Introdução

Este documento fornece um guia abrangente sobre as etapas necessárias para migrar a configuração do equipamento Cx90 para um ambiente virtual usando Nutanix. Ele abrange todo o processo de migração, desde o planejamento e a avaliação iniciais até a execução e a validação do ambiente virtual. Seguindo os procedimentos descritos aqui, as organizações podem garantir uma transição tranquila e eficiente, minimizando o tempo de inatividade e preservando a integridade de suas configurações existentes.

Para obter informações mais detalhadas sobre determinadas etapas, consulte também o guia do usuário ou outros artigos relevantes. Esses recursos oferecem informações e instruções adicionais que complementam as informações fornecidas neste documento.

Pré-requisitos

Antes de iniciar o processo de migração, certifique-se de que esses pré-requisitos sejam atendidos para facilitar uma transição tranquila e eficiente:

Requisito de versão de software para Cx90: verifique se o Cx90 está usando a versão 15.0.3. Observe que esta versão é necessária somente para o processo de migração de configuração no Nutanix e nunca deve ser usada em ambientes de produção Nutanix.

1. Conta de Licença Inteligente: Uma Conta de Licença Inteligente válida é necessária para esta migração. Verifique o status da Smart License antes de iniciar o processo de migração.

2. Noções básicas sobre clusters: familiarize-se com os conceitos de clusters do Cisco Secure Email Gateway (ESA). Essa compreensão básica é crucial para uma migração tranquila.

3. Determine o status do cluster de hardware existente:

Usando CLI: execute o comando Clusterconfig.

Usando a GUI: Navegue até Monitor > any.

Se você vir "Mode - Cluster: cluster_name", seus dispositivos estão sendo executados em uma configuração em cluster.

5. Faça o download do software necessário: Faça o download do software Cisco Secure Email Gateway (vESA), versão 15.0.3 modelo C600v para KVM.

6. Recursos de rede: Prepare os recursos de rede necessários para a nova máquina (IPs, regras de firewall, DNS, etc.).

Atualizar HW (Cx90) para AsyncOS 15.0.3

Para executar a migração, você deve ter a versão 15.0.3 instalada no cluster x90. Esta é a versão inicial que podemos executar no Nutanix para migração de configuração.

Observação: a versão 15.0.3 em um dispositivo Nutanix só pode ser usada para a migração de configuração, nunca gerenciando o tráfego de e-mail em produção. A versão 15.0.3 tem suporte na produção para outros ambientes virtuais e dispositivos físicos.

Atualize o Cx90/HW existente para o AsyncOS 15.0.3

Nas Notas de versão do AsyncOS 15.0 para dispositivos de segurança de e-mail da Cisco, use estas instruções para atualizar seu dispositivo de segurança de e-mail:

1. Salve o arquivo de configuração XML do equipamento.
2. Se você estiver usando o recurso Lista de permissão/bloqueio, exporte o banco de dados Lista de permissão/bloqueio do equipamento.
3. Suspender todos os ouvintes.
4. Aguarde até que a fila fique vazia.
5. Na guia Administração do sistema, selecione a Atualização do sistema
6. Clique em Available Upgrades. A página é atualizada com uma lista de versões de atualização do AsyncOS disponíveis.
7. Clique no botão Begin Upgrade e sua atualização começará. Responda às perguntas da maneira como elas aparecem. Quando a atualização estiver concluída, clique no botão Reinicializar agora para reinicializar o equipamento.
8. Retome todos os ouvintes.

Após a reinicialização, valide a versão do AsyncOS em execução:

• CLI, execute o comando version.
• IU, navegue até Monitor > System Info (Monitorar > Informações do sistema)

Observação: se você já tiver vários dispositivos em execução em uma configuração de cluster, poderá ignorar a próxima seção.

Implante seu C600v em Nutanix

Nos pré-requisitos, faça download da imagem vESA/C600v e implante-a de acordo com o Guia de instalação do Cisco Content Security Virtual Appliance.

Licenciamento para vESA

Esta instalação requer o uso do Smart Licensing. A versão 16.0 ou posterior, que será executada no equipamento virtualizado em Nutanix, necessita do Smart Licensing em vez do modelo de licença tradicional. Portanto, é essencial verificar se as Smart Licenses estão instaladas corretamente com antecedência.

