Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Achtergrondinformatie

Patchinstallatie met GUI

Patchinstallatie met CLI

Hoe installeert u de patch op alle ISE-knooppunten in de implementatie?

Hoe de patch op alle ISE-knooppunten in de implementatie terug te draaien

De installatie van de patch via de CLI van ISE terugdraaien

Verifiëren

Logbestandsverwijzing voor geslaagde patchinstallatie

Inleiding

Dit document beschrijft manieren om ISE-patches en veelgestelde vragen tijdens de installatie te installeren.

Voorwaarden

Vereisten

Basiskennis van de Identity Service Engine (ISE).

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

- Cisco Identity Services Engine 2.X

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Cisco brengt op semi-regelmatige basis ISE-patches uit. Deze patches bevatten bugfixes en, indien nodig, security fixes (bijvoorbeeld, de  Heartbleed en  Poodle kwetsbaarheden ontdekt met SSL).

Om ervoor te zorgen dat bug fixes worden toegepast, zijn security kwetsbaarheden plugged in, en de oplossing werkt naadloos.

Wanneer u een patch installeert op een ISE-knooppunt, wordt het knooppunt opnieuw opgestart. Start de services opnieuw nadat de installatie is voltooid. Wacht een paar minuten voordat u opnieuw kunt inloggen.

U kunt patchinstallaties tijdens een onderhoudsperiode plannen om een tijdelijke onderbreking te vermijden.

Installeer alleen patches die van toepassing zijn op de Cisco-versie die in uw netwerk wordt geïmplementeerd. Eventuele verschillen in versies en fouten in het patchbestand worden door Cisco gemeld.

U kunt geen patch installeren van een lagere versie dan de patch die momenteel op Cisco is geïnstalleerd. Op dezelfde manier kunt u ook de wijzigingen van een patch met een lagere versie niet terugdraaien als er momenteel een hogere versie op Cisco is geïnstalleerd.

Wanneer u een patch installeert vanuit de  Primary Administration Node (PAN) die deel uitmaakt van een gedistribueerde implementatie, installeert Cisco ISE de patch op het primaire knooppunt en vervolgens op alle secundaire knooppunten in de implementatie.

Als de installatie van de patch succesvol is verlopen op de  PANCisco ISE gaat vervolgens door met de installatie van patches op de secundaire knooppunten. Als het mislukt op de  PANDe installatie gaat echter niet naar de secundaire knooppunten.

Als de installatie om welke reden dan ook mislukt op een van de secundaire knooppunten, wordt deze wel voortgezet op het volgende secundaire knooppunt in uw implementatie.

Wanneer u een patch installeert vanuit de  PAN die deel uitmaakt van een implementatie met twee knooppunten, installeert Cisco de patch op het primaire knooppunt en vervolgens op het secundaire knooppunt.

Als de installatie van de patch succesvol is verlopen op de  PANCisco gaat vervolgens door met de installatie van patches op het secundaire knooppunt. Als het mislukt op de  PANDe installatie gaat dan niet verder naar het secundaire knooppunt.

U moet over de beheerdersrol Superbeheerder of Systeembeheerder beschikken om de patches te installeren of de installatie ervan terug te draaien. Verzamel configuratie back-up en operationele back-up voordat de patchinstallatie start.

Patchinstallatie met GUI

Om de ISE-patches te downloaden van Cisco.com, navigeer naar  Downloads > Products > Security > Access Control and Policy > Identity Services Engine > Identity Services Engine Software, ( hier.)

Opmerking: Cisco ISE-patches zijn gewoonlijk cumulatief, wat betekent dat de patch 11-installatie alle patches van patch 1 tot patch 10 bevat. Voor patchinstallatie moet de ISE-server opnieuw worden opgestart.

Opmerking: Controleer MD5/SHA512-checksum na het downloaden van het patchbestand.

Meld u aan bij ISE om de pleister aan te brengen  Primary Administration Node (PAN) GUI en volg de hier vermelde instructies.

Stap 1. Navigeer naar  Administration > System > Maintenance > Patch Management > Install.

Stap 2. Klik op  Browse en kies het patchbestand dat is gedownload van Cisco.com.

Stap 3.Klik op  Install om de pleister te installeren.

