ISE integreren met Smart Licensing Server

Inleiding

In dit document wordt beschreven hoe u Smart Licensing configureert op Cisco ISE.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• ISE 3.x release
  
• Toegang tot slimme softwarelicenties
  
• Cisco License Central voor on-prem (optioneel)

Gebruikte componenten

Dit document is niet beperkt tot specifieke software- en hardware-versies.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Om te beginnen met Cisco ISE 3.0 is een Smart Licensing vereist. Cisco Smart Licensing vereenvoudigt de aanschaf, implementatie en het beheer van licenties door apparaten in staat te stellen zichzelf te registreren en het gebruik op deze manieren te rapporteren:

1. Wanneer een smart-licentietoken actief is en wordt geregistreerd in het Cisco ISE-beheerportaal, bewaakt Cisco License Central het verbruik van licenties per eindpuntsessie per productlicentie.
2. Smart Licensing informeert de beheerder over het gebruik van licenties door eindpuntsessies met een eenvoudige tabelindeling in Cisco ISE.
3. Smart Licensing rapporteert dagelijks het piekgebruik van elke geactiveerde licentie aan de gecentraliseerde database.
4. Cisco ISE neemt elke 30 minuten interne monsters van het licentieverbruik. De naleving van de licenties en het verbruik worden dienovereenkomstig bijgewerkt.
5. Vanaf het moment dat u uw Cisco ISE Primary Administration node (PAN) registreert bij Cisco License Central, rapporteert Cisco ISE elke zes uur piekwaarden van het licentieverbruik aan de Cisco License Central-server.
6. De piektellingsrapporten helpen ervoor te zorgen dat het licentieverbruik in Cisco ISE in overeenstemming is met de aangeschafte en geregistreerde licenties.
7. Cisco ISE communiceert met de Cisco License Central-server door een lokale kopie van het Cisco License Central-certificaat op te slaan.
8. Het Cisco License Central-certificaat wordt automatisch opnieuw geautoriseerd tijdens de dagelijkse synchronisatie en wanneer u de tabel Licenties vernieuwt. Cisco License Central-certificaten zijn doorgaans zes maanden geldig.
9. Als gevolg hiervan heeft Cisco ISE netwerkconnectiviteit nodig om Cisco License Central te bereiken.

licentieverbruik

TACACS +

De Device Admin-licentie (PID: L-ISE-TACACS-ND=) activeert TACACS+-services op een Policy Service Node (PSN). Elke PSN die TACACS+ gebruikt, heeft een eigen Device Admin-licentie nodig. TACACS+-apparaatbeheer telt niet mee voor het gebruik van eindpunten en legt geen limiet op aan het aantal netwerkapparaten dat u kunt beheren. Een essentiële licentie is niet nodig om netwerktoegangsapparaten (NAD's) zoals routers en switches te beheren.

Accounting Endpoint-licentie

Het aantal actieve eindpunten kan verschillen van de gebruikte licenties omdat elk eindpunt meerdere sessies kan hebben. Het gebruik van licenties is gebaseerd op het aantal actieve sessies, niet alleen op het aantal eindpunten. Een systeem met 10 actieve eindpunten met meerdere sessies kan bijvoorbeeld meer licenties gebruiken.

Zorg ervoor dat de boekhouding is ingeschakeld op zowel de draadloze toegangspunten als de switch. Het licentieverbruik wordt bepaald door de Start - Stop-berichten die van de AAA-client naar de AAA-server worden verzonden.

Cisco ISE gebruikt specifieke regels om sessies te beheren in Monitoring and Troubleshooting (MnT), waarbij wordt vertrouwd op boekhoudkundige berichten van Network Access Devices (NAD's). Dit is hoe Cisco ISE sessies verwerkt op basis van deze boekhoudkundige berichten:

• Als Cisco ISE een RADIUS-verificatieverzoek ontvangt, maar geen boekhoudbericht, blijft de sessie 1 uur actief.
• Na ontvangst van een accountantsbericht onderhoudt Cisco ISE de sessie maximaal 5 dagen of totdat een accountantsstopbericht wordt ontvangen.
• De licentiesessie wordt onmiddellijk vrijgegeven zodra een bericht over het stoppen van de boekhouding wordt ontvangen.
• Een tussentijdse update verlengt de 5 dagen.

