Contents

Introduction

Prerequisites

Requirements

Componentes Utilizados

Informações de Apoio

Ferramenta de Preparação para Atualização

Caso 1.  Execução de URT bem-sucedida

Caso 2. Execução de URT Malsucedida

Atualizar ISE

Atualizar o ISE a partir da GUI

Atualizar o ISE a partir do CLI

Problemas comuns

Introduction

Este documento descreve como atualizar o Identity Services Engine (ISE) atual versão 2.4. para 2.6. configurado no dispositivo Cisco ISE e na máquina virtual (VM). Também inclui como usar a ferramenta de disponibilidade de atualização (URT) para detectar e corrigir qualquer problema de atualização de dados de configuração antes do início do processo de atualização.

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento destes tópicos:

- Identity services engine (ISE)

- Compreensão da terminologia usada para descrever diferentes tipos de implantações do ISE

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

- ISE, versão 2.4

- ISE, versão 2.6

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Note: O procedimento é semelhante ou idêntico para outras versões do ISE. Essas etapas podem ser usadas em todas as versões 2.x do software ISE, a menos que especificado de outra forma.

Informações de Apoio

Uma atualização de implantação do Cisco ISE é um processo de várias etapas e deve ser executada na ordem especificada neste documento. Use as estimativas de tempo fornecidas neste documento para planejar um upgrade com um tempo de inatividade mínimo. Para uma implantação com vários Policy Service Nodes (PSNs) que fazem parte de um grupo PSN, não há tempo de inatividade. Se houver pontos de extremidade autenticados por meio de uma PSN que seja atualizada, a solicitação será processada por outra PSN no grupo de nós. O ponto final é autenticado novamente e recebe acesso à rede após a autenticação ser bem-sucedida.

Ferramenta de Preparação para Atualização

Use o URT para detectar e corrigir qualquer problema de atualização de dados de configuração antes de iniciar o processo de atualização. A maioria das falhas de atualização ocorre devido a problemas de atualização de dados de configuração. O URT valida os dados antes da atualização para identificar, relatar ou corrigir o problema, sempre que possível. O URT está disponível como um pacote para download separado que pode ser executado em um nó de Administração de política secundário ou nó autônomo. Não há tempo ocioso para executar esta ferramenta.

Caution: A ferramenta URT não pode ser executada em um Nó de Administração Primário.

Este link de vídeo explica como usar URT.

O URT é executado no nó de administração secundário ou em um nó autônomo.

Caution: A ferramenta URT não simula atualizações de dados operacionais do nó de monitoramento (MnT).

Este é um exemplo que demonstra como executar o URT em um nó autônomo (o mesmo processo pode ser seguido em um nó de administração secundário).

Etapa 1. Faça o download do pacote URT.

Como o plano é atualizar para a versão 2.6, baixe o URT publicado em Cisco.com para ISE 2.6, como mostrado na imagem.

URT para 2.6

Etapa 2. Crie um repositório e copie o pacote URT.

É recomendável usar o FTP (File Transfer Protocol) para obter melhor desempenho e confiabilidade. Não use repositórios localizados em links de WAN lentos. É recomendável usar um repositório local mais próximo aos nós.

Na GUI do ISE, navegue até Administration > System > Maintenance > Repository > Add conforme mostrado na imagem.

Repositório

Opcionalmente, para economizar tempo, copie o pacote URT para o disco local no nó do Cisco ISE com o uso deste comando:

copy repository_url/path/ise-urtbundle-2.6.0.xxx-1.0.0.SPA.x86_64.tar.gz disk:/

Por exemplo, se o FTP seguro (SFTP) for usado para copiar o pacote de atualização, siga este procedimento:

(Add the host key if it does not exist) crypto host_key add host mySftpserver

copy sftp://aaa.bbb.ccc.ddd/ise-urtbundle-2.6.0.xxx-1.0.0.SPA.x86_64.tar.gz disk:/

aaa.bbb.ccc.ddd é o endereço IP ou nome de host do servidor SFTP e ise-urtbundle-2.6.0.xxx-1.0.0.SPA.x86_64.tar.gz é o nome do pacote URT.

Tip: É recomendável ter o pacote URT no disco local para economizar tempo.

Etapa 3. Execute o pacote URT.

Insira o comando de instalação do aplicativo para instalar o URT:

application install ise-urtbundle-2.6.0.x.SPA.x86_64.tar.gz reponame

O aviso fala sobre os serviços que são executados no nó e se o usuário ainda gostaria de continuar a executar o URT nesse nó. Digite Y para continuar como mostrado na imagem.

