Lorsque vous achetez une ou plusieurs licences pour le périphérique FTD, vous les gérez dans le Cisco Smart Software Manager : https://software.cisco.com/#SmartLicensing-Inventory. Le Cisco Smart Software Manager vous permet de créer un compte principal pour votre organisation.

Par défaut, vos licences sont affectées au compte virtuel par défaut sous votre compte principal. En tant qu'administrateur du compte, vous pouvez créer d'autres comptes virtuels. par exemple, pour les régions, les services ou les filiales. Plusieurs comptes virtuels vous aident à gérer un grand nombre de licences et de périphériques.

Les licences et les périphériques sont gérés par compte virtuel; seuls les périphériques de ce compte virtuel peuvent utiliser les licences attribuées au compte. Si vous avez besoin de licences supplémentaires, vous pouvez transférer une licence inutilisée d’un autre compte virtuel. Vous pouvez également transférer des périphériques entre des comptes virtuels.

Lorsque vous enregistrez un périphérique dans Cisco Smart Software Manager, vous créez un Product Instance Registration Token (jeton d’enregistrement d’instance de produit) dans le gestionnaire, puis vous le saisissez dans FDM. Un périphérique enregistré est associé à un compte virtuel en fonction du jeton utilisé.

Pour en savoir plus sur le Cisco Smart Software Manager, consultez l’aide en ligne du gestionnaire.

Lorsque vous utilisez un jeton d'enregistrement d'instance de produit pour enregistrer un FTD, le périphérique s'enregistre auprès de l'autorité de licence de Cisco. L’autorité de licence délivre un certificat d'identification pour la communication entre le périphérique et l’autorité de licence. Ce certificat est valide pour un an, mais il sera renouvelé tous les six mois. Si un certificat d’identification expire (généralement au bout de neuf mois ou d'un an sans communication), le périphérique passe à l’état Non inscrit et l’utilisation des fonctionnalités sous licence est suspendue.

Le périphérique communique avec l’autorité de licence sur une base périodique. Si vous apportez des modifications dans Cisco Smart Software Manager, vous pouvez actualiser l’autorisation sur le périphérique pour que les modifications prennent effet immédiatement. Vous pouvez également attendre que le périphérique communique comme planifié. La communication normale de licence a lieu toutes les 12 heures, mais avec le délai de grâce, votre périphérique fonctionnera jusqu’à 90 jours sans appel à Cisco. Vous devez communiquer avec l’autorité de licence avant que les 90 jours ne soient écoulés.

Le tableau suivant présente les licences disponibles pour le périphérique FTD.

L’achat d’un périphérique FTD comprend automatiquement une licence De base. Toutes les licences supplémentaires sont facultatives.

Vous devez préciser s’il faut Allow export-controlled functionality (Autoriser les fonctionnalités soumises au contrôle des exportations). Vous ne pouvez sélectionner cette option que si votre pays respecte les normes de contrôle des exportations. Cette option régit votre utilisation du chiffrement avancé et les fonctionnalités qui nécessitent un chiffrement avancé.

Le mode d’évaluation est traité de la même manière que l’enregistrement à l’aide d’un compte non conforme à la norme d’exportation. Cela signifie que vous ne pouvez pas configurer le VPN d’accès à distance ou utiliser des algorithmes de chiffrement avancés lors de l’exécution en mode d’évaluation.

Plus particulièrement, la norme DES est disponible uniquement en mode d’évaluation ou non conforme à l’exportation.

Ainsi, si vous configurez des fonctionnalités chiffrées, telles que le VPN de site à site, ou si vous chiffrez la connexion de basculement dans un groupe à haute disponibilité, vous risquez de rencontrer des problèmes de connexion après vous être enregistré dans un compte conforme à l’exportation. Si la fonctionnalité utilisait DES en mode d’évaluation, cette configuration sera interrompue après l’enregistrement du compte.

Tenez compte des recommandations suivantes pour éviter les problèmes liés au chiffrement :

• Évitez de configurer des fonctionnalités chiffrées, telles que le VPN de site à site et les connexions de basculement chiffrées, avant d’avoir enregistré le périphérique.

• Après avoir enregistré le périphérique à l’aide d’un compte conforme à l’exportation, modifiez toutes les fonctionnalités de chiffrement que vous avez configurées en mode d’évaluation et sélectionnez des algorithmes de chiffrement plus sécurisés. Testez et vérifiez chacune de ces fonctionnalités pour vous assurer qu’elles fonctionnent correctement.

Remarque

Si vous avez configuré le chiffrement de basculement à haute disponibilité en mode d’évaluation, vous devrez également redémarrer les deux périphériques du groupe à haute disponibilité pour commencer à utiliser un chiffrement plus fort. Nous vous recommandons de supprimer d’abord le chiffrement pour éviter une situation de split-brain, dans laquelle les deux périphériques se considèrent comme l’unité active.

