Processus de mise à niveau de Secure Email Gateway

Introduction

Ce document décrit les étapes associées au processus de mise à niveau d'AsyncOS pour Cisco Secure Email Gateway (SEG) ou Cisco Email Security Appliance.

Conditions préalables

Exigences

• Vérifiez que l'état RAID de l'appliance est READY ou OPTIMAL dans la sortie System Status. Ne lancez pas de mise à niveau sur une appliance dont l'état RAID est DEGRADED. Contactez le TAC Cisco pour initier un dossier d'autorisation de retour de matériel (RMA) pour votre appareil.
• Vérifiez si l'appliance de sécurisation de la messagerie (ESA) est autonome ou dans un environnement en cluster. En cas de mise en grappe, assurez-vous de consulter correctement la section Mise à niveau du cluster de ce document.
• Assurez-vous qu'il y a une connectivité Internet du ESA sur les ports 80 et 443 sans inspection des paquets.
• Un ou plusieurs serveurs DNS fonctionnels sont requis.

Attention : l'utilisation de Cisco Smart Software Licensing est obligatoire à partir de la prochaine version d'AsyncOS (toutes les versions postérieures à AsyncOS 15.0) pour Cisco Secure Email Gateway.

Composants utilisés

Ce document n'est pas limité à des versions de matériel et de logiciel spécifiques.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Compatibilité entre ESA/SMA

Vérifiez la compatibilité des systèmes ESA et SMA avant de procéder à la mise à niveau. Les versions plus anciennes d'AsyncOS for Email Security peuvent nécessiter plusieurs mises à niveau pour obtenir la dernière version. Pour obtenir une confirmation du chemin de mise à niveau et du provisionnement de l'appliance, contactez le TAC Cisco.

Préparer la mise à niveau

1. Enregistrez le fichier de configuration XML dans la boîte de dialogue. Si vous devez revenir à la version antérieure à la mise à niveau pour une raison quelconque, vous pouvez utiliser ce fichier pour importer la configuration précédente.
2. Si vous utilisez la fonction Liste sécurisée/Liste de blocage, exportez la liste hors de la boîte.
3. Suspendre tous les écouteurs. Si vous effectuez la mise à niveau à partir de l'interface de ligne de commande, utilisez la commande suspendlistener. Si vous effectuez la mise à niveau depuis l'interface utilisateur graphique, la suspension de l'écouteur se produit automatiquement.
4. Attendez que la file d'attente se vide. Vous pouvez utiliser la commande workqueue pour afficher le nombre de messages dans la file d'attente de travail ou la commande rate dans l'interface de ligne de commande pour surveiller le débit des messages sur votre appliance.

Télécharger et installer la mise à niveau

Depuis la version 8.0 d'AsyncOS for Email Security, les options de mise à niveau sont mises à jour pour inclure maintenant DOWNLOADINSTALL en plus de DOWNLOAD. L'administrateur a ainsi la possibilité de télécharger et d'installer en une seule opération, ou de télécharger en arrière-plan et d'installer ultérieurement.

(ESA_CLI)> upgrade


Choose the operation you want to perform:
- DOWNLOADINSTALL - Downloads and installs the upgrade image (needs reboot).
- DOWNLOAD - Downloads the upgrade image.
[]> download

Upgrades available.
1. AsyncOS 14.2.0 build 616 upgrade For Email, 2022-05-27,release available as General Deployment
2. AsyncOS 14.2.0 build 620 upgrade For Email, 2022-07-05,release available as General Deployment
[2]>

Reportez-vous au Guide de l'utilisateur pour obtenir des informations complètes.

Mise à niveau sur la CLI

1. Entrez la commande status et assurez-vous que l'écouteur est suspendu. Vous pouvez voir Statut du système : Réception d'un message suspendu.
2. Entrez la commande upgrade.
3. Choisissez une option pour DOWNLOADINSTALL ou DOWNLOAD.
4. Sélectionnez le numéro approprié associé à la version de mise à niveau souhaitée.
5. Répondez aux questions nécessaires pour enregistrer la configuration actuelle et approuver le redémarrage lorsque la mise à niveau est appliquée.
6. Après la mise à niveau, connectez-vous à l'interface de ligne de commande et entrez resume pour reprendre les écouteurs et assurer le bon fonctionnement. Entrez la commande status et confirmez, System status : Online.

