VMware: VMware lanza parche de seguridad ESXi670-201901001 para ESXi 6.7 – Actualización usando el online depot

Saludos amigos, VMware ha lanzado un parche con actualizaciones importantes para ESXi 6.7, como siempre y al tratarse del Hypervisor mi consejo es probarlo en un entorno de pruebas y actualizar producción una vez veamos que no ocasiona ningún problema con ningún componente.

Parche para ESXi 6.7 – ESXi670-201901001

Este primer parche del año nos trae corregidas varias incidencias que podemos encontrar las Release Notes de VMware:

Este parche aparte de los bugs mencionados soluciona las siguientes incidencias:

• By default, the Isolation Response feature in an ESXi host with enabled VMware vSphere High Availability (vSphere HA) is disabled. When the Isolation Response feature is enabled, a virtual machine port, which is connected to an NSX-T logical switch, might be blocked after a vSphere HA failover.
• You might not be able to locate and turn on the LED for disks under a lsi-msgpt3 controller using a lsi-msgpt3 async driver. This fix updates the lsu-lsi-lsi-msgpt3-plugin to work with the inbox and async lsi-msgpt3 drivers.
• You might not be able to locate and turn on the LED for disks under a lsi-msgpt35 controller. This fix introduces a new lsu-lsi-drivers-plugin which works with lsi-msgpt35 async drivers, because the inbox driver version is too low to support the storelib.

Actualización e instalación del parche en nuestros Hosts de ESXi 6.7 usando el online depot

Quiero comenzar esta sección mencionando que es necesario un reinicio de los Host ESXi parcheados, con lo que habrá que tener en cuenta esto.

Como es costumbre, VMware sirve dos imágenes, una con las VMware Tools y otra imagen sin las VMware Tools, como yo las sirvo desde un almacenamiento compartido no me hace falta descargar la imagen con las tools:

Lo primero que podemos comprobar es la versión en la que nos encontramos, en mi caso me encuentro en ESXi 6.7 Update 1, lanzada en Agosto de 2018:

Migrar o apagar las VM del Host

Una de las grandes ventajas que tiene VMware, es que podemos migrar las VM en caliente ante intervenciones como esta, es tan sencillo como irnos al Host que queremos actualizar – VM, y hacer click derecho en una o varias, y click en Migrate y posteriormente le diremos Change HostUna vez tenemos las VM apagadas, o correctamente migradas de Host, comprobaremos que en el Host tenemos el Firewall habilitado para el puerto 22:Y que en Services, tenemos el servicio de SSH iniciado, también podemos cambiar la política para que se arranque automáticamente siempre:

Poner el Host en modo Mantenimiento

Cuando hemos realizado todos estos pasos, ya podemos poner el Host en Modo Mantenimiento:

Desde aquí podríamos decir que queremos mover las VM apagadas a otro host, pero lo he desmarcado ya que no es necesario:

Comprobar el online depot y ejecutarlo

Es la hora de conectarnos mediante SSH al Host de ESXi y lanzar los siguientes comandos.

Comenzaremos habilitando el firewall para que se pueda conectar por http a servidores externos, es posible que no os haga falta, pero por si acaso:

esxcli network firewall ruleset set -e true -r httpClient

Ahora descargaremos la imagen de ESXi-6.7.0-20190104001-no-tools desde la web de VMware directamente, que además nos instalará todos los paquetes VIB necesarios, este proceso puede tardar un poco más o menos dependiendo de vuestro ancho de banda:

NOTA! Estoy usando el paquete sin las tools, ya que en mi caso tengo las VM Tools en un almacenamiento compartido, si no tenéis esta configuración usar entonces (ESXi-6.5.0-20180304001-standard)

esxcli software profile update -d https://hostupdate.vmware.com/software/VUM/PRODUCTION/main/vmw-depot-index.xml -p ESXi-6.7.0-20190104001-no-tools

Pasados unos minutos podremos comprobar el resultado satisfactorio de instalación, con todos los paquetes que se han eliminado, instalado o skipped:

 esxcli software profile update -d https://hostupdate.vmware.com/software/VUM/PRODUCTION/main/vmw-depot-index.xml -p ESXi-6.7.0-20190104001-no-tool
s
Update Result
   Message: The update completed successfully, but the system needs to be rebooted for the changes to be effective.
   Reboot Required: true
   VIBs Installed: VMW_bootbank_bnxtroce_20.6.101.0-20vmw.670.1.28.10302608, VMW_bootbank_brcmfcoe_11.4.1078.5-11vmw.670.1.28.10302608, VMW_bootbank_elxnet_11.4.1095.0-5vmw.670.1.28.10302608, VMW_bootbank_i40en_1.3.1-22vmw.670.1.28.10302608, VMW_bootbank_ipmi-ipmi-devintf_39.1-5vmw.670.1.28.10302608, VMW_bootbank_ipmi-ipmi-msghandler_39.1-5vmw.670.1.28.10302608, VMW_bootbank_ipmi-ipmi-si-drv_39.1-5vmw.670.1.28.10302608, VMW_bootbank_iser_1.0.0.0-1vmw.670.1.28.10302608, VMW_bootbank_ixgben_1.4.1-16vmw.670.1.28.10302608, VMW_bootbank_lpfc_11.4.33.3-11vmw.670.1.28.10302608, VMW_bootbank_lsi-mr3_7.702.13.00-5vmw.670.1.28.10302608, VMW_bootbank_lsi-msgpt2_20.00.04.00-5vmw.670.1.28.10302608, VMW_bootbank_lsi-msgpt35_03.00.01.00-12vmw.670.1.28.10302608, VMW_bootbank_lsi-msgpt3_16.00.01.00-3vmw.670.1.28.10302608, VMW_bootbank_mtip32xx-native_3.9.8-1vmw.670.1.28.10302608, VMW_bootbank_ne1000_0.8.4-1vmw.670.1.28.10302608, VMW_bootbank_nenic_1.0.21.0-1vmw.670.1.28.10302608, VMW_bootbank_nfnic_4.0.0.14-0vmw.670.1.28.10302608, VMW_bootbank_nhpsa_2.0.22-3vmw.670.1.28.10302608, VMW_bootbank_ntg3_4.1.3.2-1vmw.670.1.28.10302608, VMW_bootbank_nvme_1.2.2.17-1vmw.670.1.28.10302608, VMW_bootbank_nvmxnet3_2.0.0.29-1vmw.670.1.28.10302608, VMW_bootbank_qedentv_2.0.6.4-10vmw.670.1.28.10302608, VMW_bootbank_smartpqi_1.0.1.553-12vmw.670.1.28.10302608, VMW_bootbank_vmkfcoe_1.0.0.1-1vmw.670.1.28.10302608, VMW_bootbank_vmkusb_0.1-1vmw.670.1.28.10302608, VMW_bootbank_vmw-ahci_1.2.3-1vmw.670.1.28.10302608, VMware_bootbank_cpu-microcode_6.7.0-1.28.10302608, VMware_bootbank_esx-base_6.7.0-1.39.11675023, VMware_bootbank_esx-update_6.7.0-1.39.11675023, VMware_bootbank_lsu-hp-hpsa-plugin_2.0.0-16vmw.670.1.28.10302608, VMware_bootbank_lsu-intel-vmd-plugin_1.0.0-2vmw.670.1.28.10302608, VMware_bootbank_lsu-lsi-drivers-plugin_1.0.0-1vmw.670.1.39.11675023, VMware_bootbank_lsu-lsi-lsi-mr3-plugin_1.0.0-13vmw.670.1.28.10302608, VMware_bootbank_lsu-lsi-lsi-msgpt3-plugin_1.0.0-9vmw.670.1.39.11675023, VMware_bootbank_lsu-smartpqi-plugin_1.0.0-3vmw.670.1.28.10302608, VMware_bootbank_vmware-esx-esxcli-nvme-plugin_1.2.0.34-1.28.10302608, VMware_bootbank_vsan_6.7.0-1.39.11399593, VMware_bootbank_vsanhealth_6.7.0-1.39.11399595

Ahora solamente nos queda hacer un reboot:

reboot

Y ya tendremos la nueva versión en nuestros Hosts:

PD: Por supuesto podemos hacer esto mismo usando el VMware Update Manager como siempre, más información sobre cómo hacerlo aquí, o descargando el offline depot y lanzarlo mediante CLI:

• VMware: Actualizar desde vSphere ESXi 6.x a ESXi 6.7 Update 1 usando el nuevo vSphere Update Manager (VUM)

Extra: aplicar driver de Xeon D with 10GbE

Como recordaréis en mi caso tengo el Homelab perfecto gracias a Supermicro 5028d-tn4t al aplicar updates es seguro que tengamos que instalar de nuevo el VIB con los Drivers de 10GbE, es tan sencillo como lanzar el siguiente comando:

esxcli software vib install -v https://cdn.tinkertry.com/files/net-ixgbe_4.5.3-1OEM.600.0.0.2494585.vib --no-sig-check

Que nos devolverá algo similar a lo siguiente pasados unos minutos:

Installation Result
   Message: The update completed successfully, but the system needs to be rebooted for the changes to be effective.
   Reboot Required: true
   VIBs Installed: INT_bootbank_net-ixgbe_4.5.3-1OEM.600.0.0.2494585
   VIBs Removed: VMW_bootbank_net-ixgbe_3.7.13.7.14iov-20vmw.650.0.0.4564106
   VIBs Skipped:

Un reboot es necesario también:

reboot

Y por supuesto ya podremos ver las interfaces de Red en nuestro Host Client o vSphere Client HTML5:

Un saludo amigos y espero que os guste y os sirva.