Problemen oplossen "Externe FMC is niet bijgewerkt"

Inleiding

In dit document wordt beschreven hoe problemen met de externe FMC kunnen worden opgelost als deze niet is bijgewerkt. Voltooi de update op externe FMC voordat u deze peer bijwerkt."

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Firepower Management Center (FMC)
• Basiskennis van de FMC CLI.

Gebruikte componenten

Dit document is niet beperkt tot specifieke software- en hardware-versies.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Fout 

De fout  "Remote FMC is not updated successfully. Complete the update on remote FMC before updating this peer" wordt weergegeven op de FMC GUI wanneer u probeert de apparaten die worden beheerd door het FMC High Availability (HA)-paar te upgraden. Met deze fout kan de upgrade van de beheerde apparaten niet worden gestart. Zo ziet de foutmelding eruit vanuit de GUI:

De fout kan ook worden geverifieerd vanuit de CLI van de FMC met de opdracht expert mode cat /var/log/httpd/httpd_error_log.1 | grep -i 'Remote FMC'.

> expert
root@FMC:~$ cat /var/log/httpd/httpd_error_log.1 | grep -i 'Remote FMC'

[Mon Jan 30 07:20:10.062741 2022] [cgi:error] [pid 5906] [client 192.168.1.10:45267] AH01215: (Remote FMC is not updated successfully. Complete the update on remote FMC before updating this peer.) in /usr/local/sf/htdocs/admin/update.cgi:331 at /usr/local/sf/lib/perl/5.10.1/SF.pm line 120.: /usr/local/sf/htdocs/admin/update.cgi, referer:  
[Mon Jan 30 07:22:43.370986 2022] [cgi:error] [pid 15376] [clien 192.168.1.10:45267] AH01215: (Remote FMC is not updated successfully. Complete the update on remote FMC before updating this peer.) in /usr/local/sf/htdocs/admin/update.cgi:331 at /usr/local/sf/lib/perl/5.10.1/SF.pm line 120.: /usr/local/sf/htdocs/admin/update.cgi, referer:  

Foutoorzaken

Het is bekend dat deze fout optreedt wanneer er een mismatch is in de versie van de softwarepatch, de versie van de kwetsbaarheidsdatabase (VDB), de versie van de inbraakregels (SRU) of de versie van de geolocatiedatabase (GeoDB) tussen de twee FMC's in HA. De mismatch treedt op wanneer een van deze vermelde versie-updates vastzit of niet kan worden geïnstalleerd. U kunt deze mismatch niet zien wanneer u de versies van de FMC-gebruikersinterface onder Help > Info controleert, maar het wordt aanbevolen om deze pagina op beide FMC's te controleren om te controleren.

Opmerking: de implementaties naar de beheerde apparaten kunnen hiermee worden voltooid, maar de software-upgrades beginnen niet met deze fout.

Identificeer het probleem

Controleer de versies op FMC's in HA van GUI

Ga vanuit de FMC GUI naar Help > Info om te bevestigen dat de versies van Software Patch, VDB, SRU en GeoDB op beide FMC in HA allemaal hetzelfde zijn. Deze afbeeldingen tonen een voorbeeld van een overeenkomende versie van twee FMC's in HA van GUI:

.              

Controleren van de installatiestatus van VDB-, SRU- en GeoDB-versies op FMC's in HA van CLI

In de expertmodus voor FMC CLI moet u controleren of de VDB-, SRU- en GeoDB-updates volledig zijn geïnstalleerd zonder fouten op beide FMC's in HA.

Opmerking: in deze secties wordt uitgelegd hoe u de status.log van elke map met afbeeldingsversie kunt controleren. Deze mappen voor de afbeeldingsversie moeten overeenkomen met de map op de peer-FMC. Als de VDB-versiemap die op de FMC is geïnstalleerd bijvoorbeeld "vdb-4.5.0-338" is, moet u onder dezelfde map controleren voor beide FMC's. Gebruik hier de opdracht cat /var/log/sf/vdb-4.5.0-338/status.log op beide FMC om de updatestatus van VDB te controleren. Hetzelfde geldt voor SRU- en GeoDB-updates.

VDB-installatiestatus controleren

Gebruik deze opdracht cat /var/log/sf/<vdb-image-folder>/status.log vanuit de expertmodus op de FMC CLI om te controleren of de VDB-update succesvol is geweest. Hier is een voorbeeld van een succesvolle VDB-installatie:

root@FMC:~$ cat /var/log/sf/vdb-4.5.0-338/status.log
state:running
ui:The install has begun
ui:[ 0%] Running script pre/000_start.sh...
ui:[ 4%] Running script pre/010_check_versions.sh...
ui:[ 8%] Running script pre/011_check_versions.pl...
ui:[12%] Running script pre/020_check_space.sh...
ui:[15%] Running script pre/500_stop_rna.pl...
ui:[19%] Running script pre/999_finish.sh...
ui:[23%] Running script installer/000_start.sh...
ui:[27%] Running script installer/100_install_files.pl...
ui:[31%] Running script installer/200_install_fingerprints.sh...
ui:[35%] Running script installer/300_install_vdb.sh...
ui:[38%] Running script installer/400_install_rdps.pl...
ui:[42%] Running script installer/420_delete_obsolete_ids.pl...
ui:[46%] Running script installer/450_resave_detectors.pl...
ui:[50%] Running script installer/525_export_compliance_policies.pl...
ui:[54%] Running script installer/600_fix_dbcheck.sh...
ui:[58%] Running script installer/605_install_dbcheck_upgrade_script.sh...
ui:[62%] Running script installer/610_install_missing_upgrade_script.sh...
ui:[65%] Running script installer/615_purge_vdb_149_log.sh...
ui:[69%] Running script installer/900_update_version.sh...
ui:[73%] Running script installer/901_update_db_version.pl...
ui:[77%] Running script installer/950_reapply_to_sensor.pl...
ui:[81%] Running script installer/975_export_data.pl...
ui:[85%] Running script installer/999_finish.sh...
ui:[88%] Running script post/000_start.sh...
ui:[92%] Running script post/500_start_rna.pl...
ui:[96%] Running script post/999_finish.sh...
ui:[100%] The install completed successfully.
ui:The install has completed.
state:finished

Controleer de installatiestatus van de SRU

Gebruik in de expertmodus van de FMC CLI de opdracht cat /var/log/sf/<sru-image-folder>/status.log om te controleren of de SRU-update succesvol is verlopen. Hier is een voorbeeld van een succesvolle SRU-installatie:

root@FMC:~$ cat /var/log/sf/sru-2021-05-03-001-vrt/status.log
state:running
ui:The force install has begun.
ui:[ 0%] Running script pre/000_start.sh...
ui:[ 5%] Running script pre/010_check_versions.sh...
ui:[11%] Running script pre/020_check_space.sh...
ui:[16%] Running script pre/999_finish.sh...
ui:[21%] Running script installer/000_start.sh...
ui:[26%] Running script installer/050_sru_log_start.pl...
ui:[32%] Running script installer/100_install_files.pl...
ui:[37%] Running script installer/510_install_policy.pl...
ui:[42%] Running script installer/520_install_rules.pl...
ui:[47%] Running script installer/521_rule_docs.sh...
ui:[53%] Running script installer/530_install_module_rules.pl...
ui:[58%] Running script installer/540_install_decoder_rules.pl...
ui:[63%] Running script installer/602_log_package.pl...
ui:[68%] Running script installer/900_update_version.sh...
ui:[74%] Running script installer/999_finish.sh...
ui:[79%] Running script post/000_start.sh...
ui:[84%] Running script post/500_copy_contents.sh...
ui:[89%] Running script post/900_iru_log_finish.pl...
ui:[95%] Running script post/999_finish.sh...
ui:[100%] The force install completed successfully.
ui:The force install has completed.
state:finished

Controleer de installatiestatus van GeoDB

Gebruik in de expertmodus van de FMC CLI de opdracht cat /var/log/sf/<geodb-image-folder>/status.log om te controleren of de GeoDB-update succesvol is geweest. Hier is een voorbeeld van een succesvolle GeoDB-installatie:

root@FMC:~$ cat /var/log/sf/geodb-2022-08-02-100/status.log
state:running
ui:The install has begun.
ui:[ 0%] Running script installer/200_prechecks.pl...
ui:[33%] Running script installer/500_install_country_map.pl...
ui:[67%] Running script installer/601_fix_country.pl...
ui:[100%] The install completed successfully.
ui:The install has completed.
state:finished

Als de installatie is mislukt of om welke reden dan ook vastzit, kunt u zien welke stap is mislukt of vastgelopen in deze status.log. Hier is een voorbeeld van een GeoDB-installatiefout op de FMC:

root@FMC:~$ cat /var/log/sf/geodb-2022-07-17-100/status.log
state:running
ui:The install has begun.
ui:[ 0%] Running script installer/200_prechecks.pl...
ui:[33%] Running script installer/500_install_country_map.pl...
ui:[67%] Running script installer/601_fix_country.pl...
ui:[67%] Fatal error: Error running script installer/601_fix_country.pl

Controleren van de installatiestatus van de softwareversie en patchen op FMC's in HA van CLI 

Gebruik vanuit de expertmodus op de FMC CLI de opdracht cat /etc/sf/patch_history om te controleren of beide FMC dezelfde versie en patch hebben geïnstalleerd. Voer deze opdracht uit om eventuele mismatches op beide FMC's te identificeren. Hier is een voorbeeld van een patch mismatch van de CLI: 

root@FMC:~$ cat /etc/sf/patch_history
6.2.3-83
6.6.0-90
6.6.4-59
6.6.5-81
Hotfix_DE-8__413769962     <<<<<<<<<<<  Here the FMC seems to have a Hotfix installation image that is not present from the other FMC

-------------------------------------------------------------------

root@FMC:~$ cat /etc/sf/patch_history
6.2.3-83
6.6.0-90
6.6.4-59
6.6.5-81        

Als u verder wilt controleren of de installatie van de hotfix in de FMC succesvol was, moet u de status.log voor deze afbeeldingsmap controleren:

root@FMC:~$ cat /var/log/sf/Cisco_Firepower_Mgmt_Center_Hotfix_DE-6.6.5.2/status.log

ui:[98%] Upgrade complete
ui:[99%] Running script 999_finish/999_z_must_remain_last_finalize_boot.sh...
ui:[99%] Running script 999_finish/999_zz_install_bundle.sh...
ui:[100%] The system will now restart services.
ui:System will now restart services.
ui:[100%] Installation completed successfully.
ui:Upgrade has completed.
state:finished

In dit voorbeeld wordt geverifieerd dat het patchimage niet aanwezig was in de FMC in HA, terwijl de andere versie de patch met succes had geïnstalleerd. 

