Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Licencias de NSO

Cuenta inteligente y cuenta virtual

Configurar

Paso 1. Generación de un token

Paso 2. Preparación del registro del token

Opción 1. Acceso directo a la nube

Opción 2. Acceso directo a la nube a través de un proxy HTTPS

NSO 4.5 o posterior

NSO 4.4

Opción 3. Acceso mediado a través de un recopilador conectado en las instalaciones

Opción 4: Acceso mediado a través de un recopilador in situ desconectado

Paso 3. Registro de token

Verificación

Antes del registro

Uso (estado autorizado)

Troubleshoot

Renovación del certificado SSL en las instalaciones de CSSM

Introducción

En este documento se describen las distintas licencias de Network Services Orchestrator (NSO) y cómo se pueden activar con Cisco Smart License®.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

- Cómo utilizar la CLI de NSO

- Solución de problemas de NSO

- Conocimiento básico de Linux

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

- NSO 6.x

- NSO 5.x

- NSO 4.5 y posterior

- NSO 4.4

- NSO 4.1/4.2/4.3

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Licencias de NSO

Nota: El usuario debe poseer una licencia de NSO válida.

Las licencias utilizadas por NSO son las siguientes:

PID

Visualización en SSM

tipo

Descripción

R-NSO-K 9

Nivel superior

Necesario para cada instancia de NSO

NSO-P-PAK

NSO-platform-production

servidor

Necesario para el nodo activo

NSO-HA-LIC-P

NSO-platform-production-standby

servidor

Necesario para el nodo en espera

NSO-DEV-P-PAK

NSO-platform-development-test

servidor

Necesario para el entorno de desarrollo

NSO-PNF-()

NSO-network-element

Elemento de red

descendente Si el dispositivo conectado es un dispositivo físico

NSO-VNF-()

NSO-network-element

Elemento de red

En dirección descendente El dispositivo conectado es un dispositivo virtual

NED-()

Diferente para cada NED

Ejemplo:

Cisco-IOS-NED

Cisco-iosxr-NED

FIN

Para NED. Es necesario para cada tipo de dispositivos diferentes.

Ejemplo:

NED-IOS-P: Para IOS NED

NED-IOSX-P: Para IOS-XR NED

Nota: Esto podría incluirse en un paquete de identificador de paquete (PID) (paquete que incluye ESC y más), por lo que es posible que estos PID no aparezcan en el pedido.

Cuenta inteligente y cuenta virtual

Cada producto, incluido NSO, solicita al servidor de Cisco que adquiera una licencia para activarse a sí mismo. Básicamente, comprueba si ha adquirido el número suficiente de licencias para el producto y si están disponibles para su uso.

Se asigna una cuenta inteligente a una organización. Tomemos la empresa A, por ejemplo:

- La empresa A puede tener los departamentos X, Y y Z, y desea gestionar sus licencias por separado.

- Se puede asignar una cuenta virtual a cada departamento.

Se pueden generar tokens para cada cuenta virtual. Utilizamos el token para acceder a la cuenta virtual del producto.

Desde Smart Software Manager, el estado de la licencia en las cuentas virtuales se ve de la siguiente manera:

Configurar

Puede haber varios métodos de conexión de NSO con el servidor de Smart Licensing y depende del entorno en el que esté instalado NSO. Este documento también describe las diferentes integraciones entre NSO y los servidores de licencias de Cisco.

Paso 1. Generación de un token

1. Para crear un nuevo token, inicie sesión en Cisco Smart Software Manager (CSSM) con la ID de usuario o la ID de CCO y seleccione la cuenta virtual adecuada. Haga clic en Administrar licencias para continuar. Busque el enlace en Cisco Software Central.

2. Haga clic en la pestaña Inventario y seleccione una cuenta virtual con la que desee trabajar.

3. En CSSM, haga clic en Nuevo token.

Rellene la información necesaria. Tenga en cuenta que la fecha de vencimiento indica cuánto tiempo es válido el token, por lo que los usuarios deben utilizar el token creado dentro de los días. Corto y Largo deben equilibrarse entre comodidad y riesgo de seguridad. Además, NO se trata de cuánto tiempo van a ser válidas las licencias.

5. El token recién creado está en la tabla.

6. Haga clic en el enlace del token para mostrar una ventana emergente. Copie el token de la ventana de diálogo al portapapeles.

Paso 2. Preparación del registro del token

Estos son los métodos de registro (directo/proxy/satélite).

Si NSO o cualquier producto de Cisco necesitan licencias inteligentes, póngase en contacto con Cisco Smart Software Manager (o Cisco Cloud) para registrarse.

