Contents

Introdução

Pré-requisitos

Requisitos

Componentes Utilizados

Tipos de implantação

Acesso direto ao CSSM com Virtual Routing and Forwarding (VRF)

Acesso local ao SSM com configuração VRF

Reserva de licença específica (SLR)

Atualizar uma reserva de licença específica

Cancelar o registro de uma reserva de licença específica

Troubleshooting

O Dispositivo Não Pode Resolver tools.cisco.com

O roteador não pode se comunicar com tools.cisco.com

Licença no status "FORA DE CONFORMIDADE"

Depurações do Smart Licensing

Informações Relacionadas

Introdução

Este documento descreve os tipos de implantações do Cisco Smart Licensing (SL) e a configuração necessária.

Pré-requisitos

Requisitos

- Uma Smart Account com acesso ao portal Cisco Smart Software Manager (CSSM)

- Um dispositivo com versão do Cisco IOS® entre 16.5.1 e 17.3.1

- Servidor local do Cisco Smart Software Manager

- Conectividade HTTPS entre o dispositivo e o servidor CSSM ou Local

Note:  Para algumas implantações, o Cisco Smart Software Manager On-Prem não é necessário. É um componente opcional para este recurso.

Caution: O Smart Licensing é opcional para versões entre 16.5.1 e 16.9.8. Para dispositivos físicos com Cisco IOS® XE 16.10.1a até Cisco IOS® XE 17.3.1, o Smart Licensing é obrigatório. A partir de 17.3.2, o Licenciamento inteligente usando a política é obrigatório. Para dispositivos virtuais e outras plataformas da Cisco, verifique as notas de versão do código específico.

Componentes Utilizados

Este documento se aplica às plataformas de roteamento corporativo do Cisco IOS XE.

As informações neste documento são baseadas nas seguintes versões de hardware e software:

- Cisco ASR1001-X com Cisco IOS XE versão 16.9.4 e Cisco ISR4351 com Cisco IOS XE versão 16.12.1

- Smart Software Manager Server com versão de 8 202108

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Tipos de implantação

Há quatro principais opções de implantação disponíveis para registro e consumo do Smart Licensing:

1. Acesso direto ao CSSM

2. Acesso direto ao CSSM com proxy

3. Acesso Local SSM

4. Reserva de licença específica (SLR)

Acesso direto ao CSSM

Essa opção de implantação permite transferir informações de uso pela Internet diretamente para a Cisco via HTTPS.

A partir do Cisco IOS XE 16.10.1a, o Smart Licensing é ativado por padrão e é o único modelo de licenciamento disponível. Para essa implantação, a configuração da camada 3 é necessária e o acesso a tools.cisco.com na porta HTTPS (443) a partir da interface apropriada (a configuração DNS é necessária).

Uma vez confirmada a conectividade, as etapas para registrar dispositivos são:

1. Ative a Smart License no dispositivo (Opcional). A partir da versão 16.10.1a, isso é ativado por padrão.

Router#configure terminal

Enter configuration commands, one per line.  End with CNTL/Z.

Router(config)#license smart enable

Note: Esse comando ativa o call-home de serviço que é necessário.

2. Configure um servidor DNS (Domain Name System) ou uma entrada de host estática para Ferramentas na Cisco.

Router(config)#ip name-server X.X.X.X

or

Router(config)#ip host tools.cisco.com X.X.X.X

Etapa 3. Gere um novo token a partir do Cisco Smart Software Manager.

- Faça login no Cisco Smart Software Manager e navegue até a seção Smart Software Manager.

- Selecione a guia Inventory e selecione Virtual Account na lista suspensa Virtual Account.

- Selecione a guia Geral e, em seguida, selecione Novo token.

- Insira a Descrição do Token e especifique o Número de Dias que o token deve estar ativo.

- Habilite Permitir funcionalidade controlada por exportação nos produtos registrados com este token.Isso permite a solicitação de licença de criptografia alta nos dispositivos registrados.

