Inleiding
In dit document wordt het proces beschreven om de virtuele e-mail security applicatie (vESA) en Virtual Security Management-applicatie (vSMA) te vervangen wanneer een upgrade mislukt vanwege een kleine Nextroot-deling.
Gerelateerde gebreken voor ESA: CSCvy69068 en SMA: CSCvy69076
Achtergrond
Aanvankelijk werden virtuele ESA- en virtuele SMA-beelden gebouwd met een Nextroot-verdelingsgrootte van minder dan 500 M. In de loop der jaren, en met nieuwere versies van AsyncOS die extra eigenschappen omvatten, hebben de upgrades meer en meer van deze verdeling door het verbeteringsproces moeten gebruiken. We beginnen nu te zien hoe upgrades mislukken vanwege deze verdelingsgrootte en we wilden details geven rond de oplossing, namelijk om een nieuw virtueel beeld te implementeren met een grotere Nextroot-verdelingsgrootte van 4 GB.
Symptomen
Een oudere afbeelding vESA of vSMA met een Nextroot verdelingsgrootte van minder dan 500M kan niet upgraden, waarbij de volgende fouten worden gezien.
...
...
...
Finding partitions... done.
Setting next boot partition to current partition as a precaution... done.
Erasing new boot partition... done.
Extracting eapp done.
Extracting scanerroot done.
Extracting splunkroot done.
Extracting savroot done.
Extracting ipasroot done.
Extracting ecroot done.
Removing unwanted files in nextroot done.
Extracting distroot
/nextroot: write failed, filesystem is full
./usr/share/misc/termcap: Write failed
./usr/share/misc/pci_vendors: Write to restore size failed
./usr/libexec/getty: Write to restore size failed
./usr/libexec/ld-elf.so.1: Write to restore size failed
./usr/lib/libBlocksRuntime.so: Write to restore size failed
./usr/lib/libBlocksRuntime.so.0: Write to restore size failed
./usr/lib/libalias.so: Write to restore size failed
./usr/lib/libarchive.so: Write to restore size failed
Oplossing
Om ervoor te zorgen dat uw virtuele ESA/SMA kan worden bijgewerkt, dient u eerst te controleren of de volgende grootte van de wortelverdeling 4GB is met de CLI-opdrachtcontrole.
(lab.cisco.com) > ipcheck
<----- Snippet of relevant section from the output ----->
Root 4GB 7%
Nextroot 4GB 1%
Var 400MB 3%
Log 172GB 3%
DB 2GB 0%
Swap 6GB
Mail Queue 10GB
<----- End of snippet ----->
Als de volgende wortelverdeling minder dan 4 GB is, volgt u de volgende stappen om uw huidige VM-sjabloon te migreren naar een nieuwere afbeelding.
Stap 1.
Uw nieuwe vESA/vSMA implementeren
Download de virtuele ESA/SMA-afbeelding van de voorvereisten en stel deze in via de Cisco Content Security Virtual Appliance Installatie-gids.
Opmerking: De installatiehandleiding geeft informatie over DHCP (interfaceconfig) en stelt de standaardgateway (gateway) op uw virtuele host in en laadt ook het licentiebestand voor virtuele apparaten. Zorg ervoor dat u heeft gelezen en ingezet zoals geïnstrueerd.
Stap 2.
Licentie voor het nieuwe vESA/vSMA
Nadat het nieuwe virtuele ESA of SMA is geïnstalleerd, is het tijd om het licentiebestand te laden. Voor virtuals zal de licentie in een XML bestand aanwezig zijn en moet deze geladen worden met behulp van de CLI. Vanaf de CLI, gebruikt u de opdracht loadlicentie en volgt u de aanwijzingen om de licentieimport te voltooien.
Als u verdere gegevens nodig hebt over het laden of verkrijgen van een licentiebestand, kunt u het volgende artikel bekijken: Beste praktijken voor Virtual ESA, Virtual WSA, of Virtual SMA Licenties.
Stap 3.
Zorg ervoor dat de nieuwe vESA/vSMA dezelfde versie heeft als de originele versie, als dat niet het geval is, moet u de vESA/vSMA met de oudere versie upgraden om beide apparaten op dezelfde versie te krijgen. Gebruik de opdrachtupgrade en volg de aanwijzingen tot de gewenste versie.
Stap 4. [Alleen voor vESA, overslaan voor vSMA]
Opmerking: In deze stap wordt aangenomen dat u geen bestaand cluster hebt, in het geval dat er al een bestaand cluster in de huidige configuratie is, voeg u de nieuwe vESA aan het cluster toe om de huidige configuratie te kopiëren en dan verwijder u die nieuwe machine om het upgradeproces te starten.
Een nieuwe cluster maken
In het originele vESA runt de commando clusterconfiguratie om een nieuw cluster te creëren.
OriginalvESA.local> clusterconfig
Do you want to join or create a cluster?
1. No, configure as standalone.
2. Create a new cluster.
3. Join an existing cluster over SSH.
4. Join an existing cluster over CCS.
[1]> 2
Enter the name of the new cluster.
[]> OriginalCluster.local
Should all machines in the cluster communicate with each other by hostname or by IP address?
1. Communicate by IP address.
2. Communicate by hostname.
[2]> 1
What IP address should other machines use to communicate with Machine C170.local?
1. 10.10.10.58 port 22 (SSH on interface Management)
2. Enter an IP address manually
[]> 1
Other machines will communicate with Machine C195.local using IP address 10.10.10.58 port 22. You can change this by using the COMMUNICATION subcommand of the clusterconfig command.
