Introduzione

Questo documento offre una guida completa sui passaggi necessari per migrare la configurazione delle apparecchiature Cx90 a un ambiente virtuale che utilizza Nutanix. Copre l'intero processo di migrazione, dalla pianificazione e valutazione iniziali fino all'esecuzione e alla convalida dell'ambiente virtuale. Seguendo le procedure qui descritte, le organizzazioni possono garantire una transizione fluida ed efficiente, riducendo al minimo i tempi di inattività e preservando l'integrità delle configurazioni esistenti.

Per una comprensione più dettagliata di alcuni passaggi, è possibile fare riferimento alla guida per l'utente o ad altri articoli rilevanti. Queste risorse forniscono ulteriori informazioni e istruzioni a complemento delle informazioni fornite in questo documento.

Prerequisiti

Prima di iniziare il processo di migrazione, verificare che siano soddisfatti i seguenti prerequisiti per agevolare una transizione fluida ed efficiente:

Requisito della versione software per Cx90: verificare che Cx90 utilizzi la versione 15.0.3. Questa versione è necessaria esclusivamente per il processo di migrazione della configurazione in Nutanix e non deve mai essere utilizzata negli ambienti di produzione Nutanix.

1. Smart License Account: per questa migrazione è necessario uno Smart License Account valido. Verificare lo stato della Smart License prima di avviare il processo di migrazione.

2. Comprensione di base del clustering: acquisire familiarità con i concetti di clustering di Cisco Secure Email Gateway (ESA). Questa comprensione di base è fondamentale per una migrazione senza problemi.

3. Determinare lo stato del cluster hardware esistente:

Uso di CLI: eseguire il comando Clusterconfig.

Uso della GUI: passare a Monitor > any (qualsiasi).

Se viene visualizzato "Modalità - Cluster: nome_cluster", gli accessori vengono eseguiti in una configurazione cluster.

5. Scarica il software necessario: scarica il software Cisco Secure Email Gateway (vESA), versione 15.0.3 modello C600v per KVM.

6. Risorse di rete: preparare le risorse di rete necessarie per il nuovo computer (IP, regole firewall, DNS e così via).

Aggiornamento di HW (Cx90) alla versione 15.0.3 di AsyncOS

Per eseguire la migrazione, è necessario che nel cluster x90 sia installata la versione 15.0.3. Questa è la versione iniziale che possiamo eseguire su Nutanix per la migrazione della configurazione.

Nota: la versione 15.0.3 di un accessorio Nutanix può essere utilizzata solo per la migrazione della configurazione, senza mai gestire il traffico e-mail in produzione. La versione 15.0.3 è supportata in produzione per altri ambienti virtuali e dispositivi fisici.

Aggiornamento di Cx90/HW esistenti alla versione 15.0.3 AsyncOS

Nelle Note sulla versione di AsyncOS 15.0 for Cisco Email Security Appliance, usare queste istruzioni per aggiornare l'appliance Email Security:

1. Salvare il file di configurazione XML dell'accessorio.
2. Se si utilizza la funzione Safelist/Blocklist, esportare il database Safelist/Blocklist dall'accessorio.
3. Sospendere tutti i listener.
4. Attendere che la coda si svuoti.
5. Dalla scheda Amministrazione del sistema, selezionare l'opzione Aggiornamento del sistema
6. Fare clic su Aggiornamenti disponibili. La pagina viene aggiornata con un elenco delle versioni di aggiornamento AsyncOS disponibili.
7. Fare clic sul pulsante Inizia aggiornamento per avviare l'aggiornamento. Rispondere alle domande così come appaiono. Al termine dell'aggiornamento, fare clic sul pulsante Riavvia ora per riavviare l'accessorio.
8. Riprendere tutti i listener.

Dopo il riavvio, convalidare la versione di AsyncOS in esecuzione:

• CLI, eseguire il comando version.
• UI, selezionare Monitor > System Info (Informazioni sul sistema)

Nota: se in una configurazione cluster sono già in esecuzione più accessori, è possibile saltare la sezione successiva.

Distribuire il C600v in Nutanix

Tra i prerequisiti, scaricare l'immagine vESA/C600v e installarla in base alla Guida all'installazione di Cisco Content Security Virtual Appliance.

Licenze per vESA

L'installazione richiede l'utilizzo di Smart Licensing. La versione 16.0 o superiore, che verrà eseguita sulle apparecchiature virtualizzate di Nutanix, richiede Smart Licensing al posto del modello di licenza tradizionale. Pertanto, è essenziale verificare che le licenze Smart siano state installate correttamente in anticipo.