Patchinstallatie met CLI

Stap 1. Configureer een ISE-opslagplaats en plaats de vereiste ISE-patch hierin. Raadpleeg Bewaarinstelling op ISE configureren voor informatie over het configureren van de ISE-opslagplaats

Stap 2. Meld u aan bij ISE CLI met SSH.

Stap 3. Controleer of de content van de opslagplaats kan worden weergegeven in de CLI van ISE.

ISE/admin# show repository FTP_repository

ise-patchbundle-10.2.0.7-Patch6-19021923.SPA.x86_64.tar.gz

ise-patchbundle-10.2.0.7-Patch9-19062923.SPA.x86_64.tar.gz

ise-patchbundle-10.1.0.0-Ptach3-19110111.SPA.x86_64.tar.gz

Stap 4. Voer de volgende handelingen uit om de patch op een specifiek ISE-knooppunt van de CLI te installeren  patch install opdracht in EXEC-modus.

Patch install

Log via SSH in bij de CLI van het ISE-knooppunt en voer deze opdrachten uit:

ISE/admin#patch install ise-patchbundle-10.1.0.0-Ptach3-19110111.SPA.x86_64.tar.gz FTP_repository

% Warning: Patch installs only on this node. Install with Primary Administration node GUI to install on all nodes in deployment. Continue? (yes/no) [yes] ? yes

Save the current ADE-OS run configuration? (yes/no) [yes] ? yes

Generating configuration...

Saved the ADE-OS run Configuration to startup successfully

Initiating Application Patch installation...

Getting bundle to local machine...

Unbundling Application Package...

Verifying Application Signature...

patch successfully installed

% This application Install or Upgrade requires reboot, rebooting now...

Broadcast message from root@ISE (pts/1) (Fri Feb 14 01:06:21 2020):

Trying to stop processes gracefully. Reload lasts approximately 3 mins

Broadcast message from root@ISE (pts/1) (Fri Feb 14 01:06:21 2020):

Trying to stop processes gracefully. Reload takes approximately 3 mins

Broadcast message from root@ISE (pts/1) (Fri Feb 14 01:06:41 2020):

The system is going down for reboot NOW

Broadcast message from root@ISE (pts/1) (Fri Feb 14 01:06:41 2020):

The system is going down for reboot NOW

Hoe installeert u de patch op alle ISE-knooppunten in de implementatie?

Wanneer u een patch installeert vanuit de  PAN die deel uitmaakt van een gedistribueerde implementatie, installeert Cisco ISE de patch op het primaire knooppunt en vervolgens op alle secundaire knooppunten in de implementatie.

Als de patchinstallatie op de primaire PAN is voltooid, wordt de patchinstallatie op de secundaire knooppunten uitgevoerd. Als het mislukt op de  PANDe installatie gaat echter niet naar de secundaire knooppunten.

Als de installatie om welke reden dan ook mislukt op een van de secundaire knooppunten, wordt deze wel voortgezet op het volgende secundaire knooppunt in uw implementatie.

Hoe de patch op alle ISE-knooppunten in de implementatie terug te draaien

Als u een patch van Cisco ISE-knooppunten in een implementatie wilt terugdraaien, moet u eerst de wijziging vanaf de  PAN.

Als dit lukt, wordt de installatie van de patch op de secundaire knooppunten teruggedraaid. Als het terugdraaien mislukt op de  PANDe patches zijn echter niet gerold van de secundaire knooppunten.

Als het terugdraaien van de patchinstallatie op een secundair knooppunt mislukt, wordt het proces wel voortgezet op het volgende secundaire knooppunt in uw implementatie.

Terwijl Cisco ISE de patch vanaf de secundaire knooppunten terugrolt, kunt u andere taken vanaf de  PAN GUI. De secundaire knooppunten beginnen na het terugdraaien opnieuw.

Om de ISE-patches terug te draaien, logt u in op  ISE GUI en navigeer naar  Administration > System > Maintenance > Patch Management > en selecteer de gewenste patch en klik op  Rollback, zoals aangegeven:

De installatie van de patch via de CLI van ISE terugdraaien

Stap 1. SSH naar het ISE-knooppunt waarin u de patch wilt verwijderen.

Stap 2. Controleer de geïnstalleerde patches op het ISE-knooppunt met de opdracht   Show Version

ISE/admin# show version

Cisco Application Deployment Engine OS Release: 3.0

ADE-OS Build Version: 3.0.5.144

ADE-OS System Architecture: x86_64

Copyright (c) 2005-2019 by Cisco Systems, Inc.

