FMCおよびFTDスマートライセンス登録と一般的な問題を使用したトラブルシューティング

    

はじめに

このドキュメントでは、Firepower Threat Defense(FTD)管理対象デバイスでのFirepower Management Center(FMC)のスマートライセンス登録の設定について説明します。

前提条件

要件

このドキュメントに関する固有の要件はありません。

使用するコンポーネント

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

FMC、FTD、およびスマートライセンス登録

スマートライセンス登録は、Firepower Management Center(FMC)で実行されます。 FMCは、インターネット経由でCisco License Centralポータルと通信します。Cisco License Centralでは、ファイアウォール管理者がスマートアカウントとそのライセンスを管理します。FMCでは、管理対象のFirepower Threat Defense(FTD)デバイスに対してライセンスを自由に割り当てたり、削除したりできます。つまり、FTDデバイスのライセンスはFMCで一元管理されます。

FTDデバイスの特定の機能を使用するには、追加のライセンスが必要です。お客様がFTDデバイスに割り当てることができるスマートライセンスタイプについては、「FTDのライセンスタイプと制限事項」に記載されています。

BaseライセンスはFTDデバイスに含まれています。このライセンスは、FMCがCisco License Centralに登録されると、スマートアカウントに自動的に登録されます。
期間ベースのライセンス：脅威、マルウェア、およびURLフィルタリングはオプションです。ライセンスに関連する機能を使用するには、ライセンスをFTDデバイスに割り当てる必要があります。

FTD管理にFirepower Management Center Virtual(FMCv)を使用するには、FMCvに対してCisco License CentralのFirepower MCvデバイスライセンスも必要です。

FMCvライセンスはソフトウェアに含まれており、無期限です。

また、発生する可能性のある一般的なライセンス登録エラーのトラブルシューティングに役立つシナリオも記載されています。

ライセンスの詳細については、「Cisco Firepowerシステム機能ライセンス」および「Firepowerライセンスに関するよく寄せられる質問(FAQ)」を参照してください。

FMCスマートライセンス登録

前提条件

1. スマートライセンスの登録に関して、FMCはインターネットにアクセスする必要があります。証明書はHTTPSを使用してFMCとスマートライセンスクラウドの間で交換されるため、通信に影響を与えたり、通信を変更したりする可能性のあるデバイスがパスにないことを確認します。（ファイアウォール、プロキシ、SSL復号化デバイスなど）。

2. 次の図に示すように、Cisco License Centralにアクセスし、Inventory > General > New TokenボタンでトークンIDを発行します。

強力な暗号化を使用するには、Allow export-controlled functionality on the products registered with this tokenオプションを有効にします。有効にすると、チェックボックスにチェックマークが表示されます。

3. Create Tokenを選択します。

FMCスマートライセンス登録

次の図に示すように、FMCでSystem> Licenses > Smart Licensesの順に移動し、Registerボタンを選択します。

Smart Licensing Product RegistrationウィンドウにトークンIDを入力し、次の図に示すようにApply Changesを選択します。

スマートライセンスが正常に登録されると、次の図に示すように、製品登録のステータスに登録済みと表示されます。

FTDデバイスに期間ベースライセンスを割り当てるには、Edit Licensesを選択します。次に、管理対象デバイスを選択して[Devices with license]セクションに追加します。最後に、次の図に示すようにApplyボタンを選択します。

Cisco License Central側での確認

FMCスマートライセンスの登録が正常に完了したことを確認するには、次の図に示すように、Cisco License CentralのInventory > Event Logで確認できます。

FMCの登録ステータスは、Inventory > Product Instancesで確認できます。Event Logタブでイベントログを確認します。  スマートライセンスの登録と使用状況は、インベントリ>ライセンスタブで確認できます。購入した期間ベースのライセンスが正しく使用され、ライセンス不足を示すアラートがないことを確認します。

FMCスマートライセンスの登録解除

Cisco License CentralからFMCの登録を解除する

何らかの理由でライセンスをリリースするか、別のトークンを使用するには、次の図に示すように、System > Licenses > Smart Licensesの順に移動し、登録解除ボタンを選択します。

Cisco License Central側からの登録の削除

Cisco License Centralにアクセスし、Inventory > Product Instancesから、対象のFMCのRemoveを選択します。次に、Remove Product Instanceを選択してFMCを削除し、次の図に示すように割り当て済みライセンスを解放します。

