Validar e solucionar problemas de uma atualização do AsyncOS no Cisco ESA

Introdução

Este documento descreve as etapas pós-atualização para validar uma atualização do AsyncOS bem-sucedida e solucionar problemas comuns no Cisco Secure Email Gateway (SEG), anteriormente conhecido como Cisco Email Security Appliance (ESA). 

Componentes Utilizados

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Pré-requisitos

Requisitos

• O status do RAID do dispositivo deve ser READY (Pronto) ou OPTIMAL (Ideal) na saída System Status (Status do sistema); não inicie uma atualização se o status for DEGRADED e entre em contato com o TAC da Cisco para obter uma RMA (autorização de devolução de material).
• Confirme se não há erros significativos, especificamente problemas de conectividade de rede ou DNS, revisando alertas do sistema na GUI em System Administration > Alerts ou executando o comando displayalerts na CLI.
• Identifique se o ESA opera como um dispositivo autônomo ou em um cluster e analise a seção Atualização de cluster deste documento para ambientes em cluster.
• Verifique uma configuração de servidor DNS funcional e assegure a conectividade com a Internet nas portas 80 e 443 sem inspeção de pacotes.

Note: Quando o acesso ao firewall for baseado em FQDNs, assegure-se de que tanto o ESA quanto o firewall usem o mesmo servidor DNS para o mapeamento correto do nome do host para o IP. As URLs de atualização e atualização, incluindo downloads.ironport.com, upgrades.ironport.com, updates.ironport.com e URLs de manifesto, estão hospedadas na rede CDN da Akamai.

Caution: O uso do Cisco Smart Software Licensing é obrigatório a partir do AsyncOS 15.5.x e de todas as versões futuras do Cisco Secure Email Gateway.

Compatibilidade entre ESA e SMA

Você deve rever a matriz de compatibilidade entre ESA e SMA antes de iniciar a atualização. Algumas versões exigem várias atualizações para alcançar a versão mais recente. Para confirmação de caminho de atualização e provisionamento de dispositivos, entre em contato com o TAC da Cisco.

Preparando e Concluindo uma Atualização do AsyncOS

Para obter os requisitos e as etapas de atualização do AsyncOS, consulte o Guia do usuário. Familiarize-se com estas etapas antes de continuar. 

Executar Verificações Pós-Atualização

• Se os dispositivos forem gerenciados pelo SMA:
• Vá para Management Appliance > Centralized Services > Security Appliances para garantir que todos os serviços estejam ativos.
• Marque Email > Message Tracking > Message Tracking Data Availability para obter o status OK em todos os ESAs.
• Em cada equipamento, execute o status e confirme o status "Online".
• Execute displayalerts para exibir novos alertas após a atualização.
• Em um cluster, o clustercheck não deve mostrar inconsistências e o connstatus deve mostrar todos os dispositivos conectados.
• Para verificar o fluxo de e-mail, use o comando CLI tail mail_logs para observar o processamento em tempo real.

Solucionar problemas de atualização

1. Execute tail updater_logs e tail upgrade_logs na CLI para obter detalhes do problema de atualização.
2. Se o download da imagem ou a atualização de antispam/antivírus falhar, verifique a conectividade de rede para atualizar os servidores.
3. Se a atualização falhar devido a interrupções na rede, poderão aparecer erros:

Reinstalling AsyncOS... 66% 01:05ETA.
/usr/local/share/doc/jpeg/libjpeg.doc: Premature end of gzip compressed data: Input/output error
tar: Error exit delayed from previous errors.
Upgrade failure.

1. Isso normalmente resulta de interrupções da rede durante a transmissão de dados entre o ESA e os servidores de atualização.
2. Verifique os registros de firewall ou monitore o tráfego de pacotes para detectar problemas.
3. Para capturar pacotes de rede no ESA, use a ferramenta de captura de pacotes na GUI ou CLI.

Note: Os firewalls devem permitir que conexões ociosas permaneçam ativas durante o processo de atualização.

Para dispositivos de hardware, teste a conectividade com servidores dinâmicos usando estes comandos:

• telnet updates.ironport.com 80
• telnet downloads.ironport.com 80

Para dispositivos virtuais, teste a conectividade a esses servidores usando estes comandos:

• telnet update-manifests.sco.cisco.com 443
• telnet updates.ironport.com 80
• telnet downloads.ironport.com 80

Consulte o Guia do Usuário para obter os requisitos de firewall e porta.

Informações Relacionadas

• Matriz de compatibilidade para dispositivos de gerenciamento de segurança de conteúdo da Cisco
• Procedimentos de captura de pacotes ESA
• Atualizações ou upgrades do dispositivo de segurança de conteúdo com um servidor estático
• Compreender a visão geral do Smart Licensing e as práticas recomendadas para segurança de e-mail e Web