Pek çok şirkette ağa kimin bağlanacağına, hangi VLAN’a düşeceğine ve hangi yetkiyle çalışacağına Cisco ISE karar verir. Switch’ler ve kablosuz denetleyiciler her 802.1X girişinde bu kümeye sorar. Kümesi 3.1 ya da 3.2 sürümünde olan kurumlar için 3 Kasım 2026 önemli bir tarihti. Cisco o gün bu iki sürüm için yazılım bakımını bitirdi. Artık güvenlik açıkları için de düzeltme çıkmıyor.
Takvimde hangi tarih ne demek
Cisco, 5 Mayıs 2025’te yayımladığı EoL duyurusunda takvimi şöyle verdi:
- 3 Kasım 2025: bakım dönemi başladı. Bu tarihten sonra yalnızca kritik güvenlik açıkları ve en yüksek önem derecesindeki hatalar için düzeltme yayımlandı.
- 3 Kasım 2026: son sipariş günü ve yazılım bakımının sonu. Cisco mühendislik ekipleri bu sürümlerde geliştirme, bakım ve test işini durdurdu.
- 30 Kasım 2027: son destek tarihi. Bu tarihten sonra ürün tamamen desteksiz kalır.
Duyuruda yama seviyeleri de yazılı. 3.2 için son bakım yaması P8, 3.1 için P10. Bunlardan sonraki yamalar yalnızca ağır hata ve zafiyet düzeltmeleri içeriyordu. 3 Kasım’dan sonra o da yok. Hal böyle olunca 3.1 ya da 3.2’de bulunacak yeni bir ISE zafiyetinin yaması olmayacak. Destek kaydı açabilirsiniz, ama yazılım tarafında çözüm sürüm yükseltmesi olur.
Hangi sürüme çıkmalı
Hedef olarak EoL duyurusu yayımlanmamış bir sürüm seçin ve kararı vermeden önce Cisco’nun ISE EoL duyuru listesine bakın. Release 3.5 için Haziran 2026’da güncellenen yükseltme makalesine göre 3.2 ve sonrası doğrudan 3.5’e çıkabilir. Daha eski sürümler önce 3.2, 3.3 ya da 3.4 gibi uyumlu bir ara sürüme geçmelidir. Yani 3.1’deki bir küme için iş iki adımdır, bakım pencerelerini de buna göre planlamak gerekir.
Donanım: ön kontroller ne istiyor
Yükseltme sihirbazı bir dizi ön kontrolle başlar. Platform kontrolü her düğümde en az 12 CPU çekirdeği, 16 GB bellek ve 300 GB disk ister. Sanal kurulumlarda ESXi 6.5 ya da üstü gerekir. Bellek kontrolü birincil yönetim düğümünde (PAN) yüzde 25, diğer düğümlerde 1 GB boş bellek arar. Yıllar önce küçük boyutlarla açılmış sanal makineler çoğu zaman bu kontrolde kalır.
Fiziksel cihazların takvimi ayrı. SNS-3615, SNS-3655 ve SNS-3695 cihazlarının yazılım bakımı 16 Ağustos 2024’te bitti. Hizmet sözleşmesi en son 12 Kasım 2027’de yenilenebilir. Güvenlik desteği dahil bütün destek 31 Ağustos 2028’de sona erer. Cisco’nun önerdiği karşılıklar SNS-3715, SNS-3755 ve SNS-3795. Kümeniz bu eski cihazlardaysa donanım yenilemesini yazılım yükseltmesiyle aynı plana koyun. Aksi halde aynı işi iki yıl arayla iki kez yaparsınız.
Full mu, Split mi
Full yükseltmede bütün düğümler aynı anda yükselir. Split yöntemine göre daha kısa sürer, ama yükseltme boyunca uygulama servisleri kapalı kalır, kimlik doğrulama da durur. Cisco her PSN için 90 ile 120 dakika verdiği için bu birkaç saatlik bir kesinti demektir. Bu süreyi kaldırabilecek bir bakım penceresi varsa uygundur. PAN ya da MnT düğümünde hata çıkarsa düğümler otomatik olarak eski sürüme geri alınır. Bir PSN yükseltilemezse o PSN eski sürümde kalır ve küme iki farklı sürümle çalışır. Bu durumda geri dönmek çoğu zaman düğümü yeniden kurmayı gerektirir.
