Risoluzione dei problemi di ASA Smart Licensing dovuti alla modifica del tipo di trasporto predefinito

Introduzione

In questo documento vengono descritte le modifiche introdotte in ASA Smart Licensing come metodo di trasporto predefinito modificato da Callhome a Smart Transport.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

• CLI Adaptive Security Appliance
• Cisco Smart Licensing

Componente utilizzato

Le informazioni fornite in questo documento si basano su: 

• Cisco Adaptive Security Appliance 9.20(4)10

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Informazioni sulle funzionalità

Nelle nuove versioni ASA, il metodo di trasporto delle licenze predefinito è stato modificato in Smart Transport. La differenza principale consiste nel fatto che il dispositivo si connette a https://smartreceiver.cisco.com per rinnovare i diritti della licenza. Nelle versioni precedenti, che utilizzavano il metodo Callhome, il dispositivo si connetteva a https://tools.cisco.com.

Questa migrazione non richiede alcuna modifica della configurazione; tuttavia, il traffico diretto a https://smartreceiver.cisco.com deve essere autorizzato sui dispositivi upstream.

La modalità di trasporto è stata introdotta dalle versioni ASA menzionate:

• 9.20.4
• 9.22.1
• 9.23.1
• 9.24.1

Per verificare se il dispositivo utilizza Call Home o Smart Transport, utilizzare il comando show license status.

Verifica

Trasporto intelligente:

ASA# show license status
Smart Licensing is ENABLED
Utility:
  Status: DISABLED

Data Privacy:
  Sending Hostname: yes
    Callhome hostname privacy: DISABLED
    Smart Licensing hostname privacy: DISABLED
  Version privacy: DISABLED

Transport:
  Type: Smart <----
  URL: https://smartreceiver.cisco.com/licservice/license <----
  Proxy:
    Not Supported
  VRF:
    Not Supported

Callhome

ASA# show license status 

Smart Licensing is ENABLED

Utility:
  Status: DISABLED

Data Privacy:
  Sending Hostname: yes
    Callhome hostname privacy: DISABLED
    Smart Licensing hostname privacy: DISABLED
  Version privacy: DISABLED

Transport:
  Type: Callhome <----

Sulle versioni ASA che usano Smart Transport per impostazione predefinita, è possibile ripristinare Callhome se la risoluzione del problema di raggiungibilità con smartreceiver.cisco.com sta richiedendo tempo e si è verificata un'interruzione del servizio. Tuttavia, Callhome sarà deprecato in futuro, quindi assicurarsi di ripristinare la configurazione per utilizzare nuovamente Smart Transport non appena la connettività verrà ripristinata.

Smart Transport to Callhome

Riga di comando:

ASA# configure terminal
ASA(config)#
ASA(config-smart-lic)# transport type ?

smart-lic-mode mode commands/options:
  callhome  Use Smart Call Home as license message transport
  smart     Use Smart Transport as license message transport
ASA(config-smart-lic)# transport type callhome

ASDM:

Configurazione > Gestione dispositivi > Licenze > Smart Licensing

Callhome a Smart Transport

Riga di comando:

ASA# configure terminal
ASA(config)#
ASA(config-smart-lic)# transport type ?

smart-lic-mode mode commands/options:
  callhome  Use Smart Call Home as license message transport
  smart     Use Smart Transport as license message transport
ASA(config-smart-lic)# transport type smart

ASDM:

Configurazione > Gestione dispositivi > Licenze > Smart Licensing

Supporto proxy

Se l'ambiente richiede un proxy per la connessione a https://smartreceiver.cisco.com, configurare il proxy nella configurazione di Smart Licensing aggiungendo la porta proxy di trasporto [proxy] [porta].

Esempio:

ASA#configure terminal
ASA(config)#license smart
ASA(config-smart-lic)#transport proxy cisco-lab-proxy.cisco.com port 80 <----

Da ASDM, Configurazione > Gestione dispositivi > Smart Licensing

Durante la verifica delle impostazioni del proxy, tenere presente l'ID bug Cisco CSCwr56980.

