Solucionar problemas do ASA Smart Licensing devido à alteração no tipo de transporte padrão

Introdução

Este documento descreve as alterações introduzidas no ASA Smart Licensing como o método de transporte padrão alterado de Callhome para Smart Transport.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

• CLI do Adaptive Security Appliance
• Cisco Smart Licensing

Componente usado

As informações neste documento são baseadas em: 

• Cisco Adaptive Security Appliance 9.20(4)10

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de recurso

Nas versões mais recentes do ASA, o método de transporte de licenciamento padrão foi alterado para Smart Transport. A principal diferença é que o dispositivo agora se conecta a https://smartreceiver.cisco.com para renovar seu direito de licenciamento. Em versões anteriores, que usavam o método Callhome, o dispositivo se conectava a https://tools.cisco.com.

Essa migração não requer nenhuma alteração de configuração; no entanto, o tráfego para https://smartreceiver.cisco.com deve ser permitido em dispositivos upstream.

O modo de transporte foi introduzido a partir das versões mencionadas do ASA:

• 9.20.4
• 9.22.1
• 9.23.1
• 9.24.1

Para verificar se o dispositivo está usando Call Home ou Smart Transport, use o comando show license status.

Verificação

Transporte inteligente:

ASA# show license status
Smart Licensing is ENABLED
Utility:
  Status: DISABLED

Data Privacy:
  Sending Hostname: yes
    Callhome hostname privacy: DISABLED
    Smart Licensing hostname privacy: DISABLED
  Version privacy: DISABLED

Transport:
  Type: Smart <----
  URL: https://smartreceiver.cisco.com/licservice/license <----
  Proxy:
    Not Supported
  VRF:
    Not Supported

Ligar para casa:

ASA# show license status 

Smart Licensing is ENABLED

Utility:
  Status: DISABLED

Data Privacy:
  Sending Hostname: yes
    Callhome hostname privacy: DISABLED
    Smart Licensing hostname privacy: DISABLED
  Version privacy: DISABLED

Transport:
  Type: Callhome <----

Nas versões do ASA que usam o Smart Transport por padrão, ele pode ser revertido para o Callhome se a resolução do problema de acessibilidade com o smartreceiver.cisco.com estiver demorando e houver uma interrupção do serviço. Mas observe que o Callhome será preterido no futuro, portanto, certifique-se de reverter a configuração para usar o Transporte Inteligente novamente assim que a conectividade for restaurada.

Transporte Inteligente para Callhome

Linha de comando:

ASA# configure terminal
ASA(config)#
ASA(config-smart-lic)# transport type ?

smart-lic-mode mode commands/options:
  callhome  Use Smart Call Home as license message transport
  smart     Use Smart Transport as license message transport
ASA(config-smart-lic)# transport type callhome

ASDM:

Configuração > Gerenciamento de Dispositivos > Licenciamento > Smart Licensing

Callhome para Transporte Inteligente

Linha de comando:

ASA# configure terminal
ASA(config)#
ASA(config-smart-lic)# transport type ?

smart-lic-mode mode commands/options:
  callhome  Use Smart Call Home as license message transport
  smart     Use Smart Transport as license message transport
ASA(config-smart-lic)# transport type smart

ASDM:

Configuração > Gerenciamento de Dispositivos > Licenciamento > Smart Licensing

Suporte a proxy

Se o seu ambiente exigir um proxy para se conectar a https://smartreceiver.cisco.com, configure o proxy na configuração do smart licensing adicionando transport proxy [proxy] port [port].

Exemplo:

ASA#configure terminal
ASA(config)#license smart
ASA(config-smart-lic)#transport proxy cisco-lab-proxy.cisco.com port 80 <----

No ASDM, Configuração > Gerenciamento de Dispositivos > Smart Licensing

Esteja ciente da 'ID de bug Cisco CSCwr56980' ao verificar as configurações de proxy.

Compatibilidade 

O Callhome permanece disponível nas versões em que o Transporte Inteligente está configurado como o modo padrão. Para habilitar a opção Callhome, o tipo de transporte deve ser definido como Callhome na configuração de licenciamento:

ASA# show run license 
license smart
[..]
 transport type callhome <----

Problemas comuns

Há poucos cenários comuns em que comportamentos diferentes foram observados, em que alguns acabaram afetando a produção após a atualização para uma versão em que o modelo de licenciamento também foi atualizado para Smart Transport.  

Cenário A

Condição: O ASA não pode acessar a Autoridade Inteligente​

​

Status: ASA está autorizado, sem impacto operacional (menos de 90 dias).​

Registration:
  Status: REGISTERED
  Smart Account: Cisco Systems, TAC
  Virtual Account: EU TAC
  Export-Controlled Functionality: ALLOWED
  Initial Registration: SUCCEEDED on Jan 12 2026 13:09:43 UTC
  Last Renewal Attempt: None
  Next Renewal Attempt: Jul 11 2026 13:09:43 UTC
  Registration Expires: Jan 12 2027 13:04:42 UTC

License Authorization:
  Status: AUTHORIZED on Jan 12 2026 13:11:25 UTC
  Last Communication Attempt: FAILED on Jan 12 2026 13:11:25 UTC <----
  Failure reason: Communication message send error <----
  Next Communication Attempt: Jan 12 2026 13:11:55 UTC
  Communication Deadline: Apr 12 2026 13:04:55 UTC

Etapas da resolução: 

1. Confirme se o método de transporte do Smart Licensing configurado no dispositivo é Smart ou Callhome.
2. Verifique se a resolução DNS está funcionando corretamente verificando se o dispositivo pode resolver e alcançar o servidor apropriado: smartreceiver.cisco.com para transporte inteligente ou tools.cisco.com para transporte Callhome.
3. Após restaurar a conectividade, renove a autorização da licença executando o comando: auth de renovação inteligente de licença.

