Inleiding
In dit document wordt beschreven hoe u de meest voorkomende problemen met Hyperflex-registratielicentieproblemen kunt oplossen.
Voorwaarden
Vereisten
Cisco raadt u aan om basiskennis te hebben van deze onderwerpen:
- Hyperflex Connect
- Licentieregistratie
- HTTP/HTTPS
Gebruikte componenten
De informatie in dit document is gebaseerd op:
- Hyperflex Data Program (HXDP) 5.0.(2a) en hoger
De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.
Achtergrondinformatie
Wat is een Smart License
Cisco Smart Licensing (Smart Licensing) is een intelligente oplossing voor softwarelicentiebeheer in de cloud die de drie belangrijkste licentiefuncties (Aankoop, Beheer en Rapport) in uw hele organisatie vereenvoudigt.
U kunt hier toegang krijgen tot uw Smart License-account.
Hoe werken licenties op Hyperflex
Cisco Hyperflex integreert met Smart Licensing en wordt standaard automatisch ingeschakeld wanneer u een Hyperflex-opslagcluster maakt. Als u uw Hyperflex-opslagcluster echter wilt gebruiken en licenties wilt melden, moet u deze registreren bij Cisco Smart Software Manager (SSM) via uw Cisco Smart-account.
Een Smart Account is een cloud-gebaseerde repository die volledige zichtbaarheid en toegangscontrole biedt voor alle aangeschafte Cisco-softwarelicenties en productinstanties in uw bedrijf.
Opmerking: In Hyperflex-clusters is de registratie één jaar geldig. Daarna probeert Hyperflex automatisch opnieuw te registreren, zodat geen menselijke interactie nodig is.
strikt handhavingsbeleid
Vanaf versie HXDP 5.0(2a) worden sommige functies geblokkeerd in de Hyperflex Connect GUI als het cluster niet in overeenstemming is met de licentie.
Voorbeelden van licentiestatusscenario's:
In dit scenario voldoet het cluster aan de licentiestatus.

In het volgende scenario wordt het cluster geregistreerd, maar de licentiestatus is niet in overeenstemming en de aflossingsvrije periode ligt tussen één (1) en negentig (90) dagen.
In dit geval worden geen functies geblokkeerd, maar verschijnt er een banner bovenaan het menu waarin u wordt gevraagd de vereiste licentie te activeren voordat de respijtperiode verloopt.

In dit scenario wordt het cluster geregistreerd, is de licentiestatus niet in overeenstemming en is de aflossingsvrije periode nul (0).

Configureren
Raadpleeg deze video voor meer informatie over het registreren van Hyperflex met uw Smart License-account.
Verifiëren
Controleer of de configuratie goed werkt.
Controleer de licentiestatus via CLI. Bekijk de registratiestatus en de autorisatiestatus.