Problemen oplossen

Om de fout op te lossen, moet u de updates handmatig installeren vanaf de CLI van de FMC waar het probleem is geïdentificeerd. 

Disclaimer: Root access to the FMC devices is required in order to execute the commands under this section. Please use caution when running commands from the root of the FMC. 

Probleem met VDB-, SRU- en GeoDB-update

Nadat u de VDB-, SRU- of GeoDB-updateproblemen hebt geïdentificeerd, voert u een handmatige installatie van de kracht uit vanuit de CLI-opdracht install_update.pl /var/sf/updates/<image-file> --force. Hier is een voorbeeld van de handmatige force-installatie voor een GeoDB-update:

> expert
root@FMC:~$ sudo su
<Enter the root password>
root@FMC:# install_update.pl /var/sf/updates/Cisco_Firepower_GEODB_FMC_Update-2022-08-02-100.sh.REL.tar --force

Opmerking: gebruik het absolute pad van het afbeeldingsbestand met de opdracht install_update.pl zoals in het voorbeeld wordt weergegeven. Ontketen geen tar.gz-bestanden voordat u de installatie van CLI forceert.

Probleem met hotfix-installatie

Voor de hotfix-/patchinstallatie moet u het patchbestand downloaden en installeren in de FMC waar het patchbestand niet aanwezig was, noch via de GUI, noch via de CLI.

Van FMC GUI: 

Ga naar Systeem > Updates > Product Updates en upload de te installeren patchversie. Klik vervolgens op de optie Installeren en kies het apparaat waarop u de patch moet installeren en ga verder met de installatie. 

Van FMC CLI:

Als u de software/patch vanuit de FMC-CLI wilt installeren, uploadt u het upgradebestand voor de hotfix naar het pad /var/log/sf/ op de FMC-CLI en voert u de opdracht install_update.pl /var/log/sf/<image-file> uit. Met deze opdracht worden de upgradelogboeken op hetzelfde scherm uitgevoerd, zodat we de voortgang kunnen volgen. Hier is een voorbeeld van de patchinstallatie van de CLI:

> expert
root@FMC:~$ sudo su
<Enter the root password>
root@FMC:# install_update.pl /var/log/sf/Cisco_Firepower_Mgmt_Center_Hotfix_DE-6.6.5.2 

Als er een korte time-out is op de SSH-sessie, gebruikt u de opdracht install_update.pl-detacheren /var/log/sf/<image-file> om de installatie op de achtergrond uit te voeren. Hierdoor kan de upgrade worden uitgevoerd, zelfs nadat de SSH-sessie is gesloten.

Verifiëren

VDB-, SRU- of GeoDB-update

Nadat de handmatige installatie van de force is voltooid, kunt u de status van de installatie controleren vanuit de CLI met de opdracht cat /var/log/sf/<image-version-folder>/status.log voor VDB-, SRU- en GeoDB-update. Hier is een voorbeeld van de status.log-uitvoer van een succesvolle GeoDB-installatie:

root@FMC:/Volume/home/admin# cat /var/log/sf/geodb-2022-08-02-100/status.log
state:running
ui:The force install has begun.
ui:[ 0%] Running script installer/200_prechecks.pl...
ui:[33%] Running script installer/500_install_country_map.pl...
ui:[67%] Running script installer/601_fix_country.pl...
ui:[100%] The force install completed successfully.
ui:The force install has completed.
state:finished

Hotfix- of patchupdate

Voer na de handmatige installatie van de update de opdracht cat /var/log/sf/<patch-image-folder>/status.log uit vanuit CLI om de status van deze installatie te controleren. Hier is een voorbeeld van de status.log-uitvoer van een succesvolle installatie:

root@FMC:/var/log/sf/Cisco_Firepower_Mgmt_Center_Hotfix_DE-6.6.5.2# tail -f status.log
ui:[98%] Upgrade complete
ui:[99%] Running script 999_finish/999_z_must_remain_last_finalize_boot.sh...
ui:[99%] Running script 999_finish/999_zz_install_bundle.sh...
ui:[100%] The system will now restart services.
ui:System will now restart services.
ui:[100%] Installation completed successfully.
ui:Upgrade has completed.
state:finished

Opmerking: als de fout nog steeds aanwezig is nadat u de stappen in dit document hebt geprobeerd, opent u een serviceverzoek bij Cisco TAC.