- Selecione Create Token; depois que o token for criado, selecione Copy.

4. Opcional: Altere a configuração do call-home.

A configuração padrão do perfil do call-home é suficiente para registrar o dispositivo. Você pode verificar a configuração atual do perfil do call-home aqui:

Router#show run | sec call-home

service call-home

call-home

! If contact email address in call-home is configured as sch-smart-licensing@cisco.com

! the email address configured in Cisco Smart License Portal will be used as

contact email address to send SCH notifications.

contact-email-addr sch-smart-licensing@cisco.com

profile "CiscoTAC-1"

active

destination transport-method http

no destination transport-method email

5. Registre o dispositivo com CSSM usando o token.

Router#license smart register idtoken < token from CSSM portal > force

Note: A palavra-chave force força a tentativa de registro imediatamente. Se não for utilizado, o procedimento de registro pode demorar mais tempo.

6. Verifique se o dispositivo foi registrado corretamente com o CSSM.

Router#show license status

Smart Licensing is ENABLED

Registration:

Status: REGISTERED

Smart Account: TAC Cisco Systems, Inc.

Virtual Account: CORE TAC

Export-Controlled Functionality: Allowed

Initial Registration: SUCCEEDED on Sep 01 12:54:22 2017 UTC

Last Renewal Attempt: None

Next Renewal Attempt: Feb 28 12:54:22 2018 UTC

Registration Expires: Sep 01 12:49:04 2018 UTC

License Authorization:

Status: AUTHORIZED on Sep 01 12:54:28 2017 UTC

Last Communication Attempt: SUCCEEDED on Sep 01 12:54:28 2017 UTC

Next Communication Attempt: Oct 01 12:54:28 2017 UTC

Communication Deadline: Nov 30 12:49:12 2017 UTC

Acesso direto ao CSSM com Virtual Routing and Forwarding (VRF)

Se o dispositivo usar um VRF para acessar o CSSM, será necessário configurar o VRF de origem e a interface de origem na configuração do perfil do call-home. Para configurar essa implantação, você deve rever as etapas de 1 a 3 da seção Acesso direto ao CSSM. Em seguida, edite a configuração do call-home com o VRF correto e a interface de origem para acessar o URL do CSSM. Em seguida, você pode ver que a interface de gerenciamento é usada com GigabitEthernet0, que está no VRF Mgmt-intf como um exemplo:

Router#configure terminal

Enter configuration commands, one per line. End with CNTL/Z.

Router(config)#call-home

Router(cfg-call-home)#source-interface gigabitEthernet 0

Router(cfg-call-home)#vrf Mgmt-intf

Configure a interface HTTP de origem com a interface correta atribuída ao VRF. Essa configuração influencia o tráfego HTTP e HTTPS.

Router#configure terminal

Enter configuration commands, one per line. End with CNTL/Z.

Router(config)#ip http client source-interface gigabitEthernet 0

Configure o DNS para o VRF específico:

Router#configure terminal

Enter configuration commands, one per line. End with CNTL/Z.

Router(config)#ip name-server vrf Mgmt-intf X.X.X.X

Quando a configuração do VRF estiver concluída, você poderá continuar com as Etapas 5 e 6 na seção Acesso direto ao CSSM.

Acesso direto ao CSSM com proxy

Se for necessário um servidor proxy para obter conectividade HTTPS com o CSSM, será necessário revisar as etapas na seção Acesso direto ao CSSM e executar o comando http-proxy dentro da configuração do call-home:

Router#configure terminal

Enter configuration commands, one per line. End with CNTL/Z.

Router(config)#call-home

Router(cfg-call-home)#http-proxy "10.118.47.99" port 8080

Acesso Local SSM

Esse tipo de implantação permite que você gerencie produtos e licenças em suas instalações sem uma conexão direta com o CSSM hospedado pela Cisco. Para implementar isso, você já deve ter um SSM no local instalado em sua rede. As etapas para instalar o SSM no local estão fora do escopo deste documento.

