NSO로 Smart 라이센스 구성

소개

이 문서에서는 다양한 NSO(Network Services Orchestrator) 라이센스와 Cisco Smart License®를 사용하여 라이센스를 활성화하는 방법에 대해 설명합니다.

사전 요구 사항 

요구 사항

다음 주제에 대한 지식을 보유하고 있으면 유용합니다.

• NSO CLI 사용 방법
• NSO 트러블슈팅
• 기본 Linux 지식  

사용되는 구성 요소

이 문서의 정보는 다음 소프트웨어 및 하드웨어 버전을 기반으로 합니다.

• NSO 6.x
• NSO 5.x

• NSO 4.5 이상
• NSO 4.4
• NSO 4.1/4.2/4.3

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우 모든 명령의 잠재적인 영향을 미리 숙지하시기 바랍니다.

NSO 라이센스

참고: 사용자는 유효한 NSO 라이센스를 보유해야 합니다.

 NSO에서 사용하는 라이센스는 다음과 같습니다.

참고: 이 PID는 패키지 PID(Packet Identifier)에 포함될 수 있으므로(ESC 등이 포함된 번들) 이러한 PID가 순서대로 나타나지 않을 수 있습니다.

Smart Account 및 Virtual Account

NSO를 포함한 각 제품은 Cisco 서버에 자체 활성화를 위한 라이센스를 획득하도록 요청합니다. 기본적으로 가 제품에 대해 충분한 수의 라이센스를 구매했으며 사용할 수 있는지 확인합니다.

한 조직에 하나의 Smart Account가 할당됩니다. A 회사를 예로 들어보겠습니다.

• A 회사는 X, Y, Z 부서를 둘 수 있으며 라이센스를 별도로 관리하려고 합니다.
• 각 부서에 가상 어카운트를 할당할 수 있습니다.

각 가상 어카운트에 대해 토큰을 생성할 수 있습니다. 우리는 토큰을 사용하여 제품에서 가상 어카운트에 액세스합니다.

Smart Software Manager에서 가상 어카운트의 라이센스 상태는 다음과 같습니다.

구성

NSO를 Smart Licensing 서버에 연결하는 방법에는 다양한 방법이 있을 수 있으며, NSO가 설치된 환경에 따라 다릅니다. 이 문서에서는 NSO와 Cisco Licensing 서버 간의 다양한 통합에 대해서도 간략하게 설명합니다.

1단계. 토큰 생성

1. 새 토큰을 만들려면 사용자 ID/또는 CCO ID로 CSSM(Cisco Smart Software Manager)에 로그인하고 적절한 가상 어카운트를 선택합니다. 계속하려면 Manage licenses(라이센스 관리)를 클릭합니다. Cisco Software Central에서 링크를 찾습니다.

2. 재고 탭을 클릭하고 작업할 가상 어카운트를 선택합니다.

 3. CSSM에서 새 토큰을 클릭합니다.

필요한 정보를 입력합니다. 만료일은 토큰이 유효한 기간을 나타내므로 사용자는 며칠 내에 생성된 토큰을 사용해야 합니다. Short와 Long은 편의성과 보안 위험 사이에서 균형을 잡아야 합니다. 또한, 라이선스가 유효하게 되는 기간이 문제가 아닙니다.

5. 새로 생성된 토큰이 테이블에 있습니다.

6. 토큰 링크를 클릭하여 팝업 창을 표시합니다. 대화 상자의 토큰을 클립보드에 복사합니다.

2단계. 토큰 등록 준비

등록 방법은 다음과 같습니다(직접/프록시/위성).  

NSO 또는 Cisco 제품에 스마트 라이센스가 필요한 경우 Cisco Smart Software Manager(또는 Cisco Cloud)에 문의하여 직접 등록하십시오.

Smart License 지원 환경을 설정하는 4가지 주요 옵션은 다음과 같습니다.

옵션 1. 직접 클라우드 액세스

이 방법을 사용하면 NSO 서버가 Cisco Cloud와 https로 직접 통신할 수 있어야 합니다. HTTP 사용은 지원되지만 보안상의 이유로 권장되지 않습니다.

이 방법에서, 등록 프로세스는 특별한 구성 없이 시작될 수 있다.

옵션 2. HTTPS 프록시를 통한 직접 클라우드 액세스

HTTP(S) 프록시 서버를 사용하여 인터넷의 웹에 연결해야 하는 경우 NSO의 스마트 에이전트가 프록시 서버 정보로 구성되어야 합니다.

옵션 2를 사용하는 경우 smart-agent는 등록 요청을 Cisco에 직접 보내지 않고 프록시 서버에 보내도록 안내해야 합니다.

구성은 버전에 따라 다릅니다. 