All rights reserved.

Hostname: ISE

Version information of installed applications

---------------------------------------------

Cisco Identity Services Engine

---------------------------------------------

Version : 10.1.0.0

Build Date : Tue Feb 12 00:45:06 2019

Install Date : Mon Sep 30 12:17:29 2019

Cisco Identity Services Engine Patch

---------------------------------------------

Version : 1

Install Date : Tue Oct 01 01:30:12 2019

Cisco Identity Services Engine Patch

---------------------------------------------

Version : 3

Install Date : Tue Mar 24 05:35:19 2020

Stap 3. Start de opdracht  patch remove <naam van toepassing> <nummer van patchbestand verwijderen>

Bijvoorbeeld:-  patch remove ise 2

ISE/admin# patch remove ise 3

Continue with application patch uninstall? [y/n] y

% Warning: Patch is removed only from this node. Remove patch with Primary Administration node GUI to remove from all nodes in deployment.

Patch successfully uninstalled

% This application Install or Upgrade requires reboot, rebooting now...

Broadcast message from root@ISE (pts/1) (Sun Mar 8 03:16:29 2020):

Trying to stop processes gracefully. Reload takes approximately 3 mins

Broadcast message from root@ISE (pts/1) (Sun Mar 8  03:16:29 2020):

Trying to stop processes gracefully. Reload takes approximately 3 mins

Broadcast message from root@ISE (pts/1) (Sun Mar 8 03:17:41 2020):

The system is going down for reboot NOW

Broadcast message from root@ISE (pts/1) (Sun Mar 8 03:17:41 2020):

The system is going down for reboot NOW

Opmerking: ISE-patches zijn cumulatief van aard en kunnen niet worden gerold terwijl er een nieuwere versie bestaat. De nieuwere versie vereist eerst terug te rollen.

Als u de vorige patch wilt verwijderen, verwijdert u eerst de laatste patch en vervolgens de vorige patch-versie.

ISE/admin#patch remove ise 1

Continue with application patch uninstall? [y/n] y

% Warning: Patch is removed only from this node. Remove patch with Primary Administration node GUI to remove from all nodes in deployment.

Continue? (yes/no) [yes] ? yes

% Patch cannot be rolled back while a newer version exists, which needs to rolled back first.

Verifiëren

Om de voortgang van de ISE-patchinstallatie te bekijken, bladert u naar  Administration > System > Maintenance > Patch Management  > Show Node Status zoals aangegeven op de afbeelding:

Controleer de installatiestatus van de patch vanaf de ISE-knooppunt. Log in op dezelfde ISE-server en voer de opdracht uit  Show Version

ISE1/admin# show version

Cisco Application Deployment Engine OS Release: 3.0

ADE-OS Build Version: 3.0.5.144

ADE-OS System Architecture: x86_64

Copyright (c) 2005-2019 by Cisco Systems, Inc.

All rights reserved.

Hostname: ISE1

Version information of installed applications

---------------------------------------------

Cisco Identity Services Engine

---------------------------------------------

Version : 10.1.0.0

Build Date : Tue Feb 12 06:15:06 2019

Install Date : Thu Nov 21 16:39:02 2019

Cisco Identity Services Engine Patch

---------------------------------------------

Version : 1

Install Date : Thu Apr 02 11:00:08 2020

ISE1/admin#

Controleer succesvolle en mislukte patchberichten in ISE-alarmen:

Logbestandsverwijzing voor geslaagde patchinstallatie

isea/admin# sh log system ade/ADE.log tail

2020-04-19T15:38:01.634794+05:30 isea ADEOSJAVAAPI[26999]: ADEAUDIT 2030, type=PATCH INSTALL, name=PATCH INSTALL STARTED, username=kopriadm, cause=Application patch install has been inititated, adminipaddress=10.65.80.116, interface=GUI,

detail=Patch Install initiated with bundle - ise-patchbundle-10.1.0.0-Patch3-19110111.SPA.x86_64.tar.gz, repo - tmplocalpatchinstallrepo

