Inhoud

Inleiding

Voorwaarden

Gebruikte componenten

Achtergrondinformatie

Wat is slimme licentie?

Hoe werken licenties op Hyperflex?

Streng handhavingsbeleid

Configureren

Verifiëren

Problemen oplossen

Scenario 1: HTTP/HTTP-connectiviteit

Scenario 2: Proxy-problemen

Scenario 3: cloudomgeving

Scenario 4: Online Certificate Status Protocol (OCSP)

Scenario 5: Certificaat gewijzigd

Aanvullende procedure

Gerelateerde informatie

Inleiding

In dit document wordt beschreven hoe u problemen kunt oplossen met de meest voorkomende problemen met registratielicenties van HyperFlex.

Voorwaarden

Cisco raadt u aan een basiskennis te hebben van deze onderwerpen:

- HyperFlex Connect

- Registratie van licenties

- HTTP/HTTPS

Gebruikte componenten

De informatie in dit document is gebaseerd op:

Hyperflex Data Platform (HXDP) 5.0.(2a) en hoger

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Wat is slimme licentie?

Cisco Smart Software Licensing (Smart Licensing) is een intelligente cloudgebaseerde oplossing voor softwarelicentiebeheer die de drie belangrijkste licentiefuncties (Aankoop, Beheer en Rapport) in uw hele organisatie vereenvoudigt.

Je kunt hier toegang krijgen tot je slimme licentie-account.

Hoe werken licenties op Hyperflex?

Cisco Hyperflex integreert met Smart Licensing en wordt automatisch standaard ingeschakeld wanneer u een Hyperflex-opslagcluster maakt.

Om uw Hyperflex-opslagcluster echter in staat te stellen uw licenties te gebruiken en te melden, moet u dit registreren bij Cisco Smart Software Manager (SSM) via uw Cisco Smart Account.

A Smart Account is een cloudgebaseerde repository die volledige zichtbaarheid en toegangscontrole biedt voor alle aangeschafte Cisco-softwarelicenties en productinstanties in uw bedrijf.

Opmerking: in Hyperflex clusters is de registratie een jaar geldig, waarna Hyperflex automatisch probeert om zich opnieuw te registreren, zodat er geen menselijke interactie nodig is.

Streng handhavingsbeleid

Vanaf versie HXDP 5.0(2a) worden sommige functies geblokkeerd vanuit de HyperFlex Connect GUI als het cluster niet voldoet aan de licentie.

Voorbeeldscenario’s voor de licentiestatus:

In dit scenario is de cluster In compliance met de License Status

In het volgende scenario wordt de Cluster geregistreerd, maar de License Status is Out of Compliance en de respijtperiode ligt tussen één (1) tot negentig (90) dagen.

In dat geval worden er geen functies geblokkeerd, maar verschijnt er een banner boven in het menu die u vraagt om de vereiste licentie te activeren voordat de respijtperiode verloopt.

In dit scenario wordt het cluster geregistreerd, de License Status is Out of Compliance en de respijtperiode is nul (0).

Configureren

Als u meer informatie wilt over het registreren van Hyperflex bij uw Smart License account, controleer deze video.

Verifiëren

Bevestig dat uw configuratie correct werkt.

Controleer de licentiestatus via CLI. Bekijk de registratiestatus en de autorisatiestatus.

Problemen oplossen

Er zijn een aantal veelvoorkomende scenario's waarin deze twee statussen kunnen falen, beide veroorzaakt door dezelfde grondoorzaak.

Scenario 1: HTTP/HTTP-connectiviteit

Licentieregistratie verloopt via TCP en meer specifiek via HTTP en HTTPS, daarom is het cruciaal om deze communicatie toe te staan.

Connectiviteit testen met elk Storage Controller VM (SCVM), maar voornamelijk van Cluster Management IP (CMIP) SCVM.

curl https://tools.cisco.com/its/service/oddce/services/DDCEService

U moet de output verkrijgen die in het voorbeeld wordt getoond, anders betekent het dat het verkeer wordt geblokkeerd.

