Smart Licensing sulla piattaforma ASR9000

Introduzione

Questo documento descrive la configurazione, il funzionamento e la risoluzione dei problemi del software Smart Licensing su Cisco IOS^® XR versione 5.2.0 e successive. Smart Licensing è stato sviluppato per gestire i requisiti di licenza per varie funzionalità e applicazioni eseguite su piattaforme e sistemi operativi Cisco.

L'applicazione Smart Licensing può essere eseguita non solo su ASR9000 (ASR9K) per Cisco IOS XR, ma anche su diverse piattaforme con sistemi operativi Cisco IOS e Cisco IOS-XE. Questa semplice applicazione riduce enormemente lo sforzo necessario per gestire diversi dispositivi, sistemi e piattaforme Cisco e semplifica notevolmente la gestione delle licenze, i diritti e i costi operativi.

Il metodo utilizzato dall'applicazione Smart Licensing è un metodo 'pull' dinamico; il dispositivo ASR9K avvia la chiamata ed estrae le informazioni dai server back-end Cisco. I server back-end Cisco NON avviano chiamate o connessioni a nessun dispositivo, ma rispondono sempre quando le richieste di connessione provengono dai dispositivi che desiderano registrarsi e ricevere i diritti.

La configurazione iniziale è sicura e semplice con un intervento manuale minimo da parte dell'operatore dei dispositivi e può essere automatizzata per gli ambienti più grandi con uno script TcL (Tool Command Language) o Python Expect standard. Le funzionalità di reporting fornite dai server back-end Cisco, accessibili tramite un normale browser, consentiranno ai clienti di tenere traccia dell'inventario dei dispositivi, delle funzionalità implementate con licenza e fuori conformità (OOC) e di spostare dinamicamente le risorse senza dover effettuare un nuovo provisioning o richiedere supporto.

Vista dall'alto

Smart Licensing utilizza il protocollo standard HTTP Secure (HTTPS) come meccanismo di trasporto per raggiungere i server back-end Cisco. Tecnicamente, per abilitare la funzione Smart Licensing sul dispositivo ASR9K è necessaria una sola linea di configurazione:

RP/0/RSP0/CPU0:SAMDD(admin-config)#license smart enable

Per impostazione predefinita, il dispositivo utilizza il trasporto HTTPS e, in caso di richiesta di registrazione completata correttamente, invia immediatamente una query ai server back-end per ottenere l'autorizzazione. Viene restituito il messaggio Autorizzato, che indica che il dispositivo ha la licenza per la funzione, o OC, che indica che il diritto non è presente, manca o è scaduto.

Nota: lo stato di conformità della licenza NON influirà in alcun modo sulle funzionalità del dispositivo. L'applicazione Smart Licensing corrente si basa su un sistema di riconoscimento e notifica all'amministratore tramite syslog o log della console lo stato di conformità o OOC. Non vi sono impedimenti di funzionalità in alcun modo dovuti a licenze o a mancanza delle stesse. Tuttavia, Cisco incoraggia la conformità che fornisce molta più visibilità ai clienti per quanto riguarda l'inventario dei dispositivi, il consumo delle licenze, le funzionalità utilizzate per dispositivo e in totale/somma, e così via.

Nota: il supporto HTTP per i server back-end è obsoleto nel 2019, tuttavia il supporto HTTP per un server satellite funzionerà ancora.

Le licenze Smart possono coesistere con le licenze Tradizionali, ma solo una di esse può essere attiva alla volta. È possibile passare facilmente da una configurazione all'altra aggiungendo o eliminando la configurazione dal piano di amministrazione. Il sistema ASR9K NON richiede alcun ricaricamento o riavvio perché questo "switch" abbia luogo. Nelle versioni future, le licenze tradizionali saranno sostituite completamente da licenze Smart.

Se un dispositivo ASR9K non utilizza una funzionalità che richiede una licenza, il sistema si trova automaticamente nello stato Autorizzato e non è necessario eseguire altre azioni. Solo dopo la 'configurazione' di una funzionalità che richiede una licenza, il sistema tenterà di acquisire la licenza in modo dinamico dai server back-end Cisco.

Operazioni di licenza tradizionali e Smart

Di seguito sono riportate alcune differenze tra i diversi modelli di licenza. Si noti che solo uno di essi è attivo alla volta.

Licenze tradizionali (con blocco dei nodi)	Licenze intelligenti (dinamiche)
È necessario acquistare la licenza e installarla manualmente su ciascun dispositivo tramite il file PAK.	Non è necessaria/necessaria l'installazione del software. Il dispositivo avvia una sessione call-home HTTP/HTTPS e richiede le licenze che utilizza ed è configurato per.
Le licenze legate allo chassis, allo spostamento o al reprovisioning richiedono il backup o la reinstallazione. Tutte sono operazioni manuali che richiedono tempo.	Licenze legate al tuo account. Annullare la configurazione della funzionalità utilizzata nello chassis corrente e riconfigurarla su un nuovo chassis che deve utilizzare la stessa licenza. Il reprovisioning viene eseguito in modo dinamico quando il nuovo dispositivo avvia una richiesta HTTP/HTTPS tramite il processo di call-home.
Licenza bloccata da nodo: la licenza è associata a un dispositivo/slot specifico.	Pool di licenze già creati nell'account cliente, specifici per l'account della società e utilizzabili con qualsiasi dispositivo ASR9K della società.
Nessuna posizione di base installata comune per visualizzare le licenze acquistate o le tendenze di utilizzo del software. È necessario mantenere manualmente la contabilità delle licenze per i singoli chassis/sistemi.	Le licenze vengono archiviate in modo sicuro sui server back-end Cisco, accessibili 24 ore su 24, 7 giorni su 7, 365 giorni l'anno. Il numero di licenze è per account/pool del cliente e molti dispositivi possono far parte dello stesso pool.
Una licenza aggiuntiva richiede un nuovo file PAK e un intervento manuale/interazione con il dispositivo.	Le licenze aggiuntive possono essere trasferite tramite un browser Web che punta all'URL Cisco e all'account creato nei server back-end. Fondamentalmente, operazioni di selezione e clic.
Non è facile trasferire le licenze da un dispositivo all'altro.	Le licenze possono essere spostate tra le istanze del prodotto senza alcuna installazione del software. È inoltre possibile trasferire facilmente le licenze da un pool all'altro tramite un'interfaccia Web.

