Dépannage « Le FMC distant n'a pas été mis à jour correctement »

Introduction

Ce document décrit comment dépanner « Remote FMC Is Not Updated Successful ». Effectuez la mise à jour sur le FMC distant avant de mettre à jour cet homologue."

Conditions préalables

Conditions requises

Cisco vous recommande de prendre connaissance des rubriques suivantes :

• Firepower Management Center (FMC)
• Connaissances de base de l’interface CLI FMC.

Components Used

Ce document n'est pas limité à des versions de matériel et de logiciel spécifiques.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Informations générales

Message d'erreur 

L'erreur "Remote FMC is not updated successfully. Complete the update on remote FMC before updating this peer" s'affiche sur l'interface utilisateur graphique FMC lorsque vous essayez de mettre à niveau les périphériques gérés par la paire haute disponibilité FMC. Cette erreur ne permet pas le démarrage de la mise à niveau des périphériques gérés. Voici à quoi ressemble l'alerte d'erreur depuis l'interface graphique :

L’erreur peut également être vérifiée à partir de l’interface de ligne de commande du FMC avec la commande de mode expert cat /var/log/httpd/httpd_error_log.1 | grep -i 'FMC distant'.

> expert
root@FMC:~$ cat /var/log/httpd/httpd_error_log.1 | grep -i 'Remote FMC'

[Mon Jan 30 07:20:10.062741 2022] [cgi:error] [pid 5906] [client 192.168.1.10:45267] AH01215: (Remote FMC is not updated successfully. Complete the update on remote FMC before updating this peer.) in /usr/local/sf/htdocs/admin/update.cgi:331 at /usr/local/sf/lib/perl/5.10.1/SF.pm line 120.: /usr/local/sf/htdocs/admin/update.cgi, referer:  
[Mon Jan 30 07:22:43.370986 2022] [cgi:error] [pid 15376] [clien 192.168.1.10:45267] AH01215: (Remote FMC is not updated successfully. Complete the update on remote FMC before updating this peer.) in /usr/local/sf/htdocs/admin/update.cgi:331 at /usr/local/sf/lib/perl/5.10.1/SF.pm line 120.: /usr/local/sf/htdocs/admin/update.cgi, referer:  

Causes des erreurs

Cette erreur se produit lorsqu'il existe une incompatibilité dans la version du correctif logiciel, la version de la base de données de vulnérabilité (VDB), la version des règles d'intrusion (SRU) ou la version de la base de données de géolocalisation (GeoDB) entre les deux FMC dans HA. La non-correspondance se produit lorsque l'une de ces mises à jour de version répertoriées est bloquée ou ne s'installe pas. Vous ne pouvez pas voir cette discordance lorsque vous vérifiez les versions de l'interface utilisateur FMC sous la section Aide > À propos de, mais il est recommandé de vérifier cette page sur les deux FMC.

Remarque : les déploiements sur les périphériques gérés peuvent réussir avec ceci, mais les mises à niveau logicielles ne peuvent pas commencer avec cette erreur.

Identification du problème

Vérifier les versions des FMC dans HA à partir de l'interface utilisateur graphique

Dans l'interface utilisateur graphique de FMC, accédez à Aide > À propos de pour confirmer que les versions du correctif logiciel, de VDB, de SRU et de GeoDB sur les deux FMC dans HA sont toutes les mêmes. Ces images montrent un exemple de correspondance de version de deux FMC dans HA à partir de l'interface graphique utilisateur :

.              

Vérifier l'état d'installation des versions VDB, SRU et GeoDB sur les FMC dans HA à partir de l'interface de ligne de commande

À partir du mode expert sur l'interface de ligne de commande FMC, vous devez vérifier si les mises à jour VDB, SRU et GeoDB ont été installées complètement sans aucune défaillance sur les deux FMC dans HA.