<h1>DDCEService</h1>

<p>Hi there, this is an AXIS service!</p>

<i>Perhaps there will be a form for invoking the service here...</i>

Als de uitvoer anders is dan de vorige uitvoer, bevestigt u de connectiviteit en controleert u of de poorten met deze opdrachten worden geopend:

ping tools.cisco.com -c 5

nc -zv tools.cisco.com 80

nc -zv tools.cisco.com 443

Scenario 2: Proxy-problemen

Soms, wordt een volmacht gevormd tussen alle webcliënten en openbare webservers wanneer zij veiligheidsinspecties van het verkeer uitvoeren.

In dit geval moet u tussen de SCVM met de CMIP en cisco.com valideren dat de proxy al in het cluster is geconfigureerd (zoals in het voorbeeld).

hxshell:/var/log/springpath$ stcli services sch show

cloudEnvironment: production

enabled: True

emailAddress: johndoe@example.com

portalUrl:

enableProxy: True

proxyPassword:

encEnabled: True

proxyUser:

cloudAsupEndpoint: https://diag.hyperflex.io/

proxyUrl:

proxyPort: 0

als de proxy al geconfigureerd toont, test connectiviteit met proxy-URL of IP-adres samen met de geconfigureerde poort.

curl -v --proxy https://url:

https://tools.cisco.com/its/service/oddce/services/DDCEService

curl -v --proxy <Proxy IP>:<Proxy Port> https://tools.cisco.com/its/service/oddce/services/DDCEService

Bovendien, testconnectiviteit aan de volmacht.

nc -vzw2 x.x.x.x 8080

Scenario 3: cloudomgeving

In bepaalde situaties is de cloudomgeving ingesteld op detest, waardoor registratie mislukt. In dit voorbeeld is de instelling ingesteld op production.

hxshell:/var/log/springpath$ stcli services sch show

cloudEnvironment: production

cloudAsupEndpoint: https://diag.hyperflex.io/

portalUrl:

proxyPort: 0

enabled: True

encEnabled: True

proxyUser:

proxyPassword:

enableProxy: True

emailAddress: johndoe@example.com

proxyUrl:

In logbestanden kunt u specifieke fouten zien wanneer de omgeving onjuist is ingesteld als detest.

cat hxLicenseSvc.log | grep -ia "Name or service not known"

2021-09-01-18:27:11.557 [] [Thread-40] ERROR event_msg_sender_log - sch-alpha.cisco.com: Name or service not known

Tip: vanaf versie 5.0(2a) is diag-gebruiker beschikbaar zodat gebruikers meer rechten hebben om problemen op te lossen met toegang tot beperkte mappen en opdrachten die niet toegankelijk zijn via priv-opdrachtregel die in Hyperflex versie 4.5.x is geïntroduceerd.

U kunt het omgevingstype wijzigen in production en probeer de registratie opnieuw.

diag# stcli services sch set --email johndoe@example.com --environment production --enable-proxy false

Scenario 4: Online Certificate Status Protocol (OCSP)

Hyperflex maakt gebruik van OCSP en Certificate Revocation Lists (CRL) -servers om HTTPS-certificaten te valideren tijdens het registratieproces van de licentie.

Deze protocollen zijn ontwikkeld om de herroepingsstatus via HTTP te distribueren. CRL's en OCSP-berichten zijn openbare documenten die de herroepingsstatus van X.509-certificaten aangeven wanneer OCSP-validatie mislukt en ook de licentieregistratie mislukt.

Tip: als OCSP mislukt, betekent dit dat een beveiligingsapparaat tussen de twee de HTTP-verbinding verbreekt

Om te bevestigen of OCSP validatie goed is, kunt u proberen om het bestand te downloaden naar uw CMIP SCVM /tmp partitie, zoals in het voorbeeld.

hxshell:~$cd /tmp

hxshell:/tmp$ wget http://www.cisco.com/security/pki/trs/ios_core.p7b

--2022-08-18 00:13:37-- http://www.cisco.com/security/pki/trs/ios_core.p7b

Resolving www.cisco.com (www.cisco.com)... x.x.x.x aaaa:aaaa:aaaa:aaaa::aaaa

Connecting to www.cisco.com (www.cisco.com)|x.x.x.x|:80... connected.

