Introducción

Este documento proporciona una guía completa sobre los pasos necesarios para migrar la configuración del equipo Cx90 a un entorno virtual usando Nutanix. Abarca todo el proceso de migración, desde la planificación y evaluación iniciales hasta la ejecución y validación del entorno virtual. Al seguir los procedimientos descritos aquí, las organizaciones pueden garantizar una transición fluida y eficaz, minimizando el tiempo de inactividad y preservando la integridad de sus configuraciones existentes.

Para obtener una comprensión más detallada de ciertos pasos, también puede consultar la guía del usuario u otros artículos relevantes. Estos recursos ofrecen información e instrucciones adicionales que complementan la información proporcionada en este documento.

Prerequisites

Antes de comenzar el proceso de migración, asegúrese de que se cumplen estos requisitos previos para facilitar una transición fluida y eficaz:

Requisito de versión de software para Cx90: asegúrese de que Cx90 esté utilizando la versión 15.0.3. Tenga en cuenta que esta versión se requiere únicamente para el proceso de migración de la configuración en Nutanix y nunca debe utilizarse en entornos de producción de Nutanix.

1. Cuenta de Smart License: Se necesita una cuenta de Smart License válida para esta migración. Verifique el estado de su licencia inteligente antes de iniciar el proceso de migración.

2. Comprensión básica de la agrupación en clústeres: familiarícese con los conceptos de agrupación en clústeres de Cisco Secure Email Gateway (ESA). Esta comprensión básica es crucial para una migración sin problemas.

3. Determinar el estado del clúster de hardware existente:

Uso de CLI: Ejecute el comando Clusterconfig.

Mediante la GUI: acceda a Monitor > any.

Si ve "Mode - Cluster: cluster_name", los dispositivos se están ejecutando en una configuración en clúster.

5. Descargue el software necesario: Descargue el software Cisco Secure Email Gateway (vESA), versión 15.0.3 modelo C600v para KVM.

6. Recursos de red: prepare los recursos de red necesarios para la nueva máquina (IP, reglas de firewall, DNS, etc.).

Actualización de hardware (Cx90) a 15.0.3 AsyncOS

Para realizar la migración, debe tener instalada la versión 15.0.3 en el clúster x90. Esta es la versión inicial que podemos ejecutar en Nutanix para la migración de la configuración.

Nota: La versión 15.0.3 en un dispositivo Nutanix solo se puede utilizar para la migración de la configuración, sin gestionar nunca el tráfico de correo electrónico en producción. La versión 15.0.3 se admite en producción para otros entornos virtuales y dispositivos físicos.

Actualización de Cx90/HW existente a 15.0.3 AsyncOS

En Release Notes for AsyncOS 15.0 for Cisco Email Security Appliances, siga estas instrucciones para actualizar su dispositivo Email Security:

1. Guarde el archivo de configuración XML del dispositivo.
2. Si está utilizando la función Lista de seguridad/lista de bloqueo, exporte la base de datos Lista de seguridad/lista de bloqueo del dispositivo.
3. Suspender todos los receptores.
4. Espere a que la cola se vacíe.
5. En la ficha Administración del sistema, seleccione Actualización del sistema
6. Haga clic en Available Upgrades. La página se actualiza con una lista de las versiones de actualización de AsyncOS disponibles.
7. Haga clic en el botón Begin Upgrade y comenzará la actualización. Responda a las preguntas tal y como aparecen. Una vez completada la actualización, haga clic en el botón Reiniciar ahora para reiniciar el dispositivo.
8. Reanudar todos los receptores.

Después del reinicio, valide la versión de AsyncOS que ejecuta:

• CLI, ejecute el comando version.
• UI, navegue hasta Monitor > System Info

Nota: Si ya tiene varios dispositivos en ejecución en una configuración de cluster, puede omitir la siguiente sección.

Implemente su C600v en Nutanix

Desde los requisitos previos, descargue la imagen de vESA/C600v e impleméntelo de acuerdo con la Guía de instalación del appliance virtual de seguridad de contenido de Cisco.

Licencias para vESA

Esta instalación requiere el uso de Smart Licensing. La versión 16.0 o superior, que se ejecutará en el equipo virtualizado de Nutanix, requiere Smart Licensing en lugar del modelo de licencia tradicional. Por lo tanto, es esencial verificar que las licencias inteligentes se instalen correctamente por adelantado.