NSO 4.5 이상

NSO 4.5에서 이제 ncs.conf를 통해 smart-license 컨피그레이션을 구성할 수 있습니다. smart-license 컨피그레이션이 ncs.conf 및 NSO CDB에 모두 있는 경우 ncs.conf의 컨피그레이션이 우선합니다.

즉, ncs.conf에 다른 컨피그레이션이 있는 경우 smart-license smart-agent override-url https://10.1.2.3/ 와 같은 명령이 적용되지 않습니다. NSO 시스템 설치를 수행할 때 기본적으로 ncs.conf에는 다음이 포함됩니다.

<smart-license>
  <smart-agent>
    <java-executable>DEFAULT</java-executable>
    <java-options>DEFAULT</java-options>
    <production-url>DEFAULT</production-url>
    <alpha-url>DEFAULT</alpha-url>
    <override-url>
      <url>DEFAULT</url>
    </override-url>
    <proxy>
      <url>DEFAULT</url>
    </proxy>
  </smart-agent>
</smart-license>

DEFAULT는 $install_dir/src/ncs/yang/tailf-ncs-smart-license.yang에 정의된 기본값을 사용함을 의미합니다.

대신 NCS.conf에 나열된 leaf를 NSO CDB에서 구성하려면 ncs.conf에서 해당 항목을 제거하고 /etc/init.d/ncs reload를 수행합니다.

NSO 4.4

이 경로에 프록시 URL을 구성합니다.

smart-license smart-agent 프록시 url <프록시 url>

admin@ncs(config)# smart-license smart-agent proxy url https://10.10.10.10:8080
admin@ncs(config)#

기본 컨피그레이션에서 NSO는 https://tools.cisco.com/its/service/oddce/services/DCES서비스HTTPS 프록시를 사용해야 합니다.

이 프록시 컨피그레이션은 HTTPS와 HTTP 모두에 대해 자동으로 설정되므로, 옵션 3. 또는 4에서 설명한 Satellite 사용을 위해 대상 URL을 HTTP로 변경할 경우 하나의 컨피그레이션에서 두 경우를 모두 처리할 수 있습니다.

옵션 3. 온프레미스 컬렉터를 통해 조정된 액세스

NSO 네트워크가 인터넷에 직접 연결되지 않는 경우가 많습니다. 옵션 2 이외에 Smart Software Manager Satellite를 도입할 수 있습니다. NSO가 Cisco Cloud에 직접 메시지를 교환할 필요가 없도록 합니다.

Smart Software Manager Satellite의 제품 세부 정보는 여기서 확인할 수 있습니다.

설치 방법은 링크에서 설치 설명서를 참조하십시오.

이 방법을 사용하면 NSOl이 Cisco 클라우드 대신 Satellite와 통신합니다. 

대상을 변경하려면 override-url을 수정할 수 있습니다.

admin@ncs(config)# smart-license smart-agent override-url url https://10.1.2.3/
admin@ncs(config)#

이 URL은 Smart Software Manager Satellite의 관리 웹에서 찾을 수 있습니다.

옵션 4: 온프레미스 컬렉터를 통한 조정된 액세스 - 연결 끊김

이 방법은 NSO 관점에서의 방법 (3)과 정확히 동일하다. 차이점은 Smart Software Manager Satellite에서 Cisco Cloud와 동기화하는 방법뿐입니다.

3단계. 토큰 등록

토큰을 사용한 후 생성된 토큰으로 NSO를 Cisco 서버에 활성화합니다. 토큰은 CSSM에 등록하기 위해 NSO CLI에서 사용됩니다. 명령을 입력하면 등록 프로세스가 비동기적으로 시작됩니다.

admin@ncs# smart-license register idtoken YWVlMmQ3ZjEtYT....
result Registration process in progress. Use the 'show license status' command to check the progress and result.
admin@ncs#

다음을 확인합니다.

구성이 올바르게 작동하는지 확인하려면 이 섹션을 활용하십시오.

등록 전

스마트 라이센싱은 항상 활성화되어 있습니다. 이 출력은 NSO가 등록되지 않았으며 EVAL MODE에서 89일 23시간 후에 만료됨을 나타냅니다.

admin@ncs# show license status

Smart Licensing is ENABLED

Registration:
  Status: UNREGISTERED
  Export-Controlled Functionality: Allowed

License Authorization:
  Status: EVAL MODE
  Evaluation Period Remaining: 89 days, 23 hr, 17 min, 36 sec
  Last Communication Attempt: NONE
  Next Communication Attempt: NONE
Development mode: enabled
admin@ncs#

show license status 명령을 사용하여 등록 상태를 확인할 수 있습니다. 등록이 계속 진행 중인 경우 명령은 이 출력을 표시하고 다음과 같이 표시합니다. "등록 보류 중".

