Configurar e solucionar problemas do Smart Licensing em plataformas Nexus

Introdução

Este documento descreve como trabalhar com o Cisco Smart Licensing (sistema baseado em nuvem) para solucionar problemas e gerenciar licenças de software em switches Nexus.

O que é Smart Licensing?

Uma Conta inteligente da Cisco é um repositório de dados gerenciado que fornece visibilidade total e controle de acesso a licenças de software, direitos e instâncias de produtos da Cisco em toda a empresa

Novo em Smart Licensing e/ou administração de Smart Account?

Visite e inscreva-se no novo curso de treinamento e gravação do administrador:
Comunidade Cisco - Obtenha inteligência com as Smart Accounts/Smart Licensing da Cisco e as qualificações do My Cisco

 As Smart Accounts podem ser criadas aqui: Smart Accounts

As Smart Accounts podem ser gerenciadas aqui: Smart Software Licensing

Plataformas Cisco Nexus compatíveis

Cisco NX-OS versão 9.3(3) em diante, todos os switches Cisco Nexus 3000 e 9000 Series (exceto os switches de plataforma Cisco Nexus 3016 e 3064) suportam o Smart Software Licensing.

O suporte ao Smart Licensing no Cisco Nexus 7000 foi introduzido a partir da versão 8.0(1).

Métodos compatíveis de licenciamento inteligente em switches Nexus

Fluxo de trabalho do usuário do Smart Licensing

Estados do Produto Smart License

Registrado

Licenças

Solicitação ou renovação

Renovação

Estados de registro e de licença

Enquanto o Smart Licensing está configurado, há vários estados possíveis em que um dispositivo Cisco pode estar. Esses estados podem ser exibidos por "show license all ou show license status" na Interface de Linha de Comando (CLI) do dispositivo Cisco.

Aqui está uma lista de todos os estados e seus significados:

Estado de avaliação (não identificado)

• Este é um estado padrão do dispositivo quando inicializado pela primeira vez.
• Normalmente, esse estado é visto quando um dispositivo da Cisco ainda não foi configurado para Smart Licensing ou registrado em uma Smart Account.
• Nesse estado, todos os recursos estão disponíveis e o dispositivo pode alterar livremente os níveis de licença.
• O período de avaliação é usado quando o dispositivo está no estado não identificado. O dispositivo não tenta se comunicar com a Cisco nesse estado.
• Será 90 dias de uso e não 90 dias corridos.  Uma vez expirado, nunca mais será redefinido.
• Existe um período de avaliação para o dispositivo inteiro, que não é por qualificação
• Quando o período de avaliação expira ao final de 90 dias, o dispositivo entra no modo EVAL EXPIRY, no entanto, não há impacto funcional ou interrupção na funcionalidade, mesmo após o recarregamento. No momento, a aplicação não foi estabelecida.
• O tempo de contagem regressiva é mantido entre as reinicializações.
• O período de avaliação será usado se o dispositivo ainda não tiver se registrado na Cisco e não tiver recebido essas duas mensagens do back-end da Cisco:
1. Resposta com sucesso a uma solicitação de registro
2. Resposta com sucesso a uma solicitação de autorização de qualificação.     

Estado registrado

• Este é o estado esperado após a conclusão do registro com êxito.
• O dispositivo da Cisco conseguiu se comunicar com uma Cisco Smart Account e se registrar com sucesso.
• O dispositivo recebe um certificado de identificação válido por 1 ano, que é usado para comunicações futuras
• O dispositivo envia uma solicitação ao CSSM para autorizar os direitos para as licenças em uso no dispositivo
• Com base na resposta do CSSM, o dispositivo entra em Authorized or Out of Compliance (Autorizado ou Fora de conformidade)
• O certificado de ID expira ao final de um ano. Após 6 meses, o processo do Agente de software tenta renovar o certificado. Se o Agente não puder se comunicar com o Cisco Smart Software Manager, ele continuará tentando renovar o certificado de ID até a data de expiração (1 ano). Ao final de um ano, o agente volta ao estado Não Identificado e tenta habilitar o período de Avaliação. O CSSM remove a instância do produto de seu banco de dados.

