Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Licenze NSO

Smart Account e account virtuale

Configurazione

Passaggio 1. Generare un token

Passaggio 2. Preparazione registrazione token

Opzione 1. Accesso diretto al cloud

Opzione 2. Accesso diretto al cloud tramite un proxy HTTPS

NSO 4.5 o versioni successive

NSO 4.4

Opzione 3. Accesso mediato tramite un agente di raccolta dati locale connesso

Opzione 4: Accesso mediato tramite un agente di raccolta locale disconnesso

Passaggio 3. Registrazione token

Verifica

Prima della registrazione

Utilizzo (stato autorizzato)

Risoluzione dei problemi

Rinnova certificato SSL locale CSM

Introduzione

Questo documento descrive le varie licenze Network Services Orchestrator (NSO) e il modo in cui possono essere attivate con Cisco Smart License®.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

- Come utilizzare la CLI NSO

- Risoluzione dei problemi NSO

- Conoscenze base di Linux

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

- NSO 6.x

- NSO 5.x

- NSO 4.5 e versioni successive

- NSO 4.4

- NSO 4.1/4.2/4.3

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Licenze NSO

Nota: L'utente deve disporre di una licenza NSO valida.

Le licenze utilizzate dall'NSO sono le seguenti:

PID

Visualizza su SSM

tipo

Descrizione

R-NSO-K 9

Livello superiore

Obbligatorio per ogni istanza di NSO

NSO-P-PAK

Produzione-piattaforma-NSO

server

Obbligatorio per nodo attivo

NSO-HA-LIC-P

NSO-platform-production-standby

server

Richiesto per il nodo Standby

NSO-DEV-P-PAK

NSO-platform-development-test

server

Necessario per l'ambiente di sviluppo

NSO-PNF-()

NSO-network-element

Elemento di rete

In direzione sud Se il dispositivo connesso è un dispositivo fisico

NSO-VNF-()

NSO-network-element

Elemento di rete

Southbound Il dispositivo connesso è un dispositivo virtuale

END-()

Diverso per ogni END

Esempio:

Cisco-ios-END

Cisco-iosxr-END

FINE

Per NED. È necessario per ogni tipo di dispositivi diversi.

Esempio:

END-IOS-P: Per IOS NED

END-IOSX-P: Per IOS-XR END

Nota: Questo può essere incluso in un Pacchetto Packet Identifier (PID) (pacchetto che include ESC, e altro), quindi è possibile che questi PID non vengano visualizzati nell'ordine.

Smart Account e account virtuale

Ogni prodotto, incluso NSO, richiede al server Cisco di acquisire una licenza per l'attivazione. Essenzialmente, verifica se il cliente ha acquistato un numero sufficiente di licenze per il prodotto e se queste sono disponibili per l'uso.

Uno smart account è assegnato a un'organizzazione. Prendete la società A, ad esempio:

- L'Azienda A può avere il Dipartimento X, Y e Z e vogliono gestire le loro licenze separatamente.

- È possibile assegnare un account virtuale a ogni reparto.

È possibile generare token per ogni account virtuale. Il token viene utilizzato per accedere all'account virtuale dal prodotto.

Da Smart Software Manager, lo stato della licenza negli account virtuali è visualizzato nel modo seguente:

Configurazione

Esistono diversi metodi per la connessione dell'NSO al server Smart Licensing e dipende dall'ambiente in cui è installato l'NSO. Nel documento vengono inoltre descritte le diverse integrazioni tra l'NSO e i server di gestione licenze Cisco.

Passaggio 1. Generare un token

1. Per creare un nuovo token, accedere a Cisco Smart Software Manager (CSSM) con l'ID utente o l'ID CCO e selezionare l'account virtuale appropriato. Fare clic su Gestisci licenze per continuare. Trovare il collegamento in Cisco Software Central.

2. Fai clic sulla scheda Inventario e seleziona un account virtuale con cui vuoi lavorare.

3. In CSM, fare clic su Nuovo token.

Immettere le informazioni richieste. La data di scadenza indica per quanto tempo il token è valido, quindi gli utenti devono usare il token creato entro i giorni. I rischi legati alla comodità e alla sicurezza devono essere bilanciati tra breve e lungo. Inoltre, NON riguarda il periodo di validità delle licenze.

5. Il token appena creato è nella tabella.

6. Fare clic sul collegamento del token per visualizzare una finestra popup. Copiare il token dalla finestra di dialogo negli Appunti.

Passaggio 2. Preparazione registrazione token

Ecco i metodi di registrazione (diretta/proxy/satellite).

Se la NSO o uno dei prodotti Cisco hanno bisogno di licenze intelligenti, parlare con Cisco Smart Software Manager (o Cisco Cloud) per registrarsi.