As etapas de configuração para conectar o servidor SSM Local com um dispositivo são:

1. Habilitar Smart Licensing no dispositivo:

Router#configure terminal

Enter configuration commands, one per line.  End with CNTL/Z.

Router(config)#license smart enable

Note: Esse comando ativa o serviço call-home, que é necessário.

Etapa 2. Verifique se você pode se comunicar com o servidor CSSM no local.

Router#ping X.X.X.X

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to X.X.X.X, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 8/9/10 ms

Note: Se você tiver um servidor DNS, poderá usá-lo para resolver o endereço IP do servidor local para um nome.

3. Gere um novo token do SSM On-Prem.

3.1. Faça login no servidor SSM.

3.2 Criação de token

- Informe a Descrição do Token: Especifique o Número de Dias que o token deve estar ativo.

- Marque a caixa de seleção Permitir funcionalidade de exportação controlada nos produtos registrados com este token.

- Selecione Create Token.

- Depois que o token for criado, selecione Copy para copiar o token recém-criado.

4. Configure o call-home no dispositivo. É necessário alterar o comando destination address http com o IP do servidor On-Prem (http://X.X.X.X/Transportgateway/services/DeviceRequestHandler) e remover o padrão:

Router(config)#call-home

Router(cfg-call-home)#profile CiscoTAC-1

Router(cfg-call-home-profile)#destination transport-method http

Router(cfg-call-home-profile)#destination address http http://X.X.X.X/Transportgateway/services/DeviceRequestHandler

Router(cfg-call-home-profile)#no destination address http https://tools.cisco.com/its/service/oddce/services/DDCEService

Router(cfg-call-home-profile)#active

Router(cfg-call-home-profile)#exit

Router(cfg-call-home)#contact-email-addr test@cisco.com

Router(cfg-call-home)#service call-home

Router(cfg-call-home)#end

5. Configure revocation-check none no ponto de confiança SLA-TrustPoint:

Router#configure terminal

Router(config)#crypto pki trustpoint SLA-TrustPoint

Router(ca-trustpoint)#revocation-check none

6. Registre o dispositivo com o token recuperado do SSM On-Prem:

Router#license smart register idtoken < token from SSM On-Prem portal > force

7. Verifique se o dispositivo foi registrado corretamente com o SSM On-Prem:

Router#show license status

Smart Licensing is ENABLED

Utility:

Status: DISABLEDData Privacy:

Sending Hostname: yes

Callhome hostname privacy: DISABLED

Smart Licensing hostname privacy: DISABLED

Version privacy: DISABLED

Transport:

Type: Callhome

Registration:

Status: REGISTERED

Smart Account: manudiaz

Virtual Account: Default

Export-Controlled Functionality: ALLOWED

Initial Registration: SUCCEEDED on Jan 20 15:22:12 2020 UTC

Last Renewal Attempt: None

Next Renewal Attempt: Sept 30 14:22:12 2021 UTC

Registration Expires: Oct 19 04:35:44 2021 UTC

Acesso local ao SSM com configuração VRF

Se você usar um VRF para acessar o SSM On-Prem, você deve configurar o VRF de origem para que o dispositivo gere a solicitação do VRF correto.

Revise as etapas na seção Acesso Local do SSM até a Etapa 3.

1. Edite a configuração do call-home com o VRF correto e a interface de origem onde você pode acessar o SSM On-Prem:

Router#configure terminal

Enter configuration commands, one per line. End with CNTL/Z.

Router(config)#call-home

Router(cfg-call-home)#source-interface gigabitEthernet 0

Router(cfg-call-home)#vrf Mgmt-intf

2. Configure a interface http-client de origem com a interface correta atribuída ao VRF:

Router#configure terminal

Enter configuration commands, one per line. End with CNTL/Z.

Router(config)#ip http client source-interface gigabitEthernet 0

3. Configure o DNS para o VRF específico. Você pode configurar um servidor DNS no seu ambiente local para resolver o nome do seu servidor SSM local:

Router#configure terminal

Enter configuration commands, one per line. End with CNTL/Z.