RMA

FMCが戻された場合は、「FMCスマートライセンスの登録解除>Cisco License Central側からの登録の削除」の項に記載されている手順に従ってCisco License CentralからFMCの登録を解除してから、「FMCスマートライセンスの登録」の項に記載されている手順に従ってFMCをCisco License Centralに再登録します。

トラブルシュート

時刻同期の検証

FMC CLI（SSHなど）にアクセスし、時刻が正しく、信頼できるNTPサーバと同期していることを確認します。証明書はスマートライセンス認証に使用されるため、FMCで正しい時刻情報を取得することが重要です。

admin@FMC:~$ date
Thu Jun 14 09:18:47 UTC 2020
admin@FMC:~$
admin@FMC:~$ ntpq -pn
     remote           refid      st t when poll reach   delay   offset  jitter
==============================================================================
*10.0.0.2        171.68.xx.xx     2 u  387 1024  377    0.977    0.469   0.916
 127.127.1.1     .SFCL.          13 l    -   64    0    0.000    0.000   0.000

FMC UIで、System > Configuration > Time Synchronizationの順に選択して、NTPサーバの値を確認します。

名前解決を有効にして、tools.cisco.comへの到達可能性を確認します(FMC 7.3以降ではsmartreceiver.cisco.com)。

FMCがFQDNを解決でき、tools.cisco.com(Cisco Bug ID CSCwj95397に記載されているように、FMC 7.3以降のsmartreceiver.cisco.com)に到達できることを確認します。        

> expert
admin@FMC2000-2:~$ sudo su
Password:
root@FMC2000-2:/Volume/home/admin# ping tools.cisco.com
PING tools.cisco.com (173.37.145.8) 56(84) bytes of data.
64 bytes from tools2.cisco.com (173.37.145.8): icmp_req=1 ttl=237 time=163 ms
64 bytes from tools2.cisco.com (173.37.145.8): icmp_req=2 ttl=237 time=163 ms

FMCのUIで、System > Configuration > Management Interfacesから管理IPとDNSサーバのIPを確認します。

FMCからtools.cisco.comへのHTTPS(TCP 443)アクセスの確認(smartreceiver.cisco.comはFMC 7.3+から)

Telnetまたはcurlコマンドを使用して、FMCにtools.cisco.com(FMC 7.3以降のsmartreceiver.cisco.com)へのHTTPSアクセスがあることを確認します。 TCP 443通信が切断されている場合は、ファイアウォールによってブロックされていないこと、およびパスにSSL復号化デバイスがないことを確認します。

root@FMC2000-2:/Volume/home/admin# telnet tools.cisco.com 443
Trying 72.163.4.38...
Connected to tools.cisco.com.
Escape character is '^]'.
^CConnection closed by foreign host.                    <--- Press Ctrl+C

カールテスト：

root@FMC2000-2:/Volume/home/admin# curl -vvk https://tools.cisco.com
*   Trying 72.163.4.38...
* TCP_NODELAY set
* Connected to tools.cisco.com (72.163.4.38) port 443 (#0)
* ALPN, offering http/1.1
* Cipher selection: ALL:!EXPORT:!EXPORT40:!EXPORT56:!aNULL:!LOW:!RC4:@STRENGTH
* successfully set certificate verify locations:
*   CAfile: /etc/ssl/certs/ca-certificates.crt
  CApath: none
* TLSv1.2 (OUT), TLS header, Certificate Status (22):
* TLSv1.2 (OUT), TLS handshake, Client hello (1):
* TLSv1.2 (IN), TLS handshake, Server hello (2):
* TLSv1.2 (IN), TLS handshake, Certificate (11):
* TLSv1.2 (IN), TLS handshake, Server finished (14):
* TLSv1.2 (OUT), TLS handshake, Client key exchange (16):
* TLSv1.2 (OUT), TLS change cipher, Change cipher spec (1):
* TLSv1.2 (OUT), TLS handshake, Finished (20):
* TLSv1.2 (IN), TLS change cipher, Change cipher spec (1):
* TLSv1.2 (IN), TLS handshake, Finished (20):
* SSL connection using TLSv1.2 / AES128-GCM-SHA256
* ALPN, server accepted to use http/1.1
* Server certificate:
*  subject: C=US; ST=CA; L=San Jose; O=Cisco Systems, Inc.; CN=tools.cisco.com
*  start date: Sep 17 04:00:58 2018 GMT
*  expire date: Sep 17 04:10:00 2020 GMT
*  issuer: C=US; O=HydrantID (Avalanche Cloud Corporation); CN=HydrantID SSL ICA G2
*  SSL certificate verify ok.
> GET / HTTP/1.1
> Host: tools.cisco.com
> User-Agent: curl/7.62.0
> Accept: */*
>
< HTTP/1.1 200 OK
< Date: Wed, 17 Jun 2020 10:28:31 GMT
< Last-Modified: Thu, 20 Dec 2012 23:46:09 GMT
< ETag: "39b01e46-151-4d15155dd459d"
< Accept-Ranges: bytes
< Content-Length: 337
< Access-Control-Allow-Credentials: true
< Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS
< Access-Control-Allow-Headers: Content-type, fromPartyID, inputFormat, outputFormat, Authorization, Content-Length, Accept, Origin
< Content-Type: text/html
< Set-Cookie: CP_GUTC=10.163.4.54.1592389711389899; path=/; expires=Mon, 16-Jun-25 10:28:31 GMT; domain=.cisco.com
< Set-Cookie: CP_GUTC=10.163.44.92.1592389711391532; path=/; expires=Mon, 16-Jun-25 10:28:31 GMT; domain=.cisco.com
< Cache-Control: max-age=0
< Expires: Wed, 17 Jun 2020 10:28:31 GMT
<
<html>
<head>
<script language="JavaScript">

