Processus de mise à niveau de Secure Email Gateway

Introduction

Ce document décrit les étapes associées au processus de mise à niveau d'AsyncOS pour Cisco Secure Email Gateway (SEG) aka Cisco Email Security Appliance.

Exigences

• Vérifiez que l'état RAID de l'appliance est READY ou OPTIMAL dans la sortie System Status. Ne lancez pas de mise à niveau sur une appliance dont l'état RAID est DEGRADED. Contactez le TAC Cisco pour initier un dossier d'autorisation de retour de matériel (RMA) pour votre appareil.
• Vérifiez si l'appliance de sécurisation de la messagerie (ESA) est autonome ou dans un environnement en cluster. En cas de mise en grappe, assurez-vous de revoir correctement la section Mise à niveau de grappe de ce document.
• Assurez-vous qu'il y a une connectivité Internet du ESA sur les ports 80 et 443 sans inspection des paquets.
• Un ou plusieurs serveurs DNS fonctionnels sont requis.

Compatibilité entre ESA/SMA

Vérifiez la compatibilité des systèmes ESA et SMA avant de procéder à la mise à niveau. Les versions plus anciennes d'AsyncOS for Email Security peuvent nécessiter plusieurs mises à niveau pour obtenir la dernière version. Pour obtenir une confirmation du chemin de mise à niveau et du provisionnement de l'appliance, contactez le TAC Cisco.

Préparer la mise à niveau

1. Enregistrez le fichier de configuration XML dans la boîte de dialogue. Si vous devez revenir à la version antérieure à la mise à niveau pour une raison quelconque, vous pouvez utiliser ce fichier pour importer la configuration précédente.
2. Si vous utilisez la fonction Liste sécurisée/Liste de blocage, exportez la liste hors de la boîte.
3. Suspendre tous les écouteurs. Si vous effectuez la mise à niveau à partir de l'interface de ligne de commande, utilisez suspendlistener erasecat4000_flash:. Si vous effectuez la mise à niveau depuis l'interface utilisateur graphique, la suspension de l'écouteur se produit automatiquement.
4. Attendez que la file d'attente se vide. Vous pouvez utiliser la workqueue pour afficher le nombre de messages dans la file d'attente de travail ou la commande rate dans l'interface de ligne de commande pour surveiller le débit des messages sur votre appliance.

Télécharger et installer la mise à niveau

Depuis la version 8.0 d'AsyncOS for Email Security, les options de mise à niveau sont mises à jour pour inclure désormais DOWNLOADINSTALL en plus de DOWNLOAD. L'administrateur a ainsi la possibilité de télécharger et d'installer en une seule opération, ou de télécharger en arrière-plan et d'installer ultérieurement.

(Machine host1.example.com)> upgrade


Choose the operation you want to perform:
- DOWNLOADINSTALL - Downloads and installs the upgrade image (needs reboot).
- DOWNLOAD - Downloads the upgrade image.
[]> download

Upgrades available.
1. AsyncOS 14.2.0 build 616 upgrade For Email, 2022-05-27,release available as General Deployment
2. AsyncOS 14.2.0 build 620 upgrade For Email, 2022-07-05,release available as General Deployment
[2]>

Reportez-vous au Guide de l'utilisateur pour obtenir des informations complètes.

Mise à niveau sur la CLI

1. Saisissez la commande status et assurez-vous que l'écouteur est suspendu. Vous pouvez voir "Statut du système : Réception suspendue".
2. Saisissez la commande upgrade erasecat4000_flash:.
3. Choisissez une option pour DOWNLOADINSTALL ou DOWNLOAD.
4. Sélectionnez le numéro approprié associé à la version de mise à niveau souhaitée.
5. Répondez aux questions nécessaires pour enregistrer la configuration actuelle et approuver le redémarrage lorsque la mise à niveau est appliquée.
6. Après la mise à niveau, connectez-vous à la CLI et entrez resume pour reprendre les écouteurs et garantir le bon fonctionnement. Saisissez la commande status et confirmez "System status: Online".