Router(config)#ip name-server vrf Mgmt-intf X.X.X.X X.X.X.X

Você pode continuar com as Etapas 5 e 6 do SSM On-Prem Access após essas alterações.

Reserva de licença específica (SLR)

O SLR é um recurso que permite implantar uma licença de software em um dispositivo sem comunicar diretamente as informações de uso à Cisco. Essa funcionalidade é útil em redes altamente seguras e é suportada em plataformas que têm o Smart Licensing Portal. Este guia de configuração pressupõe que você solicitou e está autorizado a usar o SLR.

Note: O SLR não está habilitado por padrão. Você deve solicitar especificamente essa funcionalidade. SLR e as aplicações de licença são suportadas no Cisco IOS XE 16.11.1a e versões posteriores.

Para configurar o SLR no dispositivo, é necessário executar estas etapas a partir do lado do roteador e do portal CSSM

1. Configure o roteador para SLR. Você deve executar o comando license smart reservation e solicitar o recurso SLR com license smart reservation request local.

Note: Se o registro for concluído em uma plataforma HA, você deverá executar a solicitação de reserva inteligente de licença all.

Router# enable

Router# configure terminal

Router(config)# license smart reservation

Router(config)# exit

Router# license smart reservation request local

UDI: PID:ASR1002-X,SN:JAE170XXXXX

Request code: CB-ZASR1002-X:JAE17010XXXX-AxFL8XXXX-XX

Note: O SLR não está habilitado por padrão. Você deve solicitar especificamente esta funcionalidade. Para cancelar a solicitação de reserva de licença, execute o comando license smart reservation cancel.

No CSSM, é necessário reservar as licenças necessárias.

2. Faça login no CSSM. Você deve fazer login no portal com suas credenciais da Cisco.

3. Selecione a guia Inventário. No menu suspenso Virtual Account, selecione sua Smart Account.

4. Na guia Licenses, selecione License Reservation.

5. Na página Inserir Código de Solicitação, insira ou anexe o código de solicitação de reserva gerado do roteador e selecione Próximo.

6. Marque a caixa Reserve a Specific License e selecione a licença e a quantidade de licença reservadaexigida para cada dispositivo.

7. Na guia Revisar e Confirmar, selecione Gerar Código de Autorização.

Note: Depois de gerar o código SLR para um dispositivo específico, o arquivo de código de autorização é válido até você instalar o código. Se a instalação falhar, entre em contato com o Cisco Global License Operations (GLO) para criar um novo código de autorização.

8. Selecione Copiar para a Área de Transferência para copiar o código ou Download como um arquivo. Você deve copiar o código ou arquivo para o dispositivo para continuar o processo.

Se você configurar o SLR, poderá baixar ou instalar o arquivo de texto do código de autorização. Se você configurar a Reserva de Licença Permanente (PLR), poderá copiar e colar o código de autorização.

9. Faça login no dispositivo e execute o comando de instalação license smart reservation install file bootflash:<arquivo SLR>

Router#enable

Router#license smart reservation install file bootflash:

Se necessário, você pode devolver as licenças reservadas no dispositivo e retornar a um estado não registrado. Um código de retorno é gerado e deve ser inserido no CSSM para remover a instância do produto:

Router#enable

Router#license smart reservation return local

Atualizar uma reserva de licença específica

Depois de registrar um dispositivo com êxito, se necessário, você pode atualizar a reserva com um novo recurso ou licença:

1. Faça login no Cisco Smart Software Manager. Você deve fazer login no portal com o nome de usuário e a senha fornecidos pela Cisco.

2. Navegue até a guia Inventory e selecione sua Smart Account na lista suspensa Virtual Account.

3. Na guia Product Instances, selecione Actions para o dispositivo que você precisa atualizar.

4. Selecione Atualizar Licenças Reservadas.

5. Selecione a licença que deseja atualizar.

6. Selecione Próximo.

7. Na guia Revisar e Confirmar, selecione Gerar Código de Autorização. A guia Código de autorização é exibida e o sistema exibe o código de autorização que é gerado.