Estado Autorizado

• Este é o estado esperado quando o dispositivo usa um direito e está em conformidade (sem saldo negativo), 
• A Virtual Account no CSSM tinha o tipo e o número corretos de licenças para autorizar o consumo das licenças do dispositivo
• Ao final de 30 dias, o dispositivo envia uma nova solicitação ao CSSM para renovar a autorização.
• Tem um intervalo de tempo de 90 dias após o qual (se não for renovado com sucesso) é movido para o estado de Autorização expirada. 

Estado Fora de conformidade

• Este é o estado em que o dispositivo usa uma autorização e não está em conformidade (saldo negativo), 
• Esse estado é visto quando o dispositivo não tem uma licença disponível na Virtual Account correspondente em que o dispositivo Cisco está registrado na Cisco Smart Account. 
• Para entrar no estado Conformidade/Autorizado, você deve adicionar o número e o tipo corretos de licenças à Conta inteligente
• Quando nesse estado, o dispositivo envia automaticamente uma solicitação de renovação de autorização todos os dias
• Licenças e recursos continuam a operar e não há impacto funcional

Estado de Autorização expirada

• Este é o estado em que o dispositivo usa um direito que não pode se comunicar com a Conta inteligente da Cisco associada há mais de 90 dias.
• Normalmente ele é visto se o dispositivo da Cisco perder o acesso à Internet ou não puder se conectar ao tools.cisco.com após o registro inicial.
• Os métodos on-line de Smart Licensing exigem que os dispositivos da Cisco se comuniquem, no mínimo, a cada 90 dias para evitar esse status.
• O CSSM retorna todas as licenças em uso para este dispositivo de volta ao pool, já que ele não tem nenhuma comunicação há 90 dias
• Enquanto estiver nesse estado, o dispositivo continua tentando entrar em contato com a Cisco, a cada hora, para renovar a autorização de qualificação, até que o período de registro (certificado de id) expire.
• Licenças e recursos continuam a operar e não há impacto funcional.
• Se o Agente de software restabelecer a comunicação com a Cisco e receber a sua solicitação de autorização, ele processará essa resposta normalmente e entrará em um dos estados estabelecidos.

Métodos suportados no Nexus e na configuração

Método 1 (acesso direto à nuvem)

Configuração básica:

switch# show run callhome



!Command: show running-config callhome

!Running configuration last done at: Wed Jun 22 16:14:37 2022

!Time: Wed Jun 22 16:16:28 2022



version 9.3(4) Bios:version 07.67

callhome

  email-contact sch-smart-licensing@cisco.com

  destination-profile CiscoTAC-1 transport-method http

  destination-profile CiscoTAC-1 index 1 http https://tools.cisco.com/its/service/oddce/services/DDCEService

transport http use-vrf management

 enable



Switch# license smart register idtoken XXXX (force)

Initiated device registration with backend. run show license status, for registration status



switch# show license status

Smart Licensing is ENABLED



Registration:

  Status: REGISTERED

  Smart Account: ldap_user_test

  Virtual Account: Default

  Export-Controlled Functionality: Allowed

  Initial Registration: SUCCEEDED on Jun 22 16:15:41 2022 UTC

  Last Renewal Attempt: None

  Next Renewal Attempt: Dec 19 16:15:41 2022 UTC

  Registration Expires: Jun 22 16:13:53 2023 UTC



License Authorization:

  Status: AUTHORIZED on Jun 22 16:15:44 2022 UTC



  Last Communication Attempt: SUCCEEDED on Jun 22 16:15:44 2022 UTC

  Next Communication Attempt: Jul 22 16:15:43 2022 UTC

  Communication Deadline: Sep 20 16:12:55 2022 UTC



Smart License Conversion:

  Automatic Conversion Enabled: False

 Status: Not started

https://www.cisco.com/c/en/us/td/docs/switches/datacenter/sw/nx-os/licensing/guide/b_Cisco_NX-OS_Licensing_Guide/m-smart-licensing-for-cisco-nexus-3000-and-9000-series-switches.html

Método 2 (Acesso através de um proxy HTTP)

switch# show run callhome



version 9.3(4) Bios:version 07.67

 

call home

email-contact sch-smart-licensing@cisco.com
    
    
      destination-profile CiscoTAC-1 transport-method http destination-profile CiscoTAC-1 index 1 http https://tools.cisco.com/its/service/oddce/services/DDCEService transport http proxy server X.X.X.X port 80 transport http use-vrf management transport http proxy enable Switch# license smart register idtoken XXXX (force) Initiated device registration with backend. run show license status, for registration status 
    

