Chiave di attivazione per AnyConnect su ASA

Introduzione

In questo documento viene descritto come configurare e rimuovere la chiave di attivazione basata sul tempo su Cisco Adaptive Security Appliance (ASA) per i peer AnyConnect Premium. La chiave di attivazione basata sul tempo viene utilizzata per attivare le funzionalità per un periodo di tempo specifico.

Premesse

AnyConnect Premium e AnyConnect Essential erano utilizzati in modelli di licenze precedenti e sono obsoleti. Come per il nuovo modello di licenza, AnyConnect Apex corrisponde a AnyConnect Premium e AnyConnect Plus a AnyConnect Essential. AnyConnect Apex non è compatibile con le vecchie licenze. Pertanto, se si abilita Apex, il servizio Premium non verrà utilizzato; tuttavia, la licenza utilizzata sarà sotto forma di licenze Premium. Essentials disattivati perché non compatibili. Per verificare se la licenza Apex è abilitata o disabilitata, usare il comando debug menu license 23

La licenza AnyConnect Plus include questi tipi di VPN:

• SSL VPN
• VPN ad accesso remoto IPsec con IKEv2

La licenza AnyConnect Apex include questi tipi di VPN:

• SSL VPN
• VPN SSL senza client
• VPN ad accesso remoto IPsec con IKEv2

Per informazioni dettagliate sulle differenze tra le due licenze, consultare la seguente guida alle licenze:

https://www.cisco.com/c/en/us/products/collateral/security/anyconnect-og.html

Nota: La nuova chiave di licenza AnyConnect Plus, Apex o VPN Only non fa più uso dell'opzione Essentials. Per usare una nuova licenza, la funzione anyconnect-essentials deve essere disabilitata sull'appliance ASA usando il comando no anyconnect-essentials in webvpn. Durante l'installazione di una nuova chiave di licenza, un messaggio avvisa che la chiave Essentials non viene utilizzata durante l'installazione della nuova licenza. Se la funzione anyconnect-essentials sull'appliance ASA è disabilitata correttamente, si può procedere normalmente. 

Configurazione

Passaggio 1. È necessario ottenere la chiave di attivazione del prodotto (PAK) per il dispositivo. Il team che gestisce le licenze Cisco può contribuire a ottenere la chiave di attivazione con limiti di tempo per il periodo di tempo richiesto. 

Nota: Per soddisfare questo requisito, il numero di serie (SN) dell'appliance ASA deve essere recuperato dall'output del comando show version dell'appliance ASA e non da show inventory.

ciscoasa# show version

Cisco Adaptive Security Appliance Software Version 9.12(2)
Firepower Extensible Operating System Version 2.6(1.141)
Device Manager Version 7.12(2)

---omitted for brevity---

Licensed features for this platform:

Maximum VLANs :                       50                        perpetual
Inside Hosts :                        Unlimited                 perpetual
Failover :                            Active/Active             perpetual
Encryption-DES :                      Enabled                   perpetual
Encryption-3DES-AES :                 Enabled                   perpetual
Security Contexts :                   2                         perpetual
Carrier :                             Disabled                  perpetual
AnyConnect Premium Peers :            2                         perpetual
AnyConnect Essentials :               Disabled                  perpetual
Other VPN Peers :                     100                       perpetual
Total VPN Peers :                     100                       perpetual
AnyConnect for Mobile :               Disabled                  perpetual
AnyConnect for Cisco VPN Phone :      Disabled                  perpetual
Advanced Endpoint Assessment :        Enabled                   perpetual
Shared License :                      Disabled                  perpetual
Total TLS Proxy Sessions :            320                       perpetual
Botnet Traffic Filter :               Disabled                  perpetual
Cluster :                             Disabled                  perpetual

Serial Number: 9A5KG6HTQSB
Running Permanent Activation Key: 0xa339d567 0xa8df641f 0x9193bd58 0xc6344cb4 0x031bfbaa 

Passaggio 2. Il team che gestisce le licenze riceve due chiavi di attivazione per lo stesso numero di serie della piattaforma ASA.