Per configurare l'ambiente supportato da Smart License, sono disponibili quattro opzioni principali:

Opzione 1. Accesso diretto al cloud

Con questo metodo, il server NSO deve essere in grado di comunicare con Cisco Cloud direttamente con https. L'utilizzo di HTTP è supportato, tuttavia non è consigliato per motivi di sicurezza.

Con questo metodo, il processo di registrazione può essere avviato senza una configurazione speciale.

Opzione 2. Accesso diretto al cloud tramite un proxy HTTPS

Se è necessario utilizzare il server proxy HTTP(S) per connettersi al Web su Internet, lo smart agent in NSO deve essere configurato con le informazioni sul server proxy.

Quando si usa l'opzione 2, lo smart-agent deve essere istruito di inviare la sua richiesta di registrazione al server proxy invece di inviarla direttamente a Cisco.

La configurazione dipende dalla versione.

NSO 4.5 o versioni successive

Da NSO 4.5, è ora possibile configurare la configurazione smart-license tramite ncs.conf. Se la configurazione della licenza intelligente è presente sia nel file ncs.conf che nel file CDB NSO, la configurazione nel file ncs.conf ha la precedenza.

Ciò significa che i comandi quali smart-license smart-agent override-url url https://10.1.2.3/ non hanno effetto se in ncs.conf è presente una configurazione diversa. Quando si esegue l'installazione di un sistema NSO, ncs.conf include per impostazione predefinita quanto segue:

<smart-license>

<smart-agent>

<java-executable>DEFAULT</java-executable>

<java-options>DEFAULT</java-options>

<production-url>DEFAULT</production-url>

<alpha-url>DEFAULT</alpha-url>

<override-url>

<url>DEFAULT</url>

</override-url>

<proxy>

<url>DEFAULT</url>

</proxy>

</smart-agent>

</smart-license>

DEFAULT indica che vengono utilizzati i valori predefiniti definiti in $install_dir/src/ncs/yang/tailf-ncs-smart-license.yang.

Per configurare i fogli di lavoro elencati in ncs.conf in CDB NSO, accertarsi di rimuovere la voce corrispondente da ncs.conf ed eseguire il ricaricamento /etc/init.d/ncs.

NSO 4.4

Configurare l'URL proxy nel percorso.

url proxy smart-license smart-agent <url proxy>

admin@ncs(config)# smart-license smart-agent proxy url https://10.10.10.10:8080

admin@ncs(config)#

Nella configurazione predefinita, NSO si connette a https://tools.cisco.com/its/service/oddce/services/ServizioDCES, quindi è necessario utilizzare il proxy HTTPS.

Questa configurazione proxy viene impostata automaticamente sia per HTTPS che per HTTP, quindi se si modifica l'URL di destinazione in HTTP per l'utilizzo di Satellite, come illustrato nell'opzione 3. o 4., una configurazione è comunque in grado di gestire entrambi i casi.

Opzione 3. Accesso mediato tramite un agente di raccolta dati locale connesso

In molti casi, la rete NSO non è connessa direttamente a Internet. A parte l'opzione 2., è possibile introdurre il satellite Smart Software Manager; in modo che NSO non debba scambiare messaggi direttamente con Cisco Cloud.

I dettagli di Smart Software Manager Satellite sono disponibili qui.

Per informazioni su come eseguire l'installazione, consultare la guida all'installazione nel collegamento.

Quando si utilizza questo metodo, NSOl comunica con il satellite anziché con il Cisco Cloud.

Per modificare la destinazione, è possibile modificare l'URL di sostituzione:

admin@ncs(config)# smart-license smart-agent override-url url https://10.1.2.3/

admin@ncs(config)#

L'URL è disponibile sul sito Web amministrativo di Smart Software Manager Satellite.

Opzione 4: Accesso mediato tramite un agente di raccolta locale disconnesso

Questo metodo è esattamente lo stesso con il metodo (3) dal punto di vista dell'NSO. La differenza consiste solo nella modalità di sincronizzazione con Cisco Cloud da Smart Software Manager Satellite.

Passaggio 3. Registrazione token

Dopo aver utilizzato il token, attivare NSO con il token generato su Cisco Server. Il token viene utilizzato nella CLI di NSO per la registrazione nel modulo CSM. Quando si immette il comando, il processo di registrazione viene avviato in modo asincrono.

admin@ncs# smart-license register idtoken YWVlMmQ3ZjEtYT....

result Registration process in progress. Use the 'show license status' command to check the progress and result.

admin@ncs#

Verifica

Fare riferimento a questa sezione per verificare che la configurazione funzioni correttamente.

