Patch op ISE installeren

Inleiding

Dit document beschrijft manieren om ISE-patches en veelgestelde vragen tijdens de installatie te installeren.

Voorwaarden

Vereisten

Basiskennis van de Identity Service Engine (ISE).

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• Cisco Identity Services Engine 2.X

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Cisco brengt op semi-regelmatige basis ISE-patches uit. Deze patches bevatten bug fixes en, indien nodig, security fixes (bijvoorbeeld de Heartbleed en Poodle kwetsbaarheden ontdekt met SSL). Dit zorgt ervoor dat bug fixes worden toegepast, security kwetsbaarheden worden aangesloten en de oplossing werkt naadloos.

Wanneer u een patch installeert op een ISE-knooppunt, wordt het knooppunt opnieuw opgestart. Start de services opnieuw nadat de installatie is voltooid. Wacht een paar minuten voordat u opnieuw kunt inloggen.

U kunt patchinstallaties tijdens een onderhoudsperiode plannen om een tijdelijke onderbreking te vermijden.

Installeer alleen patches die van toepassing zijn op de Cisco-versie die in uw netwerk wordt geïmplementeerd. Eventuele verschillen in versies en fouten in het patchbestand worden door Cisco gemeld.

U kunt geen patch installeren van een lagere versie dan de patch die momenteel op Cisco is geïnstalleerd. Op dezelfde manier kunt u ook de wijzigingen van een patch met een lagere versie niet terugdraaien als er momenteel een hogere versie op Cisco is geïnstalleerd.

Wanneer u een patch installeert van de Primary Administration Node (PAN) patch die deel uitmaakt van een gedistribueerde implementatie, installeert Cisco ISE de patch op het primaire knooppunt en vervolgens op alle secundaire knooppunten in de implementatie. Als de patchinstallatie op het PAN succesvol is, zet Cisco ISE de patchinstallatie op de secundaire knooppunten voort. Als de installatie op het PAN mislukt, gaat de installatie niet verder naar de secundaire knooppunten. Als de installatie om welke reden dan ook op een van de secundaire knooppunten mislukt, gaat de installatie nog steeds door met het volgende secundaire knooppunt in uw implementatie.

Wanneer u een patch installeert vanuit het PAN dat deel uitmaakt van een implementatie met twee knooppunten, installeert Cisco de patch op het primaire knooppunt en vervolgens op het secundaire knooppunt.

Als de patchinstallatie op het PAN succesvol is, gaat Cisco vervolgens door met de patchinstallatie op het secundaire knooppunt. Als de installatie op het PAN mislukt, gaat de installatie niet verder naar het secundaire knooppunt.

U moet over de beheerdersrol Superbeheerder of Systeembeheerder beschikken om de patches te installeren of de installatie ervan terug te draaien. Verzamel configuratie back-up en operationele back-up voordat de installatie van de patch start.

Patchinstallatie met GUI

Om de ISE-patches te downloaden van Cisco.com, navigeer naar Downloads > Products > Security > Access Control and Policy > Identity Services Engine > Identity Services Engine Software(hier).

Opmerking: Cisco ISE-patches zijn gewoonlijk cumulatief, wat betekent dat de patch 11-installatie alle patches van patch 1 tot patch 10 bevat. Voor patchinstallatie moet de ISE-server opnieuw worden opgestart.

Opmerking: Controleer MD5/SHA512-checksum na het downloaden van het patchbestand.

Meld u aan bij ISE GUI om de patch op ISE te kunnen toepassen en voer de volgende instructies uit Primary Administration Node (PAN) : 

Stap 1. Navigeer naar Administration > System > Maintenance > Patch Management > Install.

Stap 2. Klik Browse en kies het patchbestand dat is gedownload van Cisco.com.

Stap 3. Klik op Install om de Patch te installeren.

Patchinstallatie met CLI

Stap 1. Configureer een ISE-opslagplaats en plaats de vereiste ISE-patch hierin. Raadpleeg Bewaarinstelling op ISE configureren voor informatie over het configureren van de ISE-opslagplaats

Stap 2. Meld u aan bij ISE CLI met SSH.

Stap 3. Controleer of de content van de opslagplaats kan worden weergegeven in de CLI van ISE.