Você percebe que às vezes a idade da URT é velha. Se o pacote for o mais recente baixado do site da Cisco, você pode prosseguir. Os pacotes URT mais recentes também podem ter mais de 45 dias. Digite Y para continuar.

Caso 1.  Execução de URT bem-sucedida

1. Se o URT for executado com êxito, a saída será a seguinte:

2. O URT fornece um tempo estimado para que cada um dos nós seja atualizado com base no tamanho da configuração e nos dados MNT.

3. Após concluir com êxito a execução do URT, prossiga para a atualização.

4. O TRIBUNAL:

- Verifica se o URT é executado em uma versão compatível do Cisco ISE. As versões suportadas são as versões 2.1, 2.2, 2.3 e 2.4 (atualização para a versão 2.6).

- Verifica se o URT é executado em um nó autônomo do Cisco ISE ou em um nó secundário de administração de política (PAN secundário).

- Verifica se o pacote URT tem menos de 45 dias - Essa verificação é feita para garantir que você use o pacote URT mais recente.

Verifica se todos os pré-requisitos foram atendidos.

Estes são os pré-requisitos que são verificados pelo URT:

- Compatibilidade de versão

- Verificações pessoais

- Espaço em disco

Note: Verifique o tamanho de disco disponível com Tamanho de Requisitos de Disco. Se for necessário aumentar o tamanho do disco, reinstale o ISE e restaure um backup de configuração.

- servidor NTP

- Memória

- Sistema e validação de certificado confiável

5. Clona o banco de dados de configuração.

6. Copia os arquivos de atualização mais recentes para o pacote de atualização.

Note: Se não houver patches no pacote URT, a saída retornará:N/A.This é o comportamento esperado quando você instala um patch ativo.

7. Executa um upgrade de esquema e dados no banco de dados clonado.

- Se o upgrade no banco de dados clonado for bem-sucedido, ele fornecerá uma estimativa do tempo que leva para o upgrade terminar.

- Se o upgrade for bem-sucedido, ele removerá o banco de dados clonado.

- Se o upgrade do banco de dados clonado falhar, ele coletará os logs necessários, solicitará uma senha de criptografia, gerará um pacote de logs e o armazenará no disco local.

Caso 2. Execução de URT Malsucedida

1. O URT pode falhar devido a um motivo que pode causar problemas com a atualização. Se isso acontecer, o URT retornará a causa da falha.

2. Aqui está um exemplo de execução de falha de URT:

3. O URT falhou com o motivo: O certificado de confiança com o nome amigável 'Autoridade de Certificação de Servidor Seguro VeriSign Classe 3 - G3' é inválido: O certificado expirou.

4. Conforme explicado nas pré-verificações de atualização, se o sistema ISE tiver certificados expirados, a atualização falhará. É necessário que todos os certificados expirados sejam renovados ou substituídos.

5. O URT salva os registros de falha que podem ser compartilhados com o Cisco TAC se o usuário não tiver certeza do motivo da falha.

6. Ele solicita que você informe uma senha para criptografar os logs. Esses logs URT são salvos no disco local.

7. Copie-os do disco local para um repositório e compartilhe-os com o TAC da Cisco para resolução.

Atualizar ISE

Antes do início da atualização, verifique se estas tarefas foram concluídas:

1. Obtenha um backup da configuração do ISE e dos dados operacionais.

*Quando o Cisco ISE é executado no VMware, os instantâneos do VMware não são suportados para backup de dados do ISE.

2. Obtenha um backup dos logs do sistema.

3. Desative os backups programados. Reconfigure os agendamentos de backup após a conclusão da atualização da implantação.

4. Exporte os certificados e as chaves privadas.

5. Configure um repositório. Faça download do pacote de atualização e coloque-o no repositório.

6. Anote as credenciais de ingresso do Ative Diretory (AD) e o segredo do nó RSA SecurID, se aplicável. Essas informações são necessárias para se conectar ao servidor Ative Diretory ou RSA SecurID após a atualização.

7. Apague os dados operacionais para melhorar o desempenho da atualização.

8. Certifique-se de que a conexão de Internet ao repositório esteja boa.

Note: O download do pacote de atualização de um repositório para um nó expira se levar mais de 35 minutos para ser concluído.

Preparar para atualização:

Essas diretrizes ajudam a resolver os problemas na implantação atual que podem ocorrer no processo de atualização. Isso reduz o tempo de inatividade geral de atualização e aumenta a eficiência.

Patch mais recente: Atualizar para o patch mais recente na versão atual antes da atualização.

