Cómo actualizar tu ESXi con LifeCycle Manager

Sinceramente, como este post vas a encontrar mil actualmente, pero ya que estaba actualizando mi lab, aprovecho y lo documento, quien sabe, es posible si lees esto, encuentres aquí algún detalle de ayuda para realizar la actualización que no hayas podido ver en uno de los habituales posts en lengua inglesa.

Siempre he sido más de hacer las actualizaciones a base de depot files y línea de comandos, pero cuando he ido a la zona de descargar de Broadcom a buscar la custom ISO que requiero para el hierro de mi laboratorio, veo que estos archivos zip han desaparecido, y solo puedes encontrar ahora, para todas las marcas, archivos ISO. Supongo que en cierto modo es una forma de presionar para usar el LifeCycle Manager, que para algo está ahí, asi que...¡vamos con ello!

Lo primero de todo, descargarnos la ISO del ESXi que necesitamos. No pongo capturas de ello, si acaso, recordaré los básicos: chequea que tu version de vcenter sea igual o superior a la version de ESXi, y su compatibilidad. Tienes la web de https://interopmatrix.broadcom.com/Interoperability para ello.

En el menú del vCenter, vamos a LiceCycle Manager, y pinchamos en Imported ISOs. Seguidamente damos a Import ISO

Inicia el proceso, donde primero inicia el proceso de importación, y luego agrega la iso al repositorio:

Seguidamente, todavía en LifeCycle Manager, nos vamos a Baselines y pinchamos en New - Baeline:

Agregamos el nombre que queramos para nuestra baseline, marcamos Upgrade, y pulsamos Next:

Veremos la ISO que subimos previamente. La seleccionamos, y pulsamos Next:

Llegamos al resumen final, y pulsamos Finish:

Con estos pasos ,dejamos generada la Baseline. Ahora, adjuntaremos esta imagen base a los hosts, comprobaremos compatibilidades, y la aplicaremos.

Para ello, volvemos de nuevo al menu del vCente,r seleccionamos el inventario, y desde alli, podemos pinchar tanto en un host, como en el cluster. El menú varia ligeramente, pero ambos tienen en el panel central, en las opciones de la parte superior, Updates. Pinchamos en updates, y veremos un menu nuevo, donde seleccionamos Baselines. Seguidamente, seleccionamos Attach:

Seleccionamos Attach baseline o Baseline Group:

Y seleccionamos la baseline que creamos previamente:

Y pulsamos attach, claro.

Veremos que en Attached baselines ahora tenemos la que creamos previamente.

Ponemos nuestro host en modo mantenimiento, vamos a la pestaña de Updates, seleccionamos la baseline que nos interesa, hacemos primero un check compliance, y posteriormente pulsamos sobre Remediate. Aceptamos la licencia, y click en remediate.

Ya solo queda esperar que finalice la actualización. El host reiniciará.

Cómo descargar la version Free de ESXi

De nuevo son varios artículos y gente confundida sobre las noticias relativas a la gratuidad de ESXi en base a las noticias de los últimos días. En general, lo que se comenta es que no es gratis, y lo que tienes son 60 dias de prueba funcionando a modo de Enterprise Edition, pero pasada esa fecha, o introduces una licencia de pago, o las VMs se apagaran.

Correcto, asi funciona ESXi, cuando lo descargas desde cualquier entitlement, y no desde el enlace de descargas gratuitas. Pero la ISO para el ESXi free ya trae una licencia embebida que no tiene fecha de expiración.

Vamos a ver cómo se descarga

Lo primero de todo, nos dirigimos a este ENLACE. Es la tech doc que nos habla del producto. Hay un enlace que casi no se ve, donde indico en la imagen. Pinchamos en él:

Nos lleva a una web para las descargas gratuitas. Buscamos VMware vSphere Hypervisor y pinchamos en el enlace:

De nuevo pinchamos sobre el enlace que nos muestra,

Pinchamos sobre la versión, la 8.03e,

Y finalmente sobre el botoncito de descarga. 

Nos bajará la ISO con el nombre VMware-VMvisor-Installer-8.0U3e-24677879.x86_64.iso

Me salto la parte donde se instala el hipervisor, cada uno que haga como quiera. En mi caso me lo he montado en una VM, para ver lo que nos atañe, el tema de licenciamiento. Una vez instalado, entramos a la intefaz gráfica, y veremos que tenemos una licencia sin fecha de expiración:

Ten en cuenta que la licencia viene embebida, ya que la finalidad es su uso es casos como labs de pruebas, etc. Es decir, tiene sus limitaciones, como ya comenté en este otro artículo.

En cualquier caso, que quede claro que ESXi ha vuelto a ser gratuito, de verdad de la buena  :D

VMware ESXi 8.0 es gratis de nuevo

 En una noticia que Broadcom publicaba hoy mismo (ver AQUI) soltaban la bomba con esta frase:

Broadcom makes available the VMware vSphere Hypervisor version 8, an entry-level hypervisor. You can download it free of charge from the Broadcom Support portal

Las RRSS y los distintos blogs de tecnología se han plagado con la noticia. Pero, ¿Qué implica esto realmente? Afecta de alguna manera a usuarios o empresas, y de qué manera? 