2020-04-19T15:38:01.635194+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[796] [test]: Install initiated with bundle - ise-patchbundle-10.1.0.0-Patch3-19110111.SPA.x86_64.tar.gz, repo - tmplocalpatchinsta

llrepo

2020-04-19T15:38:01.784100+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[913] [test]: Stage area - /storeddata/Install/.1587290881

2020-04-19T15:38:01.827925+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[918] [test]: Getting bundle to local machine

2020-04-19T15:38:01.829562+05:30 isea ADE-SERVICE[1158]: [26999]:[error] config:repository: rm_repos_cfg.c[552] [test]: server not found in url

2020-04-19T15:38:01.830656+05:30 isea ADE-SERVICE[1158]: [26999]:[info] transfer: cars_xfer.c[66] [test]: local copy in of ise-patchbundle-10.1.0.0-Patch3-19110111.SPA.x86_64.tar.gz requested

2020-04-19T15:38:02.873630+05:30 isea ADE-SERVICE[1158]: [26999]:[info] transfer: cars_xfer_util.c[2293] [test]: Properties file /tmp/.cars_repodownload.props exists need to cleanup after a SIGNAL or download complete

2020-04-19T15:38:03.247065+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[954] [test]: Got bundle at - /storeddata/Install/.1587290881/ise-patchbundle-10.1.0.0-Patch3-19110111.SPA.x86_64.tar.gz

2020-04-19T15:38:03.247424+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1002] [test]: Unbundling package ise-patchbundle-10.1.0.0-Patch3-19110111.SPA.x86_64.tar.gz

2020-04-19T15:38:09.066295+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1064] [test]: Verifying signature for package ise-patchbundle-10.1.0.0-Patch3-19110111.SPA.x86_64.tar.gz

2020-04-19T15:38:13.171615+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1073] [test]: Signed bundle /storeddata/Install/.1587290881/ise-patchbundle-10.1.0.0-Patch3-19110111.SPA.x86_64.tar.gz confirme

d with release key

2020-04-19T15:38:18.816986+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1166] [test]: Unbundling done. Verifying input parameters...

2020-04-19T15:38:18.877267+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1195] [test]: Manifest file is at - /storeddata/Install/.1587290881/manifest.xml

2020-04-19T15:38:18.877604+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1234] [test]: Manifest file appname - ise

2020-04-19T15:38:18.878051+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1286] [test]: Patch bundle contains patch(3) for app version(10.1.0.0)

2020-04-19T15:38:18.878254+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install ci_util.c[305] [test]: Comparing installed app version:(10.1.0.0) and version of app the patch is meant for:(10.1.0.0)

2020-04-19T15:38:18.878517+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1321] [test]: Manifest file pkgtype - CARS

2020-04-19T15:38:18.878712+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1735] [test]: Verifying zip...

2020-04-19T15:38:27.006433+05:30 isea ADE-SERVICE[1158]: [26999]:[info] application:install cars_install.c[1796] [test]: Executing patch install script patchinstall.sh from patch.zip

2020-04-19T15:38:27.209692+05:30 isea test: info:[patchinstall.sh] START PATCH INSTALL SCRIPT. PATCHDIR: /storeddata/Install/.1587290881 INSTALLDIRS:

2020-04-19T15:38:27.211274+05:30 isea test: info:[patchinstall.sh] NEW PATCH VER: 3 PRIOR PATCH VER: 0

2020-04-19T15:38:27.213166+05:30 isea test: info:[patchinstall.sh] IRF-RABBITMQ-RUNTIME and IRF-CORE-ENGINE-RUNTIME Remove Begin

2020-04-19T15:38:27.214840+05:30 isea test: info:[patchinstall.sh] Remove IRF-Rabbitmq container

2020-04-19T15:38:27.753502+05:30 isea test: info:[patchinstall.sh] IRF-Rabbitmq container id -

2020-04-19T15:38:27.755172+05:30 isea test: info:[patchinstall.sh] No IRF-Rabbitmq container exist to remove.\n

2020-04-19T15:38:27.756631+05:30 isea test: info:[patchinstall.sh] Remove IRF-Core-Engine container

2020-04-19T15:38:27.781127+05:30 isea test: info:[patchinstall.sh] IRF-Core-Engine container id -

2020-04-19T15:38:27.783028+05:30 isea test: info:[patchinstall.sh] No IRF-Core-Engine container exist to remove.\n