Problemen oplossen
Er zijn enkele veel voorkomende scenario's waarbij deze twee statussen kunnen falen, beide veroorzaakt door dezelfde oorzaak.
Scenario 1: HTTP/HTTP-connectiviteit
Licentieregistratie gaat over TCP, en meer specifiek over HTTP en HTTPS, daarom is het van cruciaal belang om deze communicatie mogelijk te maken.
De connectiviteit testen van elke Storage Controller VM (SCVM), maar voornamelijk van Cluster Management IP (CMIP) SCVM.
curl https://tools.cisco.com/its/service/oddce/services/DDCEService
U moet de uitvoer verkrijgen die in het voorbeeld wordt weergegeven, anders betekent dit dat het verkeer is geblokkeerd.
<h1>DDCEService</h1>
<p>Hi there, this is an AXIS service!</p>
<i>Perhaps there will be a form for invoking the service here...</i>
Als de ontvangen uitvoer anders is dan de vorige uitvoer, bevestigt u de connectiviteit en controleert u of de poorten zijn geopend met de volgende opdrachten:
ping tools.cisco.com -c 5
nc -zv tools.cisco.com 80
nc -zv tools.cisco.com 443
Scenario 2: Proxyproblemen
Soms wordt een proxy geconfigureerd tussen alle webclients en openbare webservers wanneer ze beveiligingsinspecties van het verkeer uitvoeren.
In dit geval moet u tussen de SCVM met de CMIP en cisco.com valideren dat de proxy al is geconfigureerd in het cluster (zoals in het voorbeeld wordt getoond).
hxshell:/var/log/springpath$ stcli services sch show
cloudEnvironment: production
enabled: True
emailAddress: johndoe@example.com
portalUrl:
enableProxy: True
proxyPassword:
encEnabled: True
proxyUser:
cloudAsupEndpoint: https://diag.hyperflex.io/
proxyUrl:
proxyPort: 0
als de proxy al geconfigureerd is, test dan de connectiviteit met de proxy-URL of het IP-adres samen met de geconfigureerde poort.
curl -v --proxy https://url: https://tools.cisco.com/its/service/oddce/services/DDCEService
curl -v --proxy <Proxy IP>:<Proxy Port> https://tools.cisco.com/its/service/oddce/services/DDCEService
Daarnaast moet de connectiviteit met de proxy worden getest.
nc -vzw2 x.x.x.x 8080
Scenario 3: Cloudomgeving
In bepaalde situaties is de cloudomgeving ingesteld op een deploratie waardoor de registratie mislukt. In dit voorbeeld is het ingesteld op productie.
hxshell:/var/log/springpath$ stcli services sch show
cloudEnvironment: production
cloudAsupEndpoint: https://diag.hyperflex.io/
portalUrl:
proxyPort: 0
enabled: True
encEnabled: True
proxyUser:
proxyPassword:
enableProxy: True
emailAddress: johndoe@example.com
proxyUrl:
In logs kunt u specifieke fouten zien wanneer de omgeving verkeerd is ingesteld als devtest.
cat hxLicenseSvc.log | grep -ia "Name or service not known"
2021-09-01-18:27:11.557 [] [Thread-40] ERROR event_msg_sender_log - sch-alpha.cisco.com: Name or service not known
Tip: vanaf versie 5.0(2a) is diag-gebruiker beschikbaar om gebruikers meer rechten te geven om problemen op te lossen met toegang tot beperkte mappen en opdrachten die niet toegankelijk zijn via de priv-opdrachtregel die werd geïntroduceerd in Hyperflex versie 4.5.x.
U kunt het omgevingstype wijzigen in productie en de registratie opnieuw proberen.
diag# stcli services sch set --email johndoe@example.com --environment production --enable-proxy false
Scenario 4: Online Certificate Status Protocol (OCSP)
Hyperflex maakt gebruik van OCSP- en CRL-servers (Certificate Revocation Lists) om HTTPS-certificaten te valideren tijdens het licentieregistratieproces.
Deze protocollen zijn ontworpen om de intrekkingsstatus over HTTP te verdelen. CRL's en OCSP-berichten zijn openbare documenten die de intrekkingsstatus van X.509-certificaten aangeven wanneer de OCSP-validatie mislukt en de licentieregistratie mislukt.
Tip: Als OCSP mislukt, betekent dit dat een beveiligingsapparaat tussendoor de HTTP-verbinding verbreekt.
Om te bevestigen of OCSP-validatie goed is, kunt u proberen het bestand naar uw CMIP SCVM / tmp-partitie te downloaden, zoals in het voorbeeld wordt getoond.
hxshell:~$cd /tmp
hxshell:/tmp$ wget http://www.cisco.com/security/pki/trs/ios_core.p7b
--2022-08-18 00:13:37-- http://www.cisco.com/security/pki/trs/ios_core.p7b
Resolving www.cisco.com (www.cisco.com)... x.x.x.x aaaa:aaaa:aaaa:aaaa::aaaa
Connecting to www.cisco.com (www.cisco.com)|x.x.x.x|:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 25799 (25K)
Saving to: 'ios_core.p7b'
ios_core.p7b 100%[=======================================================================================================================================================>] 25.19K --.-KB/s in 0.04s
2022-08-18 00:13:37 (719 KB/s) - 'ios_core.p7b' saved [25799/25799]
hxshell:/tmp$ ls -lath ios*
-rw-rw-r-- 1 diag diag 26K Jun 30 18:00 ios_core.p7b
-rw-rw-r-- 1 diag diag 26K Jun 30 18:00 ios_core.p7b.1
-rw-rw-r-- 1 diag diag 26K Jun 30 18:00 ios_core.p7b.2
-rw-rw-r-- 1 diag diag 26K Jun 30 18:00 ios_core.p7b.3
-rw-r--r-- 1 admin springpath 26K Jun 30 18:00 ios_core.p7b.4
Scenario 5: Certificaat gewijzigd
In sommige netwerken voeren proxy- en firewallbeveiligingsapparaten Secure Sockets Layer (SSL)-inspectie uit en kunnen ze het certificaat beschadigen dat Hyperflex verwacht te ontvangen van tools.cisco.com:443.
Voer de volgende opdracht uit om te controleren of het certificaat niet is gewijzigd door een proxy of firewall:
diag# openssl s_client -connect tools.cisco.com:443 -showcerts < /dev/null
Het is belangrijk op te merken dat de naam van het onderwerp en de naam van de uitgever moeten overeenkomen met het certificaat dat in dit voorbeeld wordt weergegeven.