Existen cuatro opciones principales para configurar el entorno compatible con Smart License:

Opción 1. Acceso directo a la nube

Con este método, el servidor NSO debe poder comunicarse directamente con la nube de Cisco mediante https. Se admite el uso de HTTP, pero no se recomienda por motivos de seguridad.

En este método, el proceso de registro se puede iniciar sin una configuración especial.

Opción 2. Acceso directo a la nube a través de un proxy HTTPS

Si necesita utilizar el servidor proxy HTTP(S) para conectarse a la Web en Internet, el agente inteligente de NSO debe configurarse con la información del servidor proxy.

Cuando se utiliza la opción 2, se debe indicar al smart-agent que envíe su solicitud de registro al servidor proxy en lugar de enviarla directamente a Cisco.

La configuración depende de la versión.

NSO 4.5 o posterior

A partir de NSO 4.5, ahora es posible configurar la licencia inteligente a través de ncs.conf. Si existe una configuración de licencia inteligente en ncs.conf y NSO CDB, la configuración en ncs.conf tiene prioridad.

Esto significa que los comandos como smart-license smart-agent override-url url https://10.1.2.3/ no surten efecto si hay una configuración diferente en ncs.conf. Al realizar una instalación del sistema NSO, ncs.conf incluye de forma predeterminada lo siguiente:

<smart-license>

<smart-agent>

<java-executable>DEFAULT</java-executable>

<java-options>DEFAULT</java-options>

<production-url>DEFAULT</production-url>

<alpha-url>DEFAULT</alpha-url>

<override-url>

<url>DEFAULT</url>

</override-url>

<proxy>

<url>DEFAULT</url>

</proxy>

</smart-agent>

</smart-license>

DEFAULT significa que utiliza los valores predeterminados definidos en $install_dir/src/ncs/yang/tailf-ncs-smart-license.yang.

Para configurar los folletos enumerados en ncs.conf en NSO CDB, asegúrese de quitar la entrada correspondiente de ncs.conf y realice la recarga de /etc/init.d/ncs.

NSO 4.4

Configure la URL de proxy en esta ruta.

smart-license smart-agent proxy url <proxy url>

admin@ncs(config)# smart-license smart-agent proxy url https://10.10.10.10:8080

admin@ncs(config)#

En la configuración predeterminada, NSO se conecta a https://tools.cisco.com/its/service/oddce/services/DDCEService, por lo que debe utilizarse el proxy HTTPS.

Esta configuración de proxy establece para HTTPS y HTTP automáticamente, por lo que si cambia la URL de destino a HTTP para el uso del satélite que se explica en la opción 3. o 4., una configuración puede manejar ambos casos.

Opción 3. Acceso mediado a través de un recopilador conectado en las instalaciones

En muchos casos, la red de NSO no está conectada directamente a Internet. Además de la opción 2., se puede introducir el satélite Smart Software Manager; para que NSO no tenga que intercambiar mensajes directamente con la nube de Cisco.

Los detalles del producto del satélite Smart Software Manager se pueden encontrar aquí.

Para obtener información sobre cómo realizar la instalación, consulte la guía de instalación en el enlace.

Cuando se utiliza este método, NSOl se dirige al satélite en lugar de a la nube de Cisco.

Para cambiar el destino, puede modificar override-url:

admin@ncs(config)# smart-license smart-agent override-url url https://10.1.2.3/

admin@ncs(config)#

Esta URL se puede encontrar en la Web administrativa del satélite Smart Software Manager.

Opción 4: Acceso mediado a través de un recopilador in situ desconectado

Este método es exactamente el mismo que el método (3) desde el punto de vista de NSO. La diferencia es solo cómo sincronizar con la nube de Cisco desde el satélite Smart Software Manager.

Paso 3. Registro de token

Después de utilizar el token, active NSO con el token generado para el servidor de Cisco. El token se utiliza en la CLI de NSO para registrarse en CSSM. Cuando se escribe el comando, el proceso de registro se inicia de forma asincrónica.

admin@ncs# smart-license register idtoken YWVlMmQ3ZjEtYT....

result Registration process in progress. Use the 'show license status' command to check the progress and result.

admin@ncs#

Verificación

Utilize esta sección para confirmar que su configuración funcione correctamente.