Vista operativa

Il diagramma mostra il confronto tra i due sistemi di licenze.

La procedura per l'assegnazione di licenze intelligenti è molto semplice e intuitiva. Acquistando l'unità, è possibile ordinare le licenze necessarie contemporaneamente o in un secondo momento. Al termine dell'acquisto e del provisioning delle licenze da parte di Cisco:

• Cisco fornisce un nome utente, una password e un URL (Uniform Resource Locator) per accedere alle informazioni sulla licenza tramite un browser Web 24 ore su 24, 7 giorni su 7.

• Questo account gestisce licenze, genera report, raggruppa dispositivi, crea pool di licenze e qualsiasi altra esigenza organizzativa che facilita le esigenze operative del cliente/organizzazione.

• L'account consente al cliente di generare un idtoken che identifica in modo univoco il dispositivo del cliente e i diritti di licenza acquistati. Il token può essere valido da un giorno a un anno. Il token idtoken può essere revocato, eliminato e ricreato dal cliente in qualsiasi momento. È un modello di auto-aiuto.

• Il Cliente utilizza l'idtoken generato nell'account fornito da Cisco per registrare uno o mille dispositivi, in quanto non vi sono limiti al numero di dispositivi che possono utilizzare lo stesso token. Nel presente documento vengono forniti ulteriori suggerimenti per un utilizzo efficiente di questa funzione.

• La registrazione del dispositivo è persistente e continua anche dopo i ricaricamenti e gli aggiornamenti del sistema. Il dispositivo ASR9K può essere costretto a registrare nuovamente con il vecchio idtoken o con uno più recente, se lo si desidera, in caso di perdita.

• Dopo la registrazione non è necessario alcun intervento; il sistema ASR9K effettua periodicamente un sondaggio sull'account con cui è stato registrato per verificarne la conformità. Se il sistema è OC, viene generato un syslog per avvisare l'utente.

Interfaccia Web/Portale

Di seguito è riportata una breve presentazione dell'interfaccia Web da cui ha inizio il processo di registrazione:

L'account virtuale o pool di licenze viene utilizzato per archiviare e organizzare logicamente le licenze in base alle esigenze di un'organizzazione. È un contenitore di licenze, dispositivi registrati per le funzionalità che richiedono una licenza. È possibile creare un pool per sito, per reparto e così via.

Le licenze possono essere trasferite facilmente da un pool all'altro.

Idtoken è una chiave generata da questo account e usata per registrare i dispositivi ASR9K. Può essere valido da un giorno a un anno. L'unico utilizzo del token è la registrazione del dispositivo, dopodiché non è necessario. Il token è un flusso di testo che può essere copiato in uno script TcL o Python per automatizzare la registrazione remota del dispositivo.

Ad esempio, è possibile creare un token per un giorno e inviarlo a un sito remoto per essere utilizzato dagli utenti remoti per la registrazione del dispositivo. Scade tra un giorno e gli utenti remoti non possono utilizzarlo per registrare altri dispositivi. Anche se viene utilizzato per registrare dispositivi che non appartengono alla società, il dispositivo verrà visualizzato facilmente nella scheda Istanza prodotto e sarà possibile eseguire azioni per revocare la licenza.

Il report genera in modo dinamico diverse forme di inventario e può essere esportato in un formato Excel per l'utilizzo offline, la contabilità o l'analisi.

La scheda License (Licenza) visualizza le licenze richieste da vari dispositivi ASR9K, con il numero e lo stato di ciascuna licenza. L'elemento del collegamento Trasferisci può essere utilizzato quando si fa clic su di esso per trasferire le licenze direttamente e facilmente da e verso qualsiasi pool nell'account.

La scheda Registro eventi registra le attività dei dispositivi sul pool con un formato di tipo syslog e registra le azioni intraprese da ciascun dispositivo o utente dell'account, ad esempio la registrazione, l'annullamento della registrazione e così via. L'interfaccia è semplice e intuitiva per la navigazione o il debug.

Configurazione

In questo esempio viene illustrato come eseguire l'aggiornamento da una licenza tradizionale a una licenza Smart. Si noti che in alcuni casi Smart Licensing potrebbe essere l'impostazione predefinita.

Licenze tradizionali

Per controllare le licenze tradizionali, è possibile eseguire alcuni comandi dal piano di amministrazione. Di seguito ne vengono riportati alcuni che hanno output diversi rispetto a Smart Licensing.

Nota: le licenze tradizionali sono la modalità predefinita in Cisco IOS XR versione 5.3.0 e precedenti.