ISE/admin# show repository FTP_repository

ise-patchbundle-10.2.0.7-Patch6-19021923.SPA.x86_64.tar.gz
ise-patchbundle-10.2.0.7-Patch9-19062923.SPA.x86_64.tar.gz
ise-patchbundle-10.1.0.0-Ptach3-19110111.SPA.x86_64.tar.gz

patch install Stap 4. Voer de opdracht in de EXEC-modus uit om een patch op een specifiek ISE-knooppunt van de CLI te installeren.

Patch install 
    
     
    
    

Log via SSH in bij de CLI van het ISE-knooppunt en voer deze opdrachten uit:

ISE/admin#patch install ise-patchbundle-10.1.0.0-Ptach3-19110111.SPA.x86_64.tar.gz FTP_repository
% Warning: Patch installs only on this node. Install with Primary Administration node GUI to install on all nodes in deployment. Continue? (yes/no) [yes] ? yes
Save the current ADE-OS run configuration? (yes/no) [yes] ? yes
Generating configuration...
Saved the ADE-OS run Configuration to startup successfully
Initiating Application Patch installation...

Getting bundle to local machine...
Unbundling Application Package...
Verifying Application Signature...
patch successfully installed

% This application Install or Upgrade requires reboot, rebooting now...
Broadcast message from root@ISE (pts/1) (Fri Feb 14 01:06:21 2020):
Trying to stop processes gracefully. Reload lasts approximately 3 mins
Broadcast message from root@ISE (pts/1) (Fri Feb 14 01:06:21 2020):
Trying to stop processes gracefully. Reload takes approximately 3 mins
Broadcast message from root@ISE (pts/1) (Fri Feb 14 01:06:41 2020):
The system is going down for reboot NOW
Broadcast message from root@ISE (pts/1) (Fri Feb 14 01:06:41 2020):
The system is going down for reboot NOW

Hoe installeert u de patch op alle ISE-knooppunten in de implementatie?

Wanneer u een patch installeert van het PAN dat deel uitmaakt van een gedistribueerde implementatie, installeert Cisco ISE de patch op het primaire knooppunt en vervolgens op alle secundaire knooppunten in de implementatie. Als de patchinstallatie op het primaire PAN succesvol is, zet Cisco ISE de patchinstallatie op de secundaire knooppunten voort. Als de installatie op het PAN mislukt, gaat de installatie niet verder naar de secundaire knooppunten.

Als de installatie om welke reden dan ook mislukt op een van de secundaire knooppunten, wordt deze wel voortgezet op het volgende secundaire knooppunt in uw implementatie.

Hoe de patch op alle ISE-knooppunten in de implementatie terug te draaien

Als u de installatie van een patch op Cisco ISE-knooppunten in een implementatie wilt terugdraaien, moet u de wijziging eerst terugdraaien op de PAN. Als dit lukt, wordt de installatie van de patch op de secundaire knooppunten teruggedraaid. Als het terugdraaiproces op het PAN mislukt, worden de patches niet teruggerold van de secundaire knooppunten. Als het terugdraaien van de patches op een secundaire knooppunt echter mislukt, blijft het terugdraaien van de patch vanaf de volgende secundaire knooppunt in uw implementatie.

Terwijl Cisco ISE de patch vanaf de secundaire knooppunten terugrolt, kunt u andere taken vanuit de PAN GUI blijven uitvoeren. De secundaire knooppunten worden na het terugdraaien opnieuw gestart.

Om de ISE-patches terug te draaien, logt u in op ISE GUI en navigeert u naar Administration > System > Maintenance > Patch Management  en selecteert u de gewenste patch en Rollback,klikt u op:

Hoe de pleister terug te draaien vanaf de ISE-CLI

Stap 1. SSH naar het ISE-knooppunt waarin u de patch wilt verwijderen.

