Proceso de actualización para Secure Email Gateway

Introducción

Este documento describe los pasos asociados con el proceso de actualización de AsyncOS para Cisco Secure Email Gateway (SEG) o Cisco Email Security Appliance.

Prerequisites

Requirements

• Asegúrese de que el estado de RAID del dispositivo es READY (LISTO) u OPTIMAL en la salida de Estado del sistema. No inicie una actualización en un dispositivo con el estado RAID DEGRADADO. Póngase en contacto con Cisco TAC para iniciar un caso de autorización de devolución de mercancía (RMA) para su dispositivo.
• Compruebe si el dispositivo de seguridad Email Security Appliance (ESA) es un dispositivo independiente o está en un entorno agrupado. Si está en clúster, asegúrese de revisar correctamente la sección Actualización del clúster de este documento.
• Asegúrese de que haya conectividad a Internet desde el ESA en los puertos 80 y 443 sin inspecciones de paquetes.
• Se requiere un servidor DNS funcional.

Precaución: el uso de Cisco Smart Software Licensing es obligatorio a partir de la próxima versión de AsyncOS (todas las versiones posteriores a AsyncOS 15.0) para Cisco Secure Email Gateway.

Componentes Utilizados

Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Compatibilidad entre ESA/SMA

Revise la compatibilidad de los sistemas ESA y SMA antes de realizar la actualización. Las versiones anteriores de AsyncOS para Email Security pueden requerir más de una actualización para obtener la última versión. Para obtener confirmación de la ruta de actualización y el aprovisionamiento de dispositivos, póngase en contacto con Cisco TAC.

Preparación para la Actualización

1. Guarde el archivo de configuración XML fuera de la caja. Si necesita volver a la versión anterior a la actualización por cualquier motivo, puede utilizar este archivo para importar la configuración anterior.
2. Si utiliza la función Lista de seguridad/lista de bloqueo, exporte la lista fuera de la caja.
3. Suspender todos los receptores. Si realiza la actualización desde la CLI, utilice el comando suspendlistener. Si realiza la actualización desde la GUI, la suspensión del receptor se produce automáticamente.
4. Espere a que la cola se vacíe. Puede utilizar el comando workqueue para ver el número de mensajes en la cola de trabajo o el comando rate en la CLI para monitorear el rendimiento de mensajes en su dispositivo.

Descargue e instale la actualización

A partir de AsyncOS para Email Security versión 8.0, las opciones de actualización se actualizan para incluir ahora DOWNLOADINSTALL además de DOWNLOAD. Esto proporciona al administrador flexibilidad para descargar e instalar en una sola operación, o descargar en segundo plano e instalar más tarde.

(ESA_CLI)> upgrade


Choose the operation you want to perform:
- DOWNLOADINSTALL - Downloads and installs the upgrade image (needs reboot).
- DOWNLOAD - Downloads the upgrade image.
[]> download

Upgrades available.
1. AsyncOS 14.2.0 build 616 upgrade For Email, 2022-05-27,release available as General Deployment
2. AsyncOS 14.2.0 build 620 upgrade For Email, 2022-07-05,release available as General Deployment
[2]>

Consulte la guía del usuario para obtener información completa.

Actualización en la CLI

1. Ingrese el comando status y asegúrese de que el receptor esté suspendido. Puede ver Estado del sistema: Recepción de un mensaje suspendido.
2. Ingrese el comando upgrade.
3. Elija una opción para DOWNLOADINSTALL o DOWNLOAD.
4. Elija el número adecuado asociado a la versión de actualización deseada.
5. Complete las preguntas necesarias para guardar la configuración actual y aprobar el reinicio cuando se aplique la actualización.
6. Después de la actualización, inicie sesión en la CLI e ingrese resume para reanudar los receptores y garantizar el funcionamiento. Ingrese el comando status y confirme, Estado del sistema: En línea.

Actualizar mediante la GUI

1. Elija Administración del sistema > Actualización del sistema.
2. Haga clic en Opciones de actualización...
3. Elija una opción para Download e install o Download.
4. Haga clic y resalte la versión de actualización deseada.
5. Seleccione las opciones adecuadas para Preparación de la actualización.
6. Continúe, para comenzar la actualización y mostrar la barra de progreso para su monitoreo.
7. Después de la actualización, inicie sesión en la CLI e ingrese resume para reanudar los receptores y garantizar el funcionamiento: Elija Administración del sistema > Apagar/Suspender > Reanudar (Verificar todo).
8. En la sección Operaciones de Correo, elija Confirmar.

Actualización de clúster

Los ESA de un clúster utilizarían el mismo proceso de actualización de la CLI o la GUI que en las secciones anteriores, con la única excepción de que se solicitaría que se desconectaran los dispositivos del clúster.

Nota: Puede realizar la actualización con la CLI o la GUI, pero los comandos declusterconfigreconexión sólo están disponibles a través de la CLI. Este documento describe cómo actualizar las máquinas a través de la CLI.

Ejemplo visto desde CLI:

(Cluster my_cluster)> upgrade

This command is restricted to run in machine mode of the machine you are logged in to.
 Do you want to switch to "Machine applianceA.local" mode? [Y]> y

Ejemplo visto desde la GUI:

Nota: Esto es solo una desconexión administrativa. Esto detendría cualquier intento de sincronización de la configuración a través del clúster desde o hacia los dispositivos desconectados. Esto no elimina ni modifica la configuración del dispositivo.

