Contents

Introdução

Pré-requisitos

Requisitos

Componente usado

Informações de recurso

Verificação

Transporte Inteligente para Callhome

Callhome para Transporte Inteligente

Suporte a proxy

Compatibilidade

Problemas comuns

Cenário A

Cenário B

Cenário C

Troubleshooting

Informações Relacionadas

Introdução

Este documento descreve as alterações introduzidas no ASA Smart Licensing como o método de transporte padrão alterado de Callhome para Smart Transport.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

- CLI do Adaptive Security Appliance

- Cisco Smart Licensing

Componente usado

As informações neste documento são baseadas em:

- Cisco Adaptive Security Appliance 9.20(4)10

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de recurso

Nas versões mais recentes do ASA, o método de transporte de licenciamento padrão foi alterado para Smart Transport. A principal diferença é que o dispositivo agora se conecta a https://smartreceiver.cisco.com para renovar seu direito de licenciamento. Em versões anteriores, que usavam o método Callhome, o dispositivo se conectava a https://tools.cisco.com.

Essa migração não requer nenhuma alteração de configuração; no entanto, o tráfego para https://smartreceiver.cisco.com deve ser permitido em dispositivos upstream.

O modo de transporte foi introduzido a partir das versões mencionadas do ASA:

- 9.20.4

- 9.22.1

- 9.23.1

- 9.24.1

Para verificar se o dispositivo está usando Call Home ou Smart Transport, use o comando show license status.

Verificação

Transporte inteligente:

ASA# show license status

Smart Licensing is ENABLED

Utility:

Status: DISABLED

Data Privacy:

Sending Hostname: yes

Callhome hostname privacy: DISABLED

Smart Licensing hostname privacy: DISABLED

Version privacy: DISABLED

Transport:

Type: Smart <----

URL: https://smartreceiver.cisco.com/licservice/license <----

Proxy:

Not Supported

VRF:

Not Supported

Ligar para casa:

ASA# show license status

Smart Licensing is ENABLED

Utility:

Status: DISABLED

Data Privacy:

Sending Hostname: yes

Callhome hostname privacy: DISABLED

Smart Licensing hostname privacy: DISABLED

Version privacy: DISABLED

Transport:

Type: Callhome <----

Nas versões do ASA que usam o Smart Transport por padrão, ele pode ser revertido para o Callhome se a resolução do problema de acessibilidade com o smartreceiver.cisco.com estiver demorando e houver uma interrupção do serviço. Mas observe que o Callhome será preterido no futuro, portanto, certifique-se de reverter a configuração para usar o Transporte Inteligente novamente assim que a conectividade for restaurada.

Transporte Inteligente para Callhome

Linha de comando:

ASA# configure terminal

ASA(config)#

ASA(config-smart-lic)# transport type ?

smart-lic-mode mode commands/options:

callhome  Use Smart Call Home as license message transport

smart     Use Smart Transport as license message transport

ASA(config-smart-lic)# transport type callhome

ASDM:

Configuração > Gerenciamento de Dispositivos > Licenciamento > Smart Licensing

Callhome para Transporte Inteligente

Linha de comando:

ASA# configure terminal

ASA(config)#

ASA(config-smart-lic)# transport type ?

smart-lic-mode mode commands/options:

callhome  Use Smart Call Home as license message transport

smart     Use Smart Transport as license message transport

ASA(config-smart-lic)# transport type smart

ASDM:

Configuração > Gerenciamento de Dispositivos > Licenciamento > Smart Licensing

Suporte a proxy

Se o seu ambiente exigir um proxy para se conectar a https://smartreceiver.cisco.com, configure o proxy na configuração do smart licensing adicionando transport proxy [proxy] port [port].

Exemplo:

ASA#configure terminal

ASA(config)#license smart

ASA(config-smart-lic)#transport proxy cisco-lab-proxy.cisco.com port 80 <----

No ASDM, Configuração > Gerenciamento de Dispositivos > Smart Licensing

Esteja ciente da 'ID de bug Cisco CSCwr56980' ao verificar as configurações de proxy.

Compatibilidade

O Callhome permanece disponível nas versões em que o Transporte Inteligente está configurado como o modo padrão. Para habilitar a opção Callhome, o tipo de transporte deve ser definido como Callhome na configuração de licenciamento:

ASA# show run license

license smart

[..]

transport type callhome <----

Problemas comuns

Há poucos cenários comuns em que comportamentos diferentes foram observados, em que alguns acabaram afetando a produção após a atualização para uma versão em que o modelo de licenciamento também foi atualizado para Smart Transport.

Cenário A

Condição: O ASA não pode acessar a Autoridade Inteligente

Status: ASA está autorizado, sem impacto operacional (menos de 90 dias).

Registration:

Status: REGISTERED

Smart Account: Cisco Systems, TAC

Virtual Account: EU TAC

Export-Controlled Functionality: ALLOWED

Initial Registration: SUCCEEDED on Jan 12 2026 13:09:43 UTC

Last Renewal Attempt: None

Next Renewal Attempt: Jul 11 2026 13:09:43 UTC

Registration Expires: Jan 12 2027 13:04:42 UTC

License Authorization:

Status: AUTHORIZED on Jan 12 2026 13:11:25 UTC

Last Communication Attempt: FAILED on Jan 12 2026 13:11:25 UTC <----

Failure reason: Communication message send error <----

Next Communication Attempt: Jan 12 2026 13:11:55 UTC

Communication Deadline: Apr 12 2026 13:04:55 UTC

Etapas da resolução:

1. Confirme se o método de transporte do Smart Licensing configurado no dispositivo é Smart ou Callhome.

2. Verifique se a resolução DNS está funcionando corretamente verificando se o dispositivo pode resolver e alcançar o servidor apropriado: smartreceiver.cisco.com para transporte inteligente ou tools.cisco.com para transporte Callhome.