Vamos a ver las ventajas que nos ofrece

• Realmente, esto a las empresas no les va a suponer ninguna diferencia, en cambio, puede beneficiar a estudiantes o personas que quieran aprender de entornos virtualizados, sin incurrir en costos de licencias.
• Puede ayudar en el desarrollo y pruebas de aplicaciones, replicando hasta cierto punto entornos de producción basados en VMware.
• En pequeñas empresas o entornos domésticos, un ESXi podría ser suficiente para correr pequeñas VMs.
• De la misma manera, y basándonos en el uso de VMs, podríamos realizar un mejor aprovechamiento del hardware de nuevo en estas pequeñas pymes, pudiendo consolidar varios servidores en uno solo.
• Puede servirnos para familiarizarnos con la tecnología de VMware, en especial si estas empezando en el mundo de la virtualización.
• Uso ilimitado de recursos físicos (con limitaciones por VM): La versión gratuita permite utilizar la totalidad de los CPUs físicos, núcleos por CPU y memoria RAM del host. Sin embargo, cada máquina virtual está limitada a un máximo de 8 vCPUs.
• Licencia perpetua: Una vez obtenida la licencia gratuita, no tiene fecha de expiración.

Pero no todo son buenas noticias, debemos tener en cuenta estas restricciones:

• Sin soporte de vCenter Server: No se puede gestionar de forma centralizada a través de VMware vCenter Server. Cada host ESXi gratuito debe gestionarse individualmente.
• No disponemos de vMotion ni DRS: Funciones avanzadas como la migración en vivo de máquinas virtuales (vMotion) y el equilibrio de recursos automatizado (DRS) no están disponibles. Esto limita la alta disponibilidad y la gestión dinámica de recursos.
• Soporte técnico limitado: El soporte se limita a los foros de la comunidad de VMware y recursos en línea. No se ofrece soporte técnico comercial directo de VMware.
• Funciones avanzadas de almacenamiento no disponibles: Características como Storage vMotion y el uso de almacenamiento compartido VMFS (VMware Virtual File System) no están soportadas.
• Limitación de vCPUs por VM: Realmente ya lo indicaba anteriormente, pero cada máquina virtual está limitada a un máximo de 8 CPUs virtuales, l oque para un entorno de pruebas deberia ser suficiente.
• Funcionalidad de APIs restringida: Las APIs del producto tienen funcionalidades de solo lectura, lo que limita la integración con soluciones de terceros para backup y otras tareas de gestión (aun así, se pueden hacer maravillas con PowerShell y Veeam para temas de backup).

En resumen, la gratuidad de VMware ESXi 8 (Hypervisor) ofrece una excelente oportunidad para la virtualización en entornos no productivos, de aprendizaje o para pequeñas cargas de trabajo. Sin embargo, sus limitaciones en cuanto a gestión centralizada, alta disponibilidad y funciones avanzadas hacen que las versiones de pago sean necesarias para la mayoría de los entornos de producción empresariales.

Es por estas razones que para los casos anteriores que pueden verse beneficiados por esta decisión de Broadcom, les recomiendo echar un ojo al gran tapado de estas soluciones gratuitas desde noviembre de 2024, VMware Desktop Hipervisor, que antes era gratis solo para particulares, pero desde esta fecha, lo es también para empresas. Ademas, aporta soluciones que no te da ESXi, como una mayor comodidad para mover archivos a las VMs con un simple copypaste, cosa que no te permite la consola del ESXi.

Vulnerabilidad grave en ESXi permite escalado de permisos

En las ultimas investigaciones de Microsoft referentes a ataques sobre infraestructuras con VMware, se llevaron una sorpresa al averiguar como los hackers conseguían obtener el control de administrador sobre el hipervisor de VMware. Resulta que era tan simple como crear un grupo llamado "ESX Admins" e introducir los usuarios con los que quieres realizar el escalado de privilegios en dicho grupo, incluso aunque el usuario esté recién creado. En palabras de Microsoft

Un análisis más detallado de la vulnerabilidad reveló que los hipervisores VMware ESXi unidos a un dominio de Active Directory consideran que cualquier miembro de un grupo de dominio llamado “Administradores de ESX” tiene acceso administrativo completo de forma predeterminada. Este grupo no es un grupo integrado en Active Directory y no existe de forma predeterminada. Los hipervisores ESXi no validan la existencia de dicho grupo cuando el servidor se une a un dominio y siguen tratando a cualquier miembro de un grupo con este nombre con acceso administrativo completo, incluso si el grupo no existía originalmente. Además, la pertenencia al grupo se determina por nombre y no por identificador de seguridad (SID).

Enlace directo a la publicación de Microsoft AQUI.