RP/0/RSP1/CPU0:ROA(admin)#show license pools

Pool: Owner
Feature: A9K-24X10-OPT-LIC A9K-24X10-VID-LIC A9K-24X10G-AIP-SE A9K-24X10G-AIP-TR
 A9K-2X100-OPT-LIC A9K-2X100-VID-LIC A9K-2X100G-AIP-SE A9K-2X100G-AIP-TR
 A9K-36X10-OPT-LIC A9K-36X10-VID-LIC A9K-36X10G-AIP-SE A9K-36X10G-AIP-TR
 A9K-400G-AIP-SE A9K-400G-AIP-TR A9K-400G-OPT-LIC A9K-400G-VID-LIC
 A9K-800G-AIP-SE A9K-800G-AIP-TR A9K-800G-OPT-LIC A9K-800G-VID-LIC
 A9K-ADV-OPTIC-LIC A9K-ADV-VIDEO-LIC A9K-AIP-LIC-B A9K-AIP-LIC-E

RP/0/RSP1/CPU0:ROA(admin)#show license allocated

FeatureID: A9K-800G-AIP-SE (Slot based, Permanent)
Total licenses 1
Status: Allocated   1
   Pool: Owner
     Total licenses in pool: 1
     Status: Operational:   1
     Locations with licenses: (Active/Allocated) [SDR]
             0/0/CPU0       (0/1) [Owner]

È possibile eseguire un sottoinsieme di comandi di gestione licenze tradizionali anche dal piano exec, ma è consigliabile eseguirli dal piano admin, che contiene l'elenco completo.

RP/0/RSP1/CPU0:ROA#show license ?    
WORD       Feature ID
active     Currently checked-out/being used by applications.
allocated  Allocated to a slot but not used.
available  Not currently active.
evaluation Display the evaluation licenses.
expired    Display evaluation licenses already expired.
location   Show information for a specific location
log        The operational or administrative logs.
|          Output Modifiers
<cr>

Licenze Smart

Smart Licensing non è ancora stato abilitato, ma è ciò che viene visualizzato nel sistema.

Anche se non viene applicata alcuna configurazione, il profilo predefinito di call_home utilizza HTTPS, che punta ai server back-end Cisco tramite le porte di gestione dei sistemi. Per ulteriori informazioni su call_home, consultare questo documento.

RP/0/RSP1/CPU0:ROA#show run call-home  
% No such configuration item(s)

RP/0/RSP1/CPU0:ROA#show call-home detail | i https
   http proxy: Not yet set up
   HTTP address(es): https://tools.cisco.com/its/service/oddce/services/DDCEService

Per una configurazione minima, sono necessari solo i passaggi 1 e 4. Gli altri passaggi sono relativi alle informazioni, alla verifica e alla creazione di report.

1. In modalità admin, immettere i seguenti comandi:

   RP/0/RSP1/CPU0:ROA(admin-config)#license smart enable
   RP/0/RSP1/CPU0:ROA(admin-config)#commit

2. In modalità di esecuzione configurare altre manopole, ad esempio l'indirizzo di posta elettronica, oppure utilizzare questo profilo predefinito che viene generato automaticamente al commit della configurazione dell'amministratore.

   RP/0/RSP1/CPU0:ROA#show run call-home
   call-home
   service active
   contact-email-addr sch-smart-licensing@cisco.com
   profile CiscoTAC-1
   active
   destination transport-method http

3. In modalità admin, verificare la versione di Smart Licensing:

   RP/0/RSP1/CPU0:ROA(admin)#show license version
   Cisco Smart Licensing Agent, Version 1.1.4_throttle/16

4. In modalità admin, immettere questo comando:

   RP/0/RSP1/CPU0:ROA(admin)#license smart register idtoken
    NjgyMWM2NDItMzI5My00YzQ2LThmMDItMzhhNWI2Mzk2YWUwLTE0MzUzMzM3%
   0aMDQwNDB8SWRzSGkvR0d2MWZTZEhzK2RWUmJWMmh0U1ZIa2tBVzBLZKl1ZHhs%0AZGRPbz0%3D%0A ?
   force Force Registration
   <cr>  
   
   license smart register: Registration process is in progress. Please check
    the syslog for the registration status and result

   La parola chiave Force sovrascrive e cancella qualsiasi informazione relativa al dispositivo registrato in precedenza. La parola chiave force deve essere utilizzata con moderazione e in casi particolari. In alternativa, è possibile usare l'interfaccia utente Web per rimuovere il dispositivo dall'account.

5. Query per lo stato dell'operazione:

   RP/0/RSP1/CPU0:ROA(admin)#show license register-status
      Registration Status: Completed
          Registration Start Time: Wed Dec 17 2014 13:07:23 PST
          Next ID Cert Renew Time: Mon Jun 15 2015 14:07:45 PST
          Next ID Cert Expiration Time: Thu Dec 17 2015 13:01:41 PST
          Last Response Time: Wed Dec 17 2014 13:07:45 PST
          Last Response Message: OK: OK

   Se lo stato non è 'Completato', sulla console o sul syslog verranno visualizzati messaggi. Di seguito è riportato il messaggio syslog che ha avuto esito positivo:

   RP/0/RSP1/CPU0:Dec 17 13:07:45.285 : licmgr[310]: SMART_LIC-6-AGENT_REG_SUCCESS:
   Smart Agent for Licensing Registration with Cisco licensing cloud successful
   RP/0/RSP1/CPU0:Dec 17 13:08:18.357 : licmgr[310]: SMART_LIC-3-OUT_OF_COMPLIANCE:
   One or more entitlements are out of compliance':

6. Su questo sistema sono configurate poche funzionalità che richiedono licenze e questo output indica lo stato di 'Non conforme':