8. Selecione Copiar para a Área de Transferência para copiar o código ou baixá-lo como um arquivo. Você deve copiar o código ou baixar o arquivo no seu dispositivo.

9. Faça login no dispositivo que deseja atualizar.

10. Execute o comando license smart reservation install file.

Router#enable

Router#license smart reservation install file bootflash:

Cancelar o registro de uma reserva de licença específica

Para cancelar o registro de uma reserva de licença específica para um dispositivo, você deve retornar a reserva de licença na CLI e remover a instância do CSSM.

1. Faça logon no dispositivo cujo registro você deseja cancelar.

2. Para remover o código de autorização de reserva de licença, execute o comando license smart reservation return.

Router#license smart reservation return local

This command will remove the license reservation authorization code and the device will transition

back to the unregistered state. Some features may not function properly.

Do you want to continue? [yes/no]: yes

Enter this return code in Cisco Smart Software Manager portal:

UDI: PID:ISR4351/K9,SN:FDO210305DQ

CBURR4-cTgMun-arvYME-gta6ir-yqnXQm-yMKxWM-2ajywD-5kADgZ-a33

3. Faça login no CSSM.

4. Selecione a guia Inventário. Na lista suspensa Virtual Account, selecione sua Smart Account.

5. Na guia Instância do produto, para o dispositivo cujo registro você deseja cancelar, selecione Ações.

6. Selecione Remover.

7. Quando solicitado, informe o código de retorno.

Troubleshooting

O Dispositivo Não Pode Resolver tools.cisco.com

Verifique se você configurou corretamente um servidor DNS para o VRF correto ou a tabela de rota global. Se preferir, você também pode criar uma entrada DNS estática:

Router(config)#ip host tools.cisco.com 72.163.4.38 173.37.145.8

Note:  Os endereços IP 72.163.4.38 e 173.37.145.8 são usados para acessar tools.cisco.com. Elas podem ser alteradas conforme resolvidas pelo DNS. Confirmar com equipamento local antes da configuração manual.

O roteador não pode se comunicar com tools.cisco.com

- Verifique se uma rota padrão para a Internet está configurada.

- Certifique-se de que não haja um firewall ou proxy entre o dispositivo e o CSSM.

- Verifique se as portas 443 e 80 não estão bloqueadas.

Router#telnet tools.cisco.com 443

Trying tools.cisco.com (72.163.4.38, 80)... Open

- Telnet com VRF.

Router#telnet tools.cisco.com 443 /vrf Mgmt-intf

Trying tools.cisco.com (72.163.4.38, 443)... Open

Licença no status "FORA DE CONFORMIDADE"

Esse estado ocorre quando o dispositivo usa uma autorização e não está em conformidade (saldo negativo). Isso ocorre quando uma licença necessária não está disponível na Virtual Account onde o dispositivo Cisco está registrado.

Router#show license all

License Authorization:

Status: OUT OF COMPLIANCE on Mar 25 15:00:27 2019 CDT

Last Communication Attempt: SUCCEEDED on Mar 25 15:12:32 2019 CDT

Next Communication Attempt: Mar 26 03:12:31 2019 CDT

Communication Deadline: Jun 23 15:06:30 2019 CDT

- Para entrar em um estado de Conformidade/Autorizado, você deve adicionar o número e o tipo corretos de licenças à Conta inteligente

- Quando o dispositivo está nesse estado, ele envia automaticamente uma solicitação de renovação de autorização todos os dias

Depurações do Smart Licensing

Algumas depurações podem ser usadas para solucionar problemas de call-home e de registro de licenciamento inteligente:

- debug call-home trace

- debug call-home error

- debug call-home smart-licensing all

- debug ip http client all

- debug crypto pki <todas as opções>

- debug ssl openssl <todas as opções>

Informações Relacionadas

- Guia de licenciamento inteligente da Cisco para plataformas de roteamento empresarial da Cisco