Fehlerbehebung bei ASA Smart Licensing-Problemen aufgrund von Änderung des Standard-Transporttyps

Einleitung

In diesem Dokument werden die in ASA Smart Licensing eingeführten Änderungen als Standard-Transportmethode beschrieben, die von Callhome zu Smart Transport geändert wurde.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• CLI der Adaptive Security Appliance
• Cisco Smart Licensing

Verwendete Komponente

Die Informationen in diesem Dokument basieren auf: 

• Cisco Adaptive Security Appliance 9.20(4)10

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Informationen zu Funktionen

In den neuesten ASA-Versionen wurde die Standard-Transportmethode für Lizenzen in Smart Transport geändert. Der Hauptunterschied besteht darin, dass sich das Gerät jetzt mit https://smartreceiver.cisco.com verbindet, um seine Lizenzberechtigung zu erneuern. In früheren Versionen, in denen die Callhome-Methode verwendet wurde, hat sich das Gerät stattdessen mit https://tools.cisco.com verbunden.

Diese Migration erfordert keine Konfigurationsänderungen. Datenverkehr zu https://smartreceiver.cisco.com muss jedoch auf Upstream-Geräten zugelassen werden.

Der Transportmodus wurde von den folgenden ASA-Versionen eingeführt:

• 9.20.4
• 9.22.1
• 9.23.1
• 9.24.1

Um zu überprüfen, ob das Gerät Call Home oder Smart Transport verwendet, verwenden Sie den Befehl show license status (Lizenzstatus anzeigen).

Verifizierung

Intelligenter Transport:

ASA# show license status
Smart Licensing is ENABLED
Utility:
  Status: DISABLED

Data Privacy:
  Sending Hostname: yes
    Callhome hostname privacy: DISABLED
    Smart Licensing hostname privacy: DISABLED
  Version privacy: DISABLED

Transport:
  Type: Smart <----
  URL: https://smartreceiver.cisco.com/licservice/license <----
  Proxy:
    Not Supported
  VRF:
    Not Supported

Callhome:

ASA# show license status 

Smart Licensing is ENABLED

Utility:
  Status: DISABLED

Data Privacy:
  Sending Hostname: yes
    Callhome hostname privacy: DISABLED
    Smart Licensing hostname privacy: DISABLED
  Version privacy: DISABLED

Transport:
  Type: Callhome <----

Bei ASA-Versionen, die Smart Transport verwenden, kann diese standardmäßig auf Callhome zurückgesetzt werden, wenn die Behebung des Erreichbarkeitsproblems mit smartempfänger.cisco.com Zeit in Anspruch nimmt und ein Serviceausfall auftritt. Bitte beachten Sie jedoch, dass Callhome in Zukunft veraltet sein wird. Stellen Sie deshalb sicher, dass die Konfiguration für die Verwendung von Smart Transport zurückgesetzt wird, sobald die Verbindung wiederhergestellt ist.

Smart Transport to Callhome

Befehlszeile:

ASA# configure terminal
ASA(config)#
ASA(config-smart-lic)# transport type ?

smart-lic-mode mode commands/options:
  callhome  Use Smart Call Home as license message transport
  smart     Use Smart Transport as license message transport
ASA(config-smart-lic)# transport type callhome

ASDM:

Konfiguration > Gerätemanagement > Lizenzierung > Smart Licensing

Callhome für intelligente Transportmittel

Befehlszeile:

ASA# configure terminal
ASA(config)#
ASA(config-smart-lic)# transport type ?

smart-lic-mode mode commands/options:
  callhome  Use Smart Call Home as license message transport
  smart     Use Smart Transport as license message transport
ASA(config-smart-lic)# transport type smart

ASDM:

Konfiguration > Gerätemanagement > Lizenzierung > Smart Licensing

Proxy-Unterstützung

Wenn für Ihre Umgebung eine Verbindung mit https://smartreceiver.cisco.com erforderlich ist, konfigurieren Sie den Proxy unter der Smart Licensing-Konfiguration, indem Sie den Transport-Proxy-Port [Port] [Proxy] hinzufügen.

Beispiel:

ASA#configure terminal
ASA(config)#license smart
ASA(config-smart-lic)#transport proxy cisco-lab-proxy.cisco.com port 80 <----

Von ASDM: Konfiguration > Gerätemanagement > Smart Licensing

Bitte beachten Sie "Cisco Bug ID CSCwr56980" beim Überprüfen der Proxy-Einstellungen.