var input = document.URL.indexOf('intellishield');
if(input != -1) {
 window.location="https://intellishield.cisco.com/security/alertmanager/";
}
else {
 window.location="http://www.cisco.com";
};

</script>
</head>

<body>
<a href="http://www.cisco.com">www.cisco.com</a>
</body>
</html>
* Connection #0 to host tools.cisco.com left intact
root@FMC2000-2:/Volume/home/admin#

DNSの検証

tools.cisco.com (FMC 7.3以降のsmartreceiver.cisco.com)への解決が正常に完了したことを確認します。

root@FMC2000-2:/Volume/home/admin# nslookup tools.cisco.com
Server:         192.0.2.100
Address:        192.0.2.100#53

Non-authoritative answer:
Name:   tools.cisco.com
Address: 72.163.4.38

プロキシの検証

プロキシを使用している場合は、FMCとプロキシサーバ側の両方の値を確認します。FMCで、FMCが正しいプロキシサーバIPとポートを使用しているかどうかを確認します。

root@FMC2000-2:/Volume/home/admin# cat /etc/sf/smart_callhome.conf 
KEEP_SYNC_ACTIVE:1
PROXY_DST_URL:https://tools.cisco.com/its/service/oddce/services/DDCEService
PROXY_SRV:192.0.xx.xx
PROXY_PORT:80

FMCのUIでプロキシの値を確認するには、System > Configuration > Management Interfacesの順に選択します。

FMC側の値が正しい場合は、プロキシサーバ側の値を確認します(たとえば、プロキシサーバがFMCおよびtools.cisco.comへのアクセスを許可している場合)。さらに、プロキシを介したトラフィックと証明書交換を許可します。FMCでは、スマートライセンス登録に証明書を使用します)。

期限切れのトークンID

発行されたトークンIDが期限切れでないことを確認します。有効期限が切れている場合は、Cisco License Centralの管理者に依頼して、新しいトークンを発行し、新しいトークンIDでスマートライセンスを再登録します。

FMCゲートウェイの変更

リレープロキシやSSL復号デバイスの影響で、スマートライセンス認証が正しく実行されない場合があります。可能であれば、FMCインターネットアクセスのルートを変更してこれらのデバイスを回避し、スマートライセンスの登録を再試行します。

FMCのヘルスイベントのチェック

FMCで、System > Health > Eventsの順に移動し、Smart License Monitorモジュールのステータスにエラーがないかどうかを確認します。たとえば、証明書の期限切れが原因で接続が失敗した場合、次の図に示すように、id certificated expiredなどのエラーが生成されます。

Cisco License Central側のイベントログの確認

FMCがCisco License Centralに接続できる場合は、Inventory > Event Logで接続のイベントログを確認します。このようなイベントログやエラーログがCisco License Centralにあるかどうかを確認します。FMCサイトの値/動作に問題がなく、Cisco License Central側にイベントログがない場合、FMCとCisco License Central間のルートに問題がある可能性があります。