Criação de licenciamento inteligente

Esses links descrevem o processo de ativação, as definições e como solucionar problemas do serviço Smart Licensing no ESA/SMA/WSA.

Compreender a visão geral do Smart Licensing e as práticas recomendadas para segurança de e-mail e Web

Guia de implantação do Smart Licensing para o Cisco Secure Email Gateway e o Cisco Secure Email and Web Manager

Processo de migração de configuração

Para a migração da configuração, adicionaremos o novo equipamento ao cluster X90 existente. Quando o novo equipamento for conectado ao cluster, ele carregará automaticamente todas as configurações implantadas, garantindo uma transição perfeita. Esse processo aproveita a configuração existente do cluster para integrar o novo equipamento virtualizado de forma eficiente, preservando assim todas as configurações atuais sem intervenção manual. Essa abordagem minimiza possíveis interrupções e garante a continuidade das operações.

Adição do vESA ao cluster ESA

Na CLI do vESA, execute clusterconfig > Join an existing... para adicionar o vESA ao cluster, da seguinte forma:

vESA.Nutanix> clusterconfig

Do you want to join or create a cluster?
1. No, configure as standalone.
2. Create a new cluster.
3. Join an existing cluster over SSH.
4. Join an existing cluster over CCS.
[1]> 3

While joining a cluster, you will need to validate the SSH host key of the remote machine to which you are joining.  To get the public host key fingerprint of the remote host, connect to the cluster and run: logconfig -> hostkeyconfig -> fingerprint.

WARNING: All non-network settings will be lost. System will inherit the values set at the group or cluster mode for the non-network settings. Ensure that the cluster settings are compatible with your network settings (e.g. dnsconfig settings)

Exception:Centralized Policy, Virus, and Outbreak Quarantine settings are not inherited from the cluster.  These settings on this machine will remain intact.

Do you want to enable the Cluster Communication Service on ironport.example.com? [N]> n

Enter the IP address of a machine in the cluster.
[]> 192.168.100.10

Enter the remote port to connect to.  This must be the normal admin ssh port, not the CCS port.
[22]>

Would you like to join this appliance to a cluster using pre-shared keys? Use this option if you have enabled two-factor authentication on the appliance. [Y]> n

Enter the name of an administrator present on the remote machine
[admin]>

Enter passphrase:
Please verify the SSH host key for 192.168.100.10:
Public host key fingerprint: 08:23:46:ab:cd:56:ff:ef:12:89:23:ee:56:12:67:aa
Is this a valid key for this host? [Y]> y

Joining cluster group Main_Group.
Joining a cluster takes effect immediately, there is no need to commit.
Cluster cluster.Cx90

Choose the operation you want to perform:
- ADDGROUP - Add a cluster group.
- SETGROUP - Set the group that machines are a member of.
- RENAMEGROUP - Rename a cluster group.
- DELETEGROUP - Remove a cluster group.
- REMOVEMACHINE - Remove a machine from the cluster.
- SETNAME - Set the cluster name.
- LIST - List the machines in the cluster.
- CONNSTATUS - Show the status of connections between machines in the cluster.
- COMMUNICATION - Configure how machines communicate within the cluster.
- DISCONNECT - Temporarily detach machines from the cluster.
- RECONNECT - Restore connections with machines that were previously detached.
- PREPJOIN - Prepare the addition of a new machine over CCS.
[]>

(Cluster cluster.Cx90)>

Neste ponto, o vESA agora espelha a configuração do hardware Cx90 existente. Isso garante que todas as configurações, políticas e definições sejam consistentes em ambas as plataformas.

Para validar a sincronização e garantir que não haja discrepâncias entre o C600v existente e o Cx90, execute o comando clustercheck. 

Cluster cluster.Cx90)> clustercheck

No inconsistencies found on available machines.
(Cluster cluster.Cx90)> 

Esse comando o ajudará a identificar quaisquer inconsistências potenciais que possam precisar ser resolvidas.

(cluster.Cx90)> clustercheck
Checking DLP settings...
Inconsistency found!
DLP settings at Cluster test:
vESA.Nutanix was updated Wed July 17 12:23:15 2024 GMT by 'admin' on C690.Machine C690.Machine was updated Wed Jun 13 06:34:45 2024 GMT by 'admin' on C690.Machine How do you want to resolve this inconsistency?

