O FMC relata o tráfego do Cisco Smart Licensing como toos.cisco.com quando o TSID está habilitado

Problema

O Firepower Management Center (FMC) e o Firepower Threat Defense (FTD) relatam o tráfego HTTPS do Cisco Smart Licensing como toos.cisco.com em vez de tools.cisco.com.
Isso faz com que o tráfego de licenciamento de dispositivos da Cisco (ASA, roteadores, switches) seja bloqueado por políticas baseadas em URL ou de inteligência de segurança, resultando potencialmente na expiração da licença.

O tráfego em si é legítimo e destinado à infraestrutura de licenciamento da Cisco.

Ambiente

• Linha de produtos: Firewall seguro da Cisco

• Tipo de tráfego: Cisco Smart Licensing (HTTPS/TCP 443)

• Recurso TSID (Identidade do servidor TLS) habilitado

Resolução

Sintomas

• Os eventos de conexão do FMC ou o rastreamento de suporte do sistema FTD mostram:

• Os comandos do Smart Licensing (por exemplo, license smart renew auth) falham.

• Filtragem de URL/políticas de inteligência de segurança bloqueando toos.cisco.com.

• A captura de pacotes confirma que o tráfego é enviado para os IPs de licenciamento da Cisco (como tools1.cisco.com).

• Desabilitar o TSID faz com que o FMC relate tools.cisco.com.

Etapas de solução de problemas/investigação

Confirmar tráfego de Smart Licensing

No dispositivo Cisco (exemplo: ASA):

license smart renew auth

Capturar o tráfego no dispositivo Cisco (exemplo do ASA)

capture LIC interface outside trace detail match tcp host <ASA_IP> any eq 443
show capture LIC

Exportar a captura e confirmar IP de destino resolve para hosts de licenciamento da Cisco:

tools1.cisco.com

Capturar ou Rastrear Tráfego no FTD

Captura de pacotes (FTD CLI)

capture capin interface <inside> match tcp host <DEVICE_IP> any eq 443
capture capout interface <outside> match tcp host <DEVICE_IP> any eq 443

Rastreamento de suporte do sistema

system support trace

Procure entradas de log semelhantes a:

url toos.cisco.com

Verificar a configuração do TSID no FMC

• Navegue até Access Control Policy (Política de controle de acesso)

• Editar a regra aplicável

• Verificar configurações avançadas

• Confirmar se a TSID (Descoberta de Identidade de Servidor TLS) está habilitada

Validar o impacto do TSID (teste opcional)

• Desativar TSID na regra

• Implantar política

• Nova tentativa de licenciamento

Observação - comportamento esperado: O FMC informa tools.cisco.com quando o TSID está desabilitado

Inspecionar certificado do servidor (opcional)

Nas ferramentas de captura de pacotes ou do navegador, confirme:

• A lista de SAN inclui toos.cisco.com como a primeira entrada

Resolução / Manuseio recomendado

Sem defeito. O comportamento é por design. Aconselhe uma destas opções:

1.- Permitir toos.cisco.com em políticas de filtragem de URL / Inteligência de segurança

2.- Permita o tráfego do Cisco Smart Licensing: Categoria de URL ou padrão de domínio mais amplo

Causa

Comportamento TSID subestimado quando o TLS ClientHello não contém SNI.

Quando o TSID está habilitado e a SNI está ausente, o FMC determina a identidade do servidor usando atributos de certificado nesta ordem:

1.- Denominação comum (NC)

2.- Nome Alternativo da Entidade (SAN)

3.- Unidade Organizacional (UO)

Os certificados de servidor do Cisco Smart Licensing contêm toos.cisco.com como a primeira entrada de SAN.
Como resultado, o FMC informa o toos.cisco.com mesmo que:

• A resolução DNS está correta

• O IP de destino pertence à infraestrutura de licenciamento da Cisco

• A integridade do tráfego não é afetada

Isso afeta apenas a emissão de relatórios de URL e a aplicação de políticas.

Conteúdo relacionado

• Descoberta de identidade do servidor TLS

Histórico de revisões

Revisão	Data de publicação	Comentários
1.0	01-Jul-2026	Versão inicial