   RP/0/RSP1/CPU0:ROA(admin)#show license entitlement | i Tag | e Not | u sort
      Tag: regid.2014-04.com.cisco.A9K-24X10-OPT-LIC,
   1.0_66d3ccf7-a374-4409-a3f9-6bc56d645f1c, Version: 1.0, Enforce Mode:
    Out of compliance
      Tag: regid.2014-04.com.cisco.A9K-24X10-VID-LIC,1.0_9f03b94f-3c76-4a39-82f2
   -1b53cdf5cb15, Version: 1.0, Enforce Mode: Out of compliance
      Tag: regid.2014-04.com.cisco.A9K-24X10G-AIP-TR,1.0_e5d7cec3-e8e3-43c6-88c9
   -a113b76679f8, Version: 1.0, Enforce Mode: Out of compliance
      Tag: regid.2014-06.com.cisco.A9K-2X100-OPT-LIC,1.0_0f74bb00-42af-4c4d-b162
   -bcb346c7510a, Version: 1.0, Enforce Mode: Out of compliance
      Tag: regid.2014-06.com.cisco.A9K-2X100-VID-LIC,1.0_a482b964-6371-4aad-8e82
   -2083c5749205, Version: 1.0, Enforce Mode: Out of compliance
      Tag: regid.2014-06.com.cisco.A9K-2X100G-AIP-SE,1.0_ce447831-e4af-4def-a98b
   -3297fab65561, Version: 1.0, Enforce Mode: Out of compliance
      Tag: regid.2014-06.com.cisco.A9K-36X10-OPT-LIC,1.0_92a8597a-f591-4afc-adeb
   -9b212cee11be, Version: 1.0, Enforce Mode: Out of compliance

7. Esaminare i comandi utilizzati nelle licenze tradizionali, che hanno output diversi.

   Smart Licensing O la CLI delle licenze tradizionali è disponibile in qualsiasi momento, non in entrambi i casi.

   Il nome del pool viene utilizzato per organizzare/classificare i dispositivi. È possibile utilizzare un pool per area/area geografica, reparto o area funzionale oppure raggruppamenti finanziari e così via. Ogni azienda può decidere come vorrebbe ottenere le licenze per i pozzi. Si noti inoltre che è molto facile utilizzare il normale browser per visualizzare, modificare o spostare le licenze tra i pool, aggiungere o modificare il numero di licenze e farlo facilmente senza l'assistenza di Cisco, in modo indipendente e senza interruzioni.

   RP/0/RSP1/CPU0:ROA(admin)#show license pool
   Assigned Pool Info: PATRICK_NO_LIC

8. Da qui in poi, il sistema verifica automaticamente ogni giorno la conformità. In caso di guasto, il sistema prova ogni 20 minuti per quattro ore e successivamente una volta al giorno per 30 giorni. Vengono stampati i messaggi Syslog, che indicano la connettività, la raggiungibilità, la comunicazione e così via i motivi degli errori. Il debug è illustrato più avanti in questo documento.
9. Per annullare la registrazione del dispositivo, immettere i seguenti comandi:

   RP/0/RSP1/CPU0:ROA(admin)#license smart deregister
   
   license smart deregister: Success
   
   
   License command "license smart deregister " completed successfully. 

   RP/0/RSP1/CPU0:ROA(admin)#show license register-status
      Registration Status: Not Registered

10. Per conoscere le licenze disponibili su un determinato chassis, immettere questo comando:

    RP/0/RSP1/CPU0:ROA(admin)#show license features
    
    Platform Feature ID:
    A9K-ADV-OPTIC-LIC
    A9K-ADV-VIDEO-LIC
    A9K-iVRF-LIC
    A9K-AIP-LIC-B
    A9K-AIP-LIC-E
    A9K-MOD80-AIP-TR
    A9K-MOD80-AIP-SE
    A9K-MOD160-AIP-TR
    A9K-MOD160-AIP-SE
    A9K-2X100G-AIP-TR
    . . . output snipped . . .

Anatomia e flusso dell'applicazione

Per comprendere la meccanica dell'applicazione, è necessario avere una conoscenza di base dei relativi componenti. Per il funzionamento o l'installazione del software, tuttavia, non è necessaria alcuna conoscenza preventiva se non quella di seguire le linee guida pubblicate. Questa sezione si rivolge soprattutto al personale tecnico e ai tecnici che desiderano conoscere i dettagli.

Distribuzione, configurazione e opzioni

Smart Licensing può essere implementato in diversi scenari a seconda dei requisiti di sicurezza, gestibilità e modalità operativa del cliente.

Ad esempio:

• Si potrebbe scegliere di NON consentire ad ASR9K di connettersi "direttamente" ai server Cisco Cloud/Backend. In questo caso, è possibile utilizzare un server 'proxy' nella propria sede e gestire il firewall, il flusso del traffico e il modo in cui l'applicazione Smart Licensing si adatta alle esigenze di sicurezza dell'organizzazione. Questo può essere facilmente configurato tramite il software Apache open source eseguito su sistemi operativi Windows o Linux.
• In alternativa, è possibile che si desideri connettere tutti i dispositivi ASR9K a un host di aggregazione in grado di ricevere tutte le richieste locali da tutti i dispositivi ASR9K prima di inoltrarle ai server back-end Cisco. Questo è un processo per il software Transport Gateway in esecuzione su Linux e Windows ed è disponibile per il download sul sito Cisco Transport-Gateway download.
• Oppure potresti voler operare totalmente offline con un software locale in esecuzione su Linux e Windows che ti consente di avere solo 'questo host locale' per parlare allo scambio di informazioni sulle licenze con Cisco Cloud e, a sua volta, fornire informazioni ai dispositivi terminali sullo stato di conformità. Questo software sarà disponibile nella release 5.3.1 o successive.

Oltre al supporto per HTTPS, il software può anche essere configurato per l'esecuzione in un'impostazione VRF (Virtual Routing Forwarding) che consente un maggiore livello di controllo sulle modalità di trasporto delle informazioni sulle licenze.

Inoltre, IPv6 è supportato in modo nativo e richiede solo un indirizzo IP6 valido sul sistema per comunicare con i server back-end Cisco tramite Internet.

In queste configurazioni si presume che ASR9K sia configurato con un host di dominio DNS (Domain Name System) o IPv4/IPv6 in modo da poter risolvere i nomi host per raggiungere la rete esterna.

È necessario configurare il protocollo NTP (Network Time Protocol) per mantenere il sistema sincronizzato con i server certificati back-end.

