Contenido

Introducción

Prerequisites

Componentes Utilizados

Antecedentes

¿Qué es Smart License?

¿Cómo funcionan las licencias de Hyperflex?

Política de aplicación estricta

Configurar

Verificación

Troubleshoot

Situación 1: conectividad HTTP/HTTPs

Situación 2: problemas de proxy

Situación 3: entorno de nube

Situación 4: Protocolo de estado de certificados en línea (OCSP)

Situación 5: certificado cambiado

Procedimiento adicional

Información Relacionada

Introducción

Este documento describe cómo resolver los problemas más comunes de los problemas de licencia de registro de Hyperflex.

Prerequisites

Cisco recomienda tener conocimientos básicos sobre estos temas:

- Conexión Hyperflex

- Registro de licencias

- HTTP/HTTPS

Componentes Utilizados

La información de este documento se basa en:

Hyperflex Data Platform (HXDP) 5.0.(2a) y superior

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Antecedentes

¿Qué es Smart License?

Cisco Smart Software Licensing (Smart Licensing) es una solución inteligente de gestión de licencias de software basada en la nube que simplifica las tres funciones principales de las licencias (compra, gestión e informes) en toda la organización.

Puede acceder a su cuenta de licencia inteligente aquí.

¿Cómo funcionan las licencias de Hyperflex?

Cisco Hyperflex se integra con Smart Licensing y se habilita automáticamente de forma predeterminada al crear un clúster de almacenamiento Hyperflex.

Sin embargo, para que el clúster de almacenamiento Hyperflex consuma y genere informes de licencias, debe registrarlo con Cisco Smart Software Manager (SSM) a través de su Cisco Smart Account.

R Smart Account es un repositorio basado en la nube que proporciona visibilidad completa y control de acceso a todas las licencias de software de Cisco adquiridas y a las instancias de productos de su empresa.

Nota: En los clústeres de Hyperflex, el registro es válido durante un año, después de lo cual Hyperflex intenta automáticamente volver a registrarse para que no se requiera ninguna interacción humana.

Política de aplicación estricta

A partir de la versión HXDP 5.0(2a), algunas funciones se bloquean de la GUI de Hyperflex Connect si el clúster no cumple con la licencia.

Escenarios de ejemplo de estado de licencia:

En esta situación, el clúster es In compliance con el License Status

En la siguiente situación, el clúster está registrado pero el License Status es Out of Compliance y el período de gracia oscila entre uno (1) y noventa (90) días.

En este caso, no se bloquea ninguna función, pero aparece un banner en la parte superior del menú que le solicita que active la licencia necesaria antes de que caduque el período de gracia.

En esta situación, el clúster está registrado, el License Status es Out of Compliance y el período de gracia es cero (0).

Configurar

Para obtener orientación sobre cómo registrar Hyperflex con su Smart License cuenta, mire este vídeo.

Verificación

Confirme que la configuración funciona correctamente.

Verifique el estado de la licencia a través de CLI. Ver el estado de registro y el estado de autorización.

Troubleshoot

Hay algunos escenarios comunes donde estos dos estados pueden fallar, ambos causados por la misma causa raíz.

Situación 1: conectividad HTTP/HTTPs

El registro de licencias se realiza a través de TCP y, más específicamente, a través de HTTP y HTTPS; por lo tanto, es fundamental permitir esta comunicación.

Pruebe la conectividad de cada Storage Controller VM (SCVM), pero principalmente de Cluster Management IP (CMIP) SCVM.

curl https://tools.cisco.com/its/service/oddce/services/DDCEService

Debe obtener el resultado que se muestra en el ejemplo; de lo contrario, significa que el tráfico está bloqueado.

<h1>DDCEService</h1>

<p>Hi there, this is an AXIS service!</p>

<i>Perhaps there will be a form for invoking the service here...</i>

Si el resultado recibido es diferente del resultado anterior, confirme la conectividad y verifique que los puertos se abran con estos comandos:

ping tools.cisco.com -c 5

nc -zv tools.cisco.com 80

nc -zv tools.cisco.com 443

Situación 2: problemas de proxy

A veces, se configura un proxy entre todos los clientes web y los servidores web públicos cuando realizan inspecciones de seguridad del tráfico.