Note: Dans ces sections, il est expliqué comment vérifier le status.log de chaque dossier de version d'image. Ces dossiers de version d'image doivent correspondre au dossier sur le FMC homologue. Par exemple, si le dossier de version VDB installé sur FMC est "vdb-4.5.0-338", vous devez vérifier sous le même dossier pour les deux FMC. Ici, utilisez la commande cat /var/log/sf/vdb-4.5.0-338/status.log sur les deux FMC pour vérifier l'état de mise à jour de VDB. Il en va de même pour les mises à jour SRU et GeoDB.

Vérifier l'état d'installation VDB

À partir du mode expert sur l'interface de ligne de commande FMC, utilisez cette commande cat /var/log/sf/<vdb-image-folder>/status.log pour vérifier si la mise à jour VDB a réussi. Voici un exemple d'installation réussie de VDB :

root@FMC:~$ cat /var/log/sf/vdb-4.5.0-338/status.log
state:running
ui:The install has begun
ui:[ 0%] Running script pre/000_start.sh...
ui:[ 4%] Running script pre/010_check_versions.sh...
ui:[ 8%] Running script pre/011_check_versions.pl...
ui:[12%] Running script pre/020_check_space.sh...
ui:[15%] Running script pre/500_stop_rna.pl...
ui:[19%] Running script pre/999_finish.sh...
ui:[23%] Running script installer/000_start.sh...
ui:[27%] Running script installer/100_install_files.pl...
ui:[31%] Running script installer/200_install_fingerprints.sh...
ui:[35%] Running script installer/300_install_vdb.sh...
ui:[38%] Running script installer/400_install_rdps.pl...
ui:[42%] Running script installer/420_delete_obsolete_ids.pl...
ui:[46%] Running script installer/450_resave_detectors.pl...
ui:[50%] Running script installer/525_export_compliance_policies.pl...
ui:[54%] Running script installer/600_fix_dbcheck.sh...
ui:[58%] Running script installer/605_install_dbcheck_upgrade_script.sh...
ui:[62%] Running script installer/610_install_missing_upgrade_script.sh...
ui:[65%] Running script installer/615_purge_vdb_149_log.sh...
ui:[69%] Running script installer/900_update_version.sh...
ui:[73%] Running script installer/901_update_db_version.pl...
ui:[77%] Running script installer/950_reapply_to_sensor.pl...
ui:[81%] Running script installer/975_export_data.pl...
ui:[85%] Running script installer/999_finish.sh...
ui:[88%] Running script post/000_start.sh...
ui:[92%] Running script post/500_start_rna.pl...
ui:[96%] Running script post/999_finish.sh...
ui:[100%] The install completed successfully.
ui:The install has completed.
state:finished

Vérifier l'état d'installation SRU

À partir du mode expert sur l'interface de ligne de commande FMC, utilisez la commande cat /var/log/sf/<sru-image-folder>/status.log pour vérifier si la mise à jour SRU a réussi. Voici un exemple d'installation SRU réussie :

root@FMC:~$ cat /var/log/sf/sru-2021-05-03-001-vrt/status.log
state:running
ui:The force install has begun.
ui:[ 0%] Running script pre/000_start.sh...
ui:[ 5%] Running script pre/010_check_versions.sh...
ui:[11%] Running script pre/020_check_space.sh...
ui:[16%] Running script pre/999_finish.sh...
ui:[21%] Running script installer/000_start.sh...
ui:[26%] Running script installer/050_sru_log_start.pl...
ui:[32%] Running script installer/100_install_files.pl...
ui:[37%] Running script installer/510_install_policy.pl...
ui:[42%] Running script installer/520_install_rules.pl...
ui:[47%] Running script installer/521_rule_docs.sh...
ui:[53%] Running script installer/530_install_module_rules.pl...
ui:[58%] Running script installer/540_install_decoder_rules.pl...
ui:[63%] Running script installer/602_log_package.pl...
ui:[68%] Running script installer/900_update_version.sh...
ui:[74%] Running script installer/999_finish.sh...
ui:[79%] Running script post/000_start.sh...
ui:[84%] Running script post/500_copy_contents.sh...
ui:[89%] Running script post/900_iru_log_finish.pl...
ui:[95%] Running script post/999_finish.sh...
ui:[100%] The force install completed successfully.
ui:The force install has completed.
state:finished