Antes del registro

Smart Licensing siempre está habilitada. El resultado indica que NSO no está registrado y que en el MODO EVAL caduca en 89 días y 23 horas.

admin@ncs# show license status

Smart Licensing is ENABLED

Registration:

Status: UNREGISTERED

Export-Controlled Functionality: Allowed

License Authorization:

Status: EVAL MODE

Evaluation Period Remaining: 89 days, 23 hr, 17 min, 36 sec

Last Communication Attempt: NONE

Next Communication Attempt: NONE

Development mode: enabled

admin@ncs#

El estado de registro se puede verificar con el comando show license status. Si el registro aún está en proceso, el comando muestra este resultado y dice; "REGISTRO PENDIENTE".

<Aún registrándose...>

admin@ncs# show license status

Smart Licensing is ENABLED

Registration:

Status: UNREGISTERED - REGISTRATION PENDING

Initial Registration: First Attempt Pending

Export-Controlled Functionality: Allowed

License Authorization:

Status: EVAL MODE

Evaluation Period Remaining: 89 days, 23 hr, 16 min, 36 sec

Last Communication Attempt: SUCCEEDED on Aug 3 09:41:56 2016 UTC

Next Communication Attempt: NONE

Development mode: enabled

admin@ncs#

Después de un tiempo, el registro se completa. Cuando vea el estado REGISTERED (REGISTRADO), el sistema se registrará en CSSM.

<Registered!!>

admin@ncs# show license status

Smart Licensing is ENABLED

Registration:

Status: REGISTERED

Smart Account: BU Production Test

Virtual Account: TAC-Japan-Cloudorch

Export-Controlled Functionality: Allowed

Initial Registration: SUCCEEDED on Aug 4 05:29:52 2016 UTC

Last Renewal Attempt: SUCCEEDED on Aug 4 05:30:03 2016 UTC

Next Renewal Attempt: Jan 31 05:30:03 2017 UTC

Registration Expires: Aug 4 05:24:56 2017 UTC

Export-Controlled Functionality: Allowed

License Authorization:

License Authorization:

Status: AUTHORIZED on Aug 4 05:30:05 2016 UTC

Last Communication Attempt: SUCCEEDED on Aug 4 05:25:02 2016 UTC

Next Communication Attempt: Sep 3 05:30:07 2016 UTC

Communication Deadline: Aug 4 05:24:56 2017 UTC

Development mode: enabled

admin@ncs#

Uso (estado autorizado)

La licencia que se utiliza se puede ver con el comando show license summary. En este ejemplo, NSO-platform-production, NSO-network-element y cisco-ios-NED se utilizan en el sistema. Observe que el estado de la Autorización de licencia es "AUTORIZADO". Esto significa que todos los componentes que requieren licencias funcionan correctamente en un estado legal.

admin@ncs# show license summary

Smart Licensing is ENABLED

Registration:

Status: REGISTERED

Smart Account: COMPANY A

Virtual Account: Network Department

Last Renewal Attempt: None

Next Renewal Attempt: Jan 31 05:33:02 2017 UTC

License Authorization:

Status: AUTHORIZED

Last Communication Attempt: SUCCEEDED

Next Communication Attempt: Sep 3 05:33:06 2016 UTC

License Usage:

License                     Entitlement Tag                                                                                Count        Status

----------------------------------------------------------------------------------------------------------------------------------------------

348fbb21-7edf-42bb-baa7-198903058a54regid.2016-04.com.cisco.NSO-platform-production,4.2_348fbb21-7edf-42bb-baa7-198903058a54       1            InCompliance

5d641fa0-757d-43b0-a926-166cb6e3cfddregid.2015-10.com.cisco.NSO-network-element,1.0_5d641fa0-757d-43b0-a926-166cb6e3cfdd           3            InCompliance

d9eca34d-1f6a-4595-ad74-9c0c57e03c27regid.2015-10.com.cisco.cisco-ios-NED,1.0_d9eca34d-1f6a-4595-ad74-9c0c57e03c27                 1            InCompliance

Development mode: disabled

admin@ncs#

Ésta es una salida del comando show license usage en un ejemplo diferente. En este ejemplo, también se agrega cisco-iosxr-NED y el estado es OutOfCompliance. Esto indica que registrarse en CSSM está bien; sin embargo, una licencia para cisco-iosxr-NED es insuficiente en la cuenta virtual. Debido al estado de incumplimiento de cisco-iosxr-NED, el estado general es OUT_OF_COMPLIANCE.

admin@ncs # show license usage

License Authorization Status : OUT_OF_COMPLIANCE  as of Oc  24 06:14:11 2016 UTC

NSO-platform-production (regid.2016-04.com.cisco.NSO-platform-production, 1.0_d1445dab-9d96-4593-99f2-6f633b8a759c)