Stap 2. Controleer de geïnstalleerde patches op de ISE-knooppunt met de opdracht  Show Version

ISE/admin# show version

Cisco Application Deployment Engine OS Release: 3.0
ADE-OS Build Version: 3.0.5.144
ADE-OS System Architecture: x86_64
Copyright (c) 2005-2019 by Cisco Systems, Inc.
All rights reserved.
Hostname: ISE

Version information of installed applications
---------------------------------------------
Cisco Identity Services Engine
---------------------------------------------
Version : 10.1.0.0
Build Date : Tue Feb 12 00:45:06 2019
Install Date : Mon Sep 30 12:17:29 2019

Cisco Identity Services Engine Patch
---------------------------------------------
Version : 1
Install Date : Tue Oct 01 01:30:12 2019

Cisco Identity Services Engine Patch
---------------------------------------------
Version : 3
Install Date : Tue Mar 24 05:35:19 2020

Stap 3. Start de opdracht patch remove <naam van toepassing> <nummer van patchbestand dat moet worden verwijderd> 

            Bijvoorbeeld:- patch remove ise 2

ISE/admin# patch remove ise 3
Continue with application patch uninstall? [y/n] y
% Warning: Patch is removed only from this node. Remove patch with Primary Administration node GUI to remove from all nodes in deployment.

Patch successfully uninstalled

% This application Install or Upgrade requires reboot, rebooting now...
Broadcast message from root@ISE (pts/1) (Sun Mar 8 03:16:29 2020):
Trying to stop processes gracefully. Reload takes approximately 3 mins
Broadcast message from root@ISE (pts/1) (Sun Mar 8  03:16:29 2020):
Trying to stop processes gracefully. Reload takes approximately 3 mins
Broadcast message from root@ISE (pts/1) (Sun Mar 8 03:17:41 2020):
The system is going down for reboot NOW
Broadcast message from root@ISE (pts/1) (Sun Mar 8 03:17:41 2020):
The system is going down for reboot NOW

Opmerking: ISE-patches zijn cumulatief van aard en kunnen niet worden teruggedraaid terwijl er een nieuwere versie bestaat. De nieuwere versie vereist eerst terug te rollen.

  Als u de vorige patch wilt verwijderen, verwijdert u eerst de laatste patch en vervolgens de vorige patch-versie.

ISE/admin#patch remove ise 1
Continue with application patch uninstall? [y/n] y
% Warning: Patch is removed only from this node. Remove patch with Primary Administration node GUI to remove from all nodes in deployment. 
Continue? (yes/no) [yes] ? yes
% Patch cannot be rolled back while a newer version exists, which needs to rolled back first. 

Verifiëren

Om de voortgang van de ISE-patchinstallatie te bekijken, navigeer u naar Administration > System > Maintenance > Patch Management > Show Node Status zoals in de afbeelding wordt getoond:

Controleer de status van de patchinstallatie vanaf de ISE-knooppunt. Log in op dezelfde ISE-server en voer de opdracht uit Show Version

ISE1/admin# show version

Cisco Application Deployment Engine OS Release: 3.0
ADE-OS Build Version: 3.0.5.144
ADE-OS System Architecture: x86_64

Copyright (c) 2005-2019 by Cisco Systems, Inc.
All rights reserved.
Hostname: ISE1

Version information of installed applications
---------------------------------------------

Cisco Identity Services Engine
---------------------------------------------
Version : 10.1.0.0
Build Date : Tue Feb 12 06:15:06 2019
Install Date : Thu Nov 21 16:39:02 2019

Cisco Identity Services Engine Patch
---------------------------------------------
Version : 1
Install Date : Thu Apr 02 11:00:08 2020

ISE1/admin#  

Controleer succesvolle en mislukte patchberichten in ISE-alarmen:

Logbestandsverwijzing voor geslaagde patchinstallatie

isea/admin# sh logging system ade/ADE.log tail
2020-04-19T15:38:01.634794+05:30 isea ADEOSJAVAAPI[26999]: ADEAUDIT 2030, type=PATCH INSTALL, name=PATCH INSTALL STARTED, username=kopriadm, cause=Application patch install has been inititated, adminipaddress=10.65.80.116, interface=GUI, 
detail=Patch Install initiated with bundle - ise-patchbundle-10.1.0.0-Patch3-19110111.SPA.x86_64.tar.gz, repo - tmplocalpatchinstallrepo
2020-04-19T15:38:01.635194+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[796] [test]: Install initiated with bundle - ise-patchbundle-10.1.0.0-Patch3-19110111.SPA.x86_64.tar.gz, repo - tmplocalpatchinsta
llrepo
2020-04-19T15:38:01.784100+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[913] [test]: Stage area - /storeddata/Install/.1587290881
2020-04-19T15:38:01.827925+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[918] [test]: Getting bundle to local machine
2020-04-19T15:38:01.829562+05:30 isea ADE-SERVICE[1158]: [26999]:[error] config:repository: rm_repos_cfg.c[552] [test]: server not found in url
2020-04-19T15:38:01.830656+05:30 isea ADE-SERVICE[1158]: [26999]:[info] transfer: cars_xfer.c[66] [test]: local copy in of ise-patchbundle-10.1.0.0-Patch3-19110111.SPA.x86_64.tar.gz requested
2020-04-19T15:38:02.873630+05:30 isea ADE-SERVICE[1158]: [26999]:[info] transfer: cars_xfer_util.c[2293] [test]: Properties file /tmp/.cars_repodownload.props exists need to cleanup after a SIGNAL or download complete
2020-04-19T15:38:03.247065+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[954] [test]: Got bundle at - /storeddata/Install/.1587290881/ise-patchbundle-10.1.0.0-Patch3-19110111.SPA.x86_64.tar.gz
2020-04-19T15:38:03.247424+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1002] [test]: Unbundling package ise-patchbundle-10.1.0.0-Patch3-19110111.SPA.x86_64.tar.gz
2020-04-19T15:38:09.066295+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1064] [test]: Verifying signature for package ise-patchbundle-10.1.0.0-Patch3-19110111.SPA.x86_64.tar.gz
2020-04-19T15:38:13.171615+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1073] [test]: Signed bundle /storeddata/Install/.1587290881/ise-patchbundle-10.1.0.0-Patch3-19110111.SPA.x86_64.tar.gz confirme
d with release key
2020-04-19T15:38:18.816986+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1166] [test]: Unbundling done. Verifying input parameters...
2020-04-19T15:38:18.877267+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1195] [test]: Manifest file is at - /storeddata/Install/.1587290881/manifest.xml
2020-04-19T15:38:18.877604+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1234] [test]: Manifest file appname - ise
2020-04-19T15:38:18.878051+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1286] [test]: Patch bundle contains patch(3) for app version(10.1.0.0)
2020-04-19T15:38:18.878254+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install ci_util.c[305] [test]: Comparing installed app version:(10.1.0.0) and version of app the patch is meant for:(10.1.0.0)
2020-04-19T15:38:18.878517+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1321] [test]: Manifest file pkgtype - CARS
2020-04-19T15:38:18.878712+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1735] [test]: Verifying zip...
2020-04-19T15:38:27.006433+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1796] [test]: Executing patch install script patchinstall.sh from patch.zip
2020-04-19T15:38:27.209692+05:30 isea test: info:[patchinstall.sh] START PATCH INSTALL SCRIPT. PATCHDIR: /storeddata/Install/.1587290881 INSTALLDIRS: 
2020-04-19T15:38:27.211274+05:30 isea test: info:[patchinstall.sh] NEW PATCH VER: 3 PRIOR PATCH VER: 0 
2020-04-19T15:38:27.213166+05:30 isea test: info:[patchinstall.sh] IRF-RABBITMQ-RUNTIME and IRF-CORE-ENGINE-RUNTIME Remove Begin
2020-04-19T15:38:27.214840+05:30 isea test: info:[patchinstall.sh] Remove IRF-Rabbitmq container
2020-04-19T15:38:27.753502+05:30 isea test: info:[patchinstall.sh] IRF-Rabbitmq container id - 
2020-04-19T15:38:27.755172+05:30 isea test: info:[patchinstall.sh] No IRF-Rabbitmq container exist to remove.\n
2020-04-19T15:38:27.756631+05:30 isea test: info:[patchinstall.sh] Remove IRF-Core-Engine container
2020-04-19T15:38:27.781127+05:30 isea test: info:[patchinstall.sh] IRF-Core-Engine container id - 
2020-04-19T15:38:27.783028+05:30 isea test: info:[patchinstall.sh] No IRF-Core-Engine container exist to remove.\n
2020-04-19T15:38:27.784724+05:30 isea test: info:[patchinstall.sh] IRF-RABBITMQ-RUNTIME and IRF-CORE-ENGINE-RUNTIME Remove Completed
2020-04-19T15:38:33.077501+05:30 isea test: info:[application:operation:cpmcontrol.sh] In Stop Monit
2020-04-19T15:38:33.197734+05:30 isea test: Monit daemon with pid [12796] killed
2020-04-19T15:38:34.289656+05:30 isea test: info:[application:operation:cpmcontrol.sh] Done Stop Monit
2020-04-19T15:38:34.671998+05:30 isea ADEOSShell[28278]: ADEAUDIT 2062, type=USER, name=M&T Log Processor, username=system, cause=M&T Log Processor Stopped, adminipaddress=127.0.0.1, interface=CLI, detail=Stopping M&T Log Processor
2020-04-19T15:38:43.621160+05:30 isea test: info:[application:operation:adprobe.sh] adprobe:Stopping wmi probe...
2020-04-19T15:38:43.657769+05:30 isea test: info:[application:operation:adprobe.sh] adprobe:wmi probe is disabled
2020-04-19T15:38:43.989085+05:30 isea test: info:[application:operation:syslogprobe.sh] syslogprobe:Stopping syslog probe...
2020-04-19T15:38:44.019674+05:30 isea test: info:[application:operation:syslogprobe.sh] syslogprobe:syslog probe is disabled
2020-04-19T15:38:44.367442+05:30 isea test: info:[application:operation:restprobe.sh] restprobe:Stopping rest probe...
2020-04-19T15:38:44.400103+05:30 isea test: info:[application:operation:restprobe.sh] restprobe:rest probe is disabled
2020-04-19T15:38:44.713844+05:30 isea test: info:[application:operation:agentprobe.sh] agentprobe:Stopping agent probe...
2020-04-19T15:38:44.753547+05:30 isea test: info:[application:operation:agentprobe.sh] agentprobe:agent probe is disabled
2020-04-19T15:38:46.166418+05:30 isea test: info:[application:operation:appservercontrol.sh] Stopping ISE Application Server...
2020-04-19T15:38:46.168374+05:30 isea ADEOSShell[29231]: ADEAUDIT 2062, type=USER, name=Application server status, username=system, cause=Application server stopped, adminipaddress=127.0.0.1, interface=CLI, detail=Application server stopped

