يبلغ FMC عن حركة مرور الترخيص الذكي من Cisco باسم toos.cisco.com عند تمكين TSID

مسألة

يقوم مركز إدارة Firepower (FMC) والدفاع عن تهديد FirePOWER (FTD) بتقرير Cisco Smart License حركة مرور بيانات HTTPS على النحو toos.cisco.com بدلا من tools.cisco.com.
وهذا يتسبب في حظر حركة مرور ترخيص جهاز Cisco (ASA، الموجهات، المحولات) بواسطة سياسات ذكاء الأمان أو المستندة إلى عنوان URL، مما قد يؤدي إلى انتهاء صلاحية الترخيص.

حركة المرور نفسها شرعية وموجهة إلى البنية الأساسية لترخيص Cisco.

البيئة

• مجموعة المنتج: جدار الحماية الآمن من Cisco

• نوع حركة المرور: الترخيص الذكي من Cisco (HTTPS / TCP 443)

• تم تمكين ميزة تعريف خادم TLS (TSID)

قرار

الأعراض

• عرض تتبع أحداث اتصال FMC أو نظام FTD:

• فشلت أوامر الترخيص الذكي (على سبيل المثال، الترخيص تجديد المصادقة الذكي).

• تصفية URL / سياسات معلومات الأمان الاستخباراتية التي تحظر toos.cisco.com.

• يؤكد التقاط الحزمة إرسال حركة مرور البيانات إلى عناوين IP الخاصة بترخيص Cisco (مثل tools1.cisco.com).

• يتسبب تعطيل TSID في قيام FMC بالإبلاغ عن tools.cisco.com.

خطوات أستكشاف الأخطاء وإصلاحها / التحقيق

تأكيد حركة مرور الترخيص الذكي

على جهاز Cisco (مثال: ASA):

license smart renew auth

التقاط حركة مرور البيانات على جهاز Cisco (مثال ASA)

capture LIC interface outside trace detail match tcp host <ASA_IP> any eq 443
show capture LIC

تصدير حزم IP للوجهة وتأكيدها إلى مضيفي ترخيص Cisco:

tools1.cisco.com

التقاط حركة مرور البيانات أو تتبعها على FTD

التقاط الحزمة (FTD CLI)

capture capin interface <inside> match tcp host <DEVICE_IP> any eq 443
capture capout interface <outside> match tcp host <DEVICE_IP> any eq 443

تتبع دعم النظام

system support trace

ابحث عن إدخالات السجل المماثلة ل:

url toos.cisco.com

التحقق من تكوين TSID في FMC

• انتقل إلى نهج التحكم في الوصول

• تحرير القاعدة القابلة للتطبيق

• التحقق من الإعدادات المتقدمة

• تأكيد تمكين اكتشاف هوية خادم TLS (TSID)

التحقق من تأثير TSID (إختبار إختياري)

• تعطيل TSID على القاعدة

• سياسة النشر

• إعادة تشغيل محاولة الترخيص

ملاحظة - السلوك المتوقع: يبلغ FMC عن tools.cisco.com عند تعطيل TSID

فحص شهادة الخادم (إختياري)

من أدوات التقاط الحزمة أو المستعرض، تأكد:

• تتضمن قائمة شبكة منطقة التخزين (SAN) toos.cisco.com كإدخال أول

دقة المعالجة / الموصى بها

لا عيب. السلوك هو التصميم. ينصح أحد الخيارات التالية:

1.- السماح ل toos.cisco.com في تصفية URL / نهج معلومات الأمان

2.- السماح بحركة مرور الترخيص الذكي من Cisco من خلال: فئة URL أو نمط مجال أوسع

السبب

سلوك TSID للتصميم الجانبي عندما لا يحتوي TLS ClientHello على SNI.

عند تمكين TSID وفقد SNI، تحدد FMC هوية الخادم باستخدام سمات الشهادة بهذا الترتيب:

1- الاسم الشائع (CN)

2- الاسم البديل للموضوع الأول (SAN)

3- الوحدة التنظيمية

تحتوي شهادات خادم الترخيص الذكي من Cisco على toos.cisco.com كأول إدخال لشبكة منطقة التخزين (SAN).
نتيجة لذلك، تكتب FMC على موقع toos.cisco.com على الرغم من:

• دقة DNS صحيحة

• ينتمي عنوان IP للوجهة إلى البنية الأساسية لترخيص Cisco

• لا تتأثر سلامة حركة المرور

يؤثر ذلك على تقارير URL وإنفاذ السياسة فقط.

المحتوى ذي الصلة

• اكتشاف هوية خادم TLS

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
1.0	01-Jul-2026	الإصدار الأولي