Si l’une des licences facultatives suivantes expire, vous pouvez continuer à utiliser les fonctionnalités qui nécessitent la licence. Cependant, la licence est marquée comme non conforme et vous devez l’acheter et l’ajouter à votre compte pour la rendre conforme.

Si vous désactivez une licence facultative, le système réagit comme suit :

• Programme malveillant—Le système cesse d’interroger le Cisco Secure Malware Analytics Cloud et cesse également d’accuser réception des événements rétrospectifs envoyés par le Cisco Secure Malware Analytics Cloud. Vous ne pouvez pas redéployer des stratégies de contrôle d’accès existantes si elles comprennent des politiques de fichiers.. Notez que, pendant un très court laps de temps après la désactivation d’une licence, le système peut utiliser les dispositions de fichiers en cache existantes. Programme malveillant À l'expiration de ce délai, le système attribue à ces fichiers la mention unavailable (Indisponible).

• Menace —Le système n’applique plus les politiques de prévention des intrusions ou de fichiers. Pour les politiques de renseignements de sécurité, le système n’applique plus la politique et arrête de télécharger les mises à jour de flux. Vous ne pouvez pas redéployer les politiques existantes qui nécessitent la licence.

• URL—Les règles de contrôle d’accès avec des conditions de catégorie d’URL arrêtent immédiatement de filtrer les URL ou les demandes de recherche DNS, et le système ne télécharge plus les mises à jour des données d’URL. Vous ne pouvez pas redéployer des politiques de contrôle d’accès existantes si elles comprennent des règles avec des conditions d’URL basées sur la catégorie et la réputation.

• RA VPN—Vous ne pouvez pas modifier la configuration du VPN d’accès à distance, mais vous pouvez la supprimer. Les utilisateurs peuvent toujours se connecter en utilisant la configuration VPN d’accès à distance. Toutefois, si vous modifiez l’enregistrement du périphérique de sorte que le système n’est plus conforme à la norme d’exportation, la configuration VPN d’accès à distance s’arrête immédiatement et aucun utilisateur distant ne peut se connecter par l’intermédiaire du VPN.

Il existe deux types distincts de réservation de licence :

• Réservation de licence permanente universelle (Universal PLR ou UPLR) : la licence permanente universelle permet une utilisation perpétuelle et illimitée des produits de pare-feu pris en charge, y compris toutes les licences facultatives. Une fois que vous avez acheté et appliqué une licence permanente universelle, toutes les licences de fonctionnalités appliquées, qui sont normalement basées sur le temps, sont applicables de manière permanente. Cependant, vous êtes toujours responsable de l’achat des licences de remplacement à mesure qu’elles expirent dans votre compte de licences Smart. ISA 3000 ne prend pas en charge le mode Universal PLR.

• La réservation de licences spécifiques nécessite le même nombre et les mêmes types de licences que l’octroi de licences Smart standard. Lorsque vous obtenez cette licence, vous sélectionnez les licences de fonctionnalités facultatives que vous souhaitez en plus de la licence de base. Vous devez mettre périodiquement vos licences à jour à mesure qu’elles expirent.

FDM prend en charge uniquement Universal PLR (PLR universel).

Vous devez travailler avec votre représentant Cisco pour activer le mode de réservation de licences permanentes universelles (PLR) dans votre compte Cisco Smart Software Manager (CSSM).

Pour vérifier que vous pouvez obtenir et appliquer une licence permanente, connectez-vous à votre compte CSSM et accédez à la page Smart Software Licensing (Licences logicielles Smart) > Inventory (Inventaire), puis cliquez sur l’onglet Licences. Si le bouton License Reservation (Réservation de licence) est affiché, vous êtes autorisé à obtenir des réservations de licence permanentes.

Cependant, ce bouton démarre un assistant qui fonctionne à la fois pour les licences universelles et spécifiques.

Vous devez également consulter votre liste de licences disponibles pour vérifier qu’il existe une licence universelle pour le périphérique. Cette licence s’affichera en tant qu’élément pouvant être sélectionné à l’étape 2 de l’assistant lancé par le bouton License Reservation (Réservation de licence).

Si le bouton License Reservation (Réservation de licence) est affiché et que vous pouvez obtenir une licence universelle, vous pouvez procéder à la conversion du système pour utiliser une licence permanente. Si le bouton ne s’affiche pas, ou si vous ne pouvez réserver que des licences spécifiques, communiquez avec votre représentant Cisco et demandez l’activation du mode Universal PLR (PLR universel) pour votre compte.