RP/0/RSP0/CPU0:ROA#show run domain
domain name cisco.com
domain list cisco.com
domain name-server 171.70.168.183
domain name-server 2001:420:68d:4001::a

RP/0/RSP0/CPU0:ROA#show run | i ipv6 host
Building configuration...
domain ipv6 host tools.cisco.com 2001:420:1101:5::a

Configura proxy HTTP

La configurazione Apache esula dall'ambito di questo documento, ma su Internet sono disponibili numerosi documenti che consentono di eseguire in modo semplificato i passaggi. Per dimostrare la funzionalità, Apache è configurato per un proxy semplice sulla porta 80. Vedere l'output del comando debug per il proxy_mod di Apache mostrato di seguito.

Per Smart Licensing, tuttavia, la configurazione è molto semplice, basta menzionare il nome del server proxy e la porta. La configurazione inoltrerà semplicemente la richiesta al server proxy anziché contattare direttamente i server back-end Cisco. Il server proxy contatterà i server tramite qualsiasi trasporto configurato per l'inoltro delle richieste. È consigliato HTTPS. A parte http-proxy mybastion.cisco.com port 80, non è richiesta alcuna altra configurazione.

RP/0/RSP0/CPU0:ROA#show run call-home
call-home
service active
http-proxy mybastion.cisco.com port 80
contact-email-addr sch-smart-licensing@cisco.com
profile CiscoTAC-1
active
destination address http https://tools.cisco.com/its/service/oddce/services/DDCEService
destination transport-method http

Immettere il comando di registrazione admin license smart register idtoken <idtoken> e osservare che l'output mostra la richiesta/risposta effettuata da ASR9K. Prendere nota dei contatori delle colonne Timestamp e Operazioni riuscite.

RP/0/RSP0/CPU0:ROA#show call-home smart-licensing statistics
Success: Successfully sent and response received.
Failed : Failed to send or response indicated error occurred.
Inqueue: In queue waiting to be sent.
Dropped: Dropped due to incorrect call-home configuration.

Msg Subtype     Success Failed Inqueue Dropped Last-sent (GMT-08:00)
----------------------------------------------------------------------
ENTITLEMENT        1       0       0       0       2015-01-12 21:06:56
DEREGISTRATION     0       0       0       0             n/a
REGISTRATION       1       0       0       0       2015-01-12 21:06:21
ACKNOWLEDGEMENT    1       0       0       0       2015-01-12 21:06:38

Di seguito è riportato un frammento dei log degli accessi Apache che mostra l'uscita della richiesta sulla porta 443, protocollo HTTPS.

root@mybastion:/var/log/httpd #tail -f proxy-*

==> proxy-error.log <==
[Mon Jan 12 21:06:10 2015] [debug] mod_proxy_connect.c(70): proxy: CONNECT:
 canonicalising URL tools.cisco.com:443
[Mon Jan 12 21:06:10 2015] [debug] proxy_util.c(1515): [client 172.27.130.65] proxy:
 *: found forward proxy worker for tools.cisco.com:443
[Mon Jan 12 21:06:21 2015] [debug] mod_proxy_connect.c(109): [client 172.27.130.65]
 (70014)End of file found: proxy: CONNECT: error on client - ap_get_brigade
[Mon Jan 12 21:06:21 2015] [debug] mod_proxy_connect.c(425): proxy: CONNECT:
 finished with poll() - cleaning up

==> proxy-access.log <==
172.27.130.65 - - [12/Jan/2015:21:06:10 -0800] "CONNECT tools.cisco.com:443 HTTP/1.1" 200 -

Configura gateway di trasporto

In questo scenario, l'applicazione Transport Gateway viene installata su un host Linux o Windows e configurata per ricevere le richieste di licenza dai dispositivi ASR9K presso la sede del cliente e inoltrarle ai server back-end Cisco. Per ulteriori informazioni, vedere la Transport Gateway Deployment and User Guide.

La configurazione di ASR9K è di una sola linea. Di seguito è riportato un esempio. Consultare la documentazione per le configurazioni esatte necessarie per l'ambiente in uso.

call-home
profile CiscoTAC-1
destination address http
https://TG-IP-or-FQDN/Transportgateway/services/DeviceRequestHandler

Configurazione VRF

I VRF consentono un maggiore controllo sul traffico di gestione e sono quasi trasparenti per le licenze Smart. Tuttavia, è necessaria una configurazione di linea per fare in modo che il software sottostante consulti la tabella VRF anziché la tabella globale quando il software Smart Licensing tenta di raggiungere i server back-end Cisco.

La stringa visualizzata è il nome VRF configurato nel sistema.

RP/0/RSP0/CPU0:ROA(config)#http client vrf MGMT

Output dettagliato di Call Home

Di seguito è riportato un output di esempio per verificare il corretto funzionamento di Call Home.

RP/0/RSP0/CPU0:ROA#show call-home detail

Current call home settings:
   call home feature : enable
   call home message's from address: mylab-roa@cisco.com ; optional, any address
   call home message's reply-to address: pasoltan@cisco.com ; optional,
 recipient address

   vrf for call-home messages: Not yet set up ; Not supported natively yet

   contact person's email address: sch-smart-licensing@cisco.com ; default

   contact person's phone number: +1-408-526-8438 ; optional
   street address: 1550 Soltani Lane, Cisco System Drive, North Pole, NP 99709
   customer ID: Not yet set up
   contract ID: Not yet set up
   site ID: BUILDING20-125 ; optional

   source interface: Not yet set up ; can be configured to use a specific interface.
   Mail-server[1]: Address: bastion.cisco.com Priority: 1 ; optional
   Mail-server[2]: Address: 171.68.58.10 Priority: 10     ; optional
   Mail-server[3]: Address: 173.37.183.72 Priority: 20   ; optional
   http proxy: Not yet set up ; when configured will change.

