Inhalt

Einleitung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Unterstützte Pfade

Vergleich des vollständigen Upgrades mit der Split-Upgrade-Methode

Reihenfolge der Knoten-Upgrades mit Split-Upgrade-Methode in einer verteilten Bereitstellung

Reihenfolge der Node-Upgrades mit voller Upgrade-Methode in einer verteilten Bereitstellung

Vorteile einer vollständigen Upgrade-Methode über Split-Upgrade

Vollständiger Upgrade-Flow

Benutzeroberfläche aktualisieren

Willkommensseite

Checkliste

Upgrade-Vorbereitung

Upgrade-Bereitstellung

Upgrade-Knoten

Zusammenfassung

Health Checks

Aufgaben nach dem Upgrade

Probleme und Rechtsmittel

Einleitung

In diesem Dokument wird beschrieben, wie Sie mithilfe der Full Upgrade-Methode eine bestehende ISE-Bereitstellung von Version 2.7 auf Version 3.1 aktualisieren. Darüber hinaus wird erläutert, wie mithilfe der Health Checks-Funktion potenzielle Bereitstellungsprobleme erkannt und behoben werden. Die ältere Aktualisierungsmethode wird jetzt als Split Upgrade bezeichnet und ist als Alternative verfügbar, wenn die vollständige Upgrade-Methode nicht bevorzugt wird.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

- Identity Services Engine (ISE)

- Verständnis der Terminologie zur Beschreibung verschiedener Arten von ISE-Bereitstellungen

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

- ISE, Version 2.7, Patch 4

- ISE, Version 3.1

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

Anmerkung: Die Vorgehensweise ist mit anderen ISE-Versionen vergleichbar oder identisch. Diese Schritte können ab Version 2.6 verwendet werden, um auf Version 3.1 und höher der ISE-Software zu aktualisieren, sofern nicht anders angegeben.

Unterstützte Pfade

Vollständiges Upgrade auf ISE 3.1 wird von unterstützt

- ISE 2.6 Patch 10 und höher

- ISE 2.7 Patch 4 und höher

- ISE 3.0 Patch 3 und höher

Split-Upgrade auf ISE 3.1 wird von ISE 2.6 und höheren Versionen mit oder ohne Patch unterstützt.

Vergleich des vollständigen Upgrades mit der Split-Upgrade-Methode

Reihenfolge der Knoten-Upgrades mit Split-Upgrade-Methode in einer verteilten Bereitstellung

Erfordert mindestens fünf Schritte für eine vollständig verteilte Bereitstellung, um ein Upgrade auf die neuere Version durchzuführen.

Bei Berücksichtigung von ca. 240 Minuten für jeden Schritt würde der gesamte Upgrade-Prozess hier 240*5 Minuten = 20 Stunden dauern.

Reihenfolge der Node-Upgrades mit voller Upgrade-Methode in einer verteilten Bereitstellung

Erfordert nur zwei Schritte für eine vollständig verteilte Bereitstellung, um ein Upgrade auf die neuere Version durchzuführen.

Bei Berücksichtigung von ca. 240 Minuten für jeden Schritt wird der gesamte Upgrade-Prozess jetzt auf 240*2 Minuten = 8 Stunden reduziert.

Vorteile einer vollständigen Upgrade-Methode über Split-Upgrade

- Die Full-Upgrade-Methode beansprucht weniger Zeit für die Gesamtaktivität, da die Knoten parallel aktualisiert werden, während die Split-Upgrade-Methode gut geplant werden muss, während eine längere Laufzeit des Wartungsfensters erforderlich ist.

- Die Full-Upgrade-Methode ist in Bezug auf die Upgrade-Sequenz problemlos, da es nur zwei Schritte gibt. Bei der Split Upgrade-Methode müssen die Knoten vor dem Start des Aktualisierungsvorgangs entsprechend sequenziert werden.

- Die Full Upgrade-Methode behält die Rollen und Personas bei, die sie vor dem Upgrade hatten. Die Split Upgrade-Methode schaltet die primäre und die sekundäre Admin-Rolle in der aktualisierten Version um.

- Die Fehlerpunkte wurden in der Full-Upgrade-Methode reduziert, indem die API-Abhängigkeit mit bereitstellungsbezogenen Änderungen während des Upgrade-Prozesses eliminiert wurde.

- Die Full Upgrade-Methode ermöglicht die Nachverfolgung des Upgrade-Status vom sekundären Admin-Knoten, wenn der primäre Admin-Knoten wegen eines Upgrades ausfällt. Dies ist bei der Split Upgrade-Methode nicht möglich.

- Die Patch-Installation nach dem Upgrade wird automatisiert und als Option in der Full-Upgrade-Methode bereitgestellt.

