Actualización de Catalyst 9800 WLC HA SSO mediante ISSU

Introducción

Este documento describe cómo actualizar un par de controladores inalámbricos 9800 en HA SSO usando el método ISSU (In-Service Software Upgrade, Actualización de software en servicio).

Requirements

El documento cubre el procedimiento, la limitación, las precauciones que se deben tomar y las instrucciones de actualización.

Cisco recomienda que tenga conocimiento sobre estos temas:

• Controlador de LAN inalámbrica (WLC) Catalyst 9800
• Conmutación stateful de alta disponibilidad (HA SSO)

Componentes Utilizados

Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos utilizados en este documento se iniciaron con una configuración desactivada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Cómo funciona ISSU

ISSU es una función que permite actualizar los controladores inalámbricos 9800 con un tiempo de inactividad mínimo. Si tiene suficiente cobertura, la actualización es perfecta y los clientes inalámbricos no deben observar ningún tiempo de inactividad. Para hacer esto posible, ISSU tiene un mecanismo que actualiza un controlador a la vez y permite que los AP se actualicen de manera escalonada.

A continuación se presenta una breve descripción general de los diferentes pasos que ocurren durante una actualización de ISSU:

1. La imagen de destino (V2) se descarga en el controlador principal que ejecuta V1 y se expande en paquetes. 
2. La imagen se sincroniza luego con el controlador en espera en caliente a través de la conexión RP. Ese proceso es el mismo para cada tipo de actualización
3. La imagen de AP correspondiente (V2) se descarga previamente a los AP. La predescarga de una imagen no afecta al servicio.
4. El controlador en espera se recarga y carga con la nueva imagen (V2). En este punto, el controlador activo ejecuta V1 y el V2 en espera y forman un par SSO. Esto es posible solamente durante la actualización de ISSU.
5. Una vez que el par HA está listo (estado activo/en espera-caliente), se ejecuta un switchover. El controlador activo ahora ejecuta V2 y el modo de espera ejecuta V1. El controlador en espera se recarga y viene con V2. En esta etapa, ambos controladores están en V2, pero los AP aún están ejecutando V1.
6. Se les pide a los AP que cambien las imágenes a la V2 después del paso de activación y se actualizan de una manera de actualización de AP rotatorio para minimizar el tiempo de inactividad. Esto significa que los subgrupos de AP se recargan por ciclo, y los clientes pueden conectarse con los AP vecinos. Cuando los AP se vuelven a unir, se vuelven a unir con V2.
7. El paso final es commit, que hace que los cambios sean permanentes.

Limitaciones

Estas son las limitaciones que debe conocer antes de continuar con una actualización ISSU:

• La imagen base debe ser Cisco IOS XE 17.3 o superior
• ISSU está disponible solamente entre las versiones principales dentro del mismo tren. Por ejemplo, no se admite de 16.x.x a 17.x.x o de 17.x.x al siguiente tren principal
• La actualización a una versión anterior de ISSU no es compatible con las plataformas del controlador inalámbrico Catalyst de Cisco serie 9800
• La actualización de ISSU es compatible con el controlador sólo en modo INSTALAR (no se admite el modo PAQUETE)
• una actualización de ISSU toma más tiempo que una actualización estándar por diseño porque un WLC se actualiza en el par de HA en un momento dado, luego la actualización de AP de una manera de actualización sucesiva para minimizar el tiempo de inactividad. Si tiene AP detrás de un link WAN con cierta latencia, es importante minimizar el tiempo de descarga de la imagen AP ya que esto puede aumentar drásticamente el tiempo de actualización ISSU a través del efecto en cascada. Busque métodos de actualización de AP eficientes o HTTPS fuera de banda para acelerar el tiempo de descarga de la imagen de AP y mantener el tiempo total de ISSU al mínimo.

Requisitos y verificaciones

Antes de proceder a la actualización de los controladores inalámbricos 9800 mediante ISSU, deben realizarse algunos requisitos y verificaciones para garantizar una actualización sin problemas de los controladores y los puntos de acceso.

Paso 1: Verifique que no haya ninguna versión activa o no comprometida en ejecución

Comando CLI: 

show install summary

Resultado esperado: 

Solo verá una versión en estado "C" (para Activado y confirmado): 

WLC#show install summary
[ Chassis 1/R0 2/R0 ] Installed Package(s) Information:
State (St): I - Inactive, U - Activated & Uncommitted,
            C - Activated & Committed, D - Deactivated & Uncommitted
--------------------------------------------------------------------------------
Type  St   Filename/Version
--------------------------------------------------------------------------------
IMG   C    17.09.04a.0.6

Paso 2: Verifique que el controlador esté en modo INSTALAR

Asegúrese de que los controladores Activo y En espera estén en el modo de instalación y arranquen desde "bootflash:/packages.conf" (consulte el paso 3).