   Smart licensing messages: enabled
   Profile: CiscoTAC-1 (status: ACTIVE) ; default profile supported.
Can not be renamed, deleted, but can be modified, activated, deactivated.

   aaa-authorization: disable      ; optional
   aaa-authorization username: callhome (default) ; default
   data-privacy: normal     ; can be configured to use the hostname or not.
   syslog throttling: enable

   Rate-limit: 5 message(s) per minute

   Snapshot command: Not yet set up
; Non-smart licensing configuration for alerts, data collection, defaults.
Available alert groups:
   Keyword                State   Description
   ---------------------- ------- -------------------------------
   configuration         Enable configuration info
   environment           Enable environmental info
   inventory             Enable inventory info
   snapshot              Enable snapshot info
   syslog                Enable syslog info

Profiles:

Profile Name: CiscoTAC-1
   Profile status: ACTIVE
   Profile mode: Full Reporting
   Reporting Data: Smart Call Home, Smart Licensing
   Preferred Message Format: xml
   Message Size Limit: 3145728 Bytes
   Transport Method: http
   Email address(es): callhome@cisco.com
   HTTP address(es): ; Only configuration needed if default is not desired.
http://tools.cisco.com/its/service/oddce/services/DDCEService
                       https://tools.cisco.com/its/service/oddce/services/DDCEService

   Periodic inventory info message is scheduled every 23 day of the month at 11:2

   Alert-group              Severity
   ------------------------ ------------
   environment               minor      
   inventory                 normal    

   Syslog-Pattern           Severity
   ------------------------ ------------
   .*                        critical

Opzioni di configurazione di Call Home non Smart Licensing

È possibile configurare Call Home in modo che raccolga i dati di diagnostica e di syslog e i dump di base oppure che invii notifiche via e-mail per gli eventi e così via insieme alle attività di gestione delle licenze intelligenti che vengono completate.

È possibile visualizzare le informazioni raccolte tramite Call Home con il nome utente e la password di Smart Licensing all'indirizzo https://tools.cisco.com/sch/reports/deviceReport.do.

Vedere i documenti collegati nella sezione "Informazioni correlate" per ulteriori informazioni su come utilizzare questa funzione per migliorare l'ambiente. Un esempio di notifica via e-mail è disponibile nella sezione "Odds and Ends" .

Debug

Non esistono regole rigide e veloci per eseguire il debug del software Smart Licensing a causa dei molti componenti che compongono il pacchetto. Tuttavia, alcuni metodi di approccio comune di solito restringono le questioni. Ecco alcuni suggerimenti.

Syslog

Esaminate prima il syslog. Verranno fornite alcune indicazioni sul componente da controllare per primo. In questi messaggi vengono visualizzati alcuni problemi relativi ai certificati e un errore nell'invio dei messaggi HTTP Call Home. La comunicazione viene infine ripristinata.

RP/0/RSP0/CPU0:ROA#sh log | i SMART

RP/0/RSP1/CPU0:Dec 17 20:01:28.522 : licmgr[308]: SMART_LIC-3-ID_CERT_RENEW_FAILED:
ID certificate renewal failed: Response error: {"product_instance_identifier":
["ProductInstance '8baecfb5-2688-429b-8519-10a3f0dec6b5' is not valid"]}

RP/0/RSP1/CPU0:Dec 17 20:01:34.273 : licmgr[308]: SMART_LIC-3-AUTH_RENEW_FAILED:
Authorization renewal with Cisco licensing cloud failed: Response error:
 LS_UNMATCH_SIGNED_DATA: Signed data and certificate does not match

RP/0/RSP0/CPU0: Dec 17 18:26:24.009 : licmgr[314]: SMART_LIC-3-COMM_FAILED:
Communications failure with Cisco licensing cloud: Fail to send out Call Home
 HTTP message

RP/0/RSP0/CPU0:Dec 17 18:28:03.057 : licmgr[314]: SMART_LIC-3-AGENT_REG_FAILED:
Smart Agent for Licensing Registration with Cisco licensing cloud failed:
 Communication message send error

RP/0/RSP0/CPU0:Dec 17 18:30:09.247 : licmgr[314]: SMART_LIC-5-COMM_RESTORED:
Communications with Cisco licensing cloud restored

RP/0/RSP0/CPU0:Dec 17 18:30:21.923 : licmgr[314]: SMART_LIC-6-AGENT_REG_SUCCESS:
Smart Agent for Licensing Registration with Cisco licensing cloud successful

Controllare l'output del comando show per verificare lo stato del riquadro/componente. In questa sezione vengono visualizzate le licenze per dispositivi mobili, IPsec (Internet Protocol Security) e ottiche.

RP/0/RSP0/CPU0:ROA#admin show license entitlement
Entitlement:
  Tag: regid.2014-06.com.cisco.A9K-MOBILE-LIC,1.0_e447924c-0a6f-41be-9202-8ae60fcc2972,
 Version: 1.0, Not In Use
  Requested Time : NA, Requested Count: NA
  Vendor String:

  Tag: regid.2014-09.com.cisco.A9K-IPSEC-20G-LIC,1.0_a165db99-eb3f-474b-bdf0-
ce4b140d9b45, Version: 1.0, Not In Use
  Requested Time : NA, Requested Count: NA
  Vendor String:

 Tag: INSTALLMGR, Version: 1.0, Not In Use
  Requested Time : NA, Requested Count: NA
  Vendor String:

  Tag: regid.2014-04.com.cisco.A9K-24X10-OPT-LIC,1.0_66d3ccf7-a374-4409-a3f9-
6bc56d645f1c, Version: 1.0, Enforce Mode: Out of compliance
  Requested Time : Mon Jan 12 2015 20:47:07 PST, Requested Count: 1
  Vendor String:
... output snipped ...