Prima della registrazione

Smart Licensing è sempre abilitato. L'output indica che NSO non è registrato e in EVAL MODE che scade tra 89 giorni e 23 ore.

admin@ncs# show license status

Smart Licensing is ENABLED

Registration:

Status: UNREGISTERED

Export-Controlled Functionality: Allowed

License Authorization:

Status: EVAL MODE

Evaluation Period Remaining: 89 days, 23 hr, 17 min, 36 sec

Last Communication Attempt: NONE

Next Communication Attempt: NONE

Development mode: enabled

admin@ncs#

Per controllare lo stato della registrazione, usare il comando show license status. Se la registrazione è ancora in corso, il comando visualizza questo output e dice: REGISTRAZIONE IN SOSPESO.

<Registrazione ancora in corso...>

admin@ncs# show license status

Smart Licensing is ENABLED

Registration:

Status: UNREGISTERED - REGISTRATION PENDING

Initial Registration: First Attempt Pending

Export-Controlled Functionality: Allowed

License Authorization:

Status: EVAL MODE

Evaluation Period Remaining: 89 days, 23 hr, 16 min, 36 sec

Last Communication Attempt: SUCCEEDED on Aug 3 09:41:56 2016 UTC

Next Communication Attempt: NONE

Development mode: enabled

admin@ncs#

Dopo un po', la registrazione viene completata. Quando viene visualizzato lo stato REGISTERED (REGISTRATO), il sistema è registrato in CSSM.

<Registrato!!>

admin@ncs# show license status

Smart Licensing is ENABLED

Registration:

Status: REGISTERED

Smart Account: BU Production Test

Virtual Account: TAC-Japan-Cloudorch

Export-Controlled Functionality: Allowed

Initial Registration: SUCCEEDED on Aug 4 05:29:52 2016 UTC

Last Renewal Attempt: SUCCEEDED on Aug 4 05:30:03 2016 UTC

Next Renewal Attempt: Jan 31 05:30:03 2017 UTC

Registration Expires: Aug 4 05:24:56 2017 UTC

Export-Controlled Functionality: Allowed

License Authorization:

License Authorization:

Status: AUTHORIZED on Aug 4 05:30:05 2016 UTC

Last Communication Attempt: SUCCEEDED on Aug 4 05:25:02 2016 UTC

Next Communication Attempt: Sep 3 05:30:07 2016 UTC

Communication Deadline: Aug 4 05:24:56 2017 UTC

Development mode: enabled

admin@ncs#

Utilizzo (stato autorizzato)

La licenza in uso può essere verificata con il comando show license summary. Nell'esempio, il sistema utilizza NSO-platform-production, NSO-network-element e cisco-ios-NED. Si noti che lo stato di autorizzazione della licenza è "AUTORIZZATO". Ciò significa che tutti i componenti che richiedono una licenza funzionano correttamente in base a uno stato legale.

admin@ncs# show license summary

Smart Licensing is ENABLED

Registration:

Status: REGISTERED

Smart Account: COMPANY A

Virtual Account: Network Department

Last Renewal Attempt: None

Next Renewal Attempt: Jan 31 05:33:02 2017 UTC

License Authorization:

Status: AUTHORIZED

Last Communication Attempt: SUCCEEDED

Next Communication Attempt: Sep 3 05:33:06 2016 UTC

License Usage:

License                     Entitlement Tag                                                                                Count        Status

----------------------------------------------------------------------------------------------------------------------------------------------

348fbb21-7edf-42bb-baa7-198903058a54regid.2016-04.com.cisco.NSO-platform-production,4.2_348fbb21-7edf-42bb-baa7-198903058a54       1            InCompliance

5d641fa0-757d-43b0-a926-166cb6e3cfddregid.2015-10.com.cisco.NSO-network-element,1.0_5d641fa0-757d-43b0-a926-166cb6e3cfdd           3            InCompliance

d9eca34d-1f6a-4595-ad74-9c0c57e03c27regid.2015-10.com.cisco.cisco-ios-NED,1.0_d9eca34d-1f6a-4595-ad74-9c0c57e03c27                 1            InCompliance

Development mode: disabled

admin@ncs#

questo è l'output del comando show license usage in un altro esempio. Nell'esempio, viene aggiunto anche cisco-iosxr-NED e lo stato è OutOfCompliance. Ciò significa che per registrarsi a CSSM va bene, tuttavia, una licenza per cisco-iosxr-NED è insufficiente nell'account virtuale. A causa dello stato di non conformità di cisco-iosxr-NED, lo stato complessivo è OUT_OF_COMPLIANCE.