Vérifier l'état d'installation GeoDB

À partir du mode expert sur l'interface de ligne de commande FMC, utilisez la commande cat /var/log/sf/<geodb-image-folder>/status.log pour vérifier si la mise à jour GeoDB a réussi. Voici un exemple d'installation réussie de GeoDB :

root@FMC:~$ cat /var/log/sf/geodb-2022-08-02-100/status.log
state:running
ui:The install has begun.
ui:[ 0%] Running script installer/200_prechecks.pl...
ui:[33%] Running script installer/500_install_country_map.pl...
ui:[67%] Running script installer/601_fix_country.pl...
ui:[100%] The install completed successfully.
ui:The install has completed.
state:finished

Si l'installation a échoué ou est bloquée pour une raison quelconque, vous pouvez voir quelle étape a échoué ou est bloquée à partir de ce status.log. Voici un exemple d'échec d'installation de GeoDB sur le FMC :

root@FMC:~$ cat /var/log/sf/geodb-2022-07-17-100/status.log
state:running
ui:The install has begun.
ui:[ 0%] Running script installer/200_prechecks.pl...
ui:[33%] Running script installer/500_install_country_map.pl...
ui:[67%] Running script installer/601_fix_country.pl...
ui:[67%] Fatal error: Error running script installer/601_fix_country.pl

Vérifier l'état d'installation de la version du logiciel et du correctif sur les FMC dans HA à partir de CLI 

À partir du mode expert sur l'interface de ligne de commande FMC, utilisez la commande cat /etc/sf/patch_history pour vérifier si les deux FMC ont la même version et le même correctif installés. Exécutez cette commande pour identifier toute non-correspondance sur les deux FMC. Voici un exemple d'incompatibilité de correctifs de la CLI : 

root@FMC:~$ cat /etc/sf/patch_history
6.2.3-83
6.6.0-90
6.6.4-59
6.6.5-81
Hotfix_DE-8__413769962     <<<<<<<<<<<  Here the FMC seems to have a Hotfix installation image that is not present from the other FMC

-------------------------------------------------------------------

root@FMC:~$ cat /etc/sf/patch_history
6.2.3-83
6.6.0-90
6.6.4-59
6.6.5-81        

Pour vérifier si l'installation du correctif dans le FMC a réussi, vous devez vérifier le fichier status.log pour ce dossier image :

root@FMC:~$ cat /var/log/sf/Cisco_Firepower_Mgmt_Center_Hotfix_DE-6.6.5.2/status.log

ui:[98%] Upgrade complete
ui:[99%] Running script 999_finish/999_z_must_remain_last_finalize_boot.sh...
ui:[99%] Running script 999_finish/999_zz_install_bundle.sh...
ui:[100%] The system will now restart services.
ui:System will now restart services.
ui:[100%] Installation completed successfully.
ui:Upgrade has completed.
state:finished

Cet exemple vérifie que l'image du correctif n'était pas présente dans l'un des FMC de HA, alors que l'autre a installé le correctif avec succès. 

Dépannage

Pour résoudre l'erreur, vous devez effectuer une installation forcée manuelle des mises à jour à partir de l'interface de ligne de commande du FMC où le problème est identifié. 

Disclaimer: Root access to the FMC devices is required in order to execute the commands under this section. Please use caution when running commands from the root of the FMC. 