Ambiente de Preparação: É recomendável testar a atualização em um ambiente de preparação para identificar e corrigir quaisquer problemas de atualização antes da atualização para as redes de produção.

Nível do patch: Todos os nós na implantação do Cisco ISE estão no mesmo nível de patch para trocar dados.

Note: Se todos os nós na implantação não estiverem na mesma versão do Cisco ISE e versão do patch, uma mensagem de aviso: "Upgrade cannot begin" é exibido. Esta mensagem indica que a atualização está em um estado bloqueado. Certifique-se de que todos os nós na implantação estejam na mesma versão (isso inclui a versão do patch, se houver) antes do início do processo de atualização.

Dados operacionais (logs): É uma prática recomendada arquivar os logs antigos e não transportá-los para as novas implantações. Isso ocorre porque os logs operacionais restaurados nos MnTs não são sincronizados com nós diferentes caso as funções MnT sejam alteradas posteriormente. Se o plano for reter os logs MnT, execute essas tarefas para nós MnT e junte a nova implantação como nós MnT. No entanto, se não houver necessidade de reter os logs operacionais, isso poderá ser ignorado com a recriação dos nós MnT.

No caso de uma nova imagem necessária: A instalação do Cisco ISE pode ser feita em paralelo se for uma implantação de vários nós sem impacto na implantação de produção. Quando você instala servidores ISE em paralelo, isso economiza tempo, especialmente quando são usados backup e restaurações de uma versão anterior. PSNs podem ser adicionados à nova implantação para baixar as políticas atuais no momento do processo de registro do PAN.

Use a calculadora de latência e largura de banda do ISE para entender o requisito de latência e largura de banda na implantação do Cisco ISE.

Data centers HA: Se houver data centers (DCs) com implantação totalmente distribuída, atualize o DC de backup e teste os casos de uso antes de atualizar o DC primário.

Baixar um dia antes: Faça o download e armazene o pacote de atualização mais recente para a atualização em um repositório local antes da atualização para acelerar o processo.

Previsão de tempo: Para a atualização do ISE a partir da GUI, o tempo limite do processo é de quatro horas. Se o processo demorar mais de quatro horas, a atualização falhará. Se a URT demorar mais de quatro horas, a Cisco recomenda usar a CLI para este processo.

Balanceadores de carga: Faça o backup dos balanceadores de carga antes de alterar a configuração. Remova as PSNs dos balanceadores de carga no momento da janela de atualização e adicione-as novamente após a atualização.

Failover de PAN: Desative o Failover PAN automático (se configurado) e desative o Heartbeat entre PANs no momento da atualização.

Revisar políticas: Reveja as políticas e regras atuais e remova políticas e regras desatualizadas, redundantes e obsoletas.

Logs indesejados: Remova logs de monitoramento e dados de endpoint indesejados.

Verificação de erros: Use a Bug Search Tool para encontrar os defeitos relacionados à atualização que estão abertos ou corrigidos.

Pós-atualização: Teste todos os casos de uso da nova implantação com menos usuários para garantir a continuidade do serviço.

Atualizar o ISE a partir da GUI

O Cisco ISE oferece uma atualização centralizada baseada em GUI a partir do portal Admin. O processo de atualização é muito simplificado e o progresso da atualização e o status dos nós são exibidos na tela. A página Visão Geral sob a opção de menu Administração > Atualização lista todos os nós na implantação, as personas ativadas neles, a versão do ISE instalada e o status (indica se um nó está ativo ou inativo) do nó. A atualização só poderá começar se os nós estiverem no estado Ativo.

A atualização baseada em GUI do portal Admin é suportada somente se o ISE estiver na versão 2.0 ou posterior e precisar de uma atualização para a versão 2.0.1 ou posterior.

Caso esta mensagem de aviso seja exibida: "O nó foi revertido para seu estado pré-atualização", navegue para a janela Atualização, clique no link Detalhes. Resolva os problemas listados na janela Detalhes da Falha de Atualização. Depois que todos esses problemas forem corrigidos, clique em Atualizar para reiniciar a atualização.

Etapa 1. Clique na guia Upgrade no portal Admin.

Etapa 2. Clique em Continuar.

A janela Verificar Lista de Verificação é exibida. Leia atentamente as instruções fornecidas conforme mostrado na imagem.

Etapa 3. Marque a caixa de seleção "Eu revisei a lista de verificação" e clique em Continuar.

A janela Download Bundle to Nodes é exibida como mostrado na imagem.