ISE-licenties

evaluatie

Evaluatielicenties worden standaard geactiveerd wanneer u Cisco ISE Release 3.x en latere versies installeert of upgradt. De evaluatielicentie is 90 dagen actief en u hebt gedurende deze periode toegang tot alle Cisco ISE-functies. Cisco ISE wordt beschouwd als in de evaluatiemodus wanneer de evaluatielicentie in gebruik is. In de rechterbovenhoek van het Cisco ISE-beheerportaal wordt een bericht weergegeven met het aantal dagen dat in de evaluatiemodus is overgebleven.

laag

Laaglicenties vervangen de Base-, Apex- en Plus-licenties die in releases eerder dan release 3.x worden gebruikt. De licentie bestaat uit drie licenties: Essentials, Advantage en Premier. Als u op dit moment Base-, Apex- of Plus-licenties hebt, gebruikt u Cisco License Central om deze om te zetten in de nieuwe licentietypen.

Apparaatbeheer

Met een apparaatbeheerlicentie kunt u TACACS-services gebruiken op een beleidsserviceknooppunt. In een standalone implementatie met hoge beschikbaarheid kunt u met een apparaatbeheerlicentie TACACS-services gebruiken op één Policy Service-node in het paar met hoge beschikbaarheid. Op Cisco ISE wordt het gedefinieerd als Apparaatbeheer en op het Smart-licentieportaal wordt het gedefinieerd als Maximumaantal knooppunten dat recht heeft op TACACS+-transacties.

Licenties voor virtuele apparaten

Cisco ISE 3.x wordt geleverd met een nieuwe vorm van VM-licentie, de VM Common-licentie. Als u traditionele VM-licenties gebruikt, moeten deze worden geconverteerd naar gewone VM-licenties.

Raadpleeg de koppelingen voor informatie over licentietypen en conversie:

• Kenmerken licentie
• Cisco-licentiehandleiding

Belangrijkste wijzigingen in slimme licenties op nieuwe ISE-versies

• Wijzigen van methode voor slimme licentieverbinding:
  Cisco ISE 3.4 verwijderde de ondersteuning voor de Transport Gateway-verbindingsmethode die wordt gebruikt in Smart Licensing. Als u Transport Gateway gebruikt voor slimme licenties, moet u de verbindingsmethode bijwerken voordat u een upgrade uitvoert naar 3.4. Als het systeem niet wordt bijgewerkt, wordt tijdens de upgrade automatisch naar Direct HTTPS switch, maar u kunt het op elk gewenst moment na de upgrade wijzigen.

• Zichtbaarheidsverbeteringen voor licenties in 3.5:
  Cisco ISE 3.5 verbetert het bijhouden van licenties voor een betere zichtbaarheid en nauwkeurigheid. De licentieniveaus en -functies blijven hetzelfde, maar het licentiegebruik is nu afgestemd op de actieve piekeindpunten. Handhaving is nog niet actief in 3.5; in plaats daarvan, niet-storende consumptie waarschuwingen melden als het gebruik overschrijdt de toegestane limieten

Typen licentieregistratie

Voor de introductie van Cisco ISE 3.1 zijn er drie opties beschikbaar om Smart Licensing mogelijk te maken.

Slimme softwarelicentiereservering (Direct-HTTPS, HTTP-Proxy, Cisco License Central On-Prem)

Smart Software Licensing Reservation is eenvoudig en efficiënt te gebruiken met een enkele token registratie. De licenties die u koopt, worden onderhouden in een gecentraliseerde database genaamd Cisco License Central. Meld u aan bij het Cisco License Central-portaal om eenvoudig de eindpuntlicenties te volgen die voor u beschikbaar zijn en verbruiksstatistieken. In deze modus moet Cisco ISE verbinding maken met Cisco License Central, hetzij rechtstreeks (Direct HTTPS) of via Proxy om de verbruiks- en nalevingsinformatie uit te wisselen. De nieuwe optie Cisco License Central On-Prem maakt het mogelijk om ISE met air-gapped te gebruiken om de functies van Cisco License Central te gebruiken in de vorm van een lokale server die wordt gehost als een On-Prem (Satellite) server.

