ISE integreren met Smart Licensing Server

Inleiding

In dit document wordt beschreven hoe u Smart Licensing configureert op Cisco ISE.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• ISE 3.x-release
  
• Toegang tot slimme softwarelicenties
  
• Cisco Smart Software Manager (CSSM) versie 8, release 202010+ voor on-prem (optioneel)

Gebruikte componenten

Dit document is niet beperkt tot specifieke software- en hardware-versies.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Om te beginnen met Cisco ISE 3.0 is een Smart Licensing vereist. Cisco Smart Licensing vereenvoudigt de aanschaf, implementatie en het beheer van licenties door apparaten in staat te stellen zichzelf te registreren en het gebruik op de volgende manieren te rapporteren:

1. Wanneer een Smart License-token actief is en geregistreerd is in het Cisco ISE-beheerportaal, bewaakt het CSSM het gebruik van licenties per endpoint-sessie per productlicentie.
2. Smart Licensing informeert de beheerder over het licentieverbruik per endpoint-sessie met een eenvoudige tabelindeling in Cisco ISE.
3. Smart Licensing rapporteert dagelijks het piekgebruik van elke ingeschakelde licentie aan de gecentraliseerde database.
4. Cisco ISE neemt elke 30 minuten interne monsters van het licentieverbruik. Licentieconformiteit en -verbruik worden dienovereenkomstig bijgewerkt.
5. Vanaf het moment dat u uw Cisco ISE Primary Administration-node (PAN) registreert bij de CSSM, rapporteert Cisco ISE elke zes uur piektellingen van het licentieverbruik aan de CSSM-server.
6. De rapporten over het aantal pieken helpen ervoor te zorgen dat het licentieverbruik in Cisco ISE in overeenstemming is met de aangeschafte en geregistreerde licenties.
7. Cisco ISE communiceert met de CSSM-server door een lokale kopie van het CSSM-certificaat op te slaan.
8. Het CSSM-certificaat wordt automatisch opnieuw geautoriseerd tijdens de dagelijkse synchronisatie en wanneer u de licentietabel vernieuwt. CSSM-certificaten zijn doorgaans zes maanden geldig.
9. Als gevolg hiervan heeft Cisco ISE netwerkconnectiviteit nodig om het CSSM te bereiken.

licentieconsumptiestroom

TACACS +

De Device Admin-licentie (PID: L-ISE-TACACS-ND=) activeert TACACS+-services op een Policy Service Node (PSN). Elke PSN die TACACS+ gebruikt, heeft een eigen Device Admin-licentie nodig. TACACS+-apparaatbeheer telt niet mee voor het gebruik van eindpunten en legt geen limiet op aan het aantal netwerkapparaten dat u kunt beheren. Een essentiële licentie is niet nodig voor het beheer van Network Access Devices (NAD's) zoals routers en switches.

Licentie voor boekhoudingseindpunt

Het aantal actieve eindpunten kan verschillen van de licenties die worden gebruikt, omdat elk eindpunt meerdere sessies kan hebben. Licentieconsumptie is gebaseerd op het aantal actieve sessies, niet alleen op het aantal eindpunten. Een systeem met 10 actieve eindpunten met meerdere sessies kan bijvoorbeeld meer licenties gebruiken.

Zorg ervoor dat de boekhouding is ingeschakeld op zowel de draadloze toegangspunten als de switch. Het licentieverbruik wordt bepaald door de Start - Stop-berichten die van de AAA-client naar de AAA-server worden verzonden.

Cisco ISE gebruikt specifieke regels voor het beheer van sessies in Monitoring en Troubleshooting (MnT), waarbij wordt vertrouwd op boekhoudkundige berichten van Network Access Devices (NAD's). Zo verwerkt Cisco ISE sessies op basis van deze boekhoudkundige berichten:

• Als Cisco ISE een RADIUS-verificatieverzoek ontvangt, maar geen boekhoudbericht, blijft de sessie 1 uur actief.
• Na ontvangst van een boekhoudingsbericht onderhoudt Cisco ISE de sessie gedurende maximaal 5 dagen of totdat een boekhoudingsstopbericht is ontvangen.
• De licentiesessie wordt onmiddellijk vrijgegeven zodra een bericht over het stoppen van de boekhouding is ontvangen.
• Een tussentijdse update verlengt de 5 dagen.