 Esempio di chiave PAK ricevuta dalla licenza:

-------------------------------------------------------------
THE FOLLOWING ACTIVATION KEY IS VALID FOR:
ASA SOFTWARE RELEASE 8.2+ ONLY

Platform = asa

9A5KG6HTQSB: 0x5376dfc2 0x99806c06 0x9d8c5acf 0xc0a4da97 0x8512c481

--------------------------------------------------------------
THE FOLLOWING ACTIVATION KEY IS VALID FOR:
ALL ASA SOFTWARE RELEASES, BUT EXCLUDES ANY
8.2+ FEATURES FOR BACKWARDS COMPATIBILITY.

Platform = asa

9A5KG6HTQSB: 0x2722ea6c 0x6041d059 0xc930c908 0xcfe8c498 0x463cc092

---------------------------------------------------------------

Passaggio 3. Copiare la chiave di attivazione e applicare la chiave copiata sull'appliance ASA.

ASA(config)# activation-key 0x5376dfc2 0x99806c06 0x9d8c5acf 0xc0a4da97 0x8512c481

Passaggio 4. Dopo aver applicato la licenza, è necessario salvare la configurazione (memoria di scrittura).

La procedura di applicazione temporanea della funzione di licenza sulla piattaforma ASA è stata completata.

Verifica

La nuova licenza può essere verificata come mostrato di seguito:

ciscoasa# show version

Cisco Adaptive Security Appliance Software Version 9.12(2)
Firepower Extensible Operating System Version 2.6(1.141)
Device Manager Version 7.12(2)

---omitted for brevity---

Licensed features for this platform:

Maximum VLANs :                       50                      perpetual
Inside Hosts :                       Unlimited                perpetual
Failover :                           Active/Active            perpetual
Encryption-DES :                     Enabled                  perpetual
Encryption-3DES-AES :                Enabled                  perpetual
Security Contexts :                  2                        perpetual
Carrier :                            Disabled                 perpetual
AnyConnect Premium Peers :           500                      14 days
AnyConnect Essentials :              Disabled                 perpetual
Other VPN Peers :                    100                      perpetual
Total VPN Peers :                    100                      perpetual
AnyConnect for Mobile :              Disabled                 perpetual
AnyConnect for Cisco VPN Phone :     Disabled                 perpetual
Advanced Endpoint Assessment :       Enabled                  perpetual
Shared License :                     Disabled                 perpetual
Total TLS Proxy Sessions :           320                      perpetual
Botnet Traffic Filter :              Disabled                 perpetual
Cluster :                            Disabled                 perpetual

Serial Number: 9A5KG6HTQSB
Running Permanent Activation Key: 0xa339d567 0xa8df641f 0x9193bd58 0xc6344cb4 0x031bfbaa 
Running Timebased Activation Key: 0x5376dfc2 0x99806c06 0x9d8c5acf 0xc0a4da97 0x8512c481

Nell'output precedente, abbiamo la nuova licenza con limiti di tempo valida per 2 settimane (14 giorni). Dopo 14 giorni, la licenza AnyConnect Premium viene sovrascritta dalla chiave di attivazione permanente sull'appliance ASA.

Nota: Se l'appliance ASA viene eseguita solo con una chiave di attivazione basata sul tempo, dopo questo periodo di tempo specifico il dispositivo tornerà alla funzionalità predefinita della licenza.

Per rimuovere la chiave di attivazione basata sul tempo entro 14 giorni e applicare nuovamente la licenza perpetua preesistente, disattivare la chiave basata sul tempo di esecuzione come mostrato di seguito:

ASA(config)# activation-key 0x5376dfc2 0x99806c06 0x9d8c5acf 0xc0a4da97 0x8512c481 deactivate