Specifieke licentiereservering (beschikbaar in ISE 3.1 en hoger)

Specifieke licentiereservering (SLR) stelt klanten in zeer veilige netwerken in staat om Smart Licensing (en Smart-licenties) te gebruiken zonder de licentiegegevens te communiceren. SLR maakt het mogelijk om specifieke licenties te reserveren, inclusief add-on licenties. SLR heeft geen Cisco ISE nodig om verbinding te maken met Cisco License Central en stelt Cisco ISE in staat om de licenties in de Smart Account te consumeren totdat ze verlopen zijn.

Configureren

Verbindingsmethoden (Direct HTTPS/HTTPS-Proxy) voor integratie van Cisco License Central met ISE

Stap 1. Bladeren naar Administration > System > Licensing:

Stap 2. Kies Smart Software Licensing Reservation in Licentietype en plak het Registratietoken in de Registratiegegevens. Kies de toepasselijke laag zoals vereist. Het proces verschilt enigszins tussen Direct HTTPS en HTTPS Proxy.

Directe HTTPS

Stap 3. Kies voor Direct HTTPS de verbindingsmethode als Direct HTTPS en klik op Registreren:

HTTPS-proxy

Stap 4. Ga naar Beheer > Systeem > Instellingen om er zeker van te zijn dat de HTTPS-proxy vooraf is geconfigureerd.

Proxygegevens toevoegen > Host, gebruikersnaam en wachtwoord:

Stap 5. Ga terug naar de Cisco ISE-licentiepagina, kies Verbindingsmethode als HTTPS-proxy en zorg ervoor dat de geconfigureerde proxy wordt weergegeven onder de sectie HTTPS-proxy. Klik op Registreren:

Ten slotte is Cisco ISE nu geregistreerd bij Cisco License Central en een vermelding voor deze ISE-node is te vinden in de Product Instances in het Virtual Account (van waaruit de token is gegenereerd).

Cisco License Central On-Prem Server configureren

Voor deze configuratie moet een Cisco License Central On-Prem (Satellite) Server in de omgeving worden geïmplementeerd. Eenmaal geïmplementeerd en verbonden, fungeert de Satellite-server als een lokale licentieserver waarmee Cisco ISE de licentietransacties kan uitvoeren zonder via internet contact op te nemen met Cisco License Central. Satellietservers kunnen op hun beurt synchroniseren met Cisco License Central, zowel online als offline (met behulp van .yml-bestanden). Meer informatie over de Satellite-server is beschikbaar in Cisco License Central.

In deze stappen wordt ervan uitgegaan dat de Satellite Server is geconfigureerd en een Virtual Account op Cisco License Central met Cisco ISE-licenties wordt toegevoegd aan de Satellite Server. Stappen om hetzelfde uit te voeren kunnen worden getraceerd in Cisco License Central.

Stap 1. Log in op de Satellite Server en kies de Smart Licensing Option:

Stap 2. Genereer vanuit de inventaris een token en kopieer de tokenwaarde. Terug op Cisco ISE, kies Smart Software Licensing Reservation en als verbindingsmethode als Cisco License Central On-Prem-server:

Stap 3. Het veld Cisco License Central On-Prem Server Host is afkomstig van de hostnaam die is geconfigureerd op de On-Prem Server. Hetzelfde kan worden bevestigd uit de On-Prem Server Admin Workspace > Security > Certificates > Host Common Name:

Stap 4. Nadat de hostnaam is bevestigd, voegt u deze toe aan Cisco ISE onder de Cisco License Central On-Prem Host-server en klikt u op Register. Na een succesvolle registratie verschijnt Cisco ISE in de lijst met productinstanties die zijn toegevoegd aan het virtuele account op de satellietserver.

Integratiemethoden voor ISE en Cisco License Central

SLR

Stap 1. Blader naar Administration > System > Licensingzoals weergegeven in de afbeelding:

Stap 2. Kies voor het licentietype SLR en klik vervolgens op Code genereren. Kopieer de reserveringscode die is gegenereerd omdat dit vereist is door Cisco License Central om een Autorisatiecode te genereren:

Stap 3. Kies in Cisco License Central de virtuele account die Cisco ISE-licenties bevat (Essential, Advantage, Premier, VM, TACACS+). Kies onder de sectie Licenties:

L

Licentiereservering.