ISE-licenties

evaluatie

Evaluatielicenties worden standaard geactiveerd wanneer u Cisco ISE Release 3.x en latere versies installeert of upgradet. De Evaluatielicentie is 90 dagen actief en u hebt gedurende deze periode toegang tot alle Cisco ISE-functies. Cisco ISE wordt geacht zich in de evaluatiemodus te bevinden wanneer de evaluatielicentie in gebruik is. In de rechterbovenhoek van het Cisco ISE-beheerportaal wordt een bericht weergegeven met het aantal dagen dat nog over is in de evaluatiemodus.

laag

Tier-licenties vervangen de Base-, Apex- en Plus-licenties die eerder zijn gebruikt in releases dan release 3.x. Tier-licenties omvatten drie licenties: Essentials, Advantage en Premier. Als u momenteel Base-, Apex- of Plus-licenties hebt, gebruikt u de CSSM om deze naar de nieuwe licentietypen te converteren.

Apparaatbeheer

Met een Device Administration-licentie kunt u TACACS-services gebruiken op een Policy Service-node. In een standalone implementatie met hoge beschikbaarheid kunt u met een Device Administration-licentie TACACS-services gebruiken op één Policy Service-node in het paar met hoge beschikbaarheid. Op Cisco ISE wordt het gedefinieerd als Apparaatbeheer en op het Smart-licentieportaal wordt het gedefinieerd als Maximum aantal knooppunten dat recht heeft op TACACS+-transacties.

Licenties voor virtuele apparaten

Cisco ISE 3.x komt met een nieuwe vorm van VM-licentie, de VM Common-licentie. Als u traditionele VM-licenties gebruikt, moeten deze worden geconverteerd naar algemene VM-licenties.

Voor informatie over licentietypen en conversies raadpleegt u de koppelingen:

• Licentiefuncties
• Cisco-licentiegids

Belangrijke wijzigingen in slimme licenties voor nieuwe ISE-versies

• Wijzigen van verbindingsmethode voor slimme licenties:
  Cisco ISE 3.4 verwijderde de ondersteuning voor de Transport Gateway-verbindingsmethode die wordt gebruikt in Smart Licensing. Als u Transport Gateway gebruikt voor slimme licenties, moet u de verbindingsmethode bijwerken voordat u een upgrade uitvoert naar 3.4. Als het systeem niet wordt bijgewerkt, wordt tijdens de upgrade automatisch switch naar Direct HTTPS, maar u kunt het op elk moment na de upgrade wijzigen.

• Verbeteringen in de zichtbaarheid van licenties in 3.5:
  Cisco ISE 3.5 verbetert het bijhouden van licenties voor een betere zichtbaarheid en nauwkeurigheid. De licentieniveaus en functies blijven hetzelfde, maar het licentiegebruik is nu afgestemd op de actieve eindpunten. Handhaving is nog niet actief in 3.5; in plaats daarvan melden niet-verstorende verbruikswaarschuwingen als het gebruik de toegestane limieten overschrijdt

Typen licentieregistratie

Voor de introductie van Cisco ISE 3.1 zijn er drie opties beschikbaar om Smart Licensing mogelijk te maken.

Reservering voor slimme softwarelicenties (Direct-HTTPS, HTTP-proxy, SSM On-Prem)

Slimme softwarelicentiereservering kan eenvoudig en efficiënt worden gebruikt met één tokenregistratie. De licenties die u koopt, worden bewaard in een gecentraliseerde database die CSSM wordt genoemd. Meld u aan bij het CSSM-portaal om eenvoudig de eindpuntlicenties te volgen die voor u beschikbaar zijn en verbruiksstatistieken. In deze modus moet Cisco ISE rechtstreeks verbinding maken met CSSM (Direct HTTPS) of via Proxy om de verbruiks- en nalevingsinformatie uit te wisselen. De nieuwe optie SSM On-Prem maakt air-gapped ISE mogelijk om de functies van CSSM te gebruiken in de vorm van een lokale server die wordt gehost als een On-Prem (Satellite) server.