Creación de licencias inteligentes

Estos enlaces describen el proceso de activación, las definiciones y cómo solucionar problemas del servicio de licencias inteligentes en ESA/SMA/WSA.

Descripción general de las licencias inteligentes y prácticas recomendadas para la seguridad web y del correo electrónico

Guía de implementación de licencias inteligentes para Cisco Secure Email Gateway y Cisco Secure Email and Web Manager

Proceso de migración de configuración

Para la migración de la configuración, agregaremos el nuevo equipo al clúster X90 existente. Una vez que el nuevo equipo esté conectado al clúster, cargará automáticamente todas las configuraciones implementadas, lo que garantiza una transición sin problemas. Este proceso aprovecha la configuración existente del clúster para integrar el nuevo equipo virtualizado de forma eficaz, conservando así todas las configuraciones y configuraciones actuales sin intervención manual. Este enfoque minimiza las posibles interrupciones y garantiza la continuidad de las operaciones.

Adición de vESA al clúster ESA

En la CLI de vESA, ejecute clusterconfig > Join an existing... para agregar vESA al clúster, de forma similar a lo siguiente:

vESA.Nutanix> clusterconfig

Do you want to join or create a cluster?
1. No, configure as standalone.
2. Create a new cluster.
3. Join an existing cluster over SSH.
4. Join an existing cluster over CCS.
[1]> 3

While joining a cluster, you will need to validate the SSH host key of the remote machine to which you are joining.  To get the public host key fingerprint of the remote host, connect to the cluster and run: logconfig -> hostkeyconfig -> fingerprint.

WARNING: All non-network settings will be lost. System will inherit the values set at the group or cluster mode for the non-network settings. Ensure that the cluster settings are compatible with your network settings (e.g. dnsconfig settings)

Exception:Centralized Policy, Virus, and Outbreak Quarantine settings are not inherited from the cluster.  These settings on this machine will remain intact.

Do you want to enable the Cluster Communication Service on ironport.example.com? [N]> n

Enter the IP address of a machine in the cluster.
[]> 192.168.100.10

Enter the remote port to connect to.  This must be the normal admin ssh port, not the CCS port.
[22]>

Would you like to join this appliance to a cluster using pre-shared keys? Use this option if you have enabled two-factor authentication on the appliance. [Y]> n

Enter the name of an administrator present on the remote machine
[admin]>

Enter passphrase:
Please verify the SSH host key for 192.168.100.10:
Public host key fingerprint: 08:23:46:ab:cd:56:ff:ef:12:89:23:ee:56:12:67:aa
Is this a valid key for this host? [Y]> y

Joining cluster group Main_Group.
Joining a cluster takes effect immediately, there is no need to commit.
Cluster cluster.Cx90

Choose the operation you want to perform:
- ADDGROUP - Add a cluster group.
- SETGROUP - Set the group that machines are a member of.
- RENAMEGROUP - Rename a cluster group.
- DELETEGROUP - Remove a cluster group.
- REMOVEMACHINE - Remove a machine from the cluster.
- SETNAME - Set the cluster name.
- LIST - List the machines in the cluster.
- CONNSTATUS - Show the status of connections between machines in the cluster.
- COMMUNICATION - Configure how machines communicate within the cluster.
- DISCONNECT - Temporarily detach machines from the cluster.
- RECONNECT - Restore connections with machines that were previously detached.
- PREPJOIN - Prepare the addition of a new machine over CCS.
[]>

(Cluster cluster.Cx90)>

En este momento, su vESA ahora refleja la configuración de su hardware Cx90 existente. Esto garantiza que todos los ajustes, políticas y configuraciones sean coherentes en ambas plataformas.

Para validar la sincronización y asegurarse de que no haya discrepancias entre el C600v existente y el Cx90, ejecute el comando clustercheck. 

Cluster cluster.Cx90)> clustercheck

No inconsistencies found on available machines.
(Cluster cluster.Cx90)> 

Este comando le ayudará a identificar cualquier posible inconsistencia que deba solucionarse.

(cluster.Cx90)> clustercheck
Checking DLP settings...
Inconsistency found!
DLP settings at Cluster test:
vESA.Nutanix was updated Wed July 17 12:23:15 2024 GMT by 'admin' on C690.Machine C690.Machine was updated Wed Jun 13 06:34:45 2024 GMT by 'admin' on C690.Machine How do you want to resolve this inconsistency?

