Utilice FMC y FTD Registro de licencia inteligente y problemas comunes para resolver problemas

    

Introducción

Este documento describe la configuración de registro de licencia inteligente de Firepower Management Center en dispositivos administrados con Firepower Threat Defence.

Prerequisites

Requirements

No hay requisitos específicos para este documento.

Componentes Utilizados

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Antecedentes

Registro en FMC, FTD y Smart License.

El registro de Smart License se realiza en Firepower Management Center (FMC). El FMC se comunica con el portal Cisco Smart Software Manager (CSSM) a través de Internet. En el CSSM, el administrador del firewall administra la cuenta inteligente y sus licencias. El FMC puede asignar y eliminar licencias libremente a los dispositivos Firepower Threat Defence (FTD) administrados. En otras palabras, el FMC gestiona de forma centralizada las licencias de los dispositivos FTD.

Se necesita una licencia adicional para utilizar ciertas funciones de los dispositivos FTD. Los tipos de licencia inteligente que los clientes pueden asignar a un dispositivo FTD se documentan en Tipos y restricciones de licencia FTD.

La licencia básica se incluye en el dispositivo FTD. Esta licencia se registra automáticamente en su cuenta Smart Account cuando el CSM está registrado en CSSM.
Las licencias basadas en plazos: Amenazas, malware y filtrado de URL son opcionales. Para utilizar funciones relacionadas con una licencia, es necesario asignar una licencia al dispositivo FTD.

Para utilizar Firepower Management Center Virtual (FMCv) para la gestión de FTD, también se necesita una licencia de dispositivo Firepower MCv en CSSM para FMCv.

La licencia de FMCv se incluye en el software y es perpetua.

Además, en este documento se proporcionan escenarios para ayudar a resolver los errores comunes de registro de licencias que pueden ocurrir.

Para obtener más información sobre las licencias, consulte Cisco Firepower System Feature Licenses y Preguntas frecuentes (FAQ) sobre Firepower Licensing.

Registro de licencia inteligente FMC

Prerequisites

1. Para el registro de la licencia inteligente, el CSP debe acceder a Internet. Dado que el certificado se intercambia entre el FMC y la nube de licencias inteligentes con HTTPS, asegúrese de que no haya ningún dispositivo en la ruta que pueda afectar/modificar la comunicación. (por ejemplo, Firewall, Proxy, dispositivo de descifrado SSL, etc.).

2. Acceda al CSSM y emita un ID de token desde el botón Inventory > General > New Token, como se muestra en esta imagen.

Para utilizar un cifrado avanzado, habilite la función Permitir control de exportación en los productos registrados con esta opción de token. Cuando está activada, aparece una marca de verificación en la casilla de verificación.

3. Seleccione Crear token.

Registro de licencia inteligente FMC

Navegue hasta System> Licenses > Smart Licenses en el FMC y seleccione el botón Register, como se muestra en esta imagen.

Ingrese el ID de token en la ventana Registro de productos de Smart Licensing y seleccione Aplicar cambios, como se muestra en esta imagen.

Si el registro de Smart License se realizó correctamente, el estado de registro del producto muestra Registered, como se muestra en esta imagen.

Para asignar una licencia basada en plazos al dispositivo FTD, seleccione Edit Licenses. A continuación, seleccione y agregue un dispositivo administrado a la sección Dispositivos con licencia. Finalmente, seleccione el botón Apply como se muestra en esta imagen.

Confirmación en el lado de Smart Software Manager (SSM)

El éxito del registro de FMC Smart License se puede confirmar en Inventory > Event Log en CSSM, como se muestra en esta imagen.

El estado de registro del CSP se puede confirmar en Inventario > Instancias de productos. Compruebe el registro de eventos en la ficha Registro de eventos.  El registro de Smart License y el estado de uso se pueden comprobar en la pestaña Inventory > Licenses. Verifique que la licencia basada en plazos adquirida se utilice correctamente y que no haya alertas que indiquen licencias insuficientes.

Cancelación del registro de la licencia inteligente FMC

Anulación del registro del FMC del Cisco SSM

Para liberar la licencia por algún motivo o utilizar un token diferente, navegue hasta System > Licenses > Smart Licenses y seleccione el botón de anular registro, como se muestra en esta imagen.