Comando CLI: 

show version | i Installation mode

Resultado esperado: 

WLC#show version | i Installation mode
Installation mode is INSTALL

Paso 3: Verifique el archivo utilizado para el inicio ("packages.conf")

Si el controlador está en modo INSTALL, debe arrancar desde el archivo "packages.conf".

Comando CLI: 

show boot

Resultado esperado: 

WLC#show boot
BOOT variable = bootflash:packages.conf,12;
CONFIG_FILE variable =
BOOTLDR variable does not exist
Configuration register is 0x102

Standby BOOT variable = bootflash:packages.conf,12;
Standby CONFIG_FILE variable =
Standby BOOTLDR variable does not exist
Standby Configuration register is 0x102

Paso 4: Comprobar los estados de redundancia

El controlador activo debe estar en ACTIVO y el controlador en espera debe estar en EN ESPERA estado, lo que significa que la comunicación está ACTIVA y que se están comunicando entre sí.

Comando CLI: 

show chassis rmi
show redundancy

Resultado esperado: 

WLC#show chassis rmi
Chassis/Stack Mac Address : 000c.29c4.caff - Local Mac Address
Mac persistency wait time: Indefinite
                                             H/W   Current
Chassis#   Role    Mac Address     Priority Version  State                 IP                RMI-IP
--------------------------------------------------------------------------------------------------------
*1       Active   000c.29c4.caff     2      V02     Ready                169.254.10.9       198.19.10.9
 2       Standby  000c.29d2.4018     1      V02     Ready                169.254.10.10      198.19.10.10

WLC#show redundancy
Redundant System Information :
------------------------------
...
                 Hardware Mode = Duplex
    Configured Redundancy Mode = sso
     Operating Redundancy Mode = sso
              Maintenance Mode = Disabled
                Communications = Up

Current Processor Information :
-------------------------------
               Active Location = slot 1
        Current Software state = ACTIVE
...

Peer Processor Information :
----------------------------
              Standby Location = slot 2
        Current Software state = STANDBY HOT
...

Paso 5: Verifique si hay suficiente espacio en la memoria flash de inicialización para almacenar la nueva imagen

A *.bin el tamaño de la imagen es de aproximadamente 1 GB. Asegúrese de que tiene varios GB de espacio libre en la memoria de inicialización antes de continuar.

Comando CLI: 

dir bootflash:/ | in free

Resultado esperado: 

WLC#dir bootflash:/ | in free
14785671168 bytes total (11446026240 bytes free)

Paso 6: Compruebe que no hay ninguna otra actualización en curso

Este es un paso crucial, porque si el controlador está atascado en una actualización anterior, entonces la nueva actualización falla.

Comando CLI:

show issu state detail

Resultado esperado:

WLC#show issu state detail
Current ISSU Status: Enabled
Previous ISSU Operation: N/A
=======================================================
System Check                        Status
-------------------------------------------------------
Platform ISSU Support               Yes
Standby Online                      Yes
Autoboot Enabled                    Yes
SSO Mode                            Yes
Install Boot                        Yes
Valid Boot Media                    Yes
Operational Mode                    HA-REMOTE
=======================================================
No ISSU operation is in progress

Procedimiento de actualización

Después de que todas las comprobaciones pasaran, ahora podemos continuar con la actualización de los controladores inalámbricos. Puede optar por actualizar los controladores mediante la GUI o la CLI. Ambos métodos tienen ventajas y desventajas. CLI le ofrece más control, ya que puede iniciar cada paso de forma individual, pero esto requiere un poco más de trabajo que actualizar a través de la GUI. La actualización del controlador a través de la GUI se puede hacer con una sola pulsación de botón y todos los pasos se hacen automáticamente. Sin embargo, si algo falla durante la actualización, debe ir a CLI para reiniciar el paso específico que falló. Esta guía solo muestra el procedimiento de actualización CLI, ya que el procedimiento GUI se puede realizar simplemente ejecutando las instrucciones GUI.