Creazione di licenze intelligenti

Questi collegamenti descrivono il processo di attivazione, le definizioni e come risolvere i problemi relativi a Smart Licensing Service su ESA/SMA/WSA.

Panoramica delle licenze Smart e best practice per la posta elettronica e la sicurezza Web

Guida all'implementazione di Smart Licensing per Cisco Secure Email Gateway e Cisco Secure Email e Web Manager

Processo di migrazione della configurazione

Per la migrazione della configurazione, le nuove apparecchiature verranno aggiunte al cluster X90 esistente. Una volta collegata al cluster, la nuova apparecchiatura caricherà automaticamente tutte le configurazioni installate, garantendo una transizione senza problemi. Questo processo sfrutta la configurazione esistente del cluster per integrare in modo efficiente la nuova apparecchiatura virtualizzata, preservando in tal modo tutte le configurazioni e le impostazioni correnti senza alcun intervento manuale. Questo approccio riduce al minimo le interruzioni potenziali e garantisce la continuità delle operazioni.

Aggiunta di vESA al cluster ESA

Dalla CLI di vESA, eseguire clusterconfig > Join a existing... per aggiungere la vESA al cluster, come indicato di seguito:

vESA.Nutanix> clusterconfig

Do you want to join or create a cluster?
1. No, configure as standalone.
2. Create a new cluster.
3. Join an existing cluster over SSH.
4. Join an existing cluster over CCS.
[1]> 3

While joining a cluster, you will need to validate the SSH host key of the remote machine to which you are joining.  To get the public host key fingerprint of the remote host, connect to the cluster and run: logconfig -> hostkeyconfig -> fingerprint.

WARNING: All non-network settings will be lost. System will inherit the values set at the group or cluster mode for the non-network settings. Ensure that the cluster settings are compatible with your network settings (e.g. dnsconfig settings)

Exception:Centralized Policy, Virus, and Outbreak Quarantine settings are not inherited from the cluster.  These settings on this machine will remain intact.

Do you want to enable the Cluster Communication Service on ironport.example.com? [N]> n

Enter the IP address of a machine in the cluster.
[]> 192.168.100.10

Enter the remote port to connect to.  This must be the normal admin ssh port, not the CCS port.
[22]>

Would you like to join this appliance to a cluster using pre-shared keys? Use this option if you have enabled two-factor authentication on the appliance. [Y]> n

Enter the name of an administrator present on the remote machine
[admin]>

Enter passphrase:
Please verify the SSH host key for 192.168.100.10:
Public host key fingerprint: 08:23:46:ab:cd:56:ff:ef:12:89:23:ee:56:12:67:aa
Is this a valid key for this host? [Y]> y

Joining cluster group Main_Group.
Joining a cluster takes effect immediately, there is no need to commit.
Cluster cluster.Cx90

Choose the operation you want to perform:
- ADDGROUP - Add a cluster group.
- SETGROUP - Set the group that machines are a member of.
- RENAMEGROUP - Rename a cluster group.
- DELETEGROUP - Remove a cluster group.
- REMOVEMACHINE - Remove a machine from the cluster.
- SETNAME - Set the cluster name.
- LIST - List the machines in the cluster.
- CONNSTATUS - Show the status of connections between machines in the cluster.
- COMMUNICATION - Configure how machines communicate within the cluster.
- DISCONNECT - Temporarily detach machines from the cluster.
- RECONNECT - Restore connections with machines that were previously detached.
- PREPJOIN - Prepare the addition of a new machine over CCS.
[]>

(Cluster cluster.Cx90)>

A questo punto, vESA ora rispecchia la configurazione dell'hardware Cx90 esistente. In questo modo, tutte le impostazioni, le policy e le configurazioni sono coerenti su entrambe le piattaforme.

Per convalidare la sincronizzazione e verificare che non vi siano discrepanze tra il C600v esistente e il sistema Cx90 in uso, eseguire il comando clustercheck. 

Cluster cluster.Cx90)> clustercheck

No inconsistencies found on available machines.
(Cluster cluster.Cx90)> 

Questo comando consente di identificare le potenziali incoerenze che potrebbero essere risolte.

(cluster.Cx90)> clustercheck
Checking DLP settings...
Inconsistency found!
DLP settings at Cluster test:
vESA.Nutanix was updated Wed July 17 12:23:15 2024 GMT by 'admin' on C690.Machine C690.Machine was updated Wed Jun 13 06:34:45 2024 GMT by 'admin' on C690.Machine How do you want to resolve this inconsistency?