Mise à niveau via la GUI

1. Choisissez System Administration > System Upgrade.
2. Cliquez sur Options de mise à niveau...
3. Choisissez une option pour Télécharger et installer ou Télécharger.
4. Cliquez sur et sélectionnez la version de mise à niveau souhaitée.
5. Sélectionnez les options appropriées pour la préparation de la mise à niveau.
6. Continuez, pour commencer la mise à niveau et afficher la barre de progression de votre surveillance.
7. Après la mise à niveau, connectez-vous à la CLI et entrez resume pour reprendre les écouteurs et garantir le bon fonctionnement : choisissez System Administration > Shutdown/Suspend > Resume (Check All).
8. Dans la section Opérations de messagerie, choisissez Valider.

Mise à niveau du cluster

Les ESA d'une grappe utilisent le même processus de mise à niveau à partir de l'interface de ligne de commande ou de l'interface utilisateur graphique que dans les sections précédentes, à la seule exception qu'une invite s'affiche pour déconnecter les périphériques de la grappe.

Remarque : vous pouvez effectuer la mise à niveau à l'aide de l'interface de ligne de commande ou de l'interface utilisateur graphique, mais la reconnexion clusterconfig sont uniquement disponibles via l'interface de ligne de commande. Ce document décrit comment mettre à niveau les machines via l'interface de ligne de commande.

Exemple de l'interface de ligne de commande :

(Cluster my_cluster)> upgrade

This command is restricted to run in machine mode of the machine you are logged in to.
 Do you want to switch to "Machine applianceA.local" mode? [Y]> y

Exemple vu de l'interface utilisateur graphique :

Remarque : il s'agit uniquement d'une déconnexion administrative. Cela arrêterait toute tentative de synchronisation de la configuration à travers le cluster à partir ou vers les appliances déconnectés. Cette opération ne supprime ni ne modifie la configuration de l'appliance.

Procédez comme suit pour mettre à niveau les ESA qui s'exécutent dans un cluster via l'interface de ligne de commande :

1. Saisissez la commande upgrade dans l'interface de ligne de commande pour mettre à niveau AsyncOS vers une version ultérieure. Lorsque le système vous demande si vous souhaitez déconnecter le cluster, répondez avec la lettre Y pour continuer :
   
   

   (Machine host1.example.com)> upgrade
   
   You must disconnect all machines in the cluster in order to upgrade them. Do you wish
   to disconnect all machines in the cluster now? [Y]> Y

   
   
   
2. Utilisez toutes les invites de mise à niveau (invite de redémarrage incluse).
   
   
3. Une fois que toutes les machines du cluster ont été mises à niveau et redémarrées, connectez-vous à l'une des machines du cluster via l'interface de ligne de commande et entrez le clusterconfig erasecat4000_flash:. Reconnectez-les au niveau du cluster pour permettre la synchronisation de la configuration et la reprise du fonctionnement du cluster.
4. Répondre Yes pour vous reconnecter. Il n'est pas nécessaire de s'engager.
   
   

   Choose the machine to reattach to the cluster. Separate multiple machines with commas
   or specify a range with a dash.
   
   1. host2.example.com (group Main)
   2. host3.example.com (group Main)
   3. host4.example.com (group Main)
   
   [1]> 1-3

5. Entrez la commande suivante  connstatus pour confirmer que tous les périphériques se trouvent dans le cluster. En outre, exécutez la commande clustercheck pour confirmer qu'il n'y a aucune incohérence.

