Solución de problemas de errores de emparejamiento de alta disponibilidad en FDM

Problema

El emparejamiento de alta disponibilidad (HA) entre dos appliances Cisco Firepower 1120 que ejecutan FTD 7.4.2.4 falla durante la sincronización de la aplicación con el nodo secundario que ingresa constantemente en el estado Error debido a una discordancia del modo de registro de licencia. El mensaje de error específico encontrado es:

CD App Sync error FDM validation failure License registration mode mismatch between Primary and Secondary Node Check appsynchistory CLI for details

El comando show app-sync-history revela fallas repetidas con mensajes como:

App Sync Status: FAILURE
Failed Reason: FDM validation failure - License agent compliance mismatch between Primary and Secondary Node

Este problema se produjo después de restablecer ambos firewalls, restaurar las configuraciones a partir de la copia de seguridad, actualizar el software a la versión 7.4.2.4 de FTD, actualizar las versiones de VDB y Snort y volver a aplicar las licencias con tokens nuevos. El firewall secundario permanece en el estado Error, lo que impide la finalización de HA y afecta a la redundancia del firewall.

Entorno

• Dispositivos NGFW Cisco Firepower 1120 configurados para alta disponibilidad

• Firepower Threat Defence (FTD) versión 7.4.2.4-9

• Motor de inspección de Snort: 3.1.53.2003 - 175

• VDB: 425.0

• Base de datos de geolocalización: 2026-03-07-053

• Dispositivos convertidos de Smart Licensing al modo PLR (reserva de licencia permanente)

• Dispositivo principal que intenta la conectividad en la nube después de la conversión PLR

• Ambos dispositivos se restauraron desde la copia de seguridad

Resolución

La resolución implica identificar y corregir la discordancia del modo de registro de licencias entre los dispositivos primarios y secundarios, realizar la anulación del registro en la nube y completar una implementación completa.

Paso 1: Identificación de la discordancia del modo de registro de licencias

Verifique el modo de registro de licencia en ambos dispositivos mediante la verificación de app-sync-history por razones específicas de falla:

show app-sync-history

El resultado muestra fallas que indican:

FDM validation failure – License registration mode mismatch between Primary and Secondary node

Paso 2: Anulación del registro en la nube

Dado que el dispositivo principal seguía intentando la conectividad a la nube después de la conversión de Smart Licensing al modo PLR, es necesario anular el registro en la nube.

Configure un proxy temporal en la interfaz de usuario de FDM (si no se ha configurado ningún proxy):

Vaya a System Settings > See More > HTTP Proxy tab y configure un proxy ficticio temporalmente [esto se puede eliminar más adelante].

SSH en el dispositivo FTD y ejecute el script del conector:

ssh admin@<device-ip>
expert
sudo su
/ngfw/var/sf/bin/connector.sh

Paso 3: Resolver conflicto del puerto 8989

Si el script del conector falla con este error:

Error: listen tcp :8989: bind: address already in use

Identifique y finalice el proceso mediante el puerto 8989 (normalmente Cisco Success Network):

netstat -tulpn | grep 8989
kill <pid>

Paso 4: Anulación completa del registro en la nube

Vuelva a ejecutar la secuencia de comandos del conector después de resolver el conflicto del puerto:

/ngfw/var/sf/bin/connector.sh

La ejecución exitosa debe mostrar un resultado similar a:

Starting connector
INFO[0000] [firepower][functions.go:162 common:LogEnv] Environment variable: https_proxy=http://1xx.xx.xx.xx:80
INFO[0000] [firepower][functions.go:162 common:LogEnv] Environment variable: http_proxy=http://1xx.xx.xx.xx:80

Vaya a FDM GUI, System Settings > Cloud Services > Cloud Services y haga clic en la opción de anular registro. Compruebe que el dispositivo no está registrado en los servicios en la nube.

Paso 5: Realización de una implementación completa y reanudación de HA

Después de la anulación del registro en la nube, si el emparejamiento de HA sigue fallando con el mismo error de discordancia de licencia, realice una implementación completa en la unidad activa a través de la interfaz de FDM.

Vaya a Deploy > Deploy Now y complete el proceso de implementación.

Una vez completada la implementación, vuelva a intentar la formación de HA. Los dispositivos deben formar correctamente un par HA activo-en espera con interfaces conectadas y en estado preparado.

Paso 6: Verificar el estado de HA

Confirmar la formación de HA correcta:

show failover

El resultado debe mostrar ambas unidades en estados HA adecuados con sincronización exitosa.

Causa

La causa raíz fue una discordancia del modo de registro de licencia entre los dispositivos Firepower 1120 primarios y secundarios. Los dispositivos se habían convertido de Smart Licensing al modo PLR (reserva de licencia permanente); sin embargo, el dispositivo principal siguió intentando la conectividad en la nube, lo que provocó una discordancia en el estado de cumplimiento de exportación/agente de licencias durante la validación de HA. Esto dio lugar a repetidos errores de validación de FDM/FIM durante la sincronización de la aplicación. Además, la anulación del registro en la nube se bloqueó inicialmente debido a un conflicto del puerto 8989 relacionado con Cisco Success Network, que requería una resolución antes de que la anulación del registro pudiera continuar.

Contenido relacionado

• Aplicación de licencias permanentes en redes Air-Gap

• Recreación de imágenes de un firewall seguro Threat Defence

• Soporte técnico y descargas de Cisco

Historial de revisiones

Revisión	Fecha de publicación	Comentarios
1.0	16-Oct-2026	Versión inicial