2020-04-19T15:38:27.784724+05:30 isea test: info:[patchinstall.sh] IRF-RABBITMQ-RUNTIME and IRF-CORE-ENGINE-RUNTIME Remove Completed

2020-04-19T15:38:33.077501+05:30 isea test: info:[application:operation:cpmcontrol.sh] In Stop Monit

2020-04-19T15:38:33.197734+05:30 isea test: Monit daemon with pid [12796] killed

2020-04-19T15:38:34.289656+05:30 isea test: info:[application:operation:cpmcontrol.sh] Done Stop Monit

2020-04-19T15:38:34.671998+05:30 isea ADEOSShell[28278]: ADEAUDIT 2062, type=USER, name=M&T Log Processor, username=system, cause=M&T Log Processor Stopped, adminipaddress=127.0.0.1, interface=CLI, detail=Stopping M&T Log Processor

2020-04-19T15:38:43.621160+05:30 isea test: info:[application:operation:adprobe.sh] adprobe:Stopping wmi probe...

2020-04-19T15:38:43.657769+05:30 isea test: info:[application:operation:adprobe.sh] adprobe:wmi probe is disabled

2020-04-19T15:38:43.989085+05:30 isea test: info:[application:operation:syslogprobe.sh] syslogprobe:Stopping syslog probe...

2020-04-19T15:38:44.019674+05:30 isea test: info:[application:operation:syslogprobe.sh] syslogprobe:syslog probe is disabled

2020-04-19T15:38:44.367442+05:30 isea test: info:[application:operation:restprobe.sh] restprobe:Stopping rest probe...

2020-04-19T15:38:44.400103+05:30 isea test: info:[application:operation:restprobe.sh] restprobe:rest probe is disabled

2020-04-19T15:38:44.713844+05:30 isea test: info:[application:operation:agentprobe.sh] agentprobe:Stopping agent probe...

2020-04-19T15:38:44.753547+05:30 isea test: info:[application:operation:agentprobe.sh] agentprobe:agent probe is disabled

2020-04-19T15:38:46.166418+05:30 isea test: info:[application:operation:appservercontrol.sh] Stopping ISE Application Server...

2020-04-19T15:38:46.168374+05:30 isea ADEOSShell[29231]: ADEAUDIT 2062, type=USER, name=Application server status, username=system, cause=Application server stopped, adminipaddress=127.0.0.1, interface=CLI, detail=Application server stopped

2020-04-19T15:41:37.224949+05:30 isea test: info:[patchinstall.sh] ISE 10.1.0.0 patch 3 installFileSystem() INVOKED

2020-04-19T15:41:37.245321+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/mnt/xde/xdeRuntime/packages/std/WorkflowsProject.xar

2020-04-19T15:41:37.251672+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/mnt/bin/ctl/radius_auth.ctl

2020-04-19T15:41:37.258874+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/mnt/report-definitionsV2/Audit/Internal-Administrator-Summary.xml

2020-04-19T15:41:37.265939+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/mnt/report-definitionsV2/Endpoints and Users/Posture-Assessment-by-Endpoint.xml

2020-04-19T15:41:37.273866+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/mnt/report-definitionsV2/Endpoints and Users/Posture-Assessment-by-Condition.xml

2020-04-19T15:41:37.280143+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/mnt/lib/mnt-collection.jar

2020-04-19T15:41:37.288008+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/mnt/lib/libJniCollector.so

2020-04-19T15:41:37.295128+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/appsrv/apache-tomcat-ca-8.5.32/apr/lib/libapr-1.a

2020-04-19T15:41:37.302031+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/appsrv/apache-tomcat-ca-8.5.32/apr/lib/libtcnative-1.a

2020-04-19T15:41:37.308615+05:30 isea test: info:[patchinstall.sh] Updating patched file: /storeddata/Install/.1587290881/filesystem/opt/CSCOcpm/appsrv/apache-tomcat-ca-8.5.32/webapps/ocsp-responder-webapp/WEB-INF/lib/import-export-2.6

.0-156.jar

Broadcast message from root@isea (Sun Apr 19 15:50:40 2020):

Trying to stop processes gracefully. Reload takes approximately 3 mins

Broadcast message from root@isea (Sun Apr 19 15:51:01 2020):

The system is going down for reboot NOW

Session terminated, killing shell... ...killed.