.ironport.com en manifeste URL's, worden gehost op het Akamai CDN-netwerk.

Let op: Cisco Smart Software Licensing is verplicht vanaf AsyncOS 15.5.x en alle toekomstige versies voor Cisco Secure Email Gateway.

Compatibiliteit tussen ESA en SMA

U moet de compatibiliteitsmatrix tussen ESA en SMA bekijken voordat u de upgrade start. Sommige versies vereisen meerdere upgrades om de nieuwste release te bereiken. Neem contact op met Cisco TAC voor de bevestiging van het upgradepad en de provisioning van het toestel.

Een AsyncOS-upgrade voorbereiden en voltooien

Raadpleeg de gebruikershandleiding voor informatie over de upgradevereisten en -stappen van AsyncOS. Maak uzelf vertrouwd met deze stappen voordat u verdergaat. 

Controles na de upgrade uitvoeren

• Als apparaten worden beheerd door SMA:
• Ga naar Apparaatbeheer > Gecentraliseerde services > Beveiligingstoestellen om ervoor te zorgen dat alle services zijn ingeschakeld.
• Controleer E-mail > Berichtentracering > Beschikbaarheid van gegevens voor berichtentracering voor de OK-status op alle ESA's.
• Voer op elk toestel de status uit en bevestig de status "Online".
• Voer DisplayAlerts uit om nieuwe meldingen na de upgrade te bekijken.
• In een cluster mag de clustercontrole geen inconsistenties vertonen en moet de constatus alle aangesloten toestellen weergeven.
• Als u de mailstroom wilt controleren, gebruikt u de CLI-opdracht tail_mail_logs om realtime verwerking te bekijken.

Problemen met upgrades oplossen

1. Voer tail updater_logs en tail upgrade_logs uit vanuit de CLI voor details over upgradeproblemen.
2. Als het downloaden van het image of het bijwerken van antispam/antivirus mislukt, controleert u de netwerkconnectiviteit om de servers bij te werken.
3. Als de upgrade mislukt als gevolg van netwerkonderbrekingen, kunnen er fouten optreden:

Reinstalling AsyncOS... 66% 01:05ETA.
/usr/local/share/doc/jpeg/libjpeg.doc: Premature end of gzip compressed data: Input/output error
tar: Error exit delayed from previous errors.
Upgrade failure.

1. Dit is meestal het gevolg van netwerkonderbrekingen tijdens de gegevensoverdracht tussen ESA- en updateservers.
2. Controleer firewalllogs of controleer het pakketverkeer op problemen.
3. Als u netwerkpakketten op de ESA wilt vastleggen, gebruikt u de tool voor het vastleggen van pakketten in de GUI of CLI.

Opmerking: Firewalls moeten toestaan dat inactieve verbindingen actief blijven tijdens het upgradeproces.

Test voor hardwareapparaten de connectiviteit met dynamische servers met de volgende opdrachten:

• Telnet updates.ironport.com 80
• Telnet downloads.ironport.com 80

Test voor virtuele apparaten de connectiviteit met deze servers met behulp van de volgende opdrachten:

• Telnet update-manifests.sco.cisco.com 443
• Telnet updates.ironport.com 80
• Telnet downloads.ironport.com 80

Raadpleeg de gebruikershandleiding voor informatie over firewall- en poortvereisten.

Gerelateerde informatie

• Compatibiliteitsmatrix voor Cisco Content Security Management-apparaten
• ESA Packet Capture Procedures
• Upgrades of updates van het toestel voor contentbeveiliging met een statische server
• Begrijp Smart Licensing Overzicht en Best Practices voor E-mail en Web Security