Secure Email Gatewayのアップグレードプロセス

はじめに

このドキュメントでは、Cisco Secure Email Gateway(SEG)またはCisco Eメールセキュリティアプライアンス(ESA)のAsyncOSアップグレードプロセスに関連する手順について説明します。

前提条件

要件

• [System Status] の出力でアプライアンスの RAID ステータスが READY または OPTIMAL であることを確認してください。RAIDステータスがDEGRADEDのアプライアンスでは、アップグレードを開始しないでください。Cisco TACに連絡して、アプライアンスの返品許可(RMA)のケースを開始してください。
• Eメールセキュリティアプライアンス(ESA)がスタンドアロンアプライアンスであるか、クラスタ環境であるかを確認します。クラスタ環境の場合は、このドキュメントの「クラスタアップグレード」セクションを適切に参照してください。
• ESAからポート80および443へのインターネット接続が、パケットインスペクションなしで確立されていることを確認します。
• 機能しているDNSサーバーが必要です。

注意：次のAsyncOSリリース（AsyncOS 15.0リリース後のすべてのリリース）以降は、Cisco Secure Email Gatewayに対してCisco Smart Software Licensingの使用が必須となります。

使用するコンポーネント

このドキュメントの内容は、特定のソフトウェアやハードウェアのバージョンに限定されるものではありません。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

ESA/SMA間の互換性

アップグレードする前に、ESAシステムとSMAシステムの互換性を確認してください。古いバージョンのAsyncOS for Email Securityでは、最新バージョンにアップグレードするために複数のアップグレードが必要な場合があります。アップグレードパスの確認とアプライアンスのプロビジョニングについては、Cisco TACにお問い合わせください。

アップグレードの準備

1. XML 設定ファイルをオフボックスで保存します。何らかの理由でアップグレード前のリリースに戻す必要がある場合は、このファイルを使用して以前の設定をインポートできます。
2. セーフリスト/ブロックリスト機能を使用する場合は、そのリストをオフボックスでエクスポートします。
3. すべてのリスナーを一時停止します。CLI からアップグレードを実行する場合は、suspendlistener コマンドを使用します。GUI からアップグレードを実行する場合は、リスナーは自動的に一時停止します。
4. キューが空になるまで待ちます。CLI の workqueue コマンドでワーク作業キュー内のメッセージ数を表示するか、rate コマンドでアプライアンスのメッセージ スループットをモニタすることができます。

アップグレードのダウンロードとインストール

AsyncOS for Email Security バージョン 8.0 では、アップグレード オプションが更新され、DOWNLOAD の他に DOWNLOADINSTALL が追加されました。これにより、管理者はダウンロードとインストールを1回の操作で行うか、バックグラウンドでダウンロードして後でインストールするかを柔軟に選択できます。

(ESA_CLI)> upgrade


Choose the operation you want to perform:
- DOWNLOADINSTALL - Downloads and installs the upgrade image (needs reboot).
- DOWNLOAD - Downloads the upgrade image.
[]> download

Upgrades available.
1. AsyncOS 14.2.0 build 616 upgrade For Email, 2022-05-27,release available as General Deployment
2. AsyncOS 14.2.0 build 620 upgrade For Email, 2022-07-05,release available as General Deployment
[2]>

詳細については、『ユーザガイド』を参照してください。

CLIでのアップグレード

1. statusコマンドを入力し、リスナーが一時停止していることを確認します。「System status: Receiving suspended」というメッセージが表示されます。
2. upgradeコマンドを入力します。
3. オプションとして DOWNLOADINSTALL または DOWNLOAD を選択します。
4. 必要なアップグレードバージョンに関連付けられた適切な番号を選択します。
5. 現在の設定を保存し、アップグレード適用時のリブートを承認するために必要な質問に回答してください。
6. アップグレード後、CLIにログインし、resumeと入力してリスナーを再開し、動作を確認します。statusコマンドを入力し、System status: Onlineを確認します。

GUIを使用したアップグレード

1. [システム管理（System Administration）] > [システムアップグレード（System Upgrade）] を選択します。
2. [Upgrade Options...] をクリックします。
3. オプションとして [Download and install] または [Download] を選択します。
4. 必要なアップグレード バージョンをクリックして強調表示します。
5. アップグレード準備のための適切なオプションを選択します。
6. [Proceed] を選択してアップグレードを開始します。モニタリング用の経過表示バーが表示されます。
7. アップグレード後、CLIにログインし、resumeと入力してリスナーを再開し、動作を確認します。System Administration > Shutdown/Suspend > Resume (Check All)の順に選択します。
8. Mail OperationsセクションでCommitを選択します。

クラスタ アップグレード

クラスタ内のESAは、前のセクションと同じアップグレードプロセスをCLIまたはGUIから使用しますが、1つだけ異なる点として、クラスタからデバイスを切断するように求めるプロンプトが表示されます。

注:CLIまたはGUIを使用してアップグレードを実行できますが、clusterconfigreconnectcommandsはCLIを介してのみ使用できます。このドキュメントでは、CLI を使用してマシンをアップグレードする方法について説明します。

CLI の表示例：

(Cluster my_cluster)> upgrade

This command is restricted to run in machine mode of the machine you are logged in to.
 Do you want to switch to "Machine applianceA.local" mode? [Y]> y

GUI の表示例：

注：これは管理上の接続解除のみです。これにより、切断されたアプライアンスとの間でクラスタを介して行われる設定の同期の試行が停止されます。アプライアンス設定の削除や変更は行われません。