Verificare la conformità della licenza.

RP/0/RSP0/CPU0:ROA#admin show license status
Compliance Status: Out of compliance

Verificare quale pool è attivo.

RP/0/RSP0/CPU0:ROA#admin show licence pool
Assigned Pool Info: PATRICK_NO_LIC

Controllare il certificato di licenza.

RP/0/RSP0/CPU0:ROA#admin show license cert
 Licensing Certificates:
   ID Cert Info:
    Start Date: Mon Jan 12 2015 21:00:13 PST. Expiry Date: Tue Jan 12 2016 21:00:13 PST
    Serial Number: 24724
    Version: 3
    Subject/SN: 60fe47f8-aaaa-40fc-ae3e-fae9c7b6d0ac
    Common Name: 138091632beb1f2e38069e9eec8f9c626de471ac::1,2
   Signing Cert Info:
    Start Date: Wed Sep 11 2013 12:05:34 PST. Expiry Date: Sun May 30 2038 12:48:46 PST
    Serial Number: 3
    Version: 3

Controllare la versione della licenza.

RP/0/RSP0/CPU0:ROA#admin show license version
Cisco Smart Licensing Agent, Version 1.1.4_throttle/16

Con questo comando vengono visualizzate le statistiche sui tentativi di call-home riusciti e/o non riusciti.

RP/0/RSP1/CPU0:ROA#show call-home smart-licensing statistics
Success: Successfully sent and response received.
Failed : Failed to send or response indicated error occurred.
Inqueue: In queue waiting to be sent.
Dropped: Dropped due to incorrect call-home configuration.

Msg Subtype     Success Failed Inqueue Dropped Last-sent (GMT-08:00)
----------------------------------------------------------------------
ENTITLEMENT     1       0       0       0       2014-12-17 21:08:35
DEREGISTRATION  1       0       0       0       2014-12-17 14:33:17
REGISTRATION    1       0       0       0       2014-12-17 21:07:53
ACKNOWLEDGEMENT 1       0       1       0       2014-12-17 21:08:09
RENEW           1       0       0       0       2014-12-17 21:08:57 

Processo Call Home

Controllare quindi i file di traccia per il processo call_home, poiché il trasporto tra ASR9K e Cisco Cloud è gestito da tale processo.

RP/0/RSP0/CPU0:ROA#show call-home trace error last 2

81 wrapping entries (576 possible, 320 allocated, 0 filtered, 81 total)!
Jan 28 10:10:29.729 call_home/error 0/RSP0/CPU0 t10 call_home_http_resp_data(),
 httpc response error, Host name resolution failed

Jan 28 10:10:39.730 call_home/error 0/RSP0/CPU0 t19 call_home_events_handler() failure status 67

Smartlic Check (agente software)

Controllate le tracce intelligenti. Queste tracce rivelano l'interazione della licenza con i server Cisco Cloud.

RP/0/RSP0/CPU0:ROA#admin show license trace smartlic last 2
987 wrapping entries (1088 possible, 0 filtered, 987 total)
Jan 28 20:10:36.245 smartlicense/smartlic 0/RSP0/CPU0 t3 [2302054]
 Failed to bind to SysDB - 'Subsystem(2091)' detected the 'success' condition
 'Code(45)': Unknown Error(292)

Jan 28 20:10:36.245 smartlicense/smartlic 0/RSP0/CPU0 t3 [2302054]
 SMART ERROR - SASACKExpirationJob: expirySeconds=3842

Controllo del processo di Licmgr

Questo processo è l'interfaccia principale per le licenze intelligenti su ASR9K e considera l'associazione tra i vari componenti.

RP/0/RSP1/CPU0:ROA#admin show license trace
557 wrapping entries (576 possible, 0 filtered, 5403 total)
Dec 17 13:08:18.358 license/licmgr 0/RSP1/CPU0 t3 [3125351] SLA Debug :
 Client search success pkg/bin/rsi_agent (No error)
Dec 17 13:08:18.358 license/licmgr 0/RSP1/CPU0 t3 [3125351] SLA Debug :
 A9K-MOD160-AIP-SE regid.2014-06.com.cisco.A9K-MOD160-AIP-SE,
1.0_7f1b3d9c-a183-41d1-8d0b-d98dcc2751a8 (No error)

Tracce dipendenti dalla piattaforma

Sebbene la parte del codice dipendente dalla piattaforma (PD, Platform Dependent) sia solo una libreria a collegamento dinamico, ha un ruolo importante nell'attivazione delle richieste di autorizzazione delle licenze. In questo modo vengono risolti i problemi relativi ai tipi di licenza, al numero di licenze e così via.

RP/0/RSP1/CPU0:ROA#admin show license trace platform all last 5
1849 wrapping entries (5440 possible, 3136 allocated, 0 filtered, 183450 total)
Dec 17 20:43:33.480 vkg_lic/audit 0/RSP1/CPU0 t1 Agent Client Audit Cmd Start: ver:1,
 node:0x00000041 cmd:Audit(5) req:Mobile(9) feature:A9K-MOBILE-LIC(13) grant:
 Not Pending(0)
Dec 17 20:43:33.480 vkg_lic/audit 0/RSP1/CPU0 t1 Agent Client Audit Cmd Start #2:
 client restarted:False up for a day:True
Dec 17 20:43:33.480 vkg_lic/audit 0/RSP1/CPU0 t1 AUDIT Reply License Start:
 request:Mobile(9) slot:4 grant:Not Pending(0)
Dec 17 20:43:33.480 vkg_lic/audit 0/RSP1/CPU0 t1 AUDIT Reply License End:
 request:Mobile(9) slot:4 grant:Not Pending(0) rc: 0x00000000 No error
Dec 17 20:43:33.480 vkg_lic/audit 0/RSP1/CPU0 t1 Agent Client Cmd End:Audit(5),
 slot:4 rc:0x00000000 No error

Attivare il debug

Se il problema persiste, attivare il debug e immettere una richiesta su richiesta per il rinnovo dei certificati o dei diritti. Questo debug deve raccogliere tutte le transazioni tra ASR9K e Cisco Cloud Services.