1. Force the entire cluster to use the vESA.Nutanix version.

2. Force the entire cluster to use the C690.Machine version.

3. Ignore.
[3]> 2

Nota: vESA aún no está procesando correo. Antes de pasar a producción, asegúrese de que vESA se actualiza a la versión 16.0. Este paso es crucial para la estabilidad y compatibilidad del sistema. Antes de pasar a producción, siga los pasos siguientes.

Eliminación de vESA del clúster ESA

Desde la CLI en vESA, ejecute clusterconfig y elimine el dispositivo del clúster mediante la operación removemachine:

(Cluster cluster.Cx90)> clusterconfig

Cluster cluster.Cx90

Choose the operation you want to perform:
- ADDGROUP - Add a cluster group.
- SETGROUP - Set the group that machines are a member of.
- RENAMEGROUP - Rename a cluster group.
- DELETEGROUP - Remove a cluster group.
- REMOVEMACHINE - Remove a machine from the cluster.
- SETNAME - Set the cluster name.
- LIST - List the machines in the cluster.
- CONNSTATUS - Show the status of connections between machines in the cluster.
- COMMUNICATION - Configure how machines communicate within the cluster.
- DISCONNECT - Temporarily detach machines from the cluster.
- RECONNECT - Restore connections with machines that were previously detached.
- PREPJOIN - Prepare the addition of a new machine over CCS.
[]> removemachine

Choose the machine to remove from the cluster.
1. C690.Machine (group Main_Group)
2. vESA.Nutanix (group Main_Group)
[1]> 2

Warning:
- You are removing the machine you are currently connected to, and you will no longer be able to access the cluster.
- This change will happen immediately without a commit.
Are you sure you want to continue? [N]> y

Please wait, this operation may take a minute...
Machine vESA.Nutanix removed from the cluster.

Actualización de vESA

En esta etapa de la migración de la configuración, es obligatorio actualizar vESA a la versión 16.0. Esta actualización es necesaria porque la versión 16.0 es la primera versión oficialmente compatible con los entornos de producción. La actualización garantiza que el dispositivo virtual se alinea con las últimas funciones, actualizaciones de seguridad y requisitos de compatibilidad. Al actualizar a la versión 16.0, mejorará el rendimiento y la fiabilidad de su vESA, lo que le permitirá admitir completamente su entorno de producción. Este paso es fundamental para garantizar una integración sin problemas y un funcionamiento óptimo dentro de su infraestructura existente.

Para actualizar vESA C600v a la versión 16.0:

1. En la ficha Administración del sistema, seleccione Actualización del sistema
2. Haga clic en Available Upgrades. La página se actualiza con una lista de las versiones de actualización de AsyncOS disponibles; seleccione la versión 16.0.
3. Haga clic en el botón Begin Upgrade y comenzará la actualización. Responda a las preguntas tal y como aparecen. Una vez completada la actualización, haga clic en el botón Reiniciar ahora para reiniciar el dispositivo.
4. Después del reinicio, valide la versión de AsyncOS que ejecuta:

CLI, ejecute la versión del comando

UI, navegue hasta Monitor > System Info

Crear un nuevo clúster (en vESA)

Si desea utilizar el mismo nombre de clúster, debe crear un nuevo clúster con el mismo nombre utilizado en el clúster Cx90. O bien, cree un nuevo clúster con un nuevo nombre de clúster. Esto es una repetición de los pasos anteriores, que se encuentran ahora en vESA:

vESA.Nutanix> clusterconfig

Do you want to join or create a cluster?
1. No, configure as standalone.
2. Create a new cluster.
3. Join an existing cluster over SSH.
4. Join an existing cluster over CCS.
[1]> 2

Enter the name of the new cluster.
[]> newcluster.Virtual

Should all machines in the cluster communicate with each other by hostname or by IP address?
1. Communicate by IP address.
2. Communicate by hostname.
[2]> 1

What IP address should other machines use to communicate with Machine C170.local?
1. 192.168.101.100 port 22 (SSH on interface Management)
2. Enter an IP address manually
[]> 1

Other machines will communicate with Machine C195.local using IP address 192.168.101.100 port 22. You can change this by using the COMMUNICATION subcommand of the clusterconfig command.
New cluster committed: Sat Jun 08 11:45:33 2019 GMT
Creating a cluster takes effect immediately, there is no need to commit.