Método 3 (no local - on-line)

switch# show run callhome



version 9.3(4) Bios:version 07.67

callhome

  email-contact sch-smart-licensing@cisco.com

  destination-profile CiscoTAC-1 transport-method http

  destination-profile CiscoTAC-1 index 1 http https://10.106.41.xx/Transportgateway/services/DeviceRequestHandlerend

  transport http use-vrf management

  enable



Switch# license smart register idtoken XXXX (force)

Initiated device registration with backend. run show license status, for registration status

Método 4 (No local - off-line )

O que é o token de ID?

Usado para registrar produtos com segurança em uma Smart Account e uma Virtual Account

Os "ID Tokens" são "identificadores organizacionais" utilizados para estabelecer a "identidade" quando um produto é registrado.

Como gerar o token de ID a partir do CSSM

https://software.cisco.com/software/csws/ws/platform/home?locale=en_US#

Gerenciar licenças -> Inventário -> Geral -> Novo token -> Criar token

Troubleshooting

Quando um dispositivo da Cisco é migrado para uma versão de software habilitada para Smart Licensing, esse fluxograma pode ser usado como um guia geral para todos os três métodos (Direct Cloud Access, HTTPS Proxy e Cisco Smart Software Manager On-site).

FluxoDeTrabalho

Problemas conhecidos

•  O problema é registrar o N9K-C9348GC-FXP para licenciamento inteligente.

1. Erro - Falha ao enviar o HTTP do Call Home

[+] Configurações do Call home

Switch# show running-config callhome

version 9.3(5) Bios:version 07.68
callhome
email-contact abc@example.com
phone-contact +919XXXXXXXXX
streetaddress ST3, RD 4, Bangalore
destination-profile CiscoTAC-1 transport-method http
destination-profile CiscoTAC-1 index 1 http http://tools.cisco.com/its/service/oddce/services/DDCEService
transport http use-vrf management

[+] Acessibilidade confirmada para tools.cisco.com.

DC-DMZ(config)# ping tools.cisco.com vrf management
PING tools.cisco.com (72.163.4.38): 56 data bytes
64 bytes from 72.163.4.38: icmp_seq=0 ttl=232 time=237.581 ms
64 bytes from 72.163.4.38: icmp_seq=1 ttl=232 time=237.859 ms
64 bytes from 72.163.4.38: icmp_seq=2 ttl=232 time=237.562 ms
64 bytes from 72.163.4.38: icmp_seq=3 ttl=232 time=237.413 ms
64 bytes from 72.163.4.38: icmp_seq=4 ttl=232 time=237.995 ms

DC-DMZ(config)# telnet tools.cisco.com 443 vrf management
Trying 2001:420:1101:5::a...
Trying 72.163.4.38...
Connected to tools.cisco.com.
Escape character is '^]'.
^CConnection closed by foreign host.

+ A interface de origem HTTP foi configurada para a interface vlan 27, alterada para mgmt0

2. Erro - Falha ao analisar dados de resposta do servidor SCH

++ HTTP não é mais suportado para acessar o back-end da Cisco; HTTPS somente é suportado. Removida a configuração atual e atualizado o endereço de destino para usar HTTPS.

Previous config

destination-profile CiscoTAC-1 transport-method http
destination-profile CiscoTAC-1 index 1 http http://tools.cisco.com/its/service/oddce/services/DDCEService
transport http use-vrf management
enable

New config added

(config)#callhome
(config-callhome)#enable
(config-callhome)# destination-profile CiscoTAC-1 transport-method http
(config-callhome no destination-profile CiscoTAC-1 index 1 http http://tools.cisco.com/its/service/oddce/services/DDCEService
(config-callhome destination-profile CiscoTAC-1 http https://tools.cisco.com/its/service/oddce/services/DDCEService

3. Erro - Falha ao enviar mensagem HTTP do Call Home (falha ao estabelecer conexão IPC com call-home - CA raiz de Quo Vadis)

https://www.cisco.com/c/en/us/support/docs/field-notices/721/fn72115.html

4. Erro - A falta de resposta DNS causa o travamento de mensagens MTS do callhome 

ID de bug Cisco CSCvv67469