Contenido

Introducción

Antecedentes

Cómo identificar el tipo de licencia que causa el estado de Incumplimiento.

Uso de la interfaz gráfica de usuario (GUI) de FMC.

Uso del portal de cuentas inteligentes

Uso de la interfaz de línea de comandos (CLI) de FMC

Troubleshoot

Introducción

Este documento describe los motivos más comunes de Cisco Smart Licensing por incumplimiento de los modelos Cisco FMC y FTD.

Antecedentes

Cisco Smart Licensing ofrece una gestión centralizada de las licencias de muchos productos. Cisco Secure Firewall simplifica la gestión de licencias en implementaciones de sensores potencialmente grandes y puede utilizarse para modelos de nube pública, virtual y de appliances. Este documento proporciona una guía de solución de problemas de incumplimiento con la licencia inteligente para los modelos de dispositivos y software Cisco Firewall Threat Defence (FTD) y Cisco Firewall Management Center (FMC).

Cuando FMC informa de que la licencia inteligente no cumple los requisitos, indica que FMC no puede encontrar la licencia adecuada en la cuenta inteligente. Cuando esto sucede, se muestra una alerta de estado. Podría deberse a varias razones expuestas en este documento.

Cómo identificar el tipo de licencia que causa el estado de Incumplimiento.

Uso de la interfaz gráfica de usuario (GUI) de FMC.

Navegue hasta Health Alert desde el icono de notificación de FMC y haga clic en Health.

Uso del portal de cuentas inteligentes

Vaya a Estado de licencia inteligente en Sistema > Licencias > Licencias inteligentes. La información de la cuenta virtual para la que está registrado el FMC se puede encontrar aquí.

En la sección Smart Licenses (Licencias inteligentes), se indican las licencias específicas que no cumplen los requisitos aquí. En este ejemplo, se muestra el estado "Incumplimiento" de una licencia de la función "Defensa frente a malware" de Cisco Secure Firewall 1120. Anote todas las funciones/productos que aparecen como "Incumplimiento" en rojo. La marca de verificación verde "En cumplimiento" indica que el tipo de licencia específico está disponible y FMC puede adquirirlo desde la cuenta inteligente.

Para verificar la disponibilidad de estas licencias, puede iniciar sesión en el portal de Smart Account y navegar hasta Smart Account > Inventario >> [Nombre de cuenta virtual]. Filtre el nombre de la licencia si es necesario.

Tenga en cuenta estos posibles estados:

Disponible para utilizar = Recuento de compras

En uso = Recuento de dispositivos con esta función activada

Saldo = Compensación entre compra y uso.

Cuando el balance es negativo, el FMC muestra el estado de Incumplimiento para esa función/producto.

Además, se puede encontrar una alerta en Smart Account > Alertas. Filtre la cuenta virtual en el "Origen" si es necesario.

Uso de la interfaz de línea de comandos (CLI) de FMC

Paso 1. Inicie sesión en FMC CLI.

Paso 2. Acceda al shell de Linux con este comando

expert

Paso 3. Ejecutar este comando.

less /var/log/sam.log

Desplácese hasta la última entrada del archivo para comprobar el último estado.

Si una Licencia se adquiere adecuadamente, la licencia aparece como AUTORIZADA.

Si una licencia no está disponible, el tipo de licencia específico aparece como FUERA DE CONFORMIDAD.

Troubleshoot

Estos son algunos de los escenarios más comunes y cómo resolver problemas de cada uno.

Situación 1: no hay suficientes licencias para una función específica de las plataformas físicas de FTD.

Hay diferentes tipos de licencia. Se pueden clasificar como específicos de hardware y funciones. Las licencias se pueden identificar en función del modelo que se muestra en el nombre de la licencia seguido de la función para la que se proporciona la licencia.

-Base (anterior a 7.x) o Essentials (posterior a 7.x)

-Defensa frente a malware

-IPS

-URL

-Portadora

-Secure Client Premier

-Ventaja de cliente seguro

-Sólo VPN de cliente seguro

Si sospecha que las licencias se adquirieron y no están disponibles en su cuenta Smart Account, verifique la información del pedido y compruebe la cuenta de Smart License que se proporcionó cuando se realizó el pedido.

Si se proporciona una cuenta inteligente asignada cuando se realiza el pedido de compra, las licencias se transfieren a la "cuenta inteligente asignada".

Si no se proporciona la cuenta inteligente asignada y el pedido se realiza a través de un partner, las licencias se transfieren a la cuenta de haberes del partner. Si este es el caso, póngase en contacto con su empresa partner de Cisco para comunicarle el pedido de compra, que podrá ayudarle a transferir estas licencias a su cuenta Smart Account.

Situación 2: las licencias están disponibles en una cuenta virtual diferente

De forma predeterminada, solo hay una cuenta virtual denominada DEFAULT en cada cuenta inteligente. Smart Account Administrator puede crear varias cuentas virtuales para facilitar la administración y otros fines.