Compatibilità 

Callhome rimane disponibile nelle versioni in cui Smart Transport è configurato come modalità predefinita. Per abilitare l'opzione Callhome, il tipo di trasporto deve essere impostato su Callhome nella configurazione della licenza:

ASA# show run license 
license smart
[..]
 transport type callhome <----

Problemi comuni

Sono rari gli scenari in cui sono stati osservati comportamenti diversi, alcuni dei quali hanno avuto un impatto sulla produzione dopo l'aggiornamento a una versione in cui anche il modello di licenza è stato aggiornato a Smart Transport.  

Scenario A

Condizione: ASA non è in grado di raggiungere Smart Authority.​

​

Stato: l'appliance ASA è autorizzata, senza impatto operativo (meno di 90 giorni).​

Registration:
  Status: REGISTERED
  Smart Account: Cisco Systems, TAC
  Virtual Account: EU TAC
  Export-Controlled Functionality: ALLOWED
  Initial Registration: SUCCEEDED on Jan 12 2026 13:09:43 UTC
  Last Renewal Attempt: None
  Next Renewal Attempt: Jul 11 2026 13:09:43 UTC
  Registration Expires: Jan 12 2027 13:04:42 UTC

License Authorization:
  Status: AUTHORIZED on Jan 12 2026 13:11:25 UTC
  Last Communication Attempt: FAILED on Jan 12 2026 13:11:25 UTC <----
  Failure reason: Communication message send error <----
  Next Communication Attempt: Jan 12 2026 13:11:55 UTC
  Communication Deadline: Apr 12 2026 13:04:55 UTC

Fasi risoluzione: 

1. Confermare che il metodo di trasporto di Smart Licensing configurato sul dispositivo sia Smart o Callhome.
2. Verificare che la risoluzione DNS funzioni correttamente verificando che il dispositivo sia in grado di risolvere e raggiungere il server appropriato: smartreceiver.cisco.com per il trasporto intelligente o tools.cisco.com per il trasporto a domicilio.
3. Dopo aver ripristinato la connettività, rinnovare l'autorizzazione della licenza eseguendo il comando: autorizzazione license smart renew.

Scenario B

Condizione:l'ASA non è in grado di raggiungere l'autorità intelligente per più di 90 giorni.

​

Stato: alla scadenza dell'autorizzazione della licenza, le funzionalità che richiedono licenze speciali sono soggette a restrizioni. In particolare, le sessioni ASAv AnyConnect sono limitate a due porte e il throughput è limitato a 100 kbps.

Registration:
  Status: REGISTERED
  Smart Account: Cisco Systems, TAC
  Virtual Account: EU TAC
  Export-Controlled Functionality: ALLOWED
  Initial Registration: SUCCEEDED on Dec 15 2022 02:52:47 UTC
  Last Renewal Attempt: FAILED on Dec 29 2025 07:20:08 UTC
  Failure reason: Communication message send error
  Next Renewal Attempt: Dec 29 2025 07:20:38 UTC
  Registration Expires: Jun 02 2026 03:15:26 UTC

License Authorization:
  Status: AUTH EXPIRED on Dec 29 2025 06:37:55 UTC
  Last Communication Attempt: FAILED on Dec 29 2025 06:37:55 UTC <----
  Failure reason: Communication message send error <----
  Next Communication Attempt: Dec 29 2025 07:37:55 UTC
  Communication Deadline: DEADLINE EXCEEDED <----

Licensed features for this platform:
Maximum VLANs                     : 1024           
Inside Hosts                      : Unlimited      
Failover                          : Active/Active  
Encryption-DES                    : Enabled        
Encryption-3DES-AES               : Enabled        
Security Contexts                 : 2              
Carrier                           : Disabled       
AnyConnect Premium Peers          : 2 <<<<<<             
AnyConnect Essentials             : Disabled       
Other VPN Peers                   : 10000          
Total VPN Peers                   : 10000          
AnyConnect for Mobile             : Disabled       
AnyConnect for Cisco VPN Phone    : Disabled       
Advanced Endpoint Assessment      : Disabled       
Shared License                    : Disabled       
Total TLS Proxy Sessions          : 2              
Botnet Traffic Filter             : Enabled        
Cluster                           : Enabled 