Yeni Split yöntemi 3.2 P3 ile geldi. Düğümleri turlara ayırırsınız. Hazırlık adımında ön kontroller çalışır ve yapılandırma verisi yükseltilir. Staging adımında PAN, yapılandırma veritabanının dökümünü o turdaki düğümlere kopyalar ve bu sırada servisler durmaz. Yükseltme adımında turdaki düğümler aynı anda yükselir, kesinti yalnızca onları etkiler. İkinci tur, ilk turda yükselen yeni PAN’dan beslenir.
Cisco, her PSN için 90 ile 120 dakika arası bir süre verir ve tur başına en fazla 15 düğüm önerir. Bir düğümdeki hata kümenin geri kalanını bekletir. Kesintisiz geçişin anahtarı tur planıdır. Her switch ve kablosuz denetleyici, her an en az bir çalışan PSN’e ulaşabilmeli. Aynı lokasyona hizmet eden PSN’leri aynı tura koymayın.
Nutanix üzerinde çalışan ISE kümelerinde arayüzden Full ya da Split yükseltme desteklenmez. Bu ortamlarda temiz kurulum ya da yedekten geri yükleme kullanılır.
Aynı Full ve Split seçenekleri yama kurulumunda da var. Yamayı bu ekrandan kurduysanız geri alma da aynı ekrandan yapılır. Bu sırada diğer düğümler birlikte geri döner, birincil PAN en son döner.
Üçüncü bir yol da yedekten geri yükleme. 3.2 ve sonrası bu yolla doğrudan 3.5’e geçebilir. Düğümler yeniden kurulur, kümeye yeniden katılır ve sertifikalar yeniden içe aktarılır. İş yükü sıfırdan bir kurulumla aşağı yukarı aynıdır. Geri dönmek de yeniden kurulum demektir.
Sertifikalar ve yedek
PAN tarafındaki ön kontroller trust store ve sistem sertifikalarını doğrular, yapılandırma yedeğini kontrol eder ve PAN failover açıksa kapatır. Bütün düğümlerde ayrıca DNS çözümlemesine, NTP’ye, disk alanına ve servislerin durumuna bakılır. Süresi dolmuş bir sertifika ya da çözülemeyen bir düğüm adı yükseltmeyi o noktada durdurur. Ön kontrol sonuçları da birkaç saat sonra geçersiz olur. Hazırlıkla yükseltme arasına uzun bir ara koyarsanız kontrolleri yeniden çalıştırırsınız.
Nereden başlamalı
- Her düğümün sürümünü ve yama seviyesini çıkarın, 3.1 ve 3.2’de olanları ayırın.
- SNS-36xx cihazlarını ve 12 çekirdek, 16 GB bellek, 300 GB disk sınırının altında kalan sanal makineleri listeleyin.
- Yapılandırma yedeği alın ve bu yedeği ayrı bir test sunucusunda geri yükleyerek deneyin.
- Trust store ve sistem sertifikalarının bitiş tarihlerini, DNS ve NTP ayarlarını kontrol edin.
- İlk Split turunu küçük tutun, tur bitince birkaç kullanıcı ve cihazla 802.1X girişlerini deneyin.
- Geri dönüş planını yazın: hangi adımda vazgeçeceğinizi, yedeğin ve eski sürüm imajının nerede durduğunu belirleyin.
Mesagon’da 802.1X ile kimliğe dayalı ağ erişimini kurup işletiyor, Cisco ağ altyapısının bakımını ve yenileme planlamasını da üstleniyoruz.
Kaynaklar
- End-of-Sale and End-of-Life Announcement for the Cisco Identity Services Engine Software Versions 3.1 and 3.2 · Cisco, 2025
- Understand New Split Upgrade on ISE · Cisco, 2025
- Upgrade ISE with Full Upgrade Method · Cisco, 2025
- Cisco ISE Upgrade Process, Release 3.5 · Cisco, 2026
- Cisco ISE Software Patch, Release 3.5 · Cisco, 2026
- End-of-Sale and End-of-Life Announcement for the Cisco Secure Network Server 3615, 3655 and 3695 · Cisco, 2023
Bu yazı genel bilgilendirme içindir; hukuki ya da mali tavsiye değildir. Bir mühendisle konuşun.