Si las licencias necesarias forman parte de una cuenta virtual diferente, se pueden transferir a la cuenta virtual adecuada siguiendo estos pasos.

Paso 1. Vaya a Smart Account > Inventario.

Paso 2. Filtre la cuenta virtual correcta. Filtre la licencia si es necesario.

Paso 3. Una vez identificada la licencia correcta, haga clic en el menú desplegable Actions y seleccione Transfer.

Paso 4. Seleccione la cuenta virtual de destino que necesita las licencias y proporcione un número de licencias para transferir.

Paso 5. Haga clic en Show Preview para validar y luego haga clic en Transfer.

Una vez que todas las licencias estén disponibles en la cuenta virtual en la que está registrado el FMC, haga clic en el botón Re-Authorize en el FMC para borrar el estado Out of Compliance.

Situación 3: falta la licencia del dispositivo Firepower MCv

En el caso de los modelos de gestión virtual, suelen mezclarse dos plataformas diferentes.

La licencia de dispositivo FMCv aparece como licencia de dispositivo Firepower MCv y la licencia de dispositivo FMCv300 es la licencia de dispositivo Firepower MCv300.

Para administrar firewalls, FMC también necesita una licencia de dispositivo.

Al hacer clic en el tipo de licencia, ayuda a identificar los CSP que están consumiendo dichas licencias. En este ejemplo, FMCv-a consume cinco licencias, lo que coincide con la página FMC Smart License.

Situación 4: FTD es una plataforma virtual que ejecuta la versión anterior a la 7.0

Las licencias básicas se solicitan automáticamente y no se distribuyen por niveles. Consulte las tablas 60 y 61 de la Guía de pedidos de Cisco Network Security para obtener información sobre las unidades de almacenamiento en stock (SKU) anteriores a 7.x FTDv.

Estos son los nombres de licencias anteriores a la versión 7.x de FTDv de Smart Account.

Protección frente a malware virtual de Threat Defence

Filtrado de URL virtual de Threat Defence

Licencia de dispositivo de Firepower MCv

Funciones de base de Firepower Threat Defence

Defensa frente a amenazas Protección frente a amenazas virtuales

Licencia de Cisco AnyConnect Plus

Licencia de Cisco AnyConnect Apex

Licencia exclusiva de Cisco AnyConnect VPN

En este ejemplo, las licencias de malware y amenazas no cumplen los requisitos debido a que la cuenta virtual no tiene suficientes licencias.

Para que la licencia sea compatible, el usuario debe asegurarse de que la cuenta virtual de Smart Licensing tiene suficientes licencias disponibles. Consulte la Guía de pedidos de Cisco Network Security para las SKU FTDv anteriores a 7.x.

Situación 5: FTD es una plataforma virtual que ejecuta la versión 7.0 o posterior

Las licencias básicas se basan en suscripciones y se asignan a niveles. Las cuentas virtuales deben tener derechos de licencia básicos para FTDvs y filtrado de amenazas, malware y URL.

Cuando un FTDv se actualiza a la versión 7.0 o posterior, el dispositivo se mueve automáticamente a un nivel FTDv - Variable y consume derechos no por niveles. En este ejemplo, un FTD se actualiza de 6.6.7 a 7.2.5, y el estado de Smart License muestra Authorized and In-Compliance.

Continúa consumiendo derechos no escalonados.

Si un usuario selecciona un nivel de rendimiento (o, de forma predeterminada, un nivel de rendimiento asignado automáticamente) para el que no tiene derechos, se muestra el estado Fuera de conformidad.

En este ejemplo, el usuario selecciona el nivel de rendimiento FTDv50 sin licencias básicas de malware y amenazas en la cuenta virtual registrada.

La cuenta virtual debe mostrar más licencias/derechos para el nivel de rendimiento solicitado.

Para cumplir con este requisito, el usuario debe seleccionar los derechos de nivel de rendimiento en su cuenta de Virtual Smart Licensing. Si se elige un nivel de rendimiento incorrecto, el usuario puede ir a la página de FMC o FDM y ajustar el nivel de rendimiento a lo que tiene en su cuenta virtual.

Si la cuenta de Virtual Smart Licensing no tiene las licencias/derechos solicitados para el nivel de rendimiento seleccionado, consulte el escenario 1 como siguiente paso.

Para editar el nivel de rendimiento, navegue hasta el icono de engranaje de FMC > Licencias inteligentes > Editar nivel de rendimiento y elija el nivel de rendimiento correcto.

Esta tabla sirve de referencia rápida del nivel de rendimiento y sus especificaciones, licencias y límites asociados.

Tabla -1

Nivel de rendimiento

Especificaciones del dispositivo (núcleo/RAM)

Límite de velocidad

Límite de sesiones de VPN de RA

Nombres de licencias

PID de licencias

Licencia VPN de RA y PID

FTDv5, 100 Mbps

4 núcleos/8 GB

100 Mbps

50

FTDv Base 100 Mbps

FTD-V-5S-BSE-K9

Licencia de Cisco AnyConnect Apex

Licencia de Cisco AnyConnect Plus

Licencia exclusiva de Cisco AnyConnect VPN

Para la PID de licencia de VPN de RA, consulte la Guía de pedidos de Cisco Secure Client.