2020-04-19T15:41:37.224949+05:30 isea test: info:[patchinstall.sh] ISE 10.1.0.0 patch 3 installFileSystem() INVOKED
2020-04-19T15:41:37.245321+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/mnt/xde/xdeRuntime/packages/std/WorkflowsProject.xar 
2020-04-19T15:41:37.251672+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/mnt/bin/ctl/radius_auth.ctl 
2020-04-19T15:41:37.258874+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/mnt/report-definitionsV2/Audit/Internal-Administrator-Summary.xml 
2020-04-19T15:41:37.265939+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/mnt/report-definitionsV2/Endpoints and Users/Posture-Assessment-by-Endpoint.xml 
2020-04-19T15:41:37.273866+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/mnt/report-definitionsV2/Endpoints and Users/Posture-Assessment-by-Condition.xml 
2020-04-19T15:41:37.280143+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/mnt/lib/mnt-collection.jar 
2020-04-19T15:41:37.288008+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/mnt/lib/libJniCollector.so 
2020-04-19T15:41:37.295128+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/appsrv/apache-tomcat-ca-8.5.32/apr/lib/libapr-1.a 
2020-04-19T15:41:37.302031+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/appsrv/apache-tomcat-ca-8.5.32/apr/lib/libtcnative-1.a 
2020-04-19T15:41:37.308615+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/appsrv/apache-tomcat-ca-8.5.32/webapps/ocsp-responder-webapp/WEB-INF/lib/import-export-2.6
.0-156.jar

Broadcast message from root@isea (Sun Apr 19 15:50:40 2020):

Trying to stop processes gracefully. Reload takes approximately 3 mins

Broadcast message from root@isea (Sun Apr 19 15:51:01 2020):

The system is going down for reboot NOW

Session terminated, killing shell... ...killed.