Eliminar registro del lado SSM

Acceda a Smart Software Manager (Cisco Smart Software Manager) y en Inventario > Instancias de productos, seleccione Eliminar en el FMC de destino. A continuación, seleccione Remove Product Instance para eliminar el FMC y liberar las licencias asignadas, como se muestra en esta imagen.

RMA

Si el FMC está autorizado para RMA, anule el registro del FMC desde Cisco Smart Software Manager (CSSM) siguiendo los pasos de la sección Anulación del registro de licencia inteligente de FMC > Eliminar registro del lado SSM y, a continuación, vuelva a registrar el FMC con CSSM siguiendo los pasos de la sección Registro de licencia inteligente de FMC.

Troubleshoot

Verificación de sincronización horaria

Acceda a la CLI de FMC (por ejemplo, SSH) y asegúrese de que la hora es correcta y de que está sincronizada con un servidor NTP de confianza. Dado que el certificado se utiliza para la autenticación de Smart License, es importante que el FMC tenga la información horaria correcta:

admin@FMC:~$ date
Thu Jun 14 09:18:47 UTC 2020
admin@FMC:~$
admin@FMC:~$ ntpq -pn
     remote           refid      st t when poll reach   delay   offset  jitter
==============================================================================
*10.0.0.2        171.68.xx.xx     2 u  387 1024  377    0.977    0.469   0.916
 127.127.1.1     .SFCL.          13 l    -   64    0    0.000    0.000   0.000

Desde la interfaz de usuario de FMC, verifique los valores del servidor NTP desde System > Configuration > Time Synchronization .

Active la resolución de nombres y compruebe la disponibilidad en tools.cisco.com

Asegúrese de que el FMC puede resolver un FQDN y de que puede acceder a tools.cisco.com:

> expert
admin@FMC2000-2:~$ sudo su
Password:
root@FMC2000-2:/Volume/home/admin# ping tools.cisco.com
PING tools.cisco.com (173.37.145.8) 56(84) bytes of data.
64 bytes from tools2.cisco.com (173.37.145.8): icmp_req=1 ttl=237 time=163 ms
64 bytes from tools2.cisco.com (173.37.145.8): icmp_req=2 ttl=237 time=163 ms

Desde la interfaz de usuario de FMC, verifique la IP de administración y la IP del servidor DNS desde System > Configuration > Management Interfaces .

Verifique el acceso HTTPS (TCP 443) desde FMC a tools.cisco.com

Utilice el comando Telnet o curl para asegurarse de que el FMC dispone de acceso HTTPS a tools.cisco.com. Si se interrumpe la comunicación TCP 443, compruebe que no está bloqueada por un firewall y que no hay ningún dispositivo de descifrado SSL en la ruta.

root@FMC2000-2:/Volume/home/admin# telnet tools.cisco.com 443
Trying 72.163.4.38...
Connected to tools.cisco.com.
Escape character is '^]'.
^CConnection closed by foreign host.                    <--- Press Ctrl+C

Ensayo de rizo:

root@FMC2000-2:/Volume/home/admin# curl -vvk https://tools.cisco.com
*   Trying 72.163.4.38...
* TCP_NODELAY set
* Connected to tools.cisco.com (72.163.4.38) port 443 (#0)
* ALPN, offering http/1.1
* Cipher selection: ALL:!EXPORT:!EXPORT40:!EXPORT56:!aNULL:!LOW:!RC4:@STRENGTH
* successfully set certificate verify locations:
*   CAfile: /etc/ssl/certs/ca-certificates.crt
  CApath: none
* TLSv1.2 (OUT), TLS header, Certificate Status (22):
* TLSv1.2 (OUT), TLS handshake, Client hello (1):
* TLSv1.2 (IN), TLS handshake, Server hello (2):
* TLSv1.2 (IN), TLS handshake, Certificate (11):
* TLSv1.2 (IN), TLS handshake, Server finished (14):
* TLSv1.2 (OUT), TLS handshake, Client key exchange (16):
* TLSv1.2 (OUT), TLS change cipher, Change cipher spec (1):
* TLSv1.2 (OUT), TLS handshake, Finished (20):
* TLSv1.2 (IN), TLS change cipher, Change cipher spec (1):
* TLSv1.2 (IN), TLS handshake, Finished (20):
* SSL connection using TLSv1.2 / AES128-GCM-SHA256
* ALPN, server accepted to use http/1.1
* Server certificate:
*  subject: C=US; ST=CA; L=San Jose; O=Cisco Systems, Inc.; CN=tools.cisco.com
*  start date: Sep 17 04:00:58 2018 GMT
*  expire date: Sep 17 04:10:00 2020 GMT
*  issuer: C=US; O=HydrantID (Avalanche Cloud Corporation); CN=HydrantID SSL ICA G2
*  SSL certificate verify ok.
> GET / HTTP/1.1
> Host: tools.cisco.com
> User-Agent: curl/7.62.0
> Accept: */*
>
< HTTP/1.1 200 OK
< Date: Wed, 17 Jun 2020 10:28:31 GMT
< Last-Modified: Thu, 20 Dec 2012 23:46:09 GMT
< ETag: "39b01e46-151-4d15155dd459d"
< Accept-Ranges: bytes
< Content-Length: 337
< Access-Control-Allow-Credentials: true
< Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS
< Access-Control-Allow-Headers: Content-type, fromPartyID, inputFormat, outputFormat, Authorization, Content-Length, Accept, Origin
< Content-Type: text/html
< Set-Cookie: CP_GUTC=10.163.4.54.1592389711389899; path=/; expires=Mon, 16-Jun-25 10:28:31 GMT; domain=.cisco.com
< Set-Cookie: CP_GUTC=10.163.44.92.1592389711391532; path=/; expires=Mon, 16-Jun-25 10:28:31 GMT; domain=.cisco.com
< Cache-Control: max-age=0
< Expires: Wed, 17 Jun 2020 10:28:31 GMT
<
<html>
<head>
<script language="JavaScript">

var input = document.URL.indexOf('intellishield');
if(input != -1) {
 window.location="https://intellishield.cisco.com/security/alertmanager/";
}
else {
 window.location="http://www.cisco.com";
};

</script>
</head>

<body>
<a href="http://www.cisco.com">www.cisco.com</a>
</body>
</html>
* Connection #0 to host tools.cisco.com left intact
root@FMC2000-2:/Volume/home/admin#

Verificación de DNS

Verifique que la resolución se haya realizado correctamente en tools.cisco.com:

root@FMC2000-2:/Volume/home/admin# nslookup tools.cisco.com
Server:         192.0.2.100
Address:        192.0.2.100#53

Non-authoritative answer:
Name:   tools.cisco.com
Address: 72.163.4.38

Verificación de proxy

Si se utiliza apProxy, verifique los valores tanto en el FMC como en el servidor proxy. En el FMC, compruebe si el FMC utiliza la IP y el puerto del servidor proxy correctos.

root@FMC2000-2:/Volume/home/admin# cat /etc/sf/smart_callhome.conf 
KEEP_SYNC_ACTIVE:1
PROXY_DST_URL:https://tools.cisco.com/its/service/oddce/services/DDCEService
PROXY_SRV:192.0.xx.xx
PROXY_PORT:80

En la interfaz de usuario de FMC, los valores de proxy se pueden confirmar desde System > Configuration > Management Interfaces.

Si los valores del lado del CSP son correctos, compruebe los valores del lado del servidor proxy (por ejemplo, si el servidor proxy permite el acceso desde el CSP y a tools.cisco.com. Además, permita el intercambio de tráfico y certificados a través del proxy. El CSP utiliza un certificado para el registro de la licencia inteligente).

ID de token caducado

Verifique que el ID de token emitido no haya caducado. Si ha caducado, solicite al administrador de Smart Software Manager que emita un nuevo token y vuelva a registrar la licencia inteligente con el nuevo ID de token.

Cambio del gateway FMC

Puede haber casos en los que la autenticación de Smart License no se pueda realizar correctamente debido a los efectos de un proxy de retransmisión o un dispositivo de descifrado SSL. Si es posible, cambie la ruta para el acceso a Internet de FMC para evitar estos dispositivos y vuelva a intentar el registro de la licencia inteligente.

Comprobar los eventos de estado en FMC

En el FMC, navegue hasta System > Health > Events y verifique el estado del módulo Smart License Monitor para ver si hay errores. Por ejemplo, si la conexión falla debido a un certificado caducado; se genera un error, como id certificated expired, como se muestra en esta imagen.

Verifique el Registro de Eventos en el Lado SSM

Si el FMC puede conectarse al CSSM, verifique el registro de eventos de la conectividad en Inventario > Registro de eventos. Verifique si existen tales registros de eventos o de errores en el CSSM. Si no hay ningún problema con los valores o el funcionamiento del sitio del CSM, y no hay ningún registro de eventos en el lado del CSSM, existe la posibilidad de que exista un problema con la ruta entre el CSSM y el CSSM.