Vorsicht: Für ein vollständiges Upgrade ist eine vollständige Ausfallzeit erforderlich, da alle PSNs gleichzeitig ausfallen. Stellen Sie sicher, dass die Aktivität während eines geplanten Wartungsfensters geplant ist.

Vollständiger Upgrade-Flow

Dieses Dokument veranschaulicht den Upgrade-Fluss einer Bereitstellung mit vier Knoten. Der Gesamtprozess bleibt für Bereitstellungen mit zwei oder mehreren Knoten gleich.

Benutzeroberfläche aktualisieren

Navigieren Sie zu Administration > System > Upgrade, um die Aktivität wie im Bild gezeigt zu starten.

Anmerkung: Nur die Split Upgrade-Methode wird auf ISE 2.6 Patch 9 und niedriger, ISE 2.7 Patch 3 und niedriger und ISE 3.0 Patch 2 und höher unterstützt. Standardmäßig wird das Fenster "Aufrüstung aufteilen" für diese Versionen gestartet. Der Split-Upgrade-Prozess kann hier referenziert werden. Aktivieren Sie das Optionsfeld Vollständige Aktualisierung, und klicken Sie auf Upgrade starten.

Willkommensseite

Klicken Sie im Begrüßungsbildschirm auf Weiter, um fortzufahren.

Checkliste

Überprüfen Sie die Checkliste, und stellen Sie sicher, dass Sie die Aufgaben ausführen, bevor Sie fortfahren.

Aktivieren Sie das Kontrollkästchen Ich habe die Checkliste überprüft und klicken Sie auf Weiter.

Upgrade-Vorbereitung

Vor dem Upgrade wird bei der vollständigen Bereitstellung eine Vorabprüfung durchgeführt, und die Ergebnisse werden auf dieser Seite angezeigt. Neben den Prüfungen wird in diesem Schritt das Upgrade-Paket auf alle Knoten heruntergeladen, das Offline-Daten-Upgrade (ODU) wird auf dem sekundären Admin-Knoten ausgeführt (dies entspricht der URT-Simulation (Upgrade Readiness Tool) der Split Upgrade-Methode) und schließlich wird auch die Zeitschätzung für die Aktivität angezeigt.

Das Upgrade-Paket wird von der Cisco Software Download-Seite heruntergeladen.

Um die Prüfung vor dem Upgrade durchzuführen, wählen Sie den Repository-Namen aus, in dem das Upgrade-Paket abgelegt ist. Wählen Sie im Dropdown-Feld "Paket" den Dateinamen des Upgrade-Pakets aus.

Anmerkung: Die vollständige Upgrade-Methode führt auch zur automatischen Patch-Installation nach dem Upgrade. Die Patch-Datei ist zusammen mit dem Upgrade-Paket im selben Repository abzulegen, und der Name der Patch-Datei kann aus dem Dropdown-Menü ausgewählt werden, wenn eine automatische Patch-Installation gewünscht wird.

Klicken Sie auf Vorbereitung starten, um die Vorabprüfungen auszuführen. Alle Vorabprüfungen, mit Ausnahme der Prüfung für Paketdownload und Konfigurationsdaten-Upgrade, laufen nach 4 Stunden nach Beginn der Systemvalidierung automatisch ab. Das Upgrade der Konfigurationsdaten (nur ODU) läuft nach 12 Stunden ab.

Anmerkung: Die PAN-Failover-Einstellung sollte vor der Upgrade-Aktivität deaktiviert werden. Wenn die Aktualisierung nicht manuell durchgeführt wird, wird sie automatisch deaktiviert, sobald sie ausgelöst wird.

Anmerkung: Die ISE ab Version 3.0 erfordert die Nutzung von Smart Licensing. Herkömmliche Lizenzierung wird nicht unterstützt. Falls Smart Licensing vor dem Upgrade nicht aktiviert oder registriert ist, wird die ISE standardmäßig nach dem Upgrade in den Evaluierungszeitraum für Smart Licensing verschoben. Referenzlink zur Lizenzmigration: Produkte - ISE Licensing Migration Guide - Cisco Wenn Sie ISE von 2 aktualisieren. x bis 3.x, es sind Änderungen der Lizenzierungsstufen erforderlich. Details finden Sie hier: Cisco Identity Services Engine - Häufig gestellte Fragen zur Cisco ISE-Lizenz - Cisco.

Vorsicht: Alle Konfigurationsänderungen auf der ISE sind zu vermeiden, sobald das Upgrade der Konfigurationsdaten ausgelöst wird. Alle vorgenommenen Änderungen gehen nach dem Upgrade verloren.

