Solução de problemas "O FMC remoto não foi atualizado com êxito"

Introdução

Este documento descreve como solucionar problemas do "Remote FMC Is Not Updated Successfully. Conclua a atualização no FMC remoto antes de atualizar este par."

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Firepower Management Center (FMC)
• Conhecimento básico da CLI do CVP.

Componentes Utilizados

Este documento não se restringe a versões de software e hardware específicas.

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de Apoio

Mensagem de erro 

O erro  "Remote FMC is not updated successfully. Complete the update on remote FMC before updating this peer" é exibido na GUI do FMC quando você tenta atualizar os dispositivos gerenciados pelo par HA (High Availability, alta disponibilidade) do FMC. Este erro não permite que a atualização dos dispositivos gerenciados seja iniciada. Veja como é o alerta de erro na GUI:

O erro também pode ser verificado no CLI do FMC com o comando do modo especialista cat /var/log/httpd/httpd_error_log.1 | grep -i "CVP à distância".

> expert
root@FMC:~$ cat /var/log/httpd/httpd_error_log.1 | grep -i 'Remote FMC'

[Mon Jan 30 07:20:10.062741 2022] [cgi:error] [pid 5906] [client 192.168.1.10:45267] AH01215: (Remote FMC is not updated successfully. Complete the update on remote FMC before updating this peer.) in /usr/local/sf/htdocs/admin/update.cgi:331 at /usr/local/sf/lib/perl/5.10.1/SF.pm line 120.: /usr/local/sf/htdocs/admin/update.cgi, referer:  
[Mon Jan 30 07:22:43.370986 2022] [cgi:error] [pid 15376] [clien 192.168.1.10:45267] AH01215: (Remote FMC is not updated successfully. Complete the update on remote FMC before updating this peer.) in /usr/local/sf/htdocs/admin/update.cgi:331 at /usr/local/sf/lib/perl/5.10.1/SF.pm line 120.: /usr/local/sf/htdocs/admin/update.cgi, referer:  

Causas do erro

Este erro é conhecido por ocorrer quando existe uma incompatibilidade na versão do patch de software, na versão do Vulnerability Database (VDB), na versão das regras de intrusão (SRU) ou na versão do Geolocation Database (GeoDB) entre os dois FMCs no HA. A incompatibilidade ocorre quando qualquer uma dessas atualizações de versão listadas está travada ou falha ao instalar. Esta incompatibilidade não pode ser observada quando as versões da interface do usuário do FMC são verificadas na seção Ajuda > Sobre, mas é recomendável verificar esta página nos dois FMCs.

Observação: as implantações nos dispositivos gerenciados podem ser bem-sucedidas com isso, mas as atualizações de software não começam com esse erro.

Identifique o problema

Verificar as versões em FMCs em HA a partir da GUI

Na GUI do FMC, acesse Help > About para confirmar se as versões do Software Patch, VDB, SRU e GeoDB em ambos FMC em HA são as mesmas. Estas imagens mostram um exemplo de uma correspondência de versão de dois FMCs em HA a partir da GUI:

.              

Verificar o status de instalação das versões de VDB, SRU e GeoDB em FMCs com HA via CLI

No modo especialista na CLI do FMC, você precisa verificar se as atualizações do VDB, SRU e GeoDB foram instaladas completamente sem falhas em ambos os FMCs no HA.

Note: Nessas seções, é explicado como verificar o status.log de cada pasta de versão de imagem. Essas pastas de versão de imagem devem corresponder à pasta no FMC par. Por exemplo, se a pasta da versão do VDB instalada no FMC for "vdb-4.5.0-338", você terá que verificar na mesma pasta os dois FMCs. Aqui, use o comando cat /var/log/sf/vdb-4.5.0-338/status.log em ambos FMC para verificar o status de atualização do VDB. O mesmo se aplica às atualizações SRU e GeoDB também.

Verificar o Status de Instalação do VDB

No modo de especialista na CLI do FMC, use este comando cat /var/log/sf/<vdb-image-folder>/status.log para verificar se a atualização do VDB foi bem-sucedida. Aqui está um exemplo de uma instalação de VDB bem-sucedida:

root@FMC:~$ cat /var/log/sf/vdb-4.5.0-338/status.log
state:running
ui:The install has begun
ui:[ 0%] Running script pre/000_start.sh...
ui:[ 4%] Running script pre/010_check_versions.sh...
ui:[ 8%] Running script pre/011_check_versions.pl...
ui:[12%] Running script pre/020_check_space.sh...
ui:[15%] Running script pre/500_stop_rna.pl...
ui:[19%] Running script pre/999_finish.sh...
ui:[23%] Running script installer/000_start.sh...
ui:[27%] Running script installer/100_install_files.pl...
ui:[31%] Running script installer/200_install_fingerprints.sh...
ui:[35%] Running script installer/300_install_vdb.sh...
ui:[38%] Running script installer/400_install_rdps.pl...
ui:[42%] Running script installer/420_delete_obsolete_ids.pl...
ui:[46%] Running script installer/450_resave_detectors.pl...
ui:[50%] Running script installer/525_export_compliance_policies.pl...
ui:[54%] Running script installer/600_fix_dbcheck.sh...
ui:[58%] Running script installer/605_install_dbcheck_upgrade_script.sh...
ui:[62%] Running script installer/610_install_missing_upgrade_script.sh...
ui:[65%] Running script installer/615_purge_vdb_149_log.sh...
ui:[69%] Running script installer/900_update_version.sh...
ui:[73%] Running script installer/901_update_db_version.pl...
ui:[77%] Running script installer/950_reapply_to_sensor.pl...
ui:[81%] Running script installer/975_export_data.pl...
ui:[85%] Running script installer/999_finish.sh...
ui:[88%] Running script post/000_start.sh...
ui:[92%] Running script post/500_start_rna.pl...
ui:[96%] Running script post/999_finish.sh...
ui:[100%] The install completed successfully.
ui:The install has completed.
state:finished

Verificar o status de instalação do SRU

No modo de especialista na CLI do FMC, use o comando cat /var/log/sf/<sru-image-folder>/status.log para verificar se a atualização do SRU foi bem-sucedida. Aqui está um exemplo de uma instalação SRU bem-sucedida:

root@FMC:~$ cat /var/log/sf/sru-2021-05-03-001-vrt/status.log
state:running
ui:The force install has begun.
ui:[ 0%] Running script pre/000_start.sh...
ui:[ 5%] Running script pre/010_check_versions.sh...
ui:[11%] Running script pre/020_check_space.sh...
ui:[16%] Running script pre/999_finish.sh...
ui:[21%] Running script installer/000_start.sh...
ui:[26%] Running script installer/050_sru_log_start.pl...
ui:[32%] Running script installer/100_install_files.pl...
ui:[37%] Running script installer/510_install_policy.pl...
ui:[42%] Running script installer/520_install_rules.pl...
ui:[47%] Running script installer/521_rule_docs.sh...
ui:[53%] Running script installer/530_install_module_rules.pl...
ui:[58%] Running script installer/540_install_decoder_rules.pl...
ui:[63%] Running script installer/602_log_package.pl...
ui:[68%] Running script installer/900_update_version.sh...
ui:[74%] Running script installer/999_finish.sh...
ui:[79%] Running script post/000_start.sh...
ui:[84%] Running script post/500_copy_contents.sh...
ui:[89%] Running script post/900_iru_log_finish.pl...
ui:[95%] Running script post/999_finish.sh...
ui:[100%] The force install completed successfully.
ui:The force install has completed.
state:finished

Verificar Status de Instalação do GeoDB

No modo especialista na CLI do FMC, use o comando cat /var/log/sf/<geodb-image-folder>/status.log para verificar se a atualização do GeoDB foi bem-sucedida. Aqui está um exemplo de uma instalação bem-sucedida do GeoDB:

root@FMC:~$ cat /var/log/sf/geodb-2022-08-02-100/status.log
state:running
ui:The install has begun.
ui:[ 0%] Running script installer/200_prechecks.pl...
ui:[33%] Running script installer/500_install_country_map.pl...
ui:[67%] Running script installer/601_fix_country.pl...
ui:[100%] The install completed successfully.
ui:The install has completed.
state:finished

Se a instalação falhou ou está travada por qualquer motivo, você pode ver que etapa isso falhou ou está travado a partir deste status.log. Este é um exemplo de falha de instalação de GeoDB no FMC:

root@FMC:~$ cat /var/log/sf/geodb-2022-07-17-100/status.log
state:running
ui:The install has begun.
ui:[ 0%] Running script installer/200_prechecks.pl...
ui:[33%] Running script installer/500_install_country_map.pl...
ui:[67%] Running script installer/601_fix_country.pl...
ui:[67%] Fatal error: Error running script installer/601_fix_country.pl

Verificar o status da instalação da versão e do patch do software em FMCs em HA da CLI 

No modo especialista na CLI do FMC, use o comando cat /etc/sf/patch_history para verificar se ambos os FMC têm a mesma versão e patch instalados. Execute este comando para identificar qualquer incompatibilidade em ambos os FMCs. Aqui está um exemplo de uma incompatibilidade de patch da CLI: 

root@FMC:~$ cat /etc/sf/patch_history
6.2.3-83
6.6.0-90
6.6.4-59
6.6.5-81
Hotfix_DE-8__413769962     <<<<<<<<<<<  Here the FMC seems to have a Hotfix installation image that is not present from the other FMC