Fasi risoluzione: 

1. Confermare che il metodo di trasporto di Smart Licensing configurato sul dispositivo sia Smart Transport o Callhome.
2. Verificare che la risoluzione DNS funzioni correttamente verificando che il dispositivo sia in grado di risolvere e raggiungere il server appropriato: smartreceiver.cisco.com per Smart Transport o tools.cisco.com per Callhome Transport.
3. Dopo aver ripristinato la connettività, rinnovare l'autorizzazione della licenza eseguendo il comando: autorizzazione license smart renew.

Scenario C

Condizione: l'ASA è stata riavviata dopo oltre un anno di mancato raggiungimento della Smart Licensing Authority.

Stato: se un dispositivo viene riavviato dopo un anno di connettività non riuscita all'autorità di licenza, per impostazione predefinita viene impostata la modalità di valutazione, che disabilita le funzionalità controllate per l'esportazione (crittografia avanzata). Può causare l'interruzione della VPN, lo scenario di split-brain di failover o l'interruzione SSH. 

Status: REGISTERING - REGISTRATION IN PROGRESS​
Export-Controlled Functionality: NOT ALLOWED​
Initial Registration: FAILED on Dec 16 2025 12:59:29 UTC​
Failure reason: Communication message send error​
Next Registration Attempt: Dec 16 2025 14:00:10 UTC​

License Authorization: ​
Status: EVAL MODE

Fasi risoluzione:

1. Confermare che il metodo di trasporto di Smart Licensing configurato sul dispositivo sia Smart Transport o Callhome Transport.
2. Verificare che la risoluzione DNS funzioni correttamente verificando che il dispositivo sia in grado di risolvere e raggiungere il server appropriato: smartreceiver.cisco.com per Smart Transport o tools.cisco.com per Callhome Transport.
3. Al ripristino della connettività, registrare il dispositivo eseguendo il comando: license smart register idtoken [TOKEN].
4. "Non salvare la configurazione", in quanto il dispositivo è stato avviato senza le configurazioni relative alla crittografia. Anche se 'transport type callhome' è stato configurato in modalità license smart' per l'utilizzo di call-home, il dispositivo può essere ricaricato senza salvare la configurazione dopo la corretta registrazione, in modo da garantire il ripristino della configurazione crittografica originale.
5. Dopo aver avviato il dispositivo con la configurazione crittografica richiesta, risolvere il problema relativo alle licenze ripristinando la connettività all'autorità di licenza o configurando temporaneamente il comando 'transport type callhome' nella modalità secondaria 'license smart', finché non è consentita la connettività a smartreceiver.cisco.com.

​

Risoluzione dei problemi

• Verificare che sia possibile raggiungere smartreceiver.cisco.com e che DNS sia configurato correttamente per risolvere questo FQDN.
• A seconda del problema, è possibile utilizzare i debug HTTP e delle licenze.
  • debug http 255
  • debug license agent all
  • licenza debug 255
• Sono noti due bug software che possono causare problemi di connettività. La verifica può essere effettuata in base a:

'ID bug Cisco CSCwp10957': La suscettibilità è garantita se la versione del software Cisco ASA è inferiore a 9.20(4)14, 9.22(2)14 o 9.23(1)22.
'ID bug Cisco CSCws62173': La flessibilità è garantita se l'appliance ASA è in esecuzione su una piattaforma Secure Firewall serie 2100 (FP2100) con una versione software inferiore a 9.20(4)22, 9.22.3 o 9.24(1)9.

Informazioni correlate

• Guida alla configurazione della CLI per le operazioni generali di Cisco Secure Firewall ASA, 9.20 

Cronologia delle revisioni

Revisione	Data di pubblicazione	Commenti
1.0	21-May-2026	Versione iniziale