Siga estos pasos para actualizar los ESA que se ejecutan en un clúster mediante la CLI:

1. Ingrese el comando upgrade en la CLI para actualizar AsyncOS a una versión posterior. Cuando se le pregunte si desea desconectar el clúster, responda con la letra Y para continuar:
   
   

   (ESA_CLI)> upgrade
   
   You must disconnect all machines in the cluster in order to upgrade them. Do you wish
   to disconnect all machines in the cluster now? [Y]> Y

   
   
   
2. Utilice todos los mensajes de actualización (incluido el mensaje de reinicio).
3. Después de actualizar y reiniciar todas las máquinas del clúster, inicie sesión en una de las máquinas del clúster a través de la CLI e ingrese el comando clusterconfig. Vuelva a conectarlos en el nivel de clúster para permitir la sincronización de la configuración y reanudar el funcionamiento del clúster.
4. Responda Sí para volver a conectarse. No es necesario comprometerse.
   
   

   Choose the machine to reattach to the cluster. Separate multiple machines with commas
   or specify a range with a dash.
   
   1. host2.example.com (group Main)
   2. host3.example.com (group Main)
   3. host4.example.com (group Main)
   
   [1]> 1-3

5. Ejecute el comando connstatus para confirmar que todos los dispositivos están en el clúster. Además, ejecute el comando clustercheck para confirmar que no haya inconsistencias.

Las recomendaciones de actualización del clúster son:

• No vuelva a conectar los ESA al clúster hasta que TODOS los dispositivos se actualicen a una versión coincidente.
• Si es necesario, una vez que un ESA haya completado una actualización, reanude el receptor, si se ha suspendido anteriormente, y permita que funcione como un dispositivo independiente.
• No realice cambios ni modificaciones de configuración cuando los ESA estén desconectados de un clúster para evitar incoherencias de configuración cuando se vuelvan a conectar a la actualización posterior del nivel de clúster.
• Una vez que TODOS los dispositivos se hayan actualizado a la misma versión, vuelva a conectarlos en el nivel de clúster para permitir la sincronización de la configuración y reanudar el funcionamiento del clúster.

Registrar cheques:

• Si el SMA administra los dispositivos, haga lo siguiente:
  • Navegue hasta Dispositivo de administración > Servicios centralizados > Dispositivos de seguridad y asegúrese de que todos los servicios estén activos y que la conexión muestre Establecido. Navegue hasta Correo electrónico > Rastreo de mensajes > Disponibilidad de datos de rastreo de mensajes y verifique si el estado muestra OK para todos los ESA.
  • En cada dispositivo, ingrese el comando status y busque que se muestre como en línea.
  • Ingrese el comando displayalerts y verifique si se ven alertas nuevas después de la actualización.
  • Si está en un clúster, el comando clustercheck no debe mostrar ninguna inconsistencia y el comando connstatus debe mostrar los dispositivos como conectados sin errores.
  • Para verificar el flujo de correo, ingrese el comando tail mail_logs en la CLI.

Troubleshoot

1. Los comandos tail_updater_logs y tail_upgrade_logs también pueden proporcionar información si hay un problema con la actualización.
2. Si hay algún problema al descargar la imagen, o al actualizar el antispam o antivirus, probablemente se deba a que los procesos no pueden acceder y actualizar el motor de servicio o los conjuntos de reglas. Siga los pasos proporcionados en vESA Is Not Able to Download and Apply Updates for Antispam or Antivirus.
3. Si la actualización falla debido a interrupciones en la red, se pueden ver errores similares durante el resultado del proceso de actualización:

Reinstalling AsyncOS... 66% 01:05ETA.
/usr/local/share/doc/jpeg/libjpeg.doc: Premature end of gzip compressed data:
 Input/output error
tar: Error exit delayed from previous errors.
Upgrade failure.

Esto se debe normalmente a una interrupción de la red que puede haberse producido durante la transmisión de datos entre el ESA y los servidores de actualización. Investigue los registros del firewall de la red o supervise el tráfico de paquetes desde el ESA para actualizar los servidores.

Si es necesario, consulte Procedimientos de captura de paquetes de ESA para habilitar la captura de paquetes en el ESA y luego vuelva a intentar el proceso de actualización.

Nota: los firewalls deben permitir que las conexiones inactivas permanezcan activas, especialmente durante el proceso de actualización.

Para los firewalls de red estrictos que requieren servidores de actualización estáticos, consulte Actualizaciones del dispositivo de seguridad de contenido o Actualizaciones con un servidor estático para obtener información sobre cómo configurar los servidores de actualización y actualización estáticos.

Para dispositivos de hardware, pruebe las conexiones a estos servidores dinámicos:

• telnet updates.ironport.com 80
• telnet downloads.ironport.com 80

En el caso de los appliances virtuales, debe utilizar estos servidores dinámicos:

• telnet update-manifests.sco.cisco.com 443
• telnet updates.ironport.com 80
• telnet downloads.ironport.com 80 

Consulte la Guía del usuario para obtener información completa sobre el firewall y los requisitos de los puertos.

Información Relacionada

• Matriz de compatibilidad para los dispositivos de gestión de seguridad de contenido de Cisco
• Procedimientos de actualización de ESA
• Procedimientos de captura de paquetes ESA
• Actualizaciones o ampliaciones de Content Security Appliance con un servidor estático
• Descripción general de las licencias inteligentes y prácticas recomendadas para la seguridad web y del correo electrónico
• Cómo solicitar una cuenta inteligente
• Soporte Técnico y Documentación - Cisco Systems