1. Force the entire cluster to use the vESA.Nutanix version.

2. Force the entire cluster to use the C690.Machine version.

3. Ignore.
[3]> 2

Nota: vESA non sta ancora elaborando la posta. Prima di passare alla produzione, assicurarsi che la vESA sia aggiornata alla versione 16.0. Questo passo è fondamentale per la stabilità e la compatibilità del sistema. Prima di passare alla produzione, eseguire la procedura seguente.

Rimozione di vESA dal cluster ESA

Dalla CLI di vESA, eseguire clusterconfig e rimuovere l'appliance dal cluster utilizzando l'operazione removemachine:

(Cluster cluster.Cx90)> clusterconfig

Cluster cluster.Cx90

Choose the operation you want to perform:
- ADDGROUP - Add a cluster group.
- SETGROUP - Set the group that machines are a member of.
- RENAMEGROUP - Rename a cluster group.
- DELETEGROUP - Remove a cluster group.
- REMOVEMACHINE - Remove a machine from the cluster.
- SETNAME - Set the cluster name.
- LIST - List the machines in the cluster.
- CONNSTATUS - Show the status of connections between machines in the cluster.
- COMMUNICATION - Configure how machines communicate within the cluster.
- DISCONNECT - Temporarily detach machines from the cluster.
- RECONNECT - Restore connections with machines that were previously detached.
- PREPJOIN - Prepare the addition of a new machine over CCS.
[]> removemachine

Choose the machine to remove from the cluster.
1. C690.Machine (group Main_Group)
2. vESA.Nutanix (group Main_Group)
[1]> 2

Warning:
- You are removing the machine you are currently connected to, and you will no longer be able to access the cluster.
- This change will happen immediately without a commit.
Are you sure you want to continue? [N]> y

Please wait, this operation may take a minute...
Machine vESA.Nutanix removed from the cluster.

Aggiornamento di vESA

In questa fase della migrazione della configurazione, è obbligatorio aggiornare vESA alla versione 16.0. Questo aggiornamento è necessario perché la versione 16.0 è la prima versione ufficialmente supportata per gli ambienti di produzione. L'aggiornamento garantisce l'allineamento del dispositivo virtuale alle funzionalità più recenti, agli aggiornamenti per la sicurezza e ai requisiti di compatibilità. L'aggiornamento alla versione 16.0 consente di migliorare le prestazioni e l'affidabilità di vESA e di supportare completamente l'ambiente di produzione. Questo passaggio è fondamentale per garantire un'integrazione perfetta e un funzionamento ottimale nell'infrastruttura esistente.

Per aggiornare vESA C600v alla versione 16.0:

1. Dalla scheda Amministrazione del sistema, selezionare l'opzione Aggiornamento del sistema
2. Fare clic su Aggiornamenti disponibili. La pagina viene aggiornata con un elenco delle versioni di aggiornamento AsyncOS disponibili. Selezionare la versione 16.0.
3. Fare clic sul pulsante Inizia aggiornamento per avviare l'aggiornamento. Rispondere alle domande così come appaiono. Al termine dell'aggiornamento, fare clic sul pulsante Riavvia ora per riavviare l'accessorio.
4. Dopo il riavvio, convalidare la versione di AsyncOS in esecuzione:

CLI, eseguire il comando version

UI, selezionare Monitor > System Info (Informazioni di sistema)

Creazione di un nuovo cluster (su vESA)

Se si desidera utilizzare lo stesso nome di cluster, è necessario creare un nuovo cluster utilizzando lo stesso nome utilizzato nel cluster Cx90. In alternativa, creare un nuovo cluster con un nuovo nome. Questa è una ripetizione dei passi precedenti, proprio ora sulla vESA:

vESA.Nutanix> clusterconfig

Do you want to join or create a cluster?
1. No, configure as standalone.
2. Create a new cluster.
3. Join an existing cluster over SSH.
4. Join an existing cluster over CCS.
[1]> 2

Enter the name of the new cluster.
[]> newcluster.Virtual

Should all machines in the cluster communicate with each other by hostname or by IP address?
1. Communicate by IP address.
2. Communicate by hostname.
[2]> 1

What IP address should other machines use to communicate with Machine C170.local?
1. 192.168.101.100 port 22 (SSH on interface Management)
2. Enter an IP address manually
[]> 1

Other machines will communicate with Machine C195.local using IP address 192.168.101.100 port 22. You can change this by using the COMMUNICATION subcommand of the clusterconfig command.
New cluster committed: Sat Jun 08 11:45:33 2019 GMT
Creating a cluster takes effect immediately, there is no need to commit.