Flujo de trabajo CLI ISSU

Esta sección muestra un breve resumen de los comandos ejecutados para actualizar los controladores. Se proporciona una explicación completa de cada comando y de todos los pasos:

Comando	Descripción
install add file <file>	La imagen descargada de CCO a la memoria de inicialización se carga en el controlador y se expande en paquetes
ap image predownload	Las imágenes de AP correspondientes a la imagen v2 se descargan previamente en los AP
install activate issu [auto-abort-timer <30-1200>]	Organización ISSU de una recarga WLC seguida de la otra. El activador de activación realiza el restablecimiento de AP de manera escalonada con un intento de mejor esfuerzo para retener la conectividad para los clientes
confirmar instalación	La confirmación hace que los cambios sean permanentes

Completar procedimiento

Paso 1: Borrar estadísticas de predescarga de AP

Es mejor que borre esas estadísticas antes de actualizar para poder obtener un resultado nuevo que solo se relacione con la actualización actual. No debe haber ninguna predescarga en curso antes de iniciar la actualización.

Comando CLI:

clear ap predownload statistics
show ap image

Resultado esperado:

WLC#show ap image
Total number of APs  : 2
Number of APs
        Initiated                  : 0
        Downloading                : 0
        Predownloading             : 0
        ...
        Predownload in progress    : No

Paso 2: Eliminar la imagen de software anterior
En caso de que no haya suficiente espacio en la memoria de inicialización, siempre puede considerar limpiar los archivos de instalación antiguos mediante el comando install remove inactive.

Comando CLI:

install remove inactive

Paso 3: Configure el valor del porcentaje de actualización sucesiva de AP

Puede establecer este valor hasta el 25% (valor máximo). Tenga en cuenta que si elige el 5% (valor mínimo), se actualizan menos puntos de acceso por iteración y la actualización tarda más tiempo, pero esto también ayuda a reducir el tiempo de inactividad global. Elija este valor en función de su implementación y de la cobertura de su punto de acceso.

Comando CLI:

conf t
ap upgrade staggered {5 | 15 | 25 | one-shot}
end
write memory

Paso 4: Descargue la imagen .bin en el controlador

Puede cargar esta imagen mediante CLI o mediante la GUI. Con la GUI, esto se realiza al iniciar el proceso de actualización. 

Comando CLI:

dir bootflash:*.bin
[OPTIONAL] copy ftp://
    
    
      : 
     
       @ 
      
        / 
       
         bootflash: 
        
       
      
    

Paso 5: Instalar la imagen

Este paso inicia la primera fase de la actualización. La imagen del software del controlador se agrega a la memoria flash y se expande en paquetes. Esto debe tomar un par de minutos. Una vez finalizado el proceso de instalación y adición, compruebe que la nueva imagen se ve como "Inactiva" en el comando "show install summary".

Comando CLI:

install add file bootflash:
    
    
      show install summary 
    

Resultado esperado:

WLC#show install summary
[ Chassis 1/R0 2/R0 ] Installed Package(s) Information:
State (St): I - Inactive, U - Activated & Uncommitted,
            C - Activated & Committed, D - Deactivated & Uncommitted
--------------------------------------------------------------------------------
Type  St   Filename/Version
--------------------------------------------------------------------------------
IMG   C    17.09.04a.0.6
IMG   I    17.12.02.0.2739

Paso 6: Pre-descarga de la imagen a los AP

Antes de activar la imagen, necesitamos instruir a los AP para que descarguen previamente la imagen que está actualmente inactiva (V2). Si no se inicia la predescarga, la actualización de ISSU falla, ya que este es un paso necesario para minimizar el tiempo de inactividad. Esta operación puede tardar varios minutos dependiendo del número de AP que se unen al controlador y de la latencia del link.

Comando CLI:

ap image predownload
show ap image

Resultado esperado:

WLC#show ap image
Total number of APs  : 2

Number of APs
        Initiated                  : 0
        Downloading                : 0
        Predownloading             : 2
        Completed downloading      : 0
        Completed predownloading   : 0
        Not Supported              : 0
        Failed to Predownload      : 0
        Predownload in progress    : Yes

Paso 7: Activar la nueva imagen

Una vez finalizada la predescarga, puede activar la nueva imagen. Este es el paso más largo del proceso de actualización. Ejecuta comprobaciones de compatibilidad, instala el paquete y actualiza los detalles del estado del paquete. Opcionalmente, puede configurar el límite de tiempo para cancelar la adición de nuevo software sin confirmar la imagen. Los valores válidos son de 30 a 1200 minutos. El valor predeterminado es 360 minutos (6 horas). Una vez que inicie la actualización, se lleva a cabo todo el proceso de ISSU: actualizaciones en espera, switchover, luego nuevas actualizaciones en espera y luego la actualización escalonada de AP.