admin@ncs # show license usage

License Authorization Status : OUT_OF_COMPLIANCE  as of Oc  24 06:14:11 2016 UTC

NSO-platform-production (regid.2016-04.com.cisco.NSO-platform-production, 1.0_d1445dab-9d96-4593-99f2-6f633b8a759c)

Description : API unavailable

Count : 1

Version : 1.0

Status : InCompliance

NSO-network-element (regid.2015-10.com.cisco.NSO-network-element, 1.0_5d641fa0-757d-43b0-a926-166cb6e3cfdd)

Description : API unavailable

Count : 3

Version : 1.0

Status : InCompliance

cisco-ios-NED (regid.2015-10.com.cisco.cisco-ios-NED, 1.0_d9eca34d-1f6a-4595-ad74-9c0c57e03c27)

Description : API unavailable

Count : 1

Version : 1.0

Status : InCompliance

cisco-iosxr-NED (regid.2015-10.com.cisco.cisco.cisco-iosxr-NED, 1.0_9956fc34-cbed-4d13-a1ea-6a36f4e40a99)

Description : API unavailable

Count : 1

Version : 1.0

Status : OutOfCompliance

Risoluzione dei problemi

Provare ad abilitare la funzionalità di debug sulla licenza intelligente. Quando il debug è abilitato, il log di debug viene generato nel file specificato in /smart-license/smart-agent/stdout-capture/file. il comando smart license debug genera molti log e si consiglia di disabilitare il debug dopo aver raccolto i dati.

Abilitazione debug

admin@ncs# debug smart_lic all

ok

admin@ncs#

Disabilitazione debug

admin@ncs# no debug smart_lic all

ok

admin@ncs#

Configurazione log licenze Smart

admin@ncs# show running-config smart-license

smart-license smart-agent stdout-capture disabled

smart-license smart-agent stdout-capture file ./logs/ncs-smart-licensing.log

admin@ncs#

Abilita registro licenze smart

admin@ncs(config)# smart-license smart-agent stdout-capture enabled

admin@ncs(config)# commit

Commit complete.

admin@ncs(config)#

Rinnova certificato SSL locale CSM

Per i clienti che dispongono di CSM locale, NSO può non riuscire a connettersi al server se il certificato SSL è scaduto.

Di seguito sono riportati i passaggi per risolvere il problema generando un file onprem.crt:

1. Raccogliere il nuovo certificato dal server CSM utilizzando openssl (la porta normalmente utilizzata è la 443):

openssl s_client -showcerts -connect <

>:443 | openssl x509 -out onprem.crt

2. Individuare la directory in cui importare il certificato. La directory predefinita è /etc/pki/ca-trust/extracted/java/cacerts. Per individuarlo, di seguito è riportato un comando per cercare le directory cacerts nel sistema e un esempio dell'output:

[root@localhost /]# find / -name cacerts 2>/dev/null | xargs -I {} ls -l {}

-r--r--r--. 1 root root 156478 Jun 26 08:02 /etc/pki/ca-trust/extracted/java/cacerts

lrwxrwxrwx. 1 root root 40 Aug 25  2022 /etc/pki/java/cacerts -> /etc/pki/ca-trust/extracted/java/cacerts

lrwxrwxrwx. 1 root root 21 Jun 15 04:52 /etc/java/java-17-openjdk/java-17-openjdk-17.0.15.0.6-3.el9.x86_64/lib/security/cacerts -> /etc/pki/java/cacerts

[root@localhost /]#

3. Caricare il certificato. La password predefinita per il keystore è changeit:

sudo keytool -import -alias ssm_onprem -file onprem.crt -keystore /etc/pki/ca-trust/extracted/java/cacerts

3.1 (Facoltativo) Per verificare che il certificato sia stato caricato correttamente, eseguire questo comando:

root@Ubuntu-24-9:/home/nso# keytool -list -keystore /etc/ssl/certs/java/cacerts -storepass changeit -alias ssm_onprem

Warning: use -cacerts option to access cacerts keystore

ssm_onprem, Aug 4, 2025, trustedCertEntry,

Certificate fingerprint (SHA-256): F7:00:C9:74:34:57:5E:BE:70:A7:0E:D2:9B:A8:2D:44:F1:CE:14:55:C3:D9:06:3F:83:68:95:A1:C6:B5:7F:26

root@Ubuntu-24-9:/home/nso#

4. Riavviare lo smart agent (in modalità di configurazione):

admin@ncs(config)# smart-license smart-agent restart

result Started

5. Registrare nuovamente il certificato:

admin@ncs# license smart deregister

ok

admin@ncs# license smart register idtoken TOKEN

Registration process in progress. Use the 'show license status' command to check the progress and result.

admin@ncs#

6. Per verificare che la registrazione sia stata completata con il comando show license summary di cui viene mostrato l'output in questo articolo.