En este caso, entre el SCVM con el CMIP y cisco.com, valide que el proxy ya está configurado en el clúster (como se muestra en el ejemplo).

hxshell:/var/log/springpath$ stcli services sch show

cloudEnvironment: production

enabled: True

emailAddress: johndoe@example.com

portalUrl:

enableProxy: True

proxyPassword:

encEnabled: True

proxyUser:

cloudAsupEndpoint: https://diag.hyperflex.io/

proxyUrl:

proxyPort: 0

si el proxy muestra ya configurado, pruebe la conectividad con la URL o la dirección IP del proxy junto con el puerto configurado.

curl -v --proxy https://url:

https://tools.cisco.com/its/service/oddce/services/DDCEService

curl -v --proxy <Proxy IP>:<Proxy Port> https://tools.cisco.com/its/service/oddce/services/DDCEService

Además, pruebe la conectividad con el proxy.

nc -vzw2 x.x.x.x 8080

Situación 3: entorno de nube

En ciertas situaciones, el entorno de nube se establece en devtest, lo que hace que el registro falle. En este ejemplo, se establece en production.

hxshell:/var/log/springpath$ stcli services sch show

cloudEnvironment: production

cloudAsupEndpoint: https://diag.hyperflex.io/

portalUrl:

proxyPort: 0

enabled: True

encEnabled: True

proxyUser:

proxyPassword:

enableProxy: True

emailAddress: johndoe@example.com

proxyUrl:

En los registros, puede ver errores específicos cuando el entorno está configurado incorrectamente como devtest.

cat hxLicenseSvc.log | grep -ia "Name or service not known"

2021-09-01-18:27:11.557 [] [Thread-40] ERROR event_msg_sender_log - sch-alpha.cisco.com: Name or service not known

Sugerencia: a partir de la versión 5.0(2a), el usuario diag está disponible para permitir que los usuarios tengan más privilegios para solucionar problemas con el acceso a carpetas y comandos restringidos que no son accesibles a través de la línea de comandos priv que se introdujo en la versión 4.5.x de Hyperflex.

Puede cambiar el tipo de entorno a production y vuelva a intentar el registro.

diag# stcli services sch set --email johndoe@example.com --environment production --enable-proxy false

Situación 4: Protocolo de estado de certificados en línea (OCSP)

Hyperflex aprovecha OCSP y Certificate Revocation Lists (CRL) para validar certificados HTTPS durante el proceso de registro de licencias.

Estos protocolos están diseñados para distribuir el estado de revocación a través de HTTP. Los mensajes de CRL y OCSP son documentos públicos que indican el estado de revocación de los certificados X.509 cuando falla la validación de OCSP y también falla el registro de licencias.

Sugerencia: si OCSP falla, significa que un dispositivo de seguridad intermedio interrumpe la conexión HTTP

Para confirmar si la validación de OCSP es correcta, puede intentar descargar el archivo en la partición CMIP SCVM /tmp, como se muestra en el ejemplo.

hxshell:~$cd /tmp

hxshell:/tmp$ wget http://www.cisco.com/security/pki/trs/ios_core.p7b

--2022-08-18 00:13:37-- http://www.cisco.com/security/pki/trs/ios_core.p7b

Resolving www.cisco.com (www.cisco.com)... x.x.x.x aaaa:aaaa:aaaa:aaaa::aaaa

Connecting to www.cisco.com (www.cisco.com)|x.x.x.x|:80... connected.