<계속 등록 중...>

admin@ncs# show license status

Smart Licensing is ENABLED

Registration:
  Status: UNREGISTERED - REGISTRATION PENDING
  Initial Registration: First Attempt Pending
  Export-Controlled Functionality: Allowed

License Authorization:
  Status: EVAL MODE
  Evaluation Period Remaining: 89 days, 23 hr, 16 min, 36 sec
  Last Communication Attempt: SUCCEEDED on Aug 3 09:41:56 2016 UTC
  Next Communication Attempt: NONE
Development mode: enabled
admin@ncs#

잠시 후에 등록이 완료됩니다. REGISTERED(등록됨) 상태가 표시되면 시스템이 CSSM에 등록됩니다.

<등록됨!!>

admin@ncs# show license status

Smart Licensing is ENABLED

Registration:
  Status: REGISTERED
  Smart Account: BU Production Test
  Virtual Account: TAC-Japan-Cloudorch
  Export-Controlled Functionality: Allowed
  Initial Registration: SUCCEEDED on Aug 4 05:29:52 2016 UTC
  Last Renewal Attempt: SUCCEEDED on Aug 4 05:30:03 2016 UTC
  Next Renewal Attempt: Jan 31 05:30:03 2017 UTC
  Registration Expires: Aug 4 05:24:56 2017 UTC
  Export-Controlled Functionality: Allowed

License Authorization:

License Authorization:
  Status: AUTHORIZED on Aug 4 05:30:05 2016 UTC
  Last Communication Attempt: SUCCEEDED on Aug 4 05:25:02 2016 UTC
  Next Communication Attempt: Sep 3 05:30:07 2016 UTC
  Communication Deadline: Aug 4 05:24:56 2017 UTC
Development mode: enabled
admin@ncs#

사용(인증된 상태)

어떤 라이센스가 사용되는지 show license summary 명령으로 확인할 수 있습니다. 이 예에서는 NSO-platform-production, NSO-network-element 및 cisco-ios-NED가 시스템에 사용됩니다. License Authorization(라이센스 권한 부여) 상태가 "AUTHORIZED(권한 부여됨)"입니다. 즉, 라이센스가 필요한 모든 구성 요소가 합법적인 상태에서 올바르게 작동하고 있습니다.

admin@ncs# show license summary
Smart Licensing is ENABLED

Registration:
  Status: REGISTERED
  Smart Account: COMPANY A
  Virtual Account: Network Department
  Last Renewal Attempt: None
  Next Renewal Attempt: Jan 31 05:33:02 2017 UTC

License Authorization:
  Status: AUTHORIZED
  Last Communication Attempt: SUCCEEDED
  Next Communication Attempt: Sep 3 05:33:06 2016 UTC

License Usage:
  License                     Entitlement Tag                                                                                Count        Status
  ----------------------------------------------------------------------------------------------------------------------------------------------
  348fbb21-7edf-42bb-baa7-198903058a54regid.2016-04.com.cisco.NSO-platform-production,4.2_348fbb21-7edf-42bb-baa7-198903058a54       1            InCompliance
  5d641fa0-757d-43b0-a926-166cb6e3cfddregid.2015-10.com.cisco.NSO-network-element,1.0_5d641fa0-757d-43b0-a926-166cb6e3cfdd           3            InCompliance
  d9eca34d-1f6a-4595-ad74-9c0c57e03c27regid.2015-10.com.cisco.cisco-ios-NED,1.0_d9eca34d-1f6a-4595-ad74-9c0c57e03c27                 1            InCompliance

Development mode: disabled
admin@ncs#

다른 예에서 show license usage 명령의 출력입니다. 이 예에서는 cisco-iosxr-NED도 추가되며 상태는 OutOfCompliance입니다. 이는 CSSM에 등록해도 무방하지만, 가상 어카운트에서 cisco-iosxr-NED에 대한 라이센스가 충분하지 않음을 나타냅니다. cisco-iosxr-NED의 규정 준수 상태가 아니므로 전체 상태는 OUT_OF_COMPLIANCE입니다.

admin@ncs # show license usage  

License Authorization Status : OUT_OF_COMPLIANCE  as of Oc  24 06:14:11 2016 UTC 

NSO-platform-production (regid.2016-04.com.cisco.NSO-platform-production, 1.0_d1445dab-9d96-4593-99f2-6f633b8a759c) 
 Description : API unavailable 
 Count : 1 
 Version : 1.0 
 Status : InCompliance 