Mise à niveau via la GUI

1. Choisissez System Administration > System Upgrade.
2. Cliquez sur Options de mise à niveau...
3. Choisissez une option pour Télécharger et installer ou Télécharger.
4. Cliquez sur la version de mise à niveau souhaitée et sélectionnez-la.
5. Sélectionnez les options appropriées pour Préparation de la mise à niveau.
6. Continuez, pour commencer la mise à niveau et afficher la barre de progression de votre surveillance.
7. Après la mise à niveau, connectez-vous à l'interface de ligne de commande et entrez resume pour reprendre les écouteurs et vous assurer du bon fonctionnement : choisissez System Administration > Shutdown/Suspend > Resume (Check All).
8. Dans la section Opérations de messagerie, choisissez Valider.

Mise à niveau du cluster

Les ESA d'une grappe utilisent le même processus de mise à niveau à partir de l'interface de ligne de commande ou de l'interface utilisateur graphique que dans les sections précédentes, à la seule exception qu'une invite s'affiche pour déconnecter les périphériques de la grappe.

Remarque : vous pouvez effectuer la mise à niveau à l'aide de l'interface de ligne de commande ou de l'interface utilisateur graphique, mais les commandesclusterconfigreconnectsont uniquement disponibles via l'interface de ligne de commande. Ce document décrit comment mettre à niveau les machines via l'interface de ligne de commande.

Exemple de l'interface de ligne de commande :

(Cluster my_cluster)> upgrade

This command is restricted to run in machine mode of the machine you are logged in to.
 Do you want to switch to "Machine applianceA.local" mode? [Y]> y

Exemple vu de l'interface utilisateur graphique :

Remarque : il s'agit uniquement d'une déconnexion administrative. Cela arrêterait toute tentative de synchronisation de la configuration à travers le cluster à partir ou vers les appliances déconnectés. Cette opération ne supprime ni ne modifie la configuration de l'appliance.

Procédez comme suit pour mettre à niveau les ESA qui s'exécutent dans un cluster via l'interface de ligne de commande :

1. Entrez la commande upgrade dans la CLI pour mettre à niveau AsyncOS vers une version ultérieure. Lorsque vous êtes invité à déconnecter le cluster, répondez avec la lettre Y pour continuer :
   
   

   (ESA_CLI)> upgrade
   
   You must disconnect all machines in the cluster in order to upgrade them. Do you wish
   to disconnect all machines in the cluster now? [Y]> Y

   
   
   
2. Utilisez toutes les invites de mise à niveau (invite de redémarrage incluse).
3. Une fois que toutes les machines du cluster ont été mises à niveau et redémarrées, connectez-vous à l'une des machines du cluster via l'interface de ligne de commande et entrez la commande clusterconfig. Reconnectez-les au niveau du cluster pour permettre la synchronisation de la configuration et la reprise du fonctionnement du cluster.
4. Répondez Oui pour vous reconnecter. Il n'est pas nécessaire de s'engager.
   
   

   Choose the machine to reattach to the cluster. Separate multiple machines with commas
   or specify a range with a dash.
   
   1. host2.example.com (group Main)
   2. host3.example.com (group Main)
   3. host4.example.com (group Main)
   
   [1]> 1-3

5. Exécutez la commande connstatus pour confirmer que tous les périphériques sont dans le cluster. En outre, émettez la commande clustercheck pour confirmer qu'il n'y a pas d'incohérence.