Kompatibilität 

Callhome ist weiterhin für Versionen verfügbar, bei denen Smart Transport als Standardmodus konfiguriert ist. Um die Callhome-Option zu aktivieren, muss der Transporttyp in der Lizenzkonfiguration auf Callhome festgelegt werden:

ASA# show run license 
license smart
[..]
 transport type callhome <----

Häufige Probleme

Es gibt nur wenige gängige Szenarien, bei denen unterschiedliche Verhaltensweisen beobachtet wurden, wobei einige nach dem Upgrade auf eine Version, bei der das Lizenzmodell ebenfalls auf Smart Transport aktualisiert wurde, als produktionsschädlich eingestuft wurden.  

Szenario A

Bedingung: ASA kann Smart Authority nicht erreichen​

​

Status: ASA ist autorisiert, keine Auswirkungen auf den Betrieb (weniger als 90 Tage)​

Registration:
  Status: REGISTERED
  Smart Account: Cisco Systems, TAC
  Virtual Account: EU TAC
  Export-Controlled Functionality: ALLOWED
  Initial Registration: SUCCEEDED on Jan 12 2026 13:09:43 UTC
  Last Renewal Attempt: None
  Next Renewal Attempt: Jul 11 2026 13:09:43 UTC
  Registration Expires: Jan 12 2027 13:04:42 UTC

License Authorization:
  Status: AUTHORIZED on Jan 12 2026 13:11:25 UTC
  Last Communication Attempt: FAILED on Jan 12 2026 13:11:25 UTC <----
  Failure reason: Communication message send error <----
  Next Communication Attempt: Jan 12 2026 13:11:55 UTC
  Communication Deadline: Apr 12 2026 13:04:55 UTC

Lösungsschritte: 

1. Vergewissern Sie sich, dass die auf dem Gerät konfigurierte Transportmethode für Smart Licensing Smart oder Callhome ist.
2. Stellen Sie sicher, dass die DNS-Auflösung ordnungsgemäß funktioniert, indem Sie überprüfen, ob das Gerät den entsprechenden Server auflösen und erreichen kann: smartempfänger.cisco.com für Smart Transport oder tools.cisco.com für Callhome Transport.
3. Erneuern Sie nach dem Wiederherstellen der Verbindung die Lizenzautorisierung, indem Sie den folgenden Befehl ausführen: Lizenz Smart Renew Auth.

Szenario B

Bedingung: ASA kann Smart Authority nicht länger als 90 Tage erreichen.

​

Status: Nach Ablauf der Lizenzautorisierung sind Funktionen, für die spezielle Lizenzen erforderlich sind, eingeschränkt. Insbesondere sind ASAv AnyConnect-Sitzungen auf zwei beschränkt, und der Durchsatz wird auf 100 Kbit/s gedrosselt.

Registration:
  Status: REGISTERED
  Smart Account: Cisco Systems, TAC
  Virtual Account: EU TAC
  Export-Controlled Functionality: ALLOWED
  Initial Registration: SUCCEEDED on Dec 15 2022 02:52:47 UTC
  Last Renewal Attempt: FAILED on Dec 29 2025 07:20:08 UTC
  Failure reason: Communication message send error
  Next Renewal Attempt: Dec 29 2025 07:20:38 UTC
  Registration Expires: Jun 02 2026 03:15:26 UTC

License Authorization:
  Status: AUTH EXPIRED on Dec 29 2025 06:37:55 UTC
  Last Communication Attempt: FAILED on Dec 29 2025 06:37:55 UTC <----
  Failure reason: Communication message send error <----
  Next Communication Attempt: Dec 29 2025 07:37:55 UTC
  Communication Deadline: DEADLINE EXCEEDED <----

Licensed features for this platform:
Maximum VLANs                     : 1024           
Inside Hosts                      : Unlimited      
Failover                          : Active/Active  
Encryption-DES                    : Enabled        
Encryption-3DES-AES               : Enabled        
Security Contexts                 : 2              
Carrier                           : Disabled       
AnyConnect Premium Peers          : 2 <<<<<<             
AnyConnect Essentials             : Disabled       
Other VPN Peers                   : 10000          
Total VPN Peers                   : 10000          
AnyConnect for Mobile             : Disabled       
AnyConnect for Cisco VPN Phone    : Disabled       
Advanced Endpoint Assessment      : Disabled       
Shared License                    : Disabled       
Total TLS Proxy Sessions          : 2              
Botnet Traffic Filter             : Enabled        
Cluster                           : Enabled 