Cluster newcluster.Virtual

Choose the operation you want to perform:
- ADDGROUP - Add a cluster group.
- SETGROUP - Set the group that machines are a member of.
- RENAMEGROUP - Rename a cluster group.
- DELETEGROUP - Remove a cluster group.
- REMOVEMACHINE - Remove a machine from the cluster.
- SETNAME - Set the cluster name.
- LIST - List the machines in the cluster.
- CONNSTATUS - Show the status of connections between machines in the cluster.
- COMMUNICATION - Configure how machines communicate within the cluster.
- DISCONNECT - Temporarily detach machines from the cluster.
- RECONNECT - Restore connections with machines that were previously detached.
- PREPJOIN - Prepare the addition of a new machine over CCS.
[]>

(Cluster newcluster.Virtual)>
Join Your Cx00v to Your ESA Cluster
From the CLI on the Cx00v, run clusterconfig > Join an exisiting... to add your Cx00v into your new cluster configured on your vESA, similar to the following:

C600v.Nutanix> clusterconfig

Do you want to join or create a cluster?
1. No, configure as standalone.
2. Create a new cluster.
3. Join an existing cluster over SSH.
4. Join an existing cluster over CCS.
[1]> 3

While joining a cluster, you will need to validate the SSH host key of the remote machine to which you are joining.  To get the public host key fingerprint of the remote host, connect to the cluster and run: logconfig -> hostkeyconfig -> fingerprint.

WARNING: All non-network settings will be lost. System will inherit the values set at the group or cluster mode for the non-network settings. Ensure that the cluster settings are compatible with your network settings (e.g. dnsconfig settings)

Exception:Centralized Policy, Virus, and Outbreak Quarantine settings are not inherited from the cluster.  These settings on this machine will remain intact.

Do you want to enable the Cluster Communication Service on ironport.example.com? [N]> n

Enter the IP address of a machine in the cluster.
[]> 192.168.101.100

Enter the remote port to connect to.  This must be the normal admin ssh port, not the CCS port.
[22]>

Would you like to join this appliance to a cluster using pre-shared keys? Use this option if you have enabled two-factor authentication on the appliance. [Y]> n

Enter the name of an administrator present on the remote machine
[admin]>

Enter passphrase:
Please verify the SSH host key for 10.10.10.56:
Public host key fingerprint: 00:61:32:aa:bb:84:ff:ff:22:75:88:ff:77:48:84:eb
Is this a valid key for this host? [Y]> y

Joining cluster group Main_Group.
Joining a cluster takes effect immediately, there is no need to commit.
Cluster newcluster.Virtual

Choose the operation you want to perform:
- ADDGROUP - Add a cluster group.
- SETGROUP - Set the group that machines are a member of.
- RENAMEGROUP - Rename a cluster group.
- DELETEGROUP - Remove a cluster group.
- REMOVEMACHINE - Remove a machine from the cluster.
- SETNAME - Set the cluster name.
- LIST - List the machines in the cluster.
- CONNSTATUS - Show the status of connections between machines in the cluster.
- COMMUNICATION - Configure how machines communicate within the cluster.
- DISCONNECT - Temporarily detach machines from the cluster.
- RECONNECT - Restore connections with machines that were previously detached.
- PREPJOIN - Prepare the addition of a new machine over CCS.
[]>

(Cluster newcluster.Virtual)>

Conclusión

Siguiendo los pasos descritos en este documento, ha migrado correctamente la configuración de su equipo X90 a un entorno virtual mediante Nutanix. La actualización de vESA a la versión 16.0, la primera versión admitida para producción, garantiza que su dispositivo virtual sea totalmente capaz de gestionar las demandas de su entorno de producción. Esta actualización proporciona acceso a las últimas funciones, mejoras de seguridad y mejoras de compatibilidad, lo que garantiza un rendimiento y una fiabilidad óptimos.

Como paso final, confirme que los registros DNS y las configuraciones de equilibrio de carga se actualizan para incluir vESA, lo que le permite procesar el correo de forma eficaz. Con estas configuraciones implementadas, su vESA ya está preparado para funcionar dentro de su infraestructura existente, lo que proporciona una sólida seguridad para el correo electrónico y una integración perfecta.