Waarschuwing: Als ten minste één veld in het onderwerp of de uitgevende instelling anders is, mislukt de registratie. Een bypass-regel in de SSL-beveiligingsinspectie voor IP's voor Hyperflex-clusterbeheer en tools.cisco.com:443 kan dit verhelpen.
In dit voorbeeld kunt u zien hoe u dezelfde informatie kunt valideren die u van het certificaat hebt ontvangen in Hyperflex CMIP SCVM.
hxshell:~$ su diag
diag# openssl s_client -connect tools.cisco.com:443 -showcerts < /dev/null
CONNECTED(00000003)
depth=2 C = US, O = IdenTrust, CN = IdenTrust Commercial Root CA 1
verify return:1
depth=1 C = US, O = IdenTrust, OU = HydrantID Trusted Certificate Service, CN = HydrantID Server CA O1
verify return:1
depth=0 CN = tools.cisco.com, O = Cisco Systems Inc., L = San Jose, ST = California, C = US
verify return:1
---
Certificate chain
0 s:/CN=tools.cisco.com/O=Cisco Systems Inc./L=San Jose/ST=California/C=US
i:/C=US/O=IdenTrust/OU=HydrantID Trusted Certificate Service/CN=HydrantID Server CA O1
...
<TRUNCATED>
...
1 s:/C=US/O=IdenTrust/OU=HydrantID Trusted Certificate Service/CN=HydrantID Server CA O1
i:/C=US/O=IdenTrust/CN=IdenTrust Commercial Root CA 1
...
<TRUNCATED>
...
2 s:/C=US/O=IdenTrust/CN=IdenTrust Commercial Root CA 1
i:/C=US/O=IdenTrust/CN=IdenTrust Commercial Root CA 1
...
<TRUNCATED>
...
---
Server certificate
subject=/CN=tools.cisco.com/O=Cisco Systems Inc./L=San Jose/ST=California/C=US
issuer=/C=US/O=IdenTrust/OU=HydrantID Trusted Certificate Service/CN=HydrantID Server CA O1
---
...
<TRUNCATED>
...
---
DONE
aanvullende procedure
Deze procedure kan worden gebruikt als de gedekte scenario's succesvol zijn of worden opgelost, maar de licentieregistratie nog steeds mislukt.
De licentie uitschrijven.
hxshell:~$stcli license disable
hxshell:~$stcli license enable
hxshell:~$stcli license deregister
Verwerven van een nieuw token van Smart-licenties, herstart het licentieproces en probeer de licentieregistratie opnieuw.
hxshell:~$priv service hxLicenseSvc stop
hxshell:~$priv service hxLicenseSvc start
hxshell:~$stcli license register --idtoken IDTOKEN --force
Gerelateerde informatie