Wenn eine der Komponentenvorprüfungen fehlschlägt, werden sie je nach Kritikalität rot oder orange angezeigt. Die in Rot aufgezeigten Fehler müssen zwingend beseitigt werden, bevor weitere Schritte eingeleitet werden können. Die orangefarbenen Warnhinweise halten den Aktualisierungsprozess nicht an. Es empfiehlt sich jedoch, diese als Best Practice zu beheben und in Zukunft Auswirkungen auf die Bereitstellungsfunktionen und -funktionen zu vermeiden.

Wenn die Fehler behoben sind, klicken Sie auf Start Staging (Bereitstellung starten), um fortzufahren.

Upgrade-Bereitstellung

Während der Upgrade-Bereitstellung wird die aktualisierte Datenbankdatei auf alle Knoten in der Bereitstellung kopiert, und die Konfigurationsdateien werden auf allen Knoten der Bereitstellung gesichert.

Die Dump-Datei befindet sich bereits im sekundären Admin-Knoten als Teil des ODU. In diesem Schritt erstellt der sekundäre Admin-Knoten nur Sicherungsdateien für CA NSS DB, Smart Licensing und die DHCP/DNS-Konfiguration. Alle anderen Knoten erstellen diese Dateien, müssen aber zusätzlich die Dump-Datei vom sekundären Admin-Knoten kopieren.

Klicken Sie auf Weiter, wenn die Bereitstellung für alle Knoten abgeschlossen ist.

Upgrade-Knoten

Klicken Sie auf Start, um das Upgrade zu starten.

Eine Popup-Meldung bestätigt, dass das Upgrade ausgelöst wird und alle Knoten in einer Warteschlange mit dem Upgrade-Status angezeigt werden. Da die Aktualisierung zuerst auf dem primären Admin-Knoten gestartet wird, meldet sich das System von diesem Knoten ab, und jetzt kann der Upgrade-Status über die GUI des sekundären Admin-Knotens überwacht werden. Navigieren Sie auf der Benutzeroberfläche des sekundären Administrationsknotens zu Administration > System > Upgrade, um den Status weiterhin anzuzeigen.

Sobald der primäre Admin-Knoten aktualisiert und die Services aktiviert wurden, meldet sich das System von der GUI des sekundären Admin-Knotens ab. Benutzer können jetzt über die GUI des primären Administrationsknotens wieder zur Überwachung des Status wechseln, während alle anderen Knoten der Bereitstellung gleichzeitig für das Upgrade ausfallen.

Sobald alle Knoten erfolgreich aktualisiert wurden, ändert sich der Status in Grün.

Wenn Knoten fehlschlagen, wird ein Popup-Fenster mit Informationen zum ausgefallenen Knoten angezeigt. Klicken Sie im Popup-Fenster auf OK, um die fehlgeschlagenen Knoten aus der Bereitstellung zu entfernen. Diese müssen einzeln aktualisiert/neu dargestellt und ggf. der Bereitstellung wieder hinzugefügt werden.

Klicken Sie auf Weiter, um die Gesamtberichte zur Aktualisierung anzuzeigen.

Zusammenfassung

Nachdem der Upgrade-Prozess abgeschlossen ist, können die Diagnose-Upgrade-Berichte für die Bereitstellung angezeigt und von dieser Seite heruntergeladen werden.

Health Checks

Zur Überprüfung des Bereitstellungsstatus nach der Aktualisierung wird automatisch eine Statusprüfung ausgeführt, um den Status der Bereitstellung zu überprüfen. Dieser Bericht kann von der Übersichtsseite des Upgrade-Flows heruntergeladen werden. Wenn zu einem beliebigen Zeitpunkt eine Statusprüfung nach Bedarf erforderlich ist, navigieren Sie zu Administration > System > Health Checks, und klicken Sie auf Health Checks starten.

Aufgaben nach dem Upgrade

Wenn sich ein Benutzer nach Abschluss des Upgrades bei der GUI des primären Admin-Knotens anmeldet, wird eine Popup-Meldung zu Aufgaben nach dem Upgrade angezeigt.

Klicken Sie in der Popup-Meldung auf den Hyperlink für Aufgaben nach dem Upgrade, um die Aufgabendetails zu überprüfen und abzuschließen.

Probleme und Rechtsmittel

1. Wenn das Upgrade des primären Admin-Knotens fehlschlägt, leiten Sie den sekundären Admin zum primären Admin weiter, und versuchen Sie es erneut.

2. Wenn das Upgrade auf einem anderen Knoten außer dem primären Admin fehlschlägt, muss der Knoten von der Bereitstellung entfernt werden. Dieser Knoten muss einzeln aktualisiert oder direkt auf die aktualisierte Version neu erstellt werden und kann der Bereitstellung wieder hinzugefügt werden.