3. Após restaurar a conectividade, renove a autorização da licença executando o comando: auth de renovação inteligente de licença.

Cenário B

Condição:O ASA não consegue alcançar a Autoridade Inteligente por mais de 90 dias.

Status: Após a expiração da autorização da licença, os recursos que exigem licenças especiais são restritos. Mais notavelmente, as sessões do ASAv AnyConnect são limitadas a duas e o throughput é reduzido para 100 kbps.

Registration:

Status: REGISTERED

Smart Account: Cisco Systems, TAC

Virtual Account: EU TAC

Export-Controlled Functionality: ALLOWED

Initial Registration: SUCCEEDED on Dec 15 2022 02:52:47 UTC

Last Renewal Attempt: FAILED on Dec 29 2025 07:20:08 UTC

Failure reason: Communication message send error

Next Renewal Attempt: Dec 29 2025 07:20:38 UTC

Registration Expires: Jun 02 2026 03:15:26 UTC

License Authorization:

Status: AUTH EXPIRED on Dec 29 2025 06:37:55 UTC

Last Communication Attempt: FAILED on Dec 29 2025 06:37:55 UTC <----

Failure reason: Communication message send error <----

Next Communication Attempt: Dec 29 2025 07:37:55 UTC

Communication Deadline: DEADLINE EXCEEDED <----

Licensed features for this platform:

Maximum VLANs                     : 1024

Inside Hosts                      : Unlimited

Failover                          : Active/Active

Encryption-DES                    : Enabled

Encryption-3DES-AES               : Enabled

Security Contexts                 : 2

Carrier                           : Disabled

AnyConnect Premium Peers          : 2 <<<<<<

AnyConnect Essentials             : Disabled

Other VPN Peers                   : 10000

Total VPN Peers                   : 10000

AnyConnect for Mobile             : Disabled

AnyConnect for Cisco VPN Phone    : Disabled

Advanced Endpoint Assessment      : Disabled

Shared License                    : Disabled

Total TLS Proxy Sessions          : 2

Botnet Traffic Filter             : Enabled

Cluster                           : Enabled

Etapas da resolução:

1. Confirme se o método de transporte do Smart Licensing configurado no dispositivo é Smart Transport ou Callhome.

2. Verifique se a resolução DNS está funcionando corretamente verificando se o dispositivo pode resolver e alcançar o servidor apropriado: smartreceiver.cisco.com para Smart Transport ou tools.cisco.com para Callhome Transport.

3. Após restaurar a conectividade, renove a autorização da licença executando o comando: auth de renovação inteligente de licença.

Cenário C

Condição: O ASA foi reinicializado depois de não conseguir chegar à Smart Licensing Authority por mais de um ano.

Status: Se um dispositivo for reinicializado após um ano de falha de conectividade com a Autoridade de Licença, ele assumirá como padrão o modo de Avaliação, que desabilita recursos de exportação controlada (criptografia forte). Ele pode causar falha de VPN, failover de cenário split-brain ou interrupção de SSH.

Status: REGISTERING - REGISTRATION IN PROGRESS

Export-Controlled Functionality: NOT ALLOWED

Initial Registration: FAILED on Dec 16 2025 12:59:29 UTC

Failure reason: Communication message send error

Next Registration Attempt: Dec 16 2025 14:00:10 UTC

License Authorization:

Status: EVAL MODE

Etapas de resolução:

1. Confirme se o método de transporte do Smart Licensing configurado no dispositivo é Smart Transport ou Callhome Transport.

2. Verifique se a resolução DNS está funcionando corretamente verificando se o dispositivo pode resolver e alcançar o servidor apropriado: smartreceiver.cisco.com para Smart Transport ou tools.cisco.com para Callhome Transport.

3. Na restauração da conectividade, registre o dispositivo executando o comando: license smart register idtoken [TOKEN].

4. "Não salve a configuração", pois o dispositivo foi inicializado sem configurações relacionadas à criptografia. Mesmo que 'transport type callhome' tenha sido configurado no submodo 'license smart' para usar o call-home, o dispositivo pode ser recarregado sem salvar a configuração após um registro bem-sucedido para garantir que a configuração de criptografia original seja restaurada.

5. Depois que o dispositivo for inicializado com a configuração criptografada necessária, resolva o problema de licenciamento restaurando a conectividade com a autoridade de licença ou configurando temporariamente o 'transport type callhome' no submodo 'license smart', até que a conectividade com smartreceiver.cisco.com seja permitida.

Troubleshooting

- Verifique se há acessibilidade para smartreceiver.cisco.com e se o DNS está configurado corretamente para resolver esse FQDN.

- Dependendo do problema, as depurações de HTTP e licenciamento podem ser aproveitadas.

- debug http 255

- debug license agent all

- debug license 255

- Há dois bugs de software conhecidos que podem causar problemas de conectividade. A verificação pode ser realizada com base em:

'ID do Cisco Bug CSCwp10957': Existe susceptibilidade se a versão do software Cisco ASA for inferior à 9.20(4)14, 9.22(2)14 ou 9.23(1)22.

'ID de bug Cisco CSCws62173': A susceptibilidade existe se o ASA estiver sendo executado em uma plataforma da série Secure Firewall 2100 (FP2100) com uma versão de software inferior a 9.20(4)22, 9.22.3 ou 9.24(1)9.

Informações Relacionadas

- Guia de configuração da CLI de operações gerais do Cisco Secure Firewall ASA, 9.20