Estos permisos se obtienen prácticamente con 2 comandos: 

• net group “ESX Admins” /domain /add
• net group “ESX Admins” username /domain /add

Esta vulnerabilidad, con numero CVE-2024-37085 se ha clasificado como severidad media.

La buena noticia es que la vulnerabilidad se ha hecho publica cuando se ha anunciado su parcheo. 

La mala, es que el parcheo aplica a partir de la versión ESXi80U3-24022510. Ver notas de Broadcom AQUI.

 

Hay un workaround que también funciona en los ESXi 7.0, consistente en realizar los siguientes cambios en las opciones avanzadas del ESXi:

• Config.HostAgent.plugins.hostsvc.esxAdminsGroupAutoAdd from true to false
• Config.HostAgent.plugins.vimsvc.authValidateInterval from 1440 to 90
• Config.HostAgent.plugins.hostsvc.esxAdminsGroup from "ESX Admins" to "" 

Aquí, vaya:

Así que ya sabéis, toca actualizar con carácter de urgencia, y más ahora, que el ciclo de vida de ESXi7 finaliza el año que viene.

 

Cómo actualizar ESXi desde 6.7 hasta 8.0

Vamos a ver cómo podemos realizar la actualización de nuestro ESXi, de la versión 6.7.0 hasta la 7.0u3. Aunque en este caso el salto que haremos será solo hasta la 7.0u3, si tenemos nuestro VCSA previamente actualizado a la 8.0, podríamos irnos a de una vez hasta ESXi 8.0 sin problemas.

Me quedo en la 7.0u3 por limitaciones del lab de pruebas, donde, para el servidor HP que estoy utilizando, el fabricante ha liberado hasta esta versión de ESXi en el momento del post, pero estas mismas instrucciones se pueden utilizar para, de un único salto, ir hasta la 8.0, según se puede comprobar en las tablas de compatibilidad de VMware:

¡Al lio! Nos descargamos la versión de ESXi que vamos a instalar, y la subimos a un disco local del ESXi. En este caso no es la ISO, es el archivo Depot del fabricante. Por ejemplo, si estuviéramos actualizando, pongamos por ejemplo, un nested ESXi, nos valdría la imagen de VMware. En este caso, como trabajaremos sobre un hardware de fabricante asociado, tiramos de la imagen del fabricante:

Verificamos que tenemos acceso por SSH, y si no, lo activamos.

Metemos el nodo que queremos actualizar en modo mantenimiento. Con el modo mantenimiento y el DRS correctamente activado, las VMs deberían reubicarse solas previamente en otros hosts del cluster, pero como no lo tengamos bien configurado, o haya reglas de almacenamiento que se peguen con VMs contenidas en este host, lo que conseguiremos es que estas VMs queden suspendidas, así que previamente revisa todo aquello que pueda influir en el movimiento de las VMs, o si no son muchas, haz un host vMotion a mano para las VMs a desalojar del ESXi. Doy por hecho que están en un datastore compartido y no en local, si no, storage vMotion a una ubicación externa al host a actualizar.

Y con esto, ya podemos poner el host en mantenimiento:

Ahora si, nos conectamos con Putty a nuestro host, y pasamos el siguiente comando:

esxcli software sources profile list -d /vmfs/volumes/xxxxx/VMware-ESXi-7.0.3-22348816-HPE-703.0.0.11.5.0.6-Oct2023-depot.zip

...donde el nombre del volumen lo podemos sacar de la ubicacion, en la ventana Resumen del local datastore. Se entiende mejor en la siguiente imagen:

...y reemplazamos el nombre "VMware-ESXi-7.0.3-22348816-HPE-703.0.0.11.5.0.6-Oct2023-depot.zip" por el nombre de archivo que subiste previamente al local datastore.

Nos indicará lo siguiente:

Esto nos da las imágenes disponibles en el paquete. En este caso, una única imagen del fabricante. Si buscas información sobre el proceso de actualización, muchas veces se omite este paso, y directamente se muestra una salida como la de la siguiente imagen, que corresponde a un archivo standard de VMware:

Vamos a actualizar la actualización con el siguiente comando, que incluye el nombre de la imagen disponible. Para ello, metemos el siguiente comando:

esxcli software profile update -d /vmfs/volumes/589c63a7-a3a57031-65f3-94188282a8b4/VMware-ESXi-7.0.3-22348816-HPE-703.0.0.11.5.0.6-Oct2023-depot.zip -p HPE-Custom-AddOn_703.0.0.11.5.0-6

Que si te fijas no es tanto, es "esxcli software profile update -d" /ruta del archivo /nombre del archivo que subimos previamente /nombre del perfil para actualización disponible.

Nos dará una salida larguísima. Pero prácticamente a la finalización del proceso, nos dará la info sobre el éxito del proceso:

Reiniciamos, sacamos de mantenimiento, ¡y listo! A repetir el proceso en los demás nodos. El reinicio lo puedes lanzar sin problema desde el vCenter.

PD: Recuerda que con el upgrade, hay que meter nuevas licencias...

Si te ha gustado el articulo, puedes invitarme a un café ;)