Specifieke licentiereservering (beschikbaar in ISE 3.1 en hoger)

Specifieke licentiereservering (SLR) stelt klanten in zeer veilige netwerken in staat om Smart Licensing (en Smart Licenties) te gebruiken zonder de licentiegegevens te communiceren. SLR staat het reserveren van specifieke licenties toe, inclusief add-on licenties. SLR vereist geen Cisco ISE om verbinding te maken met CSSM en stelt Cisco ISE in staat om de licenties in de Smart Account te gebruiken totdat ze verlopen.

Configureren

Verbindingsmethoden (Direct HTTPS/HTTPS-Proxy) voor integratie van CSSM met ISE

Stap 1. Bladeren naar Administration > System > Licensing:

Stap 2. Kies Smart Software Licensing Reservation in Licentietype en plak het Registratietoken in de Registratiedetails. Kies het toepasselijke niveau zoals vereist. Het proces verschilt enigszins tussen Direct HTTPS en HTTPS Proxy.

Directe HTTPS

Stap 3. Kies voor Direct HTTPS de verbindingsmethode als Direct HTTPS en klik op Registreren:

HTTPS-proxy

Stap 4. Om ervoor te zorgen dat HTTPS Proxy vooraf is geconfigureerd, gaat u naar Beheer > Systeem > Instellingen.

Proxygegevens toevoegen > Host, gebruikersnaam en wachtwoord:

Stap 5. Terug op de Cisco ISE Licensing pagina, kies Verbindingsmethode als HTTPS Proxy en zorg ervoor dat de geconfigureerde Proxy wordt gezien onder de HTTPS Proxy sectie. Klik op Inschrijven:

Tot slot is Cisco ISE nu geregistreerd bij CSSM en is een vermelding voor dit ISE-knooppunt te vinden in de Product Instances in de Virtual Account (van waaruit het token is gegenereerd).

Smart Software Manager On-Prem Server configureren

Voor deze configuratie moet een SSM On-Prem (Satellite) Server in de omgeving worden geïmplementeerd. Eenmaal geïmplementeerd en verbonden, fungeert de Satellite-server als een lokale licentieserver waarmee Cisco ISE de licentietransacties kan uitvoeren zonder via internet contact op te nemen met CSSM. Satellietservers kunnen op hun beurt synchroniseren met CSSM, zowel in online als offline modus (met behulp van .yml-bestanden). Meer informatie over de Satellite-server is beschikbaar in het Cisco Smart Software Manager On-Prem Data Sheet. Een snelstartgids voor het installeren van de On-Prem-server is beschikbaar in de SSM_On-Prem_8_Quick_Start_Guide.

In deze stappen wordt ervan uitgegaan dat de satellietserver is geconfigureerd en dat een virtuele account op CSSM met Cisco ISE-licenties aan de satellietserver is toegevoegd. Stappen om hetzelfde te doen kunnen worden getraceerd in de Smart_Software_Manager_On-Prem_8-202006_Installation_Guide.

Stap 1. Meld u aan bij de satellietserver en kies de optie Slimme licenties:

Stap 2. Genereer vanuit de inventaris een token en kopieer de tokenwaarde. Terug naar Cisco ISE, kies Slimme softwarelicentiereservering en als verbindingsmethode als SSM On-Prem-server:

Stap 3. Het veld SSM On-Prem Server Host is afkomstig van de hostnaam die is geconfigureerd op de On-Prem Server. Hetzelfde kan worden bevestigd door de On-Prem Server Admin Workspace > Security > Certificates > Host Common Name:

Stap 4. Zodra de hostnaam is bevestigd, voegt u deze toe aan Cisco ISE onder de SSM On-Prem-serverhost en klikt u op Register. Na succesvolle registratie wordt Cisco ISE weergegeven in de lijst met productinstanties die zijn toegevoegd aan de virtuele account op de satellietserver.

Integratiemethoden voor ISE en CSSM

SLR

Stap 1. Blader naar Administration > System > Licensingzoals weergegeven in de afbeelding:

Stap 2. Kies voor het licentietype spiegelreflexcamera en klik vervolgens op Code genereren. Kopieer de gegenereerde reserveringscode zoals vereist door het CSSM om een autorisatiecode te genereren:

Stap 3. Kies bij CSSM de virtuele account die Cisco ISE-licenties bevat (Essential, Advantage, Premier, VM, TACACS+). Kies onder het gedeelte Licenties:

L

Licentie reserveren.