RP/0/RSP0/CPU0:ROA#debug smartlic
RP/0/RSP1/CPU0:ROA#show debug

#### debug flags set from tty 'aux0_RSP1_CPU0' ####
smartlic debug flag is ON with value 0

Non è disponibile il debug diretto di UI/Cisco Cloud Server. Inviare un'e-mail a asr9k-smart-lic@cisco.com con eventuali problemi.

Dispari ed estremi

1. Quando più caselle sono configurate per acquisire i diritti dallo stesso POOL DI LICENZE, anche se una sola periferica è soggetta a una licenza ONE, TUTTI i dispositivi sono OC. Ciò è dovuto principalmente al design che ha la vista del pool come contenitore. Il nuovo modello, l'organizzazione gerarchica dei pool attualmente in fase di elaborazione, affronta il comportamento nelle release future.
2. Inviare per e-mail qualsiasi output del comando show direttamente dalla console. Si notino le virgolette doppie e l'uso del punto e virgola dopo ogni comando. Call Home esegue molte operazioni non correlate a Smart Licensing. Questo è un esempio di come utilizzare Call Home. Si tratta di una configurazione in esecuzione che può essere modificata per qualsiasi ambiente.

   RP/0/RSP1/CPU0:ROA#show run call-home
   call-home
   service active
   site-id BUILDING20-125
   sender reply-to pasoltan@cisco.com
   sender from roa@cisco.com
   alert-group syslog
   alert-group snapshot
   alert-group inventory
   mail-server 171.68.58.10 priority 10
   mail-server 173.37.183.72 priority 20
   mail-server 2001:420:303:2008::24 priority 2
   mail-server mybastion.cisco.com priority 1
   phone-number +1-408-526-8438
   contact-email-addr sch-smart-licensing@cisco.com
   street-address 1550 E.Tasman Drive, San Jose, CA 9513
   profile CiscoTAC-1
   active
   destination address http https://tools.cisco.com/its/service/oddce/services/DDCEService
   reporting smart-call-home-data
   reporting smart-licensing-data
   destination transport-method http
   
   RP/0/RP1/CPU0:ROA#call-home send "show run call; admin show platform"
    email pasoltan@cisco.com msg-format long-text
   
   Sending ondemand CLI output call-home message ...
   Please wait. This may take some time ...

3. Il comando show call-home smartlic status usa la parola 'riuscita' che significa semplicemente che, dal punto di vista del processo di chiamata a casa, il trasporto dei messaggi da ASR9K a Cisco Cloud Server ha avuto esito positivo. Tuttavia, CIÒ NON significa che l'operazione end-to-end di licenza con i server cloud Cisco sia stata completata correttamente. Se ad esempio si verifica un problema con l'account, il certificato o così via con il portale, la funzione call-home trasporta il messaggio e ha esito positivo, ma il controllo totale delle licenze da parte dei server back-end potrebbe non riuscire.

   RP/0/RSP1/CPU0:ROA#show call-home smart-licensing statistics
   Success: Successfully sent and response received.
   Failed : Failed to send or response indicated error occurred.
   Inqueue: In queue waiting to be sent.
   Dropped: Dropped due to incorrect call-home configuration.
   
   Msg Subtype     Success Failed Inqueue Dropped Last-sent (GMT-08:00)
   ----------------------------------------------------------------------
   ENTITLEMENT     1       0       0       0       2014-12-17 21:08:35
   DEREGISTRATION  1       0       0       0       2014-12-17 14:33:17
   REGISTRATION    1       0       0       0       2014-12-17 21:07:53
   ACKNOWLEDGEMENT 1       0       1       0       2014-12-17 21:08:09
   RENEW           1       0       0       0       2014-12-17 21:08:57

4. Quando si configurano le interfacce di gestione con IPv4 e IPv6, l'ordine di risoluzione dei nomi in indirizzo IP o risoluzione DNS è innanzitutto IPv6.

   RP/0/RSP1/CPU0:ROA#show run int M*
   interface MgmtEth0/RSP0/CPU0/0
   cdp
   ipv4 address 172.27.130.64 255.255.255.128
   ipv6 address fe80::172:27:130:64 link-local
   ipv6 address 2001:420:303:2008:0:28:1:64/80
   ... snipped output ...

   RP/0/RSP1/CPU0:ROA#ping tools.cisco.com
   Type escape sequence to abort.
   Sending 5, 100-byte ICMP Echos to 2001:420:1201:5::a, timeout is 2 seconds:
   !!!!!
   Success rate is 100 percent (5/5), round-trip min/avg/max = 44/45/49 ms

   RP/0/RSP1/CPU0:ROA#ping ipv4 tools.cisco.com
   Type escape sequence to abort.
   Sending 5, 100-byte ICMP Echos to 173.37.145.8, timeout is 2 seconds:
   !!!!!
   Success rate is 100 percent (5/5), round-trip min/avg/max = 43/44/45 ms

Informazioni correlate

• Guida per l'utente di Smart Call Home - HTML
• Guida per l'utente di Smart Call Home - PDF
• Smart Call Home Security
• Cisco Support Community
• Video: configurare Call Home
• Comandi di Smart Licensing - HTML
• Comandi di Smart Licensing - PDF
• Informazioni generali: Smart Licensing
• Domande frequenti sulle licenze Smart
• Guida di Transport Gateway
• Domande frequenti su Transport Gateway
• Documentazione e supporto tecnico – Cisco Systems