Comando CLI:

install activate issu [auto-abort-timer <30-1200 mins>]

Resultado esperado:

WLC#install activate issu
install_activate: START Sun Jan 14 08:29:36 EST 2024
install_activate: Activating ISSU

NOTE: Going to start Activate ISSU install process

STAGE 0: System Level Sanity Check
===================================================
--- Verifying install_issu supported ---
--- Verifying standby is in Standby Hot state ---
--- Verifying booted from the valid media ---
--- Verifying AutoBoot mode is enabled ---
--- Verifying Platform specific ISSU admission criteria ---
--- Verifying Image ISSU Compatibility ---
Finished Initial System Level Sanity Check

STAGE 1: Installing software on Standby
===================================================
--- Starting install_remote ---
[2] install_remote package(s) on chassis 2/R0
WARNING: Found 1545 disjoint TDL objects.
[2] Finished install_remote on chassis 2/R0
install_remote: Passed on [2/R0]
Finished install_remote

STAGE 2: Restarting Standby
===================================================
--- Starting standby reload ---
Finished standby reload

--- Starting wait for Standby to reach terminal redundancy state ---
Finished wait for Standby to reach terminal redundancy state

STAGE 3: Installing software on Active
===================================================
--- Starting install_active ---
WARNING: Found 2969 disjoint TDL objects.
[1] install_active package(s) on chassis 1/R0
[1] Finished install_active on chassis 1/R0 install_active: Passed on [1/R0]
Finished install_active

STAGE 4: Restarting Active (switchover to standby) 
=================================================== 
--- Starting active reload ---
New software will load after reboot process is completed

Es recomendable supervisar periódicamente el estado actual de la actualización mediante los comandos "show chassis rmi" y "show redundancy". Esto le muestra una vez que un controlador se elimina del par HA y cuando vuelve, y en qué versión. Tenga en cuenta que el proceso puede tardar entre 20 y 30 minutos. 

Una vez que se complete la actualización, verá la imagen como activa pero "no comprometida" : 

WLC#show install summary
[ Chassis 1/R0 2/R0 ] Installed Package(s) Information:
State (St): I - Inactive, U - Activated & Uncommitted,
            C - Activated & Committed, D - Deactivated & Uncommitted
--------------------------------------------------------------------------------
Type  St   Filename/Version
--------------------------------------------------------------------------------
IMG   U    17.12.02.0.2739

--------------------------------------------------------------------------------
Auto abort timer: active , time before rollback - 05:23:37
--------------------------------------------------------------------------------

Una vez que la instalación es más, el WLC comenzará a recargar los APs de manera escalonada. Para monitorear la actualización escalonada de AP, puede utilizar la GUI (bajo "AP Upgrade Statistics" en la sección "Software Upgrade") o el comando CLI "show ap uptime", que mostrará el tiempo de actividad CAPWAP de los AP. Esto da una indicación de qué AP ya se han recargado. También puede verificar que la actualización de AP se haya terminado al verificar los registros, usando el comando "show logging" en el controlador:

Jan 20 14:23:22.478: %UPGRADE-6-STAGGERED_UPGRADE_COMPLETE: Chassis 2 R0/0: wncmgrd: Staggered AP Upgrade completed succesfully

Paso 8: [OPCIONAL] Detenga el temporizador de "auto-abort"

En caso de que necesite más tiempo que las 6 horas predeterminadas para la actualización (cuando tiene muchos AP para actualizar y desea asegurarse de que esto funciona bien antes de confirmar la imagen), puede detener este temporizador. De esta forma, no se realizará la reversión automática.

Comando CLI:

install auto-abort-timer stop

Paso 9: Hacer persistente el nuevo software

Realice los cambios de activación para que sean persistentes en las recargas mediante el comando install commit. Este es el último paso en un proceso de actualización normal. El comando install commit hace que el software sea persistente durante los reinicios.

Comando CLI:

install commit

Resultado esperado:

WLC#show install summary
[ Chassis 1/R0 2/R0 ] Installed Package(s) Information:
State (St): I - Inactive, U - Activated & Uncommitted,
            C - Activated & Committed, D - Deactivated & Uncommitted
--------------------------------------------------------------------------------
Type  St   Filename/Version
--------------------------------------------------------------------------------
IMG   C    17.12.02.0.2739

Una vez que se confirma la versión y los AP se han recargado en la nueva versión, la actualización de ISSU ha terminado.