Stap 4. Voer de geautoriseerde code in die is gekopieerd van Cisco ISE en klik op Volgende om de optie teReserve a specific licensekiezen. Geef, afhankelijk van de beschikbare licenties, de aantallen op die voor Cisco ISE moeten worden gereserveerd en klik op Next. Tier-licenties en VM-licenties staan vervanging toe, zodat licenties op het hoogste niveau kunnen worden gebruikt om te voldoen aan verzoeken om licenties op een lager niveau. Bekijk het Tier Model Cisco ISE 3.x Licensing Model.

Stap 5. Controleer en download de gegenereerde autorisatiecode met de optie Downloaden als bestand. Ga terug naar Cisco ISE en klik op SLR-licentiecode uploaden om het bestand te uploaden. De vervaldatum van de licenties op Cisco ISE weerspiegelt de oorspronkelijke vervaldatum van licenties op de Smart Account.

Terugkerende reservering voor SLR

Stap 1. Klik op Reservering retourneren en kopieer de verstrekte reserveringscode en bewaar deze veilig.

Stap 2. Blader naar Productinstanties voor de virtuele account waaraan Cisco ISE is toegevoegd en zoek naar ISE met behulp van het serienummer. Klik op Actions > Remove, voer de code in die in stap 1 is gekopieerd en klik op Return Product Reservation. Dit retourneert de gereserveerde licenties naar de virtuele account.

Problemen oplossen

Algemene richtsnoeren

• Controleer voor Cisco ISE 3.0 p7, 3.1 p5 en 3.2 of hoger de bereikbaarheid voor deze link: https://smartreceiver.cisco.com/.
• Controleer voor lagere ISE-versies<= Ise 3.0 de bereikbaarheid voor deze koppelingen: tools.cisco.com, tools1.cisco.com en tools2.cisco.com.
• Deze koppelingen zijn belangrijk omdat ze een belangrijke rol spelen in de communicatie met de CSSM van en naar, als u deze IP's blokkeert, kan de Cisco ISE het licentiegebruik niet melden aan CSSM, en dit gebrek aan rapportage resulteert in het verlies van administratieve toegang tot Cisco ISE en beperkingen in Cisco ISE-functies.

ISE Logging Attributes moeten worden ingesteld op Debug Level

• Licentie (ise-psc.log)

• Admin-License (ISE-PSC.log)

Fouten bij registratie en verlenging

Om registratiefouten op te lossen, moet u eerst controleren of er geen communicatieproblemen zijn met de Smart Licensing Cloud (https://tools.cisco.com/ of https://smartreceiver.cisco.com/). Verschillende factoren kunnen de verbinding tussen Cisco ISE en de Smart Licensing Cloud verstoren, waaronder:

• Firewalls of andere apparaten die het verkeer blokkeren.
• DNS problemen. Als Cisco ISE de bijbehorende FQDN voor https://tools.cisco.com/ of https://smartreceiver.cisco.com/ niet kan oplossen, kan de API-aanroep voor registratie niet worden verzonden.
• Problemen met het Smart Licensing Portal.

API-verzoeken om ISE-licentiestatus te onderzoeken

Gebruik HTTPS API-oproepen rechtstreeks vanuit de browser om het aantal licenties te kennen dat wordt gebruikt op Cisco ISE:

• https://<MnTNodeIP>/admin/API/mnt/Session/ActiveCount
• https://<MnTNodeIP>/admin/API/mnt/Session/License/LicenseCountsFromSessionDB
• https://<MnTNodeIP>/admin/API/mnt/License/Base
• https://<MnTNodeIP>/admin/API/mnt/License/Intermediate
• https://<MnTNodeIP>/admin/API/mnt/License/Premium
• https://<MnTNodeIP>/admin/API/mnt/Session/ActiveList

In Cisco ISE 3.1 of hoger kunt u OpenAPI gebruiken. U moet navigeren naar API-Administration > Settings > API Settings.oproepen die worden gebruikt om meer gegevens over de licentiestatus te krijgen.

Gerelateerde informatie

• Een spiegelreflexcamera maken met CSSM voor Cisco ISE
• Basisprincipes van Cisco ISE-licenties
• Problemen met ISE-licenties oplossen
• Cisco ISE Smart Licensing
  
• Cisco Technical Support en downloads

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
3.0	23-Apr-2026	Opmaak, taal, koppelingen.
1.0	03-Oct-2024	Eerste vrijgave