一般的な問題

登録および承認の状態の概要：

製品登録状況	使用許可状態	注釈
未登録	—	FMCが登録モードでも評価モードでもない。これは、FMCのインストール後、または評価ライセンスの有効期限が90日後の初期状態です。
登録済み	承認済み	FMCはCisco License Centralに登録されており、有効なサブスクリプションで登録されているFTDデバイスがあります。
登録済み	認証が期限切れ	FMCがシスコライセンスバックエンドと通信できない期間が90日を超えました。
登録済み	未登録	FMCはCisco License Centralに登録されていますが、FMCにはFTDデバイスが登録されていません。
登録済み	コンプライアンス違反	FMCはCisco License Centralに登録されていますが、無効なサブスクリプションに登録されているFTDデバイスがあります。 たとえば、FTD(FP4112)デバイスはTHREATサブスクリプションを使用しますが、Cisco License Centralでは、FP4112に使用できるTHREATサブスクリプションはありません。
評価（90日）	N/A	評価期間は使用中ですが、FMCに登録されているFTDデバイスはありません。

ケース スタディ 1無効トークン

症状：次の図に示すように、無効なトークンが原因でCisco License Centralへの登録が急速に失敗します（10秒以内）。

解決策：有効なトークンを使用します。

ケース スタディ 2無効なDNS

症状：次の図に示すように、しばらくして（25秒以内）Cisco License Centralへの登録が失敗しました。

/var/log/process_stdout.logファイルをチェックします。DNSの問題が見られます。

root@FMC2000-2:/Volume/home/admin# cat /var/log/process_stdout.log
2020-06-25 09:05:21 sla[24043]: *Thu Jun 25 09:05:10.989 UTC: CH-LIB-ERROR: ch_pf_curl_send_msg[494], 
failed to perform, err code 6, err string "Couldn't resolve host name"

解決策：Cisco License Centralのホスト名解決に失敗しました。解決策は、DNSが設定されていない場合は、DNSを設定するか、DNSの問題を修正することです。

ケース スタディ 3無効な時刻値

症状：次の図に示すように、しばらくして（25秒以内）tCisco License Centralへの登録が失敗しました。

/var/log/process_stdout.logファイルをチェックします。証明書の問題が発生します。

2021-06-25 09:22:51 sla[24043]: *Fri Jun 25 09:22:39.716 UTC: CH-LIB-TRACE: ch_pf_curl_request_init[59], request "POST", url "https://tools.cisco.com/its/service/oddce/services/DDCEService"
2021-06-25 09:22:51 sla[24043]: *Fri Jun 25 09:22:39.716 UTC: CH-LIB-TRACE: ch_pf_curl_post_prepare[299], https related setting
2021-06-25 09:22:51 sla[24043]: *Fri Jun 25 09:22:39.716 UTC: CH-LIB-TRACE: ch_pf_curl_post_prepare[302], set ca info
2021-06-25 09:22:51 sla[24043]: *Fri Jun 25 09:22:39.716 UTC: CH-LIB-TRACE: ch_pf_curl_head_init[110], init msg header
2021-06-25 09:22:51 sla[24043]: *Fri Jun 25 09:22:40.205 UTC: CH-LIB-ERROR: ch_pf_curl_send_msg[494], 
failed to perform, err code 60, err string "SSL peer certificate or SSH remote key was not OK"
2021-06-25 09:22:51 sla[24043]: *Fri Jun 25 09:22:40.205 UTC: CH-LIB-TRACE: ch_pf_http_unlock[330], unlock http mutex.
2021-06-25 09:22:51 sla[24043]: *Fri Jun 25 09:22:40.205 UTC: CH-LIB-TRACE: ch_pf_send_http[365], send http msg, result 30
2021-06-25 09:22:51 sla[24043]: *Fri Jun 25 09:22:40.205 UTC: CH-LIB-TRACE: ch_pf_curl_is_cert_issue[514], 
cert issue checking, ret 60, url https://tools.cisco.com/its/service/oddce/services/DDCEService

FMC時間の値を確認します。

root@FMC2000-2:/Volume/home/admin# date
Fri Jun 25 09:27:22 UTC 2021

ケース スタディ 4サブスクリプションなし

特定の機能のライセンスサブスクリプションがない場合、FMCの導入は不可能です。

解決策：必要なサブスクリプションを購入してデバイスに適用する必要があります。

ケース スタディ 5コンプライアンス違反(OOC)