Malware FTDv de 100 Mbps

FTD-V-5S-TMC

Filtrado de URL FTDv 100 Mbps

Protección frente a amenazas FTDv 100 Mbps

Licencia de operador de Firepower FTDv

FTDV-CAR

FTDv10, 1 Gbps

4 núcleos/8 GB

1 Gbps

250

FTDv Base de 1 Gbps

FTD-V-10S-BSE-K9

Malware FTDv de 1 Gbps

FTD-V-10S-TMC

Filtrado de URL FTDv de 1 Gbps

Protección frente a amenazas FTDv de 1 Gbps

Licencia de operador de Firepower FTDv

FTDV-CAR

FTDv20 de 3 Gbps

4 núcleos/8 GB

3 Gbps

250

FTDv Base de 3 Gbps

FTD-V-20S-BSE-K9

Malware FTDv de 3 Gbps

FTD-V-20S-TMC

Filtrado de URL FTDv de 3 Gbps

Protección frente a amenazas FTDv de 3 Gbps

Licencia de operador de Firepower FTDv

FTDV-CAR

FTDv30 de 5 Gbps

8 núcleos/16 GB

5 Gbps

250

FTDv Base de 5 Gbps

FTD-V-30S-BSE-K9

Malware FTDv de 5 Gbps

FTD-V-30S-TMC

Filtrado de URL de FTDv 5 Gbps

Protección frente a amenazas FTDv 5 Gbps

Licencia de operador de Firepower FTDv

FTDV-CAR

FTDv50, 10 Gbps

12 núcleos/24 GB

10 Gbps

750

FTDv Base de 10 Gbps

FTD-V-50S-BSE-K9

Malware FTDv de 10 Gbps

FTD-V-50S-TMC

Filtrado de URL FTDv de 10 Gbps

Protección frente a amenazas FTDv de 10 Gbps

Licencia de operador de Firepower FTDv

FTDv100 de 16 Gbps

16 núcleos/32 GB

16 Gbps

10,000

FTDv Base de 16 Gbps

FTD-V-100S-BSE-K9

Malware FTDv de 16 Gbps

FTD-V-100S-TMC

Filtrado de URL FTDv de 16 Gbps

Protección frente a amenazas FTDv de 16 Gbps

Licencia de operador de Firepower FTDv

FTDV-CAR

Variable de FTDv

Basado en las capacidades del dispositivo

Basado en las capacidades del dispositivo

Funciones de base de Firepower Threat Defence

Protección frente a malware virtual de Threat Defence

Filtrado de URL virtual de Threat Defence

Defensa frente a amenazas Protección frente a amenazas virtuales

Licencia de operador de Firepower FTDv

FTDV-CAR

Para obtener más información sobre las SKU de licencias de nivel de rendimiento de FTDv, consulte la tabla 59. SKU de suscripción básica de rendimiento virtual de Cisco Secure Firewall Threat Defence y suscripción de filtrado de amenazas, malware y URL

Situación 6: la licencia no se encuentra en la cuenta inteligente o la cuenta virtual adecuadas

La instancia del producto se puede transferir a la cuenta virtual correcta.

Paso 1. Vaya a software.cisco.com utilizando su navegador

Paso 2. Vaya a Administrar licencias

Paso 3. Seleccione la cuenta inteligente adecuada en el menú desplegable superior derecho y navegue hasta Inventario > [Nombre de cuenta virtual] > Instancias de producto > Acciones y haga clic en Transferir > Transferir instancia de producto.

Paso 4. Cuando se abra el cuadro de diálogo, seleccione la cuenta virtual correcta para mover la instancia del producto FMC o FTD.

Situación 7: el FMC no se encuentra en la cuenta inteligente o la cuenta virtual adecuadas

Si el FMC o FTD no está registrado con la cuenta inteligente correcta, cancele el registro del FMC en Smart Software Manager haciendo clic en el icono Anular registro de la página de FMC Smart Licensing.

A continuación, genere el token de la cuenta inteligente y la cuenta virtual correctas y registre el FMC con Smart Software Manager.

Situación 8: eliminación de una instancia de producto de la cuenta inteligente para la administración integrada

Esto no se aplica a los dispositivos gestionados por FMC, ya que este solo adquiere las licencias para los dispositivos que gestiona.

Puede haber situaciones en las que las licencias se consuman en exceso cuando se vuelve a crear una imagen de un dispositivo sin anular el registro de la licencia de la cuenta Smart.

Paso 1. Navegue hasta Instancias de productos de Smart account para identificar la instancia mediante el nombre de host

Paso 2. Haga clic en Acciones > Quitar.

Paso 3. Haga clic en el botón Remove Product Instance (Eliminar instancia del producto).

Si ninguna de las situaciones enumeradas le resulta útil, puede ponerse en contacto con el Centro de soporte técnico de Cisco.