Description : API unavailable

Count : 1

Version : 1.0

Status : InCompliance

NSO-network-element (regid.2015-10.com.cisco.NSO-network-element, 1.0_5d641fa0-757d-43b0-a926-166cb6e3cfdd)

Description : API unavailable

Count : 3

Version : 1.0

Status : InCompliance

cisco-ios-NED (regid.2015-10.com.cisco.cisco-ios-NED, 1.0_d9eca34d-1f6a-4595-ad74-9c0c57e03c27)

Description : API unavailable

Count : 1

Version : 1.0

Status : InCompliance

cisco-iosxr-NED (regid.2015-10.com.cisco.cisco.cisco-iosxr-NED, 1.0_9956fc34-cbed-4d13-a1ea-6a36f4e40a99)

Description : API unavailable

Count : 1

Version : 1.0

Status : OutOfCompliance

Troubleshoot

Intente habilitar la función debug on smart license. Cuando la depuración está habilitada, el registro de depuración se genera en el archivo especificado en /smart-license/smart-agent/stdout-capture/file. la depuración de smart license genera muchos registros, y se recomienda inhabilitar la depuración después de recopilar datos.

Debug enable

admin@ncs# debug smart_lic all

ok

admin@ncs#

Debug disable

admin@ncs# no debug smart_lic all

ok

admin@ncs#

Configuración de registro de licencia inteligente

admin@ncs# show running-config smart-license

smart-license smart-agent stdout-capture disabled

smart-license smart-agent stdout-capture file ./logs/ncs-smart-licensing.log

admin@ncs#

Activar registro de licencia inteligente

admin@ncs(config)# smart-license smart-agent stdout-capture enabled

admin@ncs(config)# commit

Commit complete.

admin@ncs(config)#

Renovación del certificado SSL en las instalaciones de CSSM

En el caso de los clientes que disponen de CSSM in situ, NSO puede no conectarse al servidor si el certificado SSL ha caducado.

Estos son los pasos para solucionar el problema generando un archivo onprem.crt:

1. Recopile el nuevo certificado del servidor CSSM usando openssl (el puerto normalmente utilizado es el 443):

openssl s_client -showcerts -connect <

>:443 | openssl x509 -out onprem.crt

2. Busque el directorio para importar el certificado. El directorio predeterminado es /etc/pki/ca-trust/extracted/java/cacerts. Para encontrarlo, aquí hay un comando para buscar los directorios cacerts en el sistema, y un ejemplo de la salida:

[root@localhost /]# find / -name cacerts 2>/dev/null | xargs -I {} ls -l {}

-r--r--r--. 1 root root 156478 Jun 26 08:02 /etc/pki/ca-trust/extracted/java/cacerts

lrwxrwxrwx. 1 root root 40 Aug 25  2022 /etc/pki/java/cacerts -> /etc/pki/ca-trust/extracted/java/cacerts

lrwxrwxrwx. 1 root root 21 Jun 15 04:52 /etc/java/java-17-openjdk/java-17-openjdk-17.0.15.0.6-3.el9.x86_64/lib/security/cacerts -> /etc/pki/java/cacerts

[root@localhost /]#

3. Cargue el certificado. La contraseña predeterminada para el almacén de claves es changeit:

sudo keytool -import -alias ssm_onprem -file onprem.crt -keystore /etc/pki/ca-trust/extracted/java/cacerts

3.1 (Opcional) Para confirmar que el certificado se cargó correctamente, ejecute este comando:

root@Ubuntu-24-9:/home/nso# keytool -list -keystore /etc/ssl/certs/java/cacerts -storepass changeit -alias ssm_onprem

Warning: use -cacerts option to access cacerts keystore

ssm_onprem, Aug 4, 2025, trustedCertEntry,

Certificate fingerprint (SHA-256): F7:00:C9:74:34:57:5E:BE:70:A7:0E:D2:9B:A8:2D:44:F1:CE:14:55:C3:D9:06:3F:83:68:95:A1:C6:B5:7F:26

root@Ubuntu-24-9:/home/nso#

4. Reinicie el agente inteligente (en modo de configuración):

admin@ncs(config)# smart-license smart-agent restart

result Started

5. Vuelva a registrar el certificado:

admin@ncs# license smart deregister

ok

admin@ncs# license smart register idtoken TOKEN

Registration process in progress. Use the 'show license status' command to check the progress and result.

admin@ncs#

6. Para confirmar que el registro fue exitoso con el comando show license summary cuya salida se muestra en este artículo.