Stap 4. Voer de geautoriseerde code in die is gekopieerd van Cisco ISE en klik op Volgende om deReserve a specific licenseoptie te kiezen. Geef, afhankelijk van de beschikbare licenties, het aantal op dat moet worden gereserveerd voor Cisco ISE en klik op Next. Merk op dat gelaagde licenties en VM-licenties substitutie mogelijk maken, omdat licenties op het hoogste niveau kunnen worden gebruikt om aan aanvragen voor licenties op het lagere niveau te voldoen. Controleer het Tier Model Cisco ISE 3.x Licensing Model.

Stap 5. Controleer en download de gegenereerde autorisatiecode met de optie Downloaden als bestand. Ga terug naar Cisco ISE en klik op SLR-licentiesleutel uploaden om het bestand te uploaden. De vervaldatum van de licenties op Cisco ISE weerspiegelt de oorspronkelijke vervaldatum van de licenties op de Smart Account.

Retourreservering voor SLR

Stap 1. Klik op Retourreservering en kopieer de opgegeven reserveringscode en bewaar deze veilig.

Stap 2. Blader naar Productinstanties voor het virtuele account waaraan Cisco ISE is toegevoegd en zoek naar ISE met behulp van het serienummer. Klik op Actions > Remove, voer de code in die is gekopieerd in stap 1. en klik op Return Product Reservation. Dit retourneert de gereserveerde licenties naar de virtuele account.

Problemen oplossen

Algemene richtsnoeren

• Controleer voor Cisco ISE 3.0 p7, 3.1 p5 en 3.2 of hoger de bereikbaarheid voor deze link: https://smartreceiver.cisco.com/.
• Voor lagere ISE-versies<= Ise 3.0, controleer de bereikbaarheid voor deze links: tools.cisco.com, tools1.cisco.com, en tools2.cisco.com.
• Deze links zijn belangrijk omdat ze een vitale rol spelen in de communicatie met Cisco License Central van en naar, als u deze IP's blokkeert, kan de Cisco ISE het licentiegebruik niet aan Cisco License Central melden, en dit gebrek aan rapportage resulteert in het verlies van administratieve toegang tot Cisco ISE en beperkingen in Cisco ISE-functies.

ISE Logging Attributen moeten ingesteld worden op Debug Level

• Licentie (ise-psc.log)

• Beheerderslicentie (ISE-PSC.log)

Fouten bij registratie en verlenging

Om registratiefouten op te lossen, controleert u eerst of er geen communicatieproblemen zijn met de Smart Licensing Cloud (https://tools.cisco.com/ of https://smartreceiver.cisco.com/). Verschillende factoren kunnen de verbinding tussen Cisco ISE en de Smart Licensing Cloud verstoren, waaronder:

• Firewalls of andere apparaten blokkeren het verkeer.
• DNS problemen. Als Cisco ISE de corresponderende FQDN voor https://tools.cisco.com/ of https://smartreceiver.cisco.com/ niet kan oplossen, kan het de registratie-API-oproep niet verzenden.
• Problemen met het Smart Licensing Portal.

API-verzoeken om ISE-licentiestatus te onderzoeken

Gebruik HTTPS API-oproepen rechtstreeks vanuit de browser om te weten hoeveel licenties worden verbruikt op Cisco ISE:

• https://<MnTNodeIP>/admin/API/mnt/Session/ActiveCount
• https://<MnTNodeIP>/admin/API/mnt/Session/License/LicenseCountsFromSessionDB
• https://<MnTNodeIP>/admin/API/mnt/License/Base
• https://<MnTNodeIP>/admin/API/mnt/License/Intermediate
• https://<MnTNodeIP>/admin/API/mnt/License/Premium
• https://<MnTNodeIP>/admin/API/mnt/Session/ActiveList

In Cisco ISE 3.1 of hoger kunt u OpenAPI gebruiken. U moet navigeren naar Administration > Settings > API Settings. API-oproepen worden gebruikt om meer gegevens over de licentiestatus te krijgen.

Gerelateerde informatie

• Een spiegelreflexcamera maken met Cisco License Central voor Cisco ISE
• Basisprincipes van Cisco ISE-licenties
• Problemen met ISE-licenties oplossen
• Cisco ISE Smart Licensing
  
• Cisco Technical Support en downloads

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
4.0	01-Jun-2026	Opmaak, Vervang verwijzingen naar "Cisco Smart Software Manager (SSM)" door "Cisco License Central."
3.0	23-Apr-2026	Opmaak, taal, links.
1.0	03-Oct-2024	Eerste vrijgave