1. Force the entire cluster to use the vESA.Nutanix version.

2. Force the entire cluster to use the C690.Machine version.

3. Ignore.
[3]> 2

Observação: seu vESA ainda não está processando e-mails. Antes de passar para a produção, verifique se o vESA está atualizado para a versão 16.0. Essa etapa é crucial para a estabilidade e compatibilidade do sistema. Antes de passar para a produção, siga as próximas etapas.

Remoção do vESA do cluster ESA

Na CLI do vESA, execute clusterconfig e remova o dispositivo do cluster usando a operação removemachine:

(Cluster cluster.Cx90)> clusterconfig

Cluster cluster.Cx90

Choose the operation you want to perform:
- ADDGROUP - Add a cluster group.
- SETGROUP - Set the group that machines are a member of.
- RENAMEGROUP - Rename a cluster group.
- DELETEGROUP - Remove a cluster group.
- REMOVEMACHINE - Remove a machine from the cluster.
- SETNAME - Set the cluster name.
- LIST - List the machines in the cluster.
- CONNSTATUS - Show the status of connections between machines in the cluster.
- COMMUNICATION - Configure how machines communicate within the cluster.
- DISCONNECT - Temporarily detach machines from the cluster.
- RECONNECT - Restore connections with machines that were previously detached.
- PREPJOIN - Prepare the addition of a new machine over CCS.
[]> removemachine

Choose the machine to remove from the cluster.
1. C690.Machine (group Main_Group)
2. vESA.Nutanix (group Main_Group)
[1]> 2

Warning:
- You are removing the machine you are currently connected to, and you will no longer be able to access the cluster.
- This change will happen immediately without a commit.
Are you sure you want to continue? [N]> y

Please wait, this operation may take a minute...
Machine vESA.Nutanix removed from the cluster.

Atualizar o vESA

Neste estágio da migração da configuração, é obrigatório atualizar o vESA para a versão 16.0. Essa atualização é necessária porque a versão 16.0 é a primeira versão oficialmente suportada para ambientes de produção. A atualização garante que o dispositivo virtual se alinhe aos recursos mais recentes, atualizações de segurança e requisitos de compatibilidade. Ao atualizar para a versão 16.0, você melhorará o desempenho e a confiabilidade do seu vESA, permitindo que ele ofereça suporte total ao seu ambiente de produção. Essa etapa é crucial para garantir uma integração perfeita e uma operação ideal dentro da infraestrutura existente.

Para atualizar o vESA C600v para a versão 16.0:

1. Na guia Administração do sistema, selecione a Atualização do sistema
2. Clique em Available Upgrades. A página é atualizada com uma lista de versões de atualização do AsyncOS disponíveis, selecione a versão 16.0.
3. Clique no botão Begin Upgrade e sua atualização começará. Responda às perguntas da maneira como elas aparecem. Quando a atualização estiver concluída, clique no botão Reinicializar agora para reinicializar o equipamento.
4. Após a reinicialização, valide a versão do AsyncOS em execução:

CLI, execute a versão do comando

IU, navegue até Monitor > System Info

Criar um novo cluster (no vESA)

Se quiser usar o mesmo nome de cluster, você precisará criar um novo cluster usando o mesmo nome usado no cluster do Cx90. Ou crie um novo cluster com um novo nome. Esta é uma repetição das etapas anteriores, agora no vESA:

vESA.Nutanix> clusterconfig

Do you want to join or create a cluster?
1. No, configure as standalone.
2. Create a new cluster.
3. Join an existing cluster over SSH.
4. Join an existing cluster over CCS.
[1]> 2

Enter the name of the new cluster.
[]> newcluster.Virtual

Should all machines in the cluster communicate with each other by hostname or by IP address?
1. Communicate by IP address.
2. Communicate by hostname.
[2]> 1

What IP address should other machines use to communicate with Machine C170.local?
1. 192.168.101.100 port 22 (SSH on interface Management)
2. Enter an IP address manually
[]> 1

Other machines will communicate with Machine C195.local using IP address 192.168.101.100 port 22. You can change this by using the COMMUNICATION subcommand of the clusterconfig command.
New cluster committed: Sat Jun 08 11:45:33 2019 GMT
Creating a cluster takes effect immediately, there is no need to commit.