HTTP request sent, awaiting response... 200 OK

Length: 25799 (25K)

Saving to: 'ios_core.p7b'

ios_core.p7b 100%[=======================================================================================================================================================>] 25.19K --.-KB/s in 0.04s

2022-08-18 00:13:37 (719 KB/s) - 'ios_core.p7b' saved [25799/25799]

hxshell:/tmp$ ls -lath ios*

-rw-rw-r-- 1 diag diag 26K Jun 30 18:00 ios_core.p7b

-rw-rw-r-- 1 diag diag 26K Jun 30 18:00 ios_core.p7b.1

-rw-rw-r-- 1 diag diag 26K Jun 30 18:00 ios_core.p7b.2

-rw-rw-r-- 1 diag diag 26K Jun 30 18:00 ios_core.p7b.3

-rw-r--r-- 1 admin springpath 26K Jun 30 18:00 ios_core.p7b.4

Scenario 5: Certificaat gewijzigd

In sommige netwerken worden proxy- en firewallbeveiligingsapparaten uitgevoerd Secure Sockets Layer (SSL) inspectie en ze kunnen het certificaat dat Hyperflex verwacht te ontvangen van tools.cisco.com:443 corrumperen.

Om te controleren of het certificaat niet wordt gewijzigd door een proxy of firewall, voert de SCVM die de CMIP heeft de opdracht uit:

diag# openssl s_client -connect tools.cisco.com:443 -showcerts < /dev/null

het is belangrijk op te merken dat de Subject Name en Issuer Name De informatie moet overeenkomen met het certificaat dat in dit voorbeeld wordt getoond.

Waarschuwing: als ten minste één veld van het onderwerp of de emittent verschillend is, mislukt de registratie. Een omzeilregel in de security SSL Inspection for Hyperflex Cluster Management IP’s en tools.cisco.com:443 kan dit oplossen.

In dit voorbeeld kunt u zien hoe u dezelfde informatie kunt valideren die u van het certificaat ontvangt in Hyperflex CMIP SCVM.

hxshell:~$ su diag

diag# openssl s_client -connect tools.cisco.com:443 -showcerts < /dev/null

CONNECTED(00000003)

depth=2 C = US, O = IdenTrust, CN = IdenTrust Commercial Root CA 1

verify return:1

depth=1 C = US, O = IdenTrust, OU = HydrantID Trusted Certificate Service, CN = HydrantID Server CA O1

verify return:1

depth=0 CN = tools.cisco.com, O = Cisco Systems Inc., L = San Jose, ST = California, C = US

verify return:1

---

Certificate chain

0 s:/CN=tools.cisco.com/O=Cisco Systems Inc./L=San Jose/ST=California/C=US

i:/C=US/O=IdenTrust/OU=HydrantID Trusted Certificate Service/CN=HydrantID Server CA O1

...

<TRUNCATED>

...

1 s:/C=US/O=IdenTrust/OU=HydrantID Trusted Certificate Service/CN=HydrantID Server CA O1

i:/C=US/O=IdenTrust/CN=IdenTrust Commercial Root CA 1

...

<TRUNCATED>

...

2 s:/C=US/O=IdenTrust/CN=IdenTrust Commercial Root CA 1

i:/C=US/O=IdenTrust/CN=IdenTrust Commercial Root CA 1

...

<TRUNCATED>

...

---

Server certificate

subject=/CN=tools.cisco.com/O=Cisco Systems Inc./L=San Jose/ST=California/C=US

issuer=/C=US/O=IdenTrust/OU=HydrantID Trusted Certificate Service/CN=HydrantID Server CA O1

---

...

<TRUNCATED>

...

---

DONE

Aanvullende procedure

Deze procedure kan worden gebruikt als de gedekte scenario's succesvol zijn of worden opgelost, maar de licentieregistratie mislukt nog steeds.

De licentie desregistreren

hxshell:~$stcli license disable

hxshell:~$stcli license enable

hxshell:~$stcli license deregister

Verkrijg een nieuw token van Smart-licentiëring, start het licentiëringsproces opnieuw en probeer de licentieregistratie opnieuw.

hxshell:~$priv service hxLicenseSvc stop

hxshell:~$priv service hxLicenseSvc start

hxshell:~$stcli license register --idtoken IDTOKEN --force

Gerelateerde informatie

- Cisco HyperFlex HX dataplatform - eindgebruikershandleidingen