NSO-network-element (regid.2015-10.com.cisco.NSO-network-element, 1.0_5d641fa0-757d-43b0-a926-166cb6e3cfdd) 
 Description : API unavailable 
 Count : 3 
 Version : 1.0 
 Status : InCompliance 

cisco-ios-NED (regid.2015-10.com.cisco.cisco-ios-NED, 1.0_d9eca34d-1f6a-4595-ad74-9c0c57e03c27) 
 Description : API unavailable 
 Count : 1 
 Version : 1.0 
 Status : InCompliance 

cisco-iosxr-NED (regid.2015-10.com.cisco.cisco.cisco-iosxr-NED, 1.0_9956fc34-cbed-4d13-a1ea-6a36f4e40a99) 
 Description : API unavailable 
 Count : 1 
 Version : 1.0 
 Status : OutOfCompliance 

문제 해결

스마트 라이선스 기능에서 디버그를 사용하도록 설정해 보십시오. debug를 활성화하면 /smart-license/smart-agent/stdout-capture/file에 지정된 파일에 디버그 로그가 생성됩니다. smart license debug는 많은 로그를 생성하며, 데이터 수집 후 디버그를 비활성화하는 것이 좋습니다.

디버그 활성화

admin@ncs# debug smart_lic all
ok
admin@ncs#

디버그 비활성화

admin@ncs# no debug smart_lic all
ok
admin@ncs#

Smart 라이센스 로그 컨피그레이션

admin@ncs# show running-config smart-license
smart-license smart-agent stdout-capture disabled
smart-license smart-agent stdout-capture file ./logs/ncs-smart-licensing.log
admin@ncs#

스마트 라이센스 로그 사용

admin@ncs(config)# smart-license smart-agent stdout-capture enabled
admin@ncs(config)# commit
Commit complete.
admin@ncs(config)#

CSSM 온프레미스 SSL 인증서 갱신

온프레미스 CSSM이 있는 고객의 경우, SSL 인증서가 만료된 경우 NSO가 서버에 연결하지 못할 수 있습니다.

onprem.crt 파일을 생성하여 문제를 해결하기 위한 단계는 다음과 같습니다.

1. openssl(일반적으로 사용되는 포트는 443임)을 사용하여 CSSM 서버에서 새 인증서를 수집합니다.

openssl s_client -showcerts -connect <>:443 | openssl x509 -out onprem.crt

2. 인증서를 가져올 디렉터리를 찾습니다. 기본 디렉토리는 /etc/pki/ca-trust/extracted/java/cacerts입니다. 이를 찾기 위해 시스템에서 cacerts 디렉토리를 검색하는 명령과 출력의 예를 들어 보겠습니다.

[root@localhost /]# find / -name cacerts 2>/dev/null | xargs -I {} ls -l {}
-r--r--r--. 1 root root 156478 Jun 26 08:02 /etc/pki/ca-trust/extracted/java/cacerts
lrwxrwxrwx. 1 root root 40 Aug 25  2022 /etc/pki/java/cacerts -> /etc/pki/ca-trust/extracted/java/cacerts
lrwxrwxrwx. 1 root root 21 Jun 15 04:52 /etc/java/java-17-openjdk/java-17-openjdk-17.0.15.0.6-3.el9.x86_64/lib/security/cacerts -> /etc/pki/java/cacerts
[root@localhost /]# 

3. 인증서를 로드합니다. 키 저장소의 기본 비밀번호는 changeit입니다.

sudo keytool -import -alias ssm_onprem -file onprem.crt -keystore /etc/pki/ca-trust/extracted/java/cacerts

3.1 (선택 사항) 인증서가 제대로 로드되었는지 확인하려면 다음 명령을 실행합니다.

root@Ubuntu-24-9:/home/nso# keytool -list -keystore /etc/ssl/certs/java/cacerts -storepass changeit -alias ssm_onprem
Warning: use -cacerts option to access cacerts keystore
ssm_onprem, Aug 4, 2025, trustedCertEntry, 
Certificate fingerprint (SHA-256): F7:00:C9:74:34:57:5E:BE:70:A7:0E:D2:9B:A8:2D:44:F1:CE:14:55:C3:D9:06:3F:83:68:95:A1:C6:B5:7F:26
root@Ubuntu-24-9:/home/nso# 

4. Smart Agent를 다시 시작합니다(컨피그레이션 모드).

admin@ncs(config)# smart-license smart-agent restart 
result Started

5. 인증서 재등록

admin@ncs# license smart deregister 
ok
admin@ncs# license smart register idtoken TOKEN
Registration process in progress. Use the 'show license status' command to check the progress and result.
admin@ncs# 

6. 이 조에 출력 내용이 표시된 show license summary 명령을 사용하여 등록이 성공했음을 확인하기 위한 경우