Cluster newcluster.Virtual

Choose the operation you want to perform:
- ADDGROUP - Add a cluster group.
- SETGROUP - Set the group that machines are a member of.
- RENAMEGROUP - Rename a cluster group.
- DELETEGROUP - Remove a cluster group.
- REMOVEMACHINE - Remove a machine from the cluster.
- SETNAME - Set the cluster name.
- LIST - List the machines in the cluster.
- CONNSTATUS - Show the status of connections between machines in the cluster.
- COMMUNICATION - Configure how machines communicate within the cluster.
- DISCONNECT - Temporarily detach machines from the cluster.
- RECONNECT - Restore connections with machines that were previously detached.
- PREPJOIN - Prepare the addition of a new machine over CCS.
[]>

(Cluster newcluster.Virtual)>
Join Your Cx00v to Your ESA Cluster
From the CLI on the Cx00v, run clusterconfig > Join an exisiting... to add your Cx00v into your new cluster configured on your vESA, similar to the following:

C600v.Nutanix> clusterconfig

Do you want to join or create a cluster?
1. No, configure as standalone.
2. Create a new cluster.
3. Join an existing cluster over SSH.
4. Join an existing cluster over CCS.
[1]> 3

While joining a cluster, you will need to validate the SSH host key of the remote machine to which you are joining.  To get the public host key fingerprint of the remote host, connect to the cluster and run: logconfig -> hostkeyconfig -> fingerprint.

WARNING: All non-network settings will be lost. System will inherit the values set at the group or cluster mode for the non-network settings. Ensure that the cluster settings are compatible with your network settings (e.g. dnsconfig settings)

Exception:Centralized Policy, Virus, and Outbreak Quarantine settings are not inherited from the cluster.  These settings on this machine will remain intact.

Do you want to enable the Cluster Communication Service on ironport.example.com? [N]> n

Enter the IP address of a machine in the cluster.
[]> 192.168.101.100

Enter the remote port to connect to.  This must be the normal admin ssh port, not the CCS port.
[22]>

Would you like to join this appliance to a cluster using pre-shared keys? Use this option if you have enabled two-factor authentication on the appliance. [Y]> n

Enter the name of an administrator present on the remote machine
[admin]>

Enter passphrase:
Please verify the SSH host key for 10.10.10.56:
Public host key fingerprint: 00:61:32:aa:bb:84:ff:ff:22:75:88:ff:77:48:84:eb
Is this a valid key for this host? [Y]> y

Joining cluster group Main_Group.
Joining a cluster takes effect immediately, there is no need to commit.
Cluster newcluster.Virtual

Choose the operation you want to perform:
- ADDGROUP - Add a cluster group.
- SETGROUP - Set the group that machines are a member of.
- RENAMEGROUP - Rename a cluster group.
- DELETEGROUP - Remove a cluster group.
- REMOVEMACHINE - Remove a machine from the cluster.
- SETNAME - Set the cluster name.
- LIST - List the machines in the cluster.
- CONNSTATUS - Show the status of connections between machines in the cluster.
- COMMUNICATION - Configure how machines communicate within the cluster.
- DISCONNECT - Temporarily detach machines from the cluster.
- RECONNECT - Restore connections with machines that were previously detached.
- PREPJOIN - Prepare the addition of a new machine over CCS.
[]>

(Cluster newcluster.Virtual)>

Conclusão

Seguindo as etapas descritas neste documento, você migrou com êxito a configuração do seu equipamento X90 para um ambiente virtual usando Nutanix. A atualização do vESA para a versão 16.0, a primeira versão com suporte para produção, garante que o dispositivo virtual seja totalmente capaz de lidar com as demandas do ambiente de produção. Essa atualização fornece acesso aos recursos mais recentes, aprimoramentos de segurança e melhorias de compatibilidade, garantindo desempenho e confiabilidade ideais.

Como etapa final, confirme se os registros DNS e as configurações de balanceamento de carga estão atualizados para incluir o vESA, permitindo que ele processe e-mails com eficiência. Com essas configurações implantadas, o vESA está pronto para operar na infraestrutura atual, oferecendo segurança de e-mail robusta e integração perfeita.