Lösungsschritte: 

1. Vergewissern Sie sich, dass die auf dem Gerät konfigurierte Transportmethode für Smart Licensing entweder Smart Transport oder Callhome ist.
2. Stellen Sie sicher, dass die DNS-Auflösung ordnungsgemäß funktioniert, indem Sie überprüfen, ob das Gerät den entsprechenden Server auflösen und erreichen kann: smartempfänger.cisco.com für Smart Transport oder tools.cisco.com für Callhome Transport.
3. Erneuern Sie nach dem Wiederherstellen der Verbindung die Lizenzautorisierung, indem Sie den folgenden Befehl ausführen: Lizenz Smart Renew Auth.

Szenario C

Bedingung: Die ASA wurde neu gestartet, nachdem sie mehr als ein Jahr lang nicht bei der Smart Licensing Authority war.

Status: Wenn ein Gerät nach einem Jahr fehlgeschlagener Verbindung mit der Lizenzbehörde neu gestartet wird, wird standardmäßig der Evaluierungsmodus verwendet, der exportgesteuerte Funktionen deaktiviert (starke Verschlüsselung). Dies kann zu VPN-Ausfällen, Failover-Split-Brain-Szenario oder SSH-Ausfällen führen. 

Status: REGISTERING - REGISTRATION IN PROGRESS​
Export-Controlled Functionality: NOT ALLOWED​
Initial Registration: FAILED on Dec 16 2025 12:59:29 UTC​
Failure reason: Communication message send error​
Next Registration Attempt: Dec 16 2025 14:00:10 UTC​

License Authorization: ​
Status: EVAL MODE

Lösungsschritte:

1. Vergewissern Sie sich, dass die auf dem Gerät konfigurierte Transportmethode für Smart Licensing entweder Smart Transport oder Callhome Transport ist.
2. Stellen Sie sicher, dass die DNS-Auflösung ordnungsgemäß funktioniert, indem Sie überprüfen, ob das Gerät den entsprechenden Server auflösen und erreichen kann: smartempfänger.cisco.com für Smart Transport oder tools.cisco.com für Callhome Transport.
3. Registrieren Sie das Gerät nach Wiederherstellung der Verbindung, indem Sie den folgenden Befehl ausführen: license smart register idtoken [TOKEN].
4. "Speichern Sie die Konfiguration nicht", da das Gerät ohne krypto-bezogene Konfigurationen gestartet wurde. Selbst wenn "transport type callhome" unter dem "license smart"-Submodus konfiguriert wurde, um Call-Home zu verwenden, kann das Gerät nach erfolgreicher Registrierung ohne Speichern der Konfiguration neu geladen werden, um sicherzustellen, dass die ursprüngliche Kryptografiekonfiguration wiederhergestellt wird.
5. Sobald das Gerät mit der erforderlichen Kryptografiekonfiguration gestartet wurde, beheben Sie das Lizenzierungsproblem, indem Sie die Verbindung zur Lizenzbehörde wiederherstellen oder indem Sie "transport type callhome" im Untermodus "license smart" vorübergehend konfigurieren, bis die Verbindung zu smartempfänger.cisco.com zulässig ist.

​

Fehlerbehebung

• Stellen Sie sicher, dass Sie auf smartreceiver.cisco.com zugreifen können, und dass der DNS richtig konfiguriert ist, um diesen FQDN aufzulösen.
• Je nach Problem können HTTP- und Lizenzierungs-Debugs genutzt werden.
  • debuggen: http 255
  • debugging license agent all
  • debug-Lizenz 255
• Es sind zwei Software-Fehler bekannt, die Verbindungsprobleme verursachen können. Die Überprüfung kann auf folgenden Grundlagen erfolgen:

'Cisco Bug-ID CSCwp10957': Die Kompatibilität besteht, wenn die Version der Cisco ASA-Software niedriger als 9.20(4)14, 9.22(2)14 oder 9.23(1)22 ist.
'Cisco Bug-ID CSCws62173': Anfälligkeiten bestehen, wenn die ASA auf einer Plattform der Serie Secure Firewall 2100 (FP2100) mit einer Softwareversion kleiner als 9.20(4)22, 9.22.3 oder 9.24(1)9 ausgeführt wird.

Zugehörige Informationen

• Cisco Secure Firewall ASA Allgemeines CLI-Konfigurationsleitfaden für den Betrieb, 9.20 

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
1.0	21-May-2026	Erstveröffentlichung