Cluster newcluster.Virtual

Choose the operation you want to perform:
- ADDGROUP - Add a cluster group.
- SETGROUP - Set the group that machines are a member of.
- RENAMEGROUP - Rename a cluster group.
- DELETEGROUP - Remove a cluster group.
- REMOVEMACHINE - Remove a machine from the cluster.
- SETNAME - Set the cluster name.
- LIST - List the machines in the cluster.
- CONNSTATUS - Show the status of connections between machines in the cluster.
- COMMUNICATION - Configure how machines communicate within the cluster.
- DISCONNECT - Temporarily detach machines from the cluster.
- RECONNECT - Restore connections with machines that were previously detached.
- PREPJOIN - Prepare the addition of a new machine over CCS.
[]>

(Cluster newcluster.Virtual)>
Join Your Cx00v to Your ESA Cluster
From the CLI on the Cx00v, run clusterconfig > Join an exisiting... to add your Cx00v into your new cluster configured on your vESA, similar to the following:

C600v.Nutanix> clusterconfig

Do you want to join or create a cluster?
1. No, configure as standalone.
2. Create a new cluster.
3. Join an existing cluster over SSH.
4. Join an existing cluster over CCS.
[1]> 3

While joining a cluster, you will need to validate the SSH host key of the remote machine to which you are joining.  To get the public host key fingerprint of the remote host, connect to the cluster and run: logconfig -> hostkeyconfig -> fingerprint.

WARNING: All non-network settings will be lost. System will inherit the values set at the group or cluster mode for the non-network settings. Ensure that the cluster settings are compatible with your network settings (e.g. dnsconfig settings)

Exception:Centralized Policy, Virus, and Outbreak Quarantine settings are not inherited from the cluster.  These settings on this machine will remain intact.

Do you want to enable the Cluster Communication Service on ironport.example.com? [N]> n

Enter the IP address of a machine in the cluster.
[]> 192.168.101.100

Enter the remote port to connect to.  This must be the normal admin ssh port, not the CCS port.
[22]>

Would you like to join this appliance to a cluster using pre-shared keys? Use this option if you have enabled two-factor authentication on the appliance. [Y]> n

Enter the name of an administrator present on the remote machine
[admin]>

Enter passphrase:
Please verify the SSH host key for 10.10.10.56:
Public host key fingerprint: 00:61:32:aa:bb:84:ff:ff:22:75:88:ff:77:48:84:eb
Is this a valid key for this host? [Y]> y

Joining cluster group Main_Group.
Joining a cluster takes effect immediately, there is no need to commit.
Cluster newcluster.Virtual

Choose the operation you want to perform:
- ADDGROUP - Add a cluster group.
- SETGROUP - Set the group that machines are a member of.
- RENAMEGROUP - Rename a cluster group.
- DELETEGROUP - Remove a cluster group.
- REMOVEMACHINE - Remove a machine from the cluster.
- SETNAME - Set the cluster name.
- LIST - List the machines in the cluster.
- CONNSTATUS - Show the status of connections between machines in the cluster.
- COMMUNICATION - Configure how machines communicate within the cluster.
- DISCONNECT - Temporarily detach machines from the cluster.
- RECONNECT - Restore connections with machines that were previously detached.
- PREPJOIN - Prepare the addition of a new machine over CCS.
[]>

(Cluster newcluster.Virtual)>

Conclusioni

Seguendo i passaggi descritti in questo documento, è stata completata la migrazione della configurazione dell'apparecchiatura X90 a un ambiente virtuale utilizzando Nutanix. L'aggiornamento di vESA alla versione 16.0, la prima versione supportata per la produzione, garantisce che l'appliance virtuale sia completamente in grado di gestire le richieste dell'ambiente di produzione. Questo upgrade consente di accedere alle funzionalità più recenti, ai miglioramenti della sicurezza e alla compatibilità, garantendo prestazioni e affidabilità ottimali.

Infine, verificare che i record DNS e le configurazioni di bilanciamento del carico siano aggiornati per includere vESA, in modo da consentire un'elaborazione efficace della posta. Con queste configurazioni, vESA è ora pronta per l'uso nell'infrastruttura esistente, fornendo una solida sicurezza dell'e-mail e una perfetta integrazione.