Recommandations de mise à niveau du cluster :

• Ne reconnectez pas les ESA au cluster tant que TOUS les appareils n'ont pas été mis à niveau vers une version correspondante.
• Si nécessaire, une fois qu'une ESA a terminé une mise à niveau, reprenez l'écouteur, s'il a été précédemment suspendu, et autorisez-le à fonctionner comme une appliance autonome.
• Ne modifiez pas la configuration lorsque les ESA sont déconnectés d'un cluster pour éviter les incohérences de configuration lors de la reconnexion au niveau du cluster après la mise à niveau.
• Une fois que TOUTES les appliances sont mises à niveau vers la même version, reconnectez-les au niveau du cluster pour permettre la synchronisation de la configuration et la reprise du fonctionnement du cluster.

Valider les chèques :

• Si les appliances sont gérées par le SMA, alors :
  • Accédez à Appliance de gestion > Centralized Services > Security Appliances et assurez-vous que tous les services sont actifs et que la connexion indique « Established ».
  • Accédez à Email > Message Tracking > Message Tracking Data Availability et vérifiez si l'état affiche OK pour tous les ESA.
  • Sur chaque appliance, entrez la commande status et recherchez-la pour qu'elle s'affiche comme étant en ligne.
  • Saisissez la commande displayalerts et vérifiez si de nouvelles alertes sont détectées après la mise à niveau.
  • Dans le cas d'un cluster, le clustercheck ne doit pas présenter d'incohérences, et la commande connstatus doit afficher les appliances comme connectées sans erreurs.
  • Pour vérifier le flux de courrier, saisissez la commande tail mail_logs dans l'interface de ligne de commande.

Dépannage

1. tail updater_logs et tail upgrade_logs peut également fournir des informations en cas de problème avec la mise à niveau.
2. Si vous rencontrez un problème lors du téléchargement de l'image ou de la mise à jour de l'antispam ou de l'antivirus, c'est probablement parce que les processus ne sont pas en mesure d'atteindre et de mettre à jour le moteur de service ou les ensembles de règles. Suivez les étapes décrites dans vESA Is Not Able to Download and Apply Updates for Antispam or Antivirus.
3. Si la mise à niveau échoue en raison d'interruptions du réseau, des erreurs similaires peuvent être observées pendant le résultat du processus de mise à niveau :

Reinstalling AsyncOS... 66% 01:05ETA.
/usr/local/share/doc/jpeg/libjpeg.doc: Premature end of gzip compressed data:
 Input/output error
tar: Error exit delayed from previous errors.
Upgrade failure.

Cela est généralement dû à une interruption du réseau qui peut s’être produite lors de la transmission de données entre l’ESA et les serveurs de mise à jour. Analysez les journaux de pare-feu réseau ou surveillez le trafic de paquets provenant de l'ESA pour mettre à jour les serveurs.

Si nécessaire, référez-vous à Procédures de capture de paquets ESA pour activer la capture de paquets sur l'ESA, puis retentez le processus de mise à niveau.

Remarque : les pare-feu doivent autoriser les connexions inactives à rester actives, en particulier pour le processus de mise à niveau.

Pour les pare-feu de réseau stricts qui nécessitent des serveurs de mise à niveau statique, référez-vous à Mises à niveau de l'appliance de sécurité du contenu ou Mises à jour avec un serveur statique pour savoir comment configurer des serveurs de mise à jour et de mise à niveau statiques.

Pour les appliances matérielles, testez les connexions à ces serveurs dynamiques :

• telnet updates.ironport.com 80
• telnet downloads.ironport.com 80

Pour les appliances virtuelles, vous devez utiliser les serveurs dynamiques suivants :

• telnet update-manifests.sco.cisco.com 443
• telnet updates.ironport.com 80
• telnet downloads.ironport.com 80  

Reportez-vous au Guide de l'utilisateur pour obtenir des informations complètes sur le pare-feu et les ports requis.

Informations connexes

• Matrice de compatibilité pour les appareils de gestion de la sécurité du contenu Cisco
• Procédures de mise à niveau ESA
• Procédures de capture de paquets ESA
• Mises à niveau ou mises à jour de Content Security Appliance avec un serveur statique
• Assistance et documentation techniques - Cisco Systems