Introduzione

In questo documento viene descritto come configurare e rimuovere la chiave di attivazione basata sul tempo su Cisco Adaptive Security Appliance (ASA) per i peer AnyConnect Premium. La chiave di attivazione basata sul tempo viene utilizzata per attivare le funzionalità per un periodo di tempo specifico.

Premesse

AnyConnect Premium e AnyConnect Essential erano utilizzati in modelli di licenze precedenti e sono obsoleti. Come per il nuovo modello di licenza, AnyConnect Apex corrisponde a AnyConnect Premium e AnyConnect Plus a AnyConnect Essential. AnyConnect Apex non è compatibile con le vecchie licenze. Pertanto, se si abilita Apex, il servizio Premium non verrà utilizzato; tuttavia, la licenza utilizzata sarà sotto forma di licenze Premium. Essentials disattivati perché non compatibili. Per verificare se la licenza Apex è abilitata o disabilitata, usare il comando debug menu license 23

La licenza AnyConnect Plus include questi tipi di VPN:

- SSL VPN

- VPN ad accesso remoto IPsec con IKEv2

La licenza AnyConnect Apex include questi tipi di VPN:

- SSL VPN

- VPN SSL senza client

- VPN ad accesso remoto IPsec con IKEv2

Per informazioni dettagliate sulle differenze tra le due licenze, consultare la seguente guida alle licenze:

https://www.cisco.com/c/en/us/products/collateral/security/anyconnect-og.html

Nota: La nuova chiave di licenza AnyConnect Plus, Apex o VPN Only non fa più uso dell'opzione Essentials. Per usare una nuova licenza, la funzione anyconnect-essentials deve essere disabilitata sull'appliance ASA usando il comando no anyconnect-essentials in webvpn. Durante l'installazione di una nuova chiave di licenza, un messaggio avvisa che la chiave Essentials non viene utilizzata durante l'installazione della nuova licenza. Se la funzione anyconnect-essentials sull'appliance ASA è disabilitata correttamente, si può procedere normalmente.

Configurazione

Passaggio 1. È necessario ottenere la chiave di attivazione del prodotto (PAK) per il dispositivo. Il team che gestisce le licenze Cisco può contribuire a ottenere la chiave di attivazione con limiti di tempo per il periodo di tempo richiesto.

Nota: Per soddisfare questo requisito, il numero di serie (SN) dell'appliance ASA deve essere recuperato dall'output del comando show version dell'appliance ASA e non da show inventory.

ciscoasa# show version

Cisco Adaptive Security Appliance Software Version 9.12(2)

Firepower Extensible Operating System Version 2.6(1.141)

Device Manager Version 7.12(2)

---omitted for brevity---

Licensed features for this platform:

Maximum VLANs :                       50                        perpetual

Inside Hosts :                        Unlimited                 perpetual

Failover :                            Active/Active             perpetual

Encryption-DES :                      Enabled                   perpetual

Encryption-3DES-AES :                 Enabled                   perpetual

Security Contexts :                   2                         perpetual

Carrier :                             Disabled                  perpetual

AnyConnect Premium Peers :            2                         perpetual

AnyConnect Essentials :               Disabled                  perpetual

Other VPN Peers :                     100                       perpetual

Total VPN Peers :                     100                       perpetual

AnyConnect for Mobile :               Disabled                  perpetual

AnyConnect for Cisco VPN Phone :      Disabled                  perpetual

Advanced Endpoint Assessment :        Enabled                   perpetual

Shared License :                      Disabled                  perpetual

Total TLS Proxy Sessions :            320                       perpetual

Botnet Traffic Filter :               Disabled                  perpetual

Cluster :                             Disabled                  perpetual

Serial Number: 9A5KG6HTQSB

Running Permanent Activation Key: 0xa339d567 0xa8df641f 0x9193bd58 0xc6344cb4 0x031bfbaa

Passaggio 2. Il team che gestisce le licenze riceve due chiavi di attivazione per lo stesso numero di serie della piattaforma ASA.

Esempio di chiave PAK ricevuta dalla licenza:

-------------------------------------------------------------

THE FOLLOWING ACTIVATION KEY IS VALID FOR:

ASA SOFTWARE RELEASE 8.2+ ONLY

Platform = asa

9A5KG6HTQSB: 0x5376dfc2 0x99806c06 0x9d8c5acf 0xc0a4da97 0x8512c481

--------------------------------------------------------------

THE FOLLOWING ACTIVATION KEY IS VALID FOR:

ALL ASA SOFTWARE RELEASES, BUT EXCLUDES ANY

8.2+ FEATURES FOR BACKWARDS COMPATIBILITY.

Platform = asa

9A5KG6HTQSB: 0x2722ea6c 0x6041d059 0xc930c908 0xcfe8c498 0x463cc092

---------------------------------------------------------------

Passaggio 3. Copiare la chiave di attivazione e applicare la chiave copiata sull'appliance ASA.

ASA(config)# activation-key 0x5376dfc2 0x99806c06 0x9d8c5acf 0xc0a4da97 0x8512c481

Passaggio 4. Dopo aver applicato la licenza, è necessario salvare la configurazione (memoria di scrittura).

La procedura di applicazione temporanea della funzione di licenza sulla piattaforma ASA è stata completata.

Verifica

La nuova licenza può essere verificata come mostrato di seguito:

ciscoasa# show version

Cisco Adaptive Security Appliance Software Version 9.12(2)

Firepower Extensible Operating System Version 2.6(1.141)

Device Manager Version 7.12(2)

---omitted for brevity---

Licensed features for this platform:

Maximum VLANs :                       50                      perpetual

Inside Hosts :                       Unlimited                perpetual

Failover :                           Active/Active            perpetual

Encryption-DES :                     Enabled                  perpetual

Encryption-3DES-AES :                Enabled                  perpetual

Security Contexts :                  2                        perpetual

Carrier :                            Disabled                 perpetual

AnyConnect Premium Peers :           500                      14 days

AnyConnect Essentials :              Disabled                 perpetual

Other VPN Peers :                    100                      perpetual

Total VPN Peers :                    100                      perpetual

AnyConnect for Mobile :              Disabled                 perpetual

AnyConnect for Cisco VPN Phone :     Disabled                 perpetual

Advanced Endpoint Assessment :       Enabled                  perpetual

Shared License :                     Disabled                 perpetual

Total TLS Proxy Sessions :           320                      perpetual

Botnet Traffic Filter :              Disabled                 perpetual

Cluster :                            Disabled                 perpetual

Serial Number: 9A5KG6HTQSB

Running Permanent Activation Key: 0xa339d567 0xa8df641f 0x9193bd58 0xc6344cb4 0x031bfbaa

Running Timebased Activation Key: 0x5376dfc2 0x99806c06 0x9d8c5acf 0xc0a4da97 0x8512c481

Nell'output precedente, abbiamo la nuova licenza con limiti di tempo valida per 2 settimane (14 giorni). Dopo 14 giorni, la licenza AnyConnect Premium viene sovrascritta dalla chiave di attivazione permanente sull'appliance ASA.

Nota: Se l'appliance ASA viene eseguita solo con una chiave di attivazione basata sul tempo, dopo questo periodo di tempo specifico il dispositivo tornerà alla funzionalità predefinita della licenza.

Per rimuovere la chiave di attivazione basata sul tempo entro 14 giorni e applicare nuovamente la licenza perpetua preesistente, disattivare la chiave basata sul tempo di esecuzione come mostrato di seguito:

ASA(config)# activation-key 0x5376dfc2 0x99806c06 0x9d8c5acf 0xc0a4da97 0x8512c481 deactivate