New cluster committed: Sat Jun 08 11:45:33 2019 GMT
Creating a cluster takes effect immediately, there is no need to commit.
Cluster OriginalCluster.local
Choose the operation you want to perform:
- ADDGROUP - Add a cluster group.
- SETGROUP - Set the group that machines are a member of.
- RENAMEGROUP - Rename a cluster group.
- DELETEGROUP - Remove a cluster group.
- REMOVEMACHINE - Remove a machine from the cluster.
- SETNAME - Set the cluster name.
- LIST - List the machines in the cluster.
- CONNSTATUS - Show the status of connections between machines in the cluster.
- COMMUNICATION - Configure how machines communicate within the cluster.
- DISCONNECT - Temporarily detach machines from the cluster.
- RECONNECT - Restore connections with machines that were previously detached.
- PREPJOIN - Prepare the addition of a new machine over CCS.
[]>
(Cluster OriginalCluster.local)>
Stap 5. [Alleen voor vESA, overslaan voor vSMA]
Sluit uw nieuwe vESA aan op uw Originele ESA Cluster
Vanuit de CLI op het New vESA, runt de commando clusterconfiguratie > zich bij een bestaand... om uw nieuwe vESA aan uw nieuwe cluster toe te voegen dat op uw Originele vESA is geconfigureerd.
NewvESA.cisco.com> clusterconfig
Do you want to join or create a cluster?
1. No, configure as standalone.
2. Create a new cluster.
3. Join an existing cluster over SSH.
4. Join an existing cluster over CCS.
[1]> 3
While joining a cluster, you will need to validate the SSH host key of the remote machine to which you are joining. To get the public host key fingerprint of the remote host, connect to the cluster and run: logconfig -> hostkeyconfig -> fingerprint.
WARNING: All non-network settings will be lost. System will inherit the values set at the group or cluster mode for the non-network settings. Ensure that the cluster settings are compatible with your network settings (e.g. dnsconfig settings)
Exception:Centralized Policy, Virus, and Outbreak Quarantine settings are not inherited from the cluster. These settings on this machine will remain intact.
Do you want to enable the Cluster Communication Service on ironport.example.com? [N]> n
Enter the IP address of a machine in the cluster.
[]> 10.10.10.58
Enter the remote port to connect to. This must be the normal admin ssh port, not the CCS port.
[22]>
Would you like to join this appliance to a cluster using pre-shared keys? Use this option if you have enabled two-factor authentication on the appliance. [Y]> n
Enter the name of an administrator present on the remote machine
[admin]>
Enter passphrase:
Please verify the SSH host key for 10.10.10.56:
Public host key fingerprint: 80:11:33:aa:bb:44:ee:ee:22:77:88:ff:77:88:88:bb
Is this a valid key for this host? [Y]> y
Joining cluster group Main_Group.
Joining a cluster takes effect immediately, there is no need to commit.
Cluster OriginalCluster.local
Choose the operation you want to perform:
- ADDGROUP - Add a cluster group.
- SETGROUP - Set the group that machines are a member of.
- RENAMEGROUP - Rename a cluster group.
- DELETEGROUP - Remove a cluster group.
- REMOVEMACHINE - Remove a machine from the cluster.
- SETNAME - Set the cluster name.
- LIST - List the machines in the cluster.
- CONNSTATUS - Show the status of connections between machines in the cluster.
- COMMUNICATION - Configure how machines communicate within the cluster.
- DISCONNECT - Temporarily detach machines from the cluster.
- RECONNECT - Restore connections with machines that were previously detached.
- PREPJOIN - Prepare the addition of a new machine over CCS.
[]>
(Cluster OriginalCluster.local)>
Als uw nieuwe vESA is aangesloten en gesynchroniseerd, zal deze dezelfde configuratie hebben als uw bestaande vESA.
Start de opdracht clustercontrole om sync te valideren en controleer of er tegenstrijdigheden zijn tussen de opgewaardeerde machines.
Stap 6. [Alleen voor vSMA, overslaan voor vESA]
Bekijk hier de pre-eisen voor back-up van SMA-gegevens.
Gebruik CLI commando backupfig op het apparaat dat moet worden vervangen om een back-up naar de nieuw ingevoerde vSMA te plannen.
Een onmiddellijke back-up starten
- Meld u aan bij de oorspronkelijke SMA CLI als beheerder.
- Onderhoud.
- KiesRooster.
- Voer het IP-adres in van de nieuwe machine om de gegevens naar over te brengen.
- Het SMA van "bron" verifieert het bestaan van het doel en zorgt ervoor dat het doelbedrijf over voldoende ruimte beschikt om de gegevens te aanvaarden.
- Kies 3 (Start nu één back-up).
- Typ de status van de video om te controleren of de back-up is gepland.
Opmerking: De duur die voor de te voltooien gegevensback-up wordt genomen, zou verschillen afhankelijk van de grootte van de gegevens, de netwerkbandbreedte, enz.
Nadat de back-up is voltooid, zou de nieuwe vSMA alle gegevens van de vorige SMA hebben ontvangen.
Om de nieuwe machine als het primaire apparaat te configureren verwijst u naar de hier geschetste stappen.
Stap 7.
Indien u meer dan één ESA/SMA dient in te zetten, volgt u stap 1-6.
Gerelateerde informatie
Cisco virtuele applicatie - handleiding voor content security
ESA Cluster vereisten en installatie
SMA-eindgebruikershandleidingen
Feedback