Fehlerbehebung: FMC Host Limit License-Fehler: "Es verbleiben 0 von xxxxxx FireSIGHT-Host-Lizenzen "

Problem

Ein Firewall Management Center (FMC) zeigt eine Statusmeldung an, die besagt, dass das Lizenzlimit des Hosts erreicht wurde. Die entsprechende Fehlermeldung zeigt Folgendes an:

FireSIGHT Host Limit - [FMC-Hostname]

Es verbleiben 0 von xxxxxx FireSIGHT Host-Lizenzen.

Beispiele:

Außerdem wird auf der Seite Overview > Summary > Discovery Statistics eine 100-prozentige Nutzung angezeigt:

Umwelt

• FMC 7.7.10. Andere Softwareversionen können ebenfalls betroffen sein.

• Netzwerkerkennung konfiguriert mit aktivierter Hostnachverfolgung.

Auflösung

Die Warnung zum FMC-Host-Grenzwert verursacht keinen Ausfall des Firewall-Datenverkehrs. Zugriffskontrolle und Inspektion funktionieren weiterhin normal. Die Hauptauswirkung liegt auf der Host-Transparenz und der Kontextverfolgung im FMC.

Diese Benachrichtigung wird angezeigt, wenn das FMC seine maximale Kapazität für die Verfolgung von Hosts in der Netzwerkübersicht und Hostdatenbank erreicht hat.

Überprüfung des Netzwerkerkennungsbereichs:

Stellen Sie sicher, dass die Erkennung auf die erforderlichen internen Netzwerke beschränkt ist. Vermeiden Sie es, unnötige öffentliche, NAT-, Gast-, Load Balancer- oder vorübergehende Adressbereiche zu erkennen, sofern dies nicht aus Gründen der Sicherheitstransparenz erforderlich ist.

In diesem Fall müssen Sie die Netzwerkerkennungskonfiguration ändern und nur die internen Netzwerke angeben, die überwacht werden sollen. Andernfalls können externe (Internet-) Hosts die Discovery-Datenbank füllen:

Aktuelle Konfigurationsanalyse

Überprüfen Sie das aktuelle Host-Limit, indem Sie die Netzwerkerkennungseinstellungen unter Richtlinien > Netzwerkerkennung > Erweitert > Netzwerkerkennungsdaten-Speichereinstellungen überprüfen:

Die Konfiguration zeigt normalerweise Folgendes:

• Bei Erreichen des Host-Grenzwerts: Keine neuen Hosts einfügen

• Host-Timeout: 10080 Minuten/7 Tage

• Server-Timeout: 10080 Minuten/7 Tage

• Client-Zeitüberschreitung: 10080 Minuten/7 Tage

Bei der aktuellen Einstellung "Keine neuen Hosts einfügen" und vollständiger Host-Datenbank fügt FMC erst neu erkannte Hosts hinzu, wenn die Anzahl der Hosts unter den Grenzwert absinkt, was zu unvollständiger Host-Transparenz führt.

Optionale Konfigurationsänderung

Sie können das Host-Limit-Verhalten ändern, um eine kontinuierliche Nachverfolgung aktiver Hosts zu ermöglichen:

Schritt 1: Navigieren Sie zu Richtlinien > Netzwerkerkennung.

Phase 2: Klicken Sie auf die Registerkarte "Erweitert".

Schritt 3: Klicken Sie unter Netzwerkerkennungsdaten-Speichereinstellungen auf Bearbeiten.

Schritt 4: Ändern Sie When Host Limit Reached from "Don't insert new hosts" to Drop hosts.

Schritt 5: Speichern Sie die Änderungen.

Schritt 6: Stellen Sie die Konfiguration bereit, um die Änderungen zu übernehmen.

Erwartete Auswirkungen und Verhaltensweisen

Bei aktivierter Einstellung "Hosts löschen":

• Kein Ausfall des Firewall-Datenverkehrs erwartet.

• Zugriffskontrolle und -inspektion werden normal fortgesetzt.

• FMC entfernt beim Hinzufügen neu erkannter Hosts den am längsten inaktiven Host aus der Netzwerkübersicht.

• Die fortlaufende Nachverfolgung der aktuell aktiven Hosts wird aufrechterhalten.

• Verlaufskontext für verworfene Hosts kann nicht mehr angezeigt werden, bis diese Hosts wieder aktiv sind.

Host-Timeout-Überprüfung:

Die Standard-Timeout-Werte von 10080 Minuten (7 Tage) sind in der Regel angemessen. Anpassungen sollten nur in Betracht gezogen werden, wenn inaktive Hosts zu lange beibehalten werden.

Manuelle Host-Bereinigung (falls erforderlich):

Wenn eine sofortige Reduzierung der Serveranzahl erforderlich ist, können veraltete Hosts aus Analyse > Hosts > Tabellenansicht der Hosts gelöscht werden. Beachten Sie, dass es sich hierbei nur um eine Bereinigungsaktion handelt. Bleibt der Erkennungsbereich zu breit, erkennt FMC dieselben Hosts erneut.

Alternativ können Sie alle Hosts aus der Discovery-Datenbank löschen. Wählen Sie dazu System > Tools > Data Purge:

Ursache

Das FireSIGHT-Hostlizenzlimit wird erreicht, wenn das FMC die maximale Anzahl von Hosts in der Netzwerkübersicht und Hostdatenbank ermittelt und verfolgt. Zu den gängigen Faktoren gehören:

• Der Netzwerkerkennungsbereich ist zu breit konfiguriert, einschließlich unnötiger externer oder öffentlicher Adressbereiche.

• Erkennung von NAT-, Load Balancer- oder Übergangsadressen, die Hostlizenzen nutzen.

• Host-Timeout-Einstellungen, die inaktive Hosts für längere Zeiträume beibehalten.

• Natürliches Netzwerkwachstum erreicht FMC-Host-Kapazitätsgrenze.

Verwandte Inhalte

• Gerätekonfigurationsleitfaden für Cisco Secure Firewall Management Center - Richtlinien für die Netzwerkerkennung

• Technischer Support und Downloads von Cisco

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
1.0	06-Aug-2026	Erstveröffentlichung