Expressway 15.5.20升级核对表

就绪性检查已停止升级

当证书、TLS验证或对等身份要求失败时，安装程序在重新启动之前停止。独立节点通过对等身份检查。

节点启动后发出警报

群集数据库重新加密的突发，可能会引发群集通信故障警报。给它一点时间完成。保持正常运行状态则进行升级。

管理员无法登录

请将此问题与安装故障分开处理。过期、重用或首次登录密码会阻止会话。它们并不意味着映像失败。

证书或对等身份失败

1. 从停止的节点下载完整的系统快照。在该快照的tmp目录中打开install-error。
2. 如果消息是关于对等体身份，请检查IP地址和FQDN的组合或空对等体列表。使每个对等体都使用一种格式，等待复制，确认集群运行正常，然后重试。请勿在滚动升级过程中更改身份格式。
3. 如果消息与证书有关，请将其与版本说明规则进行比较：系统FQDN必须位于SAN中，或仅在SAN为空时才位于CN中。当前SAN不允许回退到CN。
4. 以正确的SAN类型重新颁发包含每个所需DNS名称或IP地址的证书。拒绝包含嵌入式NUL的名称。
5. 确认新证书已过期、受信任、RSA 2048+或P-256+并使用SHA-2签名。不要将私钥附加到案例。
6. 将TLS验证设置为“实施”，确认集群运行正常，然后在停止的节点上重试升级。
7. 只有在节点运行状况正常之后才继续滚动升级。当一个节点在此检查中暂停时，请勿升级剩余节点。

在升级期间或升级后立即发出集群警报

1. 确认升级本身已完成，并且节点位于X15.5.20上。
2. 在事件日志中查找有关重新加密ClusterDB字段的developer.upgrade消息，然后查找“Saving migrated data to CDB”。
3. 等待警报清除。培训材料说重新加密完成后，该功能会清除。
4. 如果保留该属性，请从每个对等体收集集群状态、警报和快照。请勿将群集cookie或关键材料复制到案例说明中。
5. 确认TCP 4371和4372仅在对等体之间打开，并且双方TLS成功。允许从任何位置访问4371的防火墙不是解决之道。

节点启动后的登录问题

• Web UI重定向到密码更改。必须输入当前密码，新密码必须不同。在安装或出厂重置后第一次GUI登录时，以及本地密码到期时，将会出现这种情况。
• SSH显示键盘交互/PAM失败，并且从未打开外壳。必须更改过期的本地密码。未授予旧会话。
• REST返回401。对于已过期的本地管理员，此值应为预期值。事件日志可以显示API领域的密码不匹配或taa-chkpasswd失败。请更改密码，然后重试。
• 新密码被拒绝。它位于历史记录中（默认为最后12个），或者它未通过当前的复杂性规则。
• LDAP管理员丢失了预期角色。将已配置的组与LDAP返回的确切组名称进行比较。部分或子字符串匹配不再授予该角色。只读管理员无法编辑SAML IdP信任。
• 新安装或出厂重置时没有出厂默认根密码。请勿搜索或分发默认凭据。升级不会清除当前的管理员密码。

警告：出厂重置不是升级 — 恢复步骤。删除群集标识和群集cookie。取消集群后系统触发的重置或不一致的集群数据库会保留IP地址以及管理员和根密码，清除其他配置和日志，并将节点返回到其临时证书。仅当发行说明需要它时才使用它，并且仅在存在备份之后才使用。

需要TAC案例时应收集的证据

1. 每个节点的软件版本和角色，以及哪个节点已停止。
2. 故障节点的完整系统快照，包括tmp/install-error。
3. 服务器证书文本(openssl x509 -text -noout)。 没有私钥。
4. 集群状态、警报以及xConfiguration集群TlsVerify显示许可还是实施。
5. 升级以及sshd或httpd身份验证失败的相关事件日志行。密写密码和cookie。
6. 无论是使用本地、LDAP还是SAML管理员、智能许可和任何API自动化。

升级后

在每个节点上

1. 版本是预期的X15.5.20内部版本。
2. 节点在其管理地址和Web UI加载上可访问。
3. 未引发任何新的硬件、磁盘或应用警报。（重新加密后，集群通信警报会清除。）
4. 在群集稳定后执行新的备份。

仅集群

1. 集群中的每个对等体都处于运行状态，并且复制正常。
2. 对等体在TCP 4371和4372上使用双向TLS进行通信。（没有有效客户端证书的连接必须失败。）
3. 集群TlsVerify正在实施。

   不支持允许。旧版允许值仍然可见，但它不会绕过验证。设置Enforcing并确认集群保持正常。

4.防火墙仍然仅允许来自对等体地址的TCP 4371。

5.日志或上传的快照注释中不会显示群集cookie或诊断密钥。

服务检查，按正在使用的内容