CLIを使用してクラスタで実行されているESAをアップグレードするには、次の手順を実行します。

1. CLIにupgradeコマンドを入力して、AsyncOSを新しいバージョンにアップグレードします。クラスタの接続を解除するかどうか尋ねられたら、文字Yを入力して応答し、続行します。
   
   

   (ESA_CLI)> upgrade
   
   You must disconnect all machines in the cluster in order to upgrade them. Do you wish
   to disconnect all machines in the cluster now? [Y]> Y

   
   
   
2. すべてのアップグレードプロンプトを使用します（再起動プロンプトを含む）。
3. クラスタ内のすべてのマシンがアップグレードされ、再起動されたら、CLIを使用してクラスタ内のいずれかのマシンにログオンし、clusterconfigコマンドを入力します。クラスタレベルで再接続して、設定の同期を許可し、クラスタの動作を再開します。
4. Yesと応答して再接続します。commit を実行する必要はありません。
   
   

   Choose the machine to reattach to the cluster. Separate multiple machines with commas
   or specify a range with a dash.
   
   1. host2.example.com (group Main)
   2. host3.example.com (group Main)
   3. host4.example.com (group Main)
   
   [1]> 1-3

5. connstatusコマンドを発行して、すべてのデバイスがクラスタ内にあることを確認します。また、コマンドclustercheckを発行して、不整合がないことを確認します。

クラスタ アップグレードに関する推奨事項は次のとおりです。

• すべてのアプライアンスが一致するバージョンにアップグレードされるまで、ESAをクラスタに再接続しないでください。
• 必要に応じて、1つのESAのアップグレードが完了したら、リスナーを再開し（以前に中断した場合）、リスナーがスタンドアロンアプライアンスとして機能できるようにします。
• ESAをクラスタから切断するときに、クラスタレベルのアップグレード後に再接続したときの設定の不整合を回避するために、設定の変更や変更を行わないでください。
• すべてのアプライアンスが同じバージョンにアップグレードされたら、アプライアンスをクラスタ レベルで再接続し設定の同期を許可してクラスタ操作を再開します。

事後確認：

• アプライアンスがSMAによって管理されている場合、次のようになります。
  • Management Appliance > Centralized Services > Security Appliancesの順に移動し、すべてのサービスが稼働しており、接続がEstablishedと表示されていることを確認します。Email > Message Tracking > Message Tracking Data Availabilityの順に移動し、すべてのESAのステータスがOKと表示されていることを確認します。
  • 各アプライアンスでstatusコマンドを入力し、onlineと表示されるかどうかを確認します。
  • displayalertsコマンドを入力し、アップグレード後に新しいアラートが表示されるかどうかを確認します。
  • クラスタ内にある場合は、clustercheckコマンドで不整合が表示されず、connstatusコマンドで、アプライアンスがエラーなしで接続済みとして表示される必要があります。
  • メールフローを確認するために、CLIでtail mail_logsコマンドを入力します。

トラブルシュート

1. アップグレードに問題がある場合は、tail updater_logsコマンドとtail upgrade_logsコマンドでも情報を取得できます。
2. イメージのダウンロード時またはスパム対策やウイルス対策の更新時に問題が発生する場合は、プロセスがサービスエンジンやルールセットにアクセスして更新できないことが原因と考えられます。「vESAはスパム対策またはウイルス対策の更新をダウンロードして適用できない」に記載されている手順を使用します。
3. ネットワークの中断が原因でアップグレードが失敗した場合、アップグレードプロセスの出力中に同様のエラーが発生する可能性があります。

Reinstalling AsyncOS... 66% 01:05ETA.
/usr/local/share/doc/jpeg/libjpeg.doc: Premature end of gzip compressed data:
 Input/output error
tar: Error exit delayed from previous errors.
Upgrade failure.

これは通常、ESAとアップデートサーバ間のデータ送信中に発生したネットワーク中断が原因です。ネットワーク ファイアウォールのログを確認するか、または ESA から更新サーバへのパケット トラフィックをモニタしてください。

必要に応じて、『ESAのパケットキャプチャ手順』を参照して、ESAのパケットキャプチャを有効にし、アップグレードプロセスを再試行してください。

注：ファイアウォールでは、特にアップグレードプロセスのために、アイドル接続がアクティブな状態を維持できるようにする必要があります。

静的なアップグレードサーバを必要とする厳密なネットワークファイアウォールについては、『スタティックサーバによるコンテンツセキュリティアプライアンスのアップグレードまたは更新』で、スタティックな更新およびアップグレードサーバの設定方法を参照してください。

ハードウェアアプライアンスの場合は、次のダイナミックサーバへの接続をテストします。

• telnet updates.ironport.com 80
• telnet downloads.ironport.com 80

仮想アプライアンスでは、次のダイナミックサーバを使用する必要があります。

• telnet update-manifests.sco.cisco.com 443
• telnet updates.ironport.com 80
• telnet downloads.ironport.com 80 

ファイアウォールの詳細な情報とポート要件については、『ユーザガイド』を参照してください。

関連情報

• Cisco コンテンツ セキュリティ管理アプライアンスの互換性マトリクス
• ESA アップグレード手順
• ESA パケット キャプチャ手順
• 静的サーバによるコンテンツ セキュリティ アプライアンスのアップグレードまたは更新
• スマートライセンスの概要とEメールおよびWebセキュリティのベストプラクティスについて
• スマートアカウントをリクエストする方法
• テクニカル サポートとドキュメント - Cisco Systems