Etapa 4. Faça download do pacote de atualização do repositório para os nós:

1. Marque a caixa de seleção ao lado dos nós para os quais o pacote é baixado.

2. Clique em Download. A janela Selecionar repositório e pacote é exibida como mostrado na imagem.

3. Selecione o repositório.

4. Marque a caixa de seleção ao lado do pacote usado para a atualização.

5. Clique em Confirmar. Depois que o pacote é baixado para o nó, o status do nó muda para Pronto para atualização.

Etapa 5. Clique em Continuar. Em seguida, a janela Atualizar nós é exibida. Clique em Upgrade para começar.

Atualizar o ISE a partir do CLI

Certifique-se de ler o capítulo intitulado 'Antes de começar' antes de continuar. Aqui está um exemplo de atualização de nó ISE autônomo da CLI.

Etapa 1. Verifique se o repositório a ser usado tem o arquivo de atualização presente com o uso do comando show repository reponame como mostrado na imagem.

Etapa 2. Na Interface de Linha de Comando (CLI) do Cisco ISE, digite o comando application upgrade prepare com o nome do arquivo do pacote e o nome do repositório onde o arquivo está armazenado.

Esse comando copia o pacote de atualização para o repositório local.

Etapa 3. Na CLI do Cisco ISE, digite o comando application upgrade continue conforme mostrado na imagem.

Quando esta mensagem aparecer, inicie uma sessão SSH após 30 minutos e execute o comando show application status ise para ver o progresso. Esta mensagem aparece % AVISO: A atualização do Identity Services Engine está em andamento...

A atualização é considerada concluída quando o status de todos os serviços esperados muda para em execução.

Note: Se a atualização falhar por algum motivo, antes de tentar uma atualização novamente, use o comando application upgrade cleanup para limpar os arquivos antigos.

Problemas comuns

1. Se o pacote demorar muito para ser baixado do repositório ou expirar quando o download for feito via GUI:

- Verifique se há largura de banda suficiente para processar o download do pacote.

- Quando um pacote de atualização é baixado de um repositório para um nó, o download expira se levar mais de 35 minutos para ser concluído. Certifique-se de que a conexão de Internet ao repositório esteja boa.

2. Em uma atualização de implantação distribuída, o erro "Nenhum nó de administração secundário na implantação" pode ser visto quando:

- Não há nó de administração secundário na implantação.

- O nó de administração secundário está inoperante.

- O nó de administração secundário é atualizado e movido para a implantação atualizada. Normalmente, isso ocorre se a opção Atualizar detalhes de implantação for usada depois que o nó de administração secundário for atualizado.

Para resolver esse problema, execute uma destas tarefas, conforme aplicável:

- Se a implantação não tiver um nó de administração secundário, configure um nó de administração secundário e repita a atualização.

- Se o nó de administração secundário estiver inativo, ative o nó e repita a atualização.

- Se o nó de administração secundário for atualizado e movido para a implantação atualizada, use a CLI para atualizar manualmente os outros nós na implantação.

3. O status de atualização de um nó não foi alterado:

- Se o status da atualização não mudar por muito tempo (e permanecer em 80%) na GUI, verifique os logs de atualização da CLI ou o status da atualização no console.

- Faça login na CLI ou visualize o console do nó do Cisco ISE para ver o progresso da atualização. Use o comando show logging application para exibir os arquivos upgrade-uibackend-cliconsole.log e upgrade-postosupgrade-yyyymmdd-xxxxxx.log.

- Exiba esses logs de atualização da CLI com o comando show logging application: DB Data Upgrade Log, DB Schema Log e Post OS Upgrade Log.

4. Retornar à versão anterior da imagem ISO:

- Em casos raros, pode ser necessário recriar o dispositivo Cisco ISE com a imagem da versão anterior e restaurar os dados do arquivo de backup. Após a restauração dos dados, registre-se com a implantação antiga e habilite as personas como feito na implantação antiga. Portanto, é recomendável fazer backup da configuração do Cisco ISE e dos dados operacionais antes do início do processo de atualização.

- Às vezes, as falhas de atualização que ocorrem devido a problemas no banco de dados de configuração e monitoramento não são revertidas automaticamente. Quando isso ocorre, uma notificação aparece informando que o banco de dados não é revertido, junto com uma mensagem de falha de atualização. Nesses cenários, recrie manualmente o sistema, instale o Cisco ISE e restaure os dados de configuração e os dados operacionais (se a persona MnT estiver ativada).

- Gere um pacote de suporte com o comando backup-logs antes de uma tentativa de reversão ou recuperação e coloque o pacote de suporte em um repositório remoto para investigação posterior pelo TAC, se necessário.