Problème de mise à jour VDB, SRU et GeoDB

Après avoir identifié les problèmes de mise à jour de VDB, SRU ou GeoDB, effectuez une installation forcée manuelle à partir de la commande CLI install_update.pl /var/sf/updates/<image-file> —force. Voici un exemple d'installation forcée manuelle pour une mise à jour GeoDB :

> expert
root@FMC:~$ sudo su
<Enter the root password>
root@FMC:# install_update.pl /var/sf/updates/Cisco_Firepower_GEODB_FMC_Update-2022-08-02-100.sh.REL.tar --force

Note: Utilisez le chemin absolu du fichier image avec la commande install_update.pl comme indiqué dans l'exemple. Ne décompressez aucun fichier tar.gz avant de forcer l'installation à partir de la CLI.

Problème d'installation de correctif

Pour l'installation du correctif, vous devez télécharger le fichier de correctif et l'installer sur le FMC où le fichier de correctif n'était pas présent via l'interface graphique utilisateur ou l'interface de ligne de commande.

Depuis l'interface FMC : 

Accédez à System > Updates > Product Updates et téléchargez la version du correctif à installer. Cliquez ensuite sur l'option Install et choisissez le périphérique sur lequel vous devez installer le correctif et poursuivez l'installation. 

  

À partir de FMC CLI :

Pour installer le logiciel/correctif à partir de l'interface de ligne de commande FMC, téléchargez le fichier de mise à niveau du correctif vers le chemin /var/log/sf/ sur l'interface de ligne de commande FMC et exécutez la commande install_update.pl /var/log/sf/<image-file>. Cette commande exécute les journaux de mise à niveau sur le même écran pour nous permettre de surveiller la progression. Voici un exemple d'installation de correctifs à partir de l'interface de ligne de commande :

> expert
root@FMC:~$ sudo su
<Enter the root password>
root@FMC:# install_update.pl /var/log/sf/Cisco_Firepower_Mgmt_Center_Hotfix_DE-6.6.5.2 

S'il y a un court délai d'attente sur la session SSH, utilisez la commande install_update.pl—detach /var/log/sf/<image-file> pour exécuter l'installation en arrière-plan. Cela permet à la mise à niveau de s'exécuter même après la fermeture de la session SSH.

Vérification

Mise à jour VDB, SRU ou GeoDB

Une fois l'installation forcée manuelle terminée, vous pouvez vérifier l'état de l'installation à partir de l'interface de ligne de commande avec la commande cat /var/log/sf/<image-version-folder>/status.log pour la mise à jour VDB, SRU et GeoDB. Voici un exemple de la sortie status.log d'une installation GeoDB réussie :

root@FMC:/Volume/home/admin# cat /var/log/sf/geodb-2022-08-02-100/status.log
state:running
ui:The force install has begun.
ui:[ 0%] Running script installer/200_prechecks.pl...
ui:[33%] Running script installer/500_install_country_map.pl...
ui:[67%] Running script installer/601_fix_country.pl...
ui:[100%] The force install completed successfully.
ui:The force install has completed.
state:finished

Correctif ou mise à jour de correctif

Après l'installation manuelle de la mise à jour, exécutez la commande cat /var/log/sf/<patch-image-folder>/status.log depuis l'interface de ligne de commande pour vérifier l'état de cette installation. Voici un exemple de la sortie de status.log d'une installation réussie :

root@FMC:/var/log/sf/Cisco_Firepower_Mgmt_Center_Hotfix_DE-6.6.5.2# tail -f status.log
ui:[98%] Upgrade complete
ui:[99%] Running script 999_finish/999_z_must_remain_last_finalize_boot.sh...
ui:[99%] Running script 999_finish/999_zz_install_bundle.sh...
ui:[100%] The system will now restart services.
ui:System will now restart services.
ui:[100%] Installation completed successfully.
ui:Upgrade has completed.
state:finished

Note: Si l'erreur persiste après avoir tenté les étapes fournies dans ce document, veuillez ouvrir une demande de service auprès du TAC Cisco.