Cenário B

Condição:O ASA não consegue alcançar a Autoridade Inteligente por mais de 90 dias.

​

Status: Após a expiração da autorização da licença, os recursos que exigem licenças especiais são restritos. Mais notavelmente, as sessões do ASAv AnyConnect são limitadas a duas e o throughput é reduzido para 100 kbps.

Registration:
  Status: REGISTERED
  Smart Account: Cisco Systems, TAC
  Virtual Account: EU TAC
  Export-Controlled Functionality: ALLOWED
  Initial Registration: SUCCEEDED on Dec 15 2022 02:52:47 UTC
  Last Renewal Attempt: FAILED on Dec 29 2025 07:20:08 UTC
  Failure reason: Communication message send error
  Next Renewal Attempt: Dec 29 2025 07:20:38 UTC
  Registration Expires: Jun 02 2026 03:15:26 UTC

License Authorization:
  Status: AUTH EXPIRED on Dec 29 2025 06:37:55 UTC
  Last Communication Attempt: FAILED on Dec 29 2025 06:37:55 UTC <----
  Failure reason: Communication message send error <----
  Next Communication Attempt: Dec 29 2025 07:37:55 UTC
  Communication Deadline: DEADLINE EXCEEDED <----

Licensed features for this platform:
Maximum VLANs                     : 1024           
Inside Hosts                      : Unlimited      
Failover                          : Active/Active  
Encryption-DES                    : Enabled        
Encryption-3DES-AES               : Enabled        
Security Contexts                 : 2              
Carrier                           : Disabled       
AnyConnect Premium Peers          : 2 <<<<<<             
AnyConnect Essentials             : Disabled       
Other VPN Peers                   : 10000          
Total VPN Peers                   : 10000          
AnyConnect for Mobile             : Disabled       
AnyConnect for Cisco VPN Phone    : Disabled       
Advanced Endpoint Assessment      : Disabled       
Shared License                    : Disabled       
Total TLS Proxy Sessions          : 2              
Botnet Traffic Filter             : Enabled        
Cluster                           : Enabled 

Etapas da resolução: 

1. Confirme se o método de transporte do Smart Licensing configurado no dispositivo é Smart Transport ou Callhome.
2. Verifique se a resolução DNS está funcionando corretamente verificando se o dispositivo pode resolver e alcançar o servidor apropriado: smartreceiver.cisco.com para Smart Transport ou tools.cisco.com para Callhome Transport.
3. Após restaurar a conectividade, renove a autorização da licença executando o comando: auth de renovação inteligente de licença.

Cenário C

Condição: O ASA foi reinicializado depois de não conseguir chegar à Smart Licensing Authority por mais de um ano.

Status: Se um dispositivo for reinicializado após um ano de falha de conectividade com a Autoridade de Licença, ele assumirá como padrão o modo de Avaliação, que desabilita recursos de exportação controlada (criptografia forte). Ele pode causar falha de VPN, failover de cenário split-brain ou interrupção de SSH. 

Status: REGISTERING - REGISTRATION IN PROGRESS​
Export-Controlled Functionality: NOT ALLOWED​
Initial Registration: FAILED on Dec 16 2025 12:59:29 UTC​
Failure reason: Communication message send error​
Next Registration Attempt: Dec 16 2025 14:00:10 UTC​

License Authorization: ​
Status: EVAL MODE

Etapas de resolução:

1. Confirme se o método de transporte do Smart Licensing configurado no dispositivo é Smart Transport ou Callhome Transport.
2. Verifique se a resolução DNS está funcionando corretamente verificando se o dispositivo pode resolver e alcançar o servidor apropriado: smartreceiver.cisco.com para Smart Transport ou tools.cisco.com para Callhome Transport.
3. Na restauração da conectividade, registre o dispositivo executando o comando: license smart register idtoken [TOKEN].
4. "Não salve a configuração", pois o dispositivo foi inicializado sem configurações relacionadas à criptografia. Mesmo que 'transport type callhome' tenha sido configurado no submodo 'license smart' para usar o call-home, o dispositivo pode ser recarregado sem salvar a configuração após um registro bem-sucedido para garantir que a configuração de criptografia original seja restaurada.
5. Depois que o dispositivo for inicializado com a configuração criptografada necessária, resolva o problema de licenciamento restaurando a conectividade com a autoridade de licença ou configurando temporariamente o 'transport type callhome' no submodo 'license smart', até que a conectividade com smartreceiver.cisco.com seja permitida.

​

Troubleshooting

• Verifique se há acessibilidade para smartreceiver.cisco.com e se o DNS está configurado corretamente para resolver esse FQDN.
• Dependendo do problema, as depurações de HTTP e licenciamento podem ser aproveitadas.
  • debug http 255
  • debug license agent all
  • debug license 255
• Há dois bugs de software conhecidos que podem causar problemas de conectividade. A verificação pode ser realizada com base em:

'ID do Cisco Bug CSCwp10957': Existe susceptibilidade se a versão do software Cisco ASA for inferior à 9.20(4)14, 9.22(2)14 ou 9.23(1)22.
'ID de bug Cisco CSCws62173': A susceptibilidade existe se o ASA estiver sendo executado em uma plataforma da série Secure Firewall 2100 (FP2100) com uma versão de software inferior a 9.20(4)22, 9.22.3 ou 9.24(1)9.

Informações Relacionadas

• Guia de configuração da CLI de operações gerais do Cisco Secure Firewall ASA, 9.20 

Histórico de revisões

Revisão	Data de publicação	Comentários
1.0	21-May-2026	Versão inicial