FTDサブスクリプションの権限がない場合、FMCスマートライセンスはコンプライアンス違反(OOC)状態になります。

Cisco License Centralで、アラートのエラーを確認します。

ケース スタディ 6強力な暗号化なし

Baseライセンスのみを使用する場合、FTD LINAエンジンでData Encryption Standard(DES)暗号化が有効になります。この場合、より強力なアルゴリズムを使用したL2Lバーチャルプライベートネットワーク(VPN)などの導入は失敗します。

解決策：FMCをCisco License Centralに登録し、強力な暗号化属性を有効にします。

追加情報

スマートライセンスの状態の通知の設定

Cisco License Centralによる電子メール通知

Cisco License Central側で、Cisco License Central電子メール通知を使用して、さまざまなイベントの要約電子メールを受信できます。たとえば、ライセンスの不足や期限切れ間近のライセンスに関する通知などです。製品インスタンスの接続または更新の失敗の通知を受け取ることができます。

この機能は、ライセンスの期限切れによる機能制限の発生を通知および防止するのに非常に便利です。

    

FMCからのヘルスアラート通知の取得

FMC側では、ヘルスモニタアラートを設定し、ヘルスイベントのアラート通知を受信することができます。モジュールスマートライセンスモニタを使用して、スマートライセンスのステータスを確認できます。モニタアラートは、Syslog、Eメール、およびSNMPトラップをサポートします。

スマートライセンスモニタイベントが発生したときにSyslogメッセージを取得する設定例を次に示します。

ヘルスアラートの例を次に示します。

FMCによって生成されるsyslogメッセージは次のとおりです。

Mar 13 18:47:10 xx.xx.xx.xx Mar 13 09:47:10 FMC : HMNOTIFY: Smart License Monitor (Sensor FMC): Severity: critical: Smart License usage is out of compliance

ヘルスモニタアラートの詳細については、『ヘルスモニタリング』を参照してください。

同じスマートアカウントの複数のFMC

同じスマートアカウントで複数のFMCを使用する場合、各FMCホスト名は一意である必要があります。Cisco License Centralで複数のFMCを管理する場合、各FMCを区別するために、各FMCのホスト名は一意である必要があります。これは、稼働中のFMCスマートライセンスメンテナンスに役立ちます。

FMCはインターネット接続を維持する必要がある

登録後、FMCはスマートライセンスクラウドとライセンスのステータスを30日ごとに確認します。FMCが90日間通信できない場合、ライセンスされた機能は維持されますが、ステータスはAuthorization Expiredのままになります。この状態でも、FMCは引き続きスマートライセンスクラウドへの接続を試みます。

複数のFMCvの導入

Firepowerシステムを仮想環境で使用する場合、クローン（ホットまたはコールド）は正式にはサポートされません。各Firepower Management Center(FMCv)の仮想(FMCv)は、内部に認証情報を持つため固有です。複数のFMCvを導入するには、Open Virtualization Format(OVF)ファイルからFMCvを1つずつ作成する必要があります。この制限の詳細については、『Cisco Firepower Management Center Virtual for VMware Deployment（VMware向けCisco FirePOWER Management Center仮想導入）クイックスタートガイド』を参照してください。

FAQ

FTD HAではデバイスライセンスがいくつ必要ですか。

ハイアベイラビリティで2つのFTDを使用する場合は、デバイスごとにライセンスが必要です。たとえば、侵入防御システム(IPS)と高度なマルウェア防御(AMP)機能をFTD HAペアで使用する場合は、2つの脅威とマルウェアのライセンスが必要です。

関連情報

• Firepower Management Center(FMC)設定ガイド

• Cisco Live Smart Licensingの概要：BRKARC-2034

• Cisco Secure Firewall Management Centerの機能ライセンス

• Cisco Smart Software Licensingに関してよく寄せられる質問(FAQ)

更新履歴

改定	発行日	コメント
7.0	04-Jun-2026	「Cisco Smart Software Manager(SSM)」の表記を「Cisco License Central」に置き換えます。
6.0	06-Mar-2026	再認定、書式設定、リンク、スタイルおよび代替テキスト。
5.0	14-Aug-2024	再認定
4.0	07-May-2024	FMC 7.3以降のバージョンに関するsmartreceiver.cisco.comの更新
2.0	20-Jul-2022	このドキュメントの内容を再確認し、CCWの分析と変更を行ってCisco.com PVSを改善しました。
1.0	20-Jul-2020	初版