HTTP request sent, awaiting response... 200 OK

Length: 25799 (25K)

Saving to: 'ios_core.p7b'

ios_core.p7b 100%[=======================================================================================================================================================>] 25.19K --.-KB/s in 0.04s

2022-08-18 00:13:37 (719 KB/s) - 'ios_core.p7b' saved [25799/25799]

hxshell:/tmp$ ls -lath ios*

-rw-rw-r-- 1 diag diag 26K Jun 30 18:00 ios_core.p7b

-rw-rw-r-- 1 diag diag 26K Jun 30 18:00 ios_core.p7b.1

-rw-rw-r-- 1 diag diag 26K Jun 30 18:00 ios_core.p7b.2

-rw-rw-r-- 1 diag diag 26K Jun 30 18:00 ios_core.p7b.3

-rw-r--r-- 1 admin springpath 26K Jun 30 18:00 ios_core.p7b.4

Situación 5: certificado cambiado

En algunas redes, los dispositivos de seguridad de proxy y firewall se ejecutan Secure Sockets Layer (SSL) y pueden dañar el certificado que Hyperflex espera recibir de tools.cisco.com:443.

Para verificar que el certificado no ha sido cambiado por un proxy o firewall, en el SCVM que contiene el CMIP, ejecute el comando:

diag# openssl s_client -connect tools.cisco.com:443 -showcerts < /dev/null

es importante señalar que la Subject Name y Issuer Name la información debe coincidir con el certificado mostrado en este ejemplo.

Advertencia: si al menos un campo del asunto o del emisor es diferente, el registro falla. Una regla de omisión en la inspección SSL de seguridad para las IP de administración del clúster Hyperflex y tools.cisco.com:443 pueden solucionar este problema.

En este ejemplo, puede ver cómo validar la misma información recibida del certificado en Hyperflex CMIP SCVM.

hxshell:~$ su diag

diag# openssl s_client -connect tools.cisco.com:443 -showcerts < /dev/null

CONNECTED(00000003)

depth=2 C = US, O = IdenTrust, CN = IdenTrust Commercial Root CA 1

verify return:1

depth=1 C = US, O = IdenTrust, OU = HydrantID Trusted Certificate Service, CN = HydrantID Server CA O1

verify return:1

depth=0 CN = tools.cisco.com, O = Cisco Systems Inc., L = San Jose, ST = California, C = US

verify return:1

---

Certificate chain

0 s:/CN=tools.cisco.com/O=Cisco Systems Inc./L=San Jose/ST=California/C=US

i:/C=US/O=IdenTrust/OU=HydrantID Trusted Certificate Service/CN=HydrantID Server CA O1

...

<TRUNCATED>

...

1 s:/C=US/O=IdenTrust/OU=HydrantID Trusted Certificate Service/CN=HydrantID Server CA O1

i:/C=US/O=IdenTrust/CN=IdenTrust Commercial Root CA 1

...

<TRUNCATED>

...

2 s:/C=US/O=IdenTrust/CN=IdenTrust Commercial Root CA 1

i:/C=US/O=IdenTrust/CN=IdenTrust Commercial Root CA 1

...

<TRUNCATED>

...

---

Server certificate

subject=/CN=tools.cisco.com/O=Cisco Systems Inc./L=San Jose/ST=California/C=US

issuer=/C=US/O=IdenTrust/OU=HydrantID Trusted Certificate Service/CN=HydrantID Server CA O1

---

...

<TRUNCATED>

...

---

DONE

Procedimiento adicional

Este procedimiento se puede aprovechar si los escenarios cubiertos son exitosos o se resuelven, pero el registro de la licencia sigue fallando.

Anular el registro de la licencia

hxshell:~$stcli license disable

hxshell:~$stcli license enable

hxshell:~$stcli license deregister

Adquiera un nuevo token de Smart Licensing, reinicie el proceso de licencia y vuelva a intentar el registro de la licencia.

hxshell:~$priv service hxLicenseSvc stop

hxshell:~$priv service hxLicenseSvc start

hxshell:~$stcli license register --idtoken IDTOKEN --force

Información Relacionada

- Plataforma de datos Cisco HyperFlex HX - Guías para el usuario final