Operaciones adicionales

Puede encontrar algunas otras operaciones que posiblemente necesite realizar durante o después de la actualización de ISSU, como abortar la actualización o revertir a una versión anterior :

Anular ISSU 

Este paso cancela el proceso de actualización realizado hasta el momento y devuelve el dispositivo al estado de instalación anterior (V1) de forma ISSU. Esto se aplica tanto a los controladores como a los AP. Esto se puede hacer en caso de que note un impacto grave debido a la actualización y si aún no ha confirmado la imagen. Este comando y proceso sólo funciona si "install commit" aún no se ha emitido. Una vez que la imagen se ha confirmado, no puede revertir de la manera ISSU.

Comando CLI:

install abort issu

Resultado esperado:

STAGE 1: Rolling Back software on Standby
===================================================
--Starting Deactivation at the standby --
--- Starting abort_standby ---
[1] abort_standby package(s) on chassis 1/R0
WARNING: Found 1545 disjoint TDL objects.

[1] Finished abort_standby on chassis 1/R0
abort_standby: Passed on [1/R0]
Finished abort_standby

STAGE 2: Restarting Standby
===================================================
--- Starting standby reload ---
Finished standby reload

--- Starting wait for Standby to reach terminal redundancy state ---
Finished wait for Standby to reach terminal redundancy state

STAGE 3: Rolling Back software on Active
===================================================
--Starting Deactivation at the active --
--- Starting abort_active ---
WARNING: Found 1545 disjoint TDL objects.
[2] abort_active package(s) on chassis 2/R0
[2] Finished abort_active on chassis 2/R0
abort_active: Passed on [2/R0]
Finished abort_active

STAGE 4: Restarting Active (switchover to standby)
===================================================
--- Starting active reload ---
New software will load after reboot process is completed
SUCCESS: install_abort  Wed Jan 17 21:58:52 CET 2024
client_loop: send disconnect: Broken pipe

Cambio al controlador "principal"

En un entorno de producción, este paso puede ser deseado si desea que el controlador original esté activo nuevamente. Recuerde que una vez que se haya completado la actualización de ISSU, la unidad "secundaria" es el controlador activo. Siempre puede volver al estado original realizando un switchover manual. Debe asegurarse de que la unidad par esté en estado "Standby Hot" antes de continuar.

Comando CLI:

redundancy force-switchover

Revertir al estado anterior una vez que se haya completado la actualización de ISSU

Una vez que se haya confirmado la actualización, la downgrade de ISSU no es compatible con las plataformas del controlador inalámbrico Catalyst de Cisco serie 9800. En este punto, una reversión significará que tanto los controladores inalámbricos como los AP se recargarán debido al cambio de código y esto creará un tiempo de inactividad. Puede empezar comprobando los puntos de retroceso disponibles y, a continuación, decidir a cuál desea retroceder. 

Comando CLI:

show install rollback
show install rollback id 
    
    
      install rollback to id 
      
    

Resultado esperado:

WLC#sh install rollback
ID      Label                            Description
-------------------------------------------------------
3       No Label                         No Description
2       No Label                         No Description
1       No Label                         No Description

WLC#sh install rollback id 2
Rollback id - 2 (Created on 2024-04-22 10:31:57.000000000 +0000)
Label: No Label
Description: No Description
Reload required: NO
State (St): I - Inactive, U - Activated & Uncommitted,
            C - Activated & Committed, D - Deactivated & Uncommitted
--------------------------------------------------------------------------------
Type  St   Filename/Version
--------------------------------------------------------------------------------
IMG   C    17.09.04a.0.6

WLC#install rollback to id 2
install_rollback: START Thu May 30 09:44:38 UTC 2024
install_rollback: Rolling back to id 2

This operation may require a reload of the system. Do you want to proceed? [y/n]y

--- Starting Rollback ---
Performing Rollback on all members
 [2] Rollback package(s) on Chassis 2/R0
 [1] Rollback package(s) on Chassis 1/R0
 [2] Finished Rollback package(s) on Chassis 2/R0
Checking status of Rollback on [1/R0 2/R0]
Rollback: Passed on [1/R0 2/R0]
Finished Rollback operation

SUCCESS: install_rollback Thu May 30 09:45:40 UTC 2024

Troubleshoot

En caso de que se enfrente a un problema antes, durante o después de la actualización de los controladores inalámbricos 9800 mediante ISSU, le recomendamos que consulte este documento que explica los problemas comunes encontrados y sus soluciones.

Referencias

• Alta disponibilidad mediante la aplicación de parches y la actualización de puntos de acceso en los controladores inalámbricos Cisco Catalyst 9800
• 17.12.X guía de configuración