Problemas comunes

Resumen de los Estados de registro y autorización:

Estado de registro del producto	Estado de autorización de uso	Comentarios
NO REGISTRADO	—	El CSP no se encuentra en modo de registro ni de evaluación. Este es el estado inicial tras la instalación de FMC o tras el vencimiento de la licencia de evaluación de 90 días.
Registrado	Autorizado	El FMC está registrado con Cisco Smart Software Manager (CSSM) y hay dispositivos FTD registrados con una suscripción válida.
Registrado	Autorización caducada	El FMC no pudo comunicarse con el servidor de licencias de Cisco durante más de 90 días.
Registrado	NO REGISTRADO	El FMC está registrado con Cisco Smart Software Manager (CSSM), pero no hay dispositivos FTD registrados en el FMC.
Registrado	Incumplimiento	El FMC está registrado con Cisco Smart Software Manager (CSSM), pero hay dispositivos FTD registrados con una suscripción no válida. Por ejemplo, un dispositivo FTD (FP4112) utiliza una suscripción THREAT, pero con Cisco Smart Software Manager (CSSM) no hay suscripciones THREAT disponibles para FP4112.
Evaluación (90 días)	N/A	El período de evaluación está en uso, pero no hay dispositivos FTD registrados en el FMC.

Caso Práctico 1. Token no válido

Síntoma: el registro en el CSSM falla rápidamente (~10 s) debido a un token no válido, como se muestra en esta imagen.

Resolución: utilice un token válido.

Caso Práctico 2. DNS no válido

Síntoma: el registro en el CSSM falló después de un tiempo (~25 s), como se muestra en esta imagen.

Compruebe el archivo /var/log/process_stdout.log. Se observa el problema de DNS:

root@FMC2000-2:/Volume/home/admin# cat /var/log/process_stdout.log
2020-06-25 09:05:21 sla[24043]: *Thu Jun 25 09:05:10.989 UTC: CH-LIB-ERROR: ch_pf_curl_send_msg[494], 
failed to perform, err code 6, err string "Couldn't resolve host name"

Resolución: error de resolución del nombre de host CSSM. La resolución es configurar DNS, si no está configurado, o solucionar los problemas de DNS.

Caso Práctico 3. Valores de tiempo no válidos

Síntoma: el registro en el CSSM falló después de un tiempo (~25 s), como se muestra en esta imagen.

Verifique el archivo /var/log/process_stdout.log. Se ven los problemas de certificado:

2021-06-25 09:22:51 sla[24043]: *Fri Jun 25 09:22:39.716 UTC: CH-LIB-TRACE: ch_pf_curl_request_init[59], request "POST", url "https://tools.cisco.com/its/service/oddce/services/DDCEService"
2021-06-25 09:22:51 sla[24043]: *Fri Jun 25 09:22:39.716 UTC: CH-LIB-TRACE: ch_pf_curl_post_prepare[299], https related setting
2021-06-25 09:22:51 sla[24043]: *Fri Jun 25 09:22:39.716 UTC: CH-LIB-TRACE: ch_pf_curl_post_prepare[302], set ca info
2021-06-25 09:22:51 sla[24043]: *Fri Jun 25 09:22:39.716 UTC: CH-LIB-TRACE: ch_pf_curl_head_init[110], init msg header
2021-06-25 09:22:51 sla[24043]: *Fri Jun 25 09:22:40.205 UTC: CH-LIB-ERROR: ch_pf_curl_send_msg[494], 
failed to perform, err code 60, err string "SSL peer certificate or SSH remote key was not OK"
2021-06-25 09:22:51 sla[24043]: *Fri Jun 25 09:22:40.205 UTC: CH-LIB-TRACE: ch_pf_http_unlock[330], unlock http mutex.
2021-06-25 09:22:51 sla[24043]: *Fri Jun 25 09:22:40.205 UTC: CH-LIB-TRACE: ch_pf_send_http[365], send http msg, result 30
2021-06-25 09:22:51 sla[24043]: *Fri Jun 25 09:22:40.205 UTC: CH-LIB-TRACE: ch_pf_curl_is_cert_issue[514], 
cert issue checking, ret 60, url https://tools.cisco.com/its/service/oddce/services/DDCEService

Compruebe el valor de tiempo del CSP:

root@FMC2000-2:/Volume/home/admin# date
Fri Jun 25 09:27:22 UTC 2021

Caso Práctico 4. Sin suscripción

Si no hay ninguna suscripción de licencia para una función específica, la implementación de FMC no es posible:

Resolución: es necesario comprar y aplicar la suscripción necesaria al dispositivo.