Recommandations de mise à niveau du cluster :

• Ne reconnectez pas les ESA au cluster tant que TOUS les appareils n'ont pas été mis à niveau vers une version correspondante.
• Si nécessaire, une fois qu'une ESA a terminé une mise à niveau, reprenez l'écouteur, s'il a été précédemment suspendu, et autorisez-le à fonctionner comme une appliance autonome.
• Ne modifiez pas la configuration lorsque les ESA sont déconnectés d'un cluster pour éviter les incohérences de configuration lors de la reconnexion au niveau du cluster après la mise à niveau.
• Une fois que TOUTES les appliances sont mises à niveau vers la même version, reconnectez-les au niveau du cluster pour permettre la synchronisation de la configuration et la reprise du fonctionnement du cluster.

Valider les chèques :

• Si les appliances sont gérées par le SMA, alors :
  • Accédez à Appliance de gestion > Centralized Services > Security Appliances et assurez-vous que tous les services sont actifs et que la connexion est établie.Accédez à Email > Message Tracking > Message Tracking Data Availability et vérifiez si l'état affiche OK pour tous les ESA.
  • Sur chaque appliance, entrez la commande status et recherchez qu'elle s'affiche comme étant en ligne.
  • Entrez la commande displayalerts et vérifiez si de nouvelles alertes sont détectées après la mise à niveau.
  • Si dans un cluster, alors la commande clustercheck ne doit pas afficher d'incohérences, et la commande connstatus doit montrer les appareils comme connectés sans erreurs.
  • Pour vérifier le flux de messages, entrez la commande tail mail_logs dans l'interface de ligne de commande.

Dépannage

1. Les commandes tail updater_logs et tail upgrade_logs peuvent également fournir des informations en cas de problème avec la mise à niveau.
2. Si vous rencontrez un problème lors du téléchargement de l'image, ou lors de la mise à jour de l'antispam ou de l'antivirus, c'est probablement parce que les processus ne sont pas en mesure d'atteindre et de mettre à jour le moteur de service ou les ensembles de règles. Suivez les étapes décrites dans vESA Is Not Able to Download and Apply Updates for Antispam or Antivirus.
3. Si la mise à niveau échoue en raison d'interruptions du réseau, des erreurs similaires peuvent être observées pendant le résultat du processus de mise à niveau :

Reinstalling AsyncOS... 66% 01:05ETA.
/usr/local/share/doc/jpeg/libjpeg.doc: Premature end of gzip compressed data:
 Input/output error
tar: Error exit delayed from previous errors.
Upgrade failure.

Cela est généralement dû à une interruption du réseau qui peut s’être produite lors de la transmission de données entre l’ESA et les serveurs de mise à jour. Analysez les journaux de pare-feu réseau ou surveillez le trafic de paquets provenant de l'ESA pour mettre à jour les serveurs.

Si nécessaire, référez-vous à Procédures de capture de paquets ESA pour activer la capture de paquets sur l'ESA, puis retentez le processus de mise à niveau.

Remarque : les pare-feu doivent autoriser les connexions inactives à rester actives, en particulier pour le processus de mise à niveau.

Pour les pare-feu de réseau stricts qui nécessitent des serveurs de mise à niveau statique, référez-vous à Mises à niveau de l'appliance de sécurité du contenu ou Mises à jour avec un serveur statique pour savoir comment configurer des serveurs de mise à jour et de mise à niveau statiques.

Pour les appliances matérielles, testez les connexions à ces serveurs dynamiques :

• telnet updates.ironport.com 80
• telnet downloads.ironport.com 80

Pour les appliances virtuelles, vous devez utiliser les serveurs dynamiques suivants :

• telnet update-manifests.sco.cisco.com 443
• telnet updates.ironport.com 80
• telnet downloads.ironport.com 80 

Reportez-vous au Guide de l'utilisateur pour obtenir des informations complètes sur le pare-feu et les ports requis.

Informations connexes

• Matrice de compatibilité pour les appareils de gestion de la sécurité du contenu Cisco
• Procédures de mise à niveau ESA
• Procédures de capture de paquets ESA
• Mises à niveau ou mises à jour de Content Security Appliance avec un serveur statique
• Présentation des licences Smart et des meilleures pratiques en matière de sécurisation de la messagerie et du web
• Comment demander un compte Smart
• Assistance et documentation techniques - Cisco Systems