-------------------------------------------------------------------

root@FMC:~$ cat /etc/sf/patch_history
6.2.3-83
6.6.0-90
6.6.4-59
6.6.5-81        

Para verificar ainda mais se a instalação do hotfix no FMC foi bem-sucedida, é necessário verificar o status.log desta pasta de imagens:

root@FMC:~$ cat /var/log/sf/Cisco_Firepower_Mgmt_Center_Hotfix_DE-6.6.5.2/status.log

ui:[98%] Upgrade complete
ui:[99%] Running script 999_finish/999_z_must_remain_last_finalize_boot.sh...
ui:[99%] Running script 999_finish/999_zz_install_bundle.sh...
ui:[100%] The system will now restart services.
ui:System will now restart services.
ui:[100%] Installation completed successfully.
ui:Upgrade has completed.
state:finished

Este exemplo verifica se a imagem do patch não estava presente no FMC em HA, enquanto o outro tinha o patch instalado com êxito. 

Troubleshooting

Para resolver o erro, você precisa executar uma instalação forçada manual das atualizações a partir do CLI do FMC onde o problema é identificado. 

Disclaimer: Root access to the FMC devices is required in order to execute the commands under this section. Please use caution when running commands from the root of the FMC. 

Problema de atualização de VDB, SRU e GeoDB

Depois de identificar os problemas de atualização do VDB, SRU ou GeoDB, execute uma instalação forçada manual a partir do comando CLI install_update.pl /var/sf/updates/<image-file> —force. Aqui está um exemplo da instalação forçada manual para uma atualização do GeoDB:

> expert
root@FMC:~$ sudo su
<Enter the root password>
root@FMC:# install_update.pl /var/sf/updates/Cisco_Firepower_GEODB_FMC_Update-2022-08-02-100.sh.REL.tar --force

Note: Use o caminho absoluto do arquivo de imagem com o comando install_update.pl como mostrado no exemplo. Não descompacte nenhum arquivo tar.gz antes de forçar a instalação a partir do CLI.

Problema de Instalação do Hotfix

Para a instalação de hotfix/patch, você precisa fazer o download do arquivo de patch e instalá-lo no FMC, onde o arquivo de patch não estava presente, via GUI ou CLI.

na GUI do FMC: 

Acesse System > Updates > Product Updates e carregue a versão do patch a ser instalada. Em seguida, clique na opção Instalar e escolha o dispositivo no qual você precisa instalar o patch e continue a instalação. 

Da CLI do FMC:

Para instalar o software/patch da CLI do FMC, carregue o arquivo de atualização do hotfix no caminho /var/log/sf/ na CLI do FMC e execute o comando install_update.pl /var/log/sf/<image-file>. Esse comando executa os logs de atualização na mesma tela para permitir que monitorem o progresso. Aqui está um exemplo da instalação do patch a partir da CLI:

> expert
root@FMC:~$ sudo su
<Enter the root password>
root@FMC:# install_update.pl /var/log/sf/Cisco_Firepower_Mgmt_Center_Hotfix_DE-6.6.5.2 

Se houver um tempo limite curto na sessão SSH, use o comando install_update.pl—detach /var/log/sf/<image-file> para executar a instalação em segundo plano. Isso permite que a atualização seja executada mesmo após o encerramento da sessão SSH.

Verificar

Atualização de VDB, SRU ou GeoDB

Após a conclusão da instalação forçada manual, você pode verificar o status da instalação na CLI com o comando cat /var/log/sf/<image-version-folder>/status.log para atualização de VDB, SRU e GeoDB. Aqui está um exemplo da saída de status.log de uma instalação bem-sucedida do GeoDB:

root@FMC:/Volume/home/admin# cat /var/log/sf/geodb-2022-08-02-100/status.log
state:running
ui:The force install has begun.
ui:[ 0%] Running script installer/200_prechecks.pl...
ui:[33%] Running script installer/500_install_country_map.pl...
ui:[67%] Running script installer/601_fix_country.pl...
ui:[100%] The force install completed successfully.
ui:The force install has completed.
state:finished

Atualização de hotfix ou patch

Após a instalação manual da atualização, execute o comando cat /var/log/sf/<patch-image-folder>/status.log da CLI para verificar o status desta instalação. Aqui está um exemplo da saída de status.log de uma instalação bem-sucedida:

root@FMC:/var/log/sf/Cisco_Firepower_Mgmt_Center_Hotfix_DE-6.6.5.2# tail -f status.log
ui:[98%] Upgrade complete
ui:[99%] Running script 999_finish/999_z_must_remain_last_finalize_boot.sh...
ui:[99%] Running script 999_finish/999_zz_install_bundle.sh...
ui:[100%] The system will now restart services.
ui:System will now restart services.
ui:[100%] Installation completed successfully.
ui:Upgrade has completed.
state:finished

Note: Se o erro ainda estiver presente após você tentar as etapas fornecidas neste documento, abra uma solicitação de serviço no Cisco TAC.