Caso Práctico 5. Incumplimiento (OOC).

Si no existe ningún derecho para las suscripciones a FTD, la licencia inteligente de FMC pasa al estado de incumplimiento (OOC):

En el CSSM, verifique las Alertas en busca de errores:

Caso Práctico 6. Sin cifrado seguro

Si sólo se utiliza la licencia básica, se habilita el cifrado del estándar de cifrado de datos (DES) en el motor LINA de FTD. En ese caso, las implementaciones como la red privada virtual (VPN) L2L con algoritmos más potentes fallan:

Resolución: registre el FMC en el CSSM y tenga activado un atributo de cifrado avanzado.

Notas complementarias

Establecer la notificación del estado de la licencia inteligente

Notificación de correo electrónico por SSM

En el lado SSM, SSM Email Notification permite la recepción de correos electrónicos de resumen para diversos eventos. Por ejemplo, notificación de falta de licencia o de licencias que están a punto de caducar. Se pueden recibir notificaciones de conexión de instancia de producto o de error de actualización.

Esta función es muy útil para advertir y evitar la aparición de restricciones funcionales debido a la expiración de la licencia.

    

Obtener notificaciones de alertas de estado del FMC

En el lado de FMC, es posible configurar una alerta de monitor de estado y recibir una notificación de alerta de un evento de estado. Module Smart License Monitor está disponible para comprobar el estado de Smart License. La alerta de monitor admite Syslog, correo electrónico y capturas SNMP.

Este es un ejemplo de configuración para obtener un mensaje de Syslog cuando ocurre un evento del monitor de Smart License:

Este es un ejemplo de una alerta de estado:

El mensaje Syslog generado por el CSP es:

Mar 13 18:47:10 xx.xx.xx.xx Mar 13 09:47:10 FMC : HMNOTIFY: Smart License Monitor (Sensor FMC): Severity: critical: Smart License usage is out of compliance

Consulte Supervisión de estado para obtener detalles adicionales sobre las alertas de supervisión de estado.

Varios CSP en la misma cuenta inteligente

Cuando se utilizan varios CSP en la misma cuenta inteligente, cada nombre de host de CSP debe ser único. Cuando se gestionen varios CSM, para distinguir cada CSM, el nombre de host de cada CSM debe ser único. Esto es útil para el mantenimiento de FMC Smart License en funcionamiento.

FMC debe mantener la conectividad a Internet

Después del registro, el FMC comprueba el estado de la licencia y la nube de Smart License cada 30 días. Si el CSP no puede comunicarse durante 90 días, la función con licencia se mantiene, pero permanece en el estado Autorización caducada. Incluso en este estado, FMC intenta conectarse continuamente a la nube de licencias inteligentes.

Implementación de varios FMCv

Cuando se utiliza el sistema Firepower en un entorno virtual, no se admite oficialmente la clonación (en caliente o en frío). Cada FirePOWER Management Center virtual (FMCv) es único porque contiene información de autenticación. Para implementar varios FMCv, estos deben crearse a partir del archivo Open Virtualization Format (OVF) de uno en uno. Para obtener más información sobre esta limitación, consulte la Guía de inicio rápido de implementación de Cisco Firepower Management Center Virtual para VMware.

Preguntas más frecuentes (FAQ)

En FTD HA, ¿cuántas licencias de dispositivos se necesitan?

Cuando se utilizan dos FTD en alta disponibilidad, se necesita una licencia para cada dispositivo. Por ejemplo, se necesitan dos licencias de amenazas y malware si se utilizan las funciones Sistema de protección intrusiva (IPS) y Protección frente a malware avanzado (AMP) en el par FTD HA.

Información Relacionada

• Guías de configuración de Firepower Management Center

• Descripción general de Cisco Live Smart Licensing: BRKARC-2034

• Licencias de funciones de Cisco Secure Firewall Management Center

• Preguntas frecuentes (FAQ) sobre licencias de software inteligente de Cisco