思科智能许可 - Catalyst 平台故障排除步骤和注意事项

下载选项

PDF (1.3 MB)
在各种设备上使用 Adobe Reader 查看
ePub (1.0 MB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
Mobi (Kindle) (844.2 KB)
在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看

已更新: 2021 年 7 月 19 日

文档 ID:214484

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

1. 简介

1.1.什么是思科智能许可？

思科智能许可是基于云的统一许可证管理系统，可管理思科产品中的所有软件许可证。它使客户能够购买、部署、管理、跟踪和续订思科软件许可证。它还通过单个用户界面提供有关许可证所有权和使用情况的信息

该解决方案由用于跟踪思科软件资产的在线智能帐户（位于思科智能许可门户）和用于管理智能帐户的思科智能软件管理器(CSSM)组成。CSSM是执行所有许可管理相关任务（如注册、注销、移动和转移许可证）的地方。可以添加用户，并授予对智能帐户和特定虚拟帐户的访问权限和权限。

要了解有关思科智能许可的详细信息，请访问：

a)思科智能许可主页

b)思科社区 — 按需培训

有关在IOS-XE 17.3.2及更高版本中使用策略方法的新智能许可的详细信息，请访问Catalyst交换机上使用策略的智能许可

对智能许可和/或智能帐户管理不熟悉？访问并注册新管理员培训课程并录制：
思科社区 — 通过思科智能帐户/智能许可和我的思科授权实现智能

可以在此处创建智能帐户：智能帐户

可在此处管理智能帐户：智能软件许可

1.2.智能许可实施方法

部署思科智能许可有多种方法，可根据公司的安全配置文件加以利用，例如：

直接云访问

思科产品使用HTTPS通过互联网安全地发送使用信息。无需其他组件。

通过HTTPS代理访问

思科产品使用HTTPS通过HTTP代理服务器安全地发送使用信息。可以使用现有代理服务器，也可以通过思科的传输网关进行部署。(请单击此处了解其他信息)。

本地许可证服务器(也称为思科智能软件管理器卫星)

思科产品会将使用信息发送到内部服务器，而不是直接通过互联网发送。每月一次，服务器通过互联网通过HTTPS访问所有设备，或者可以手动传输以同步其数据库。CSSM内部（卫星）可作为虚拟机(VM)提供，可在此下载。有关其他信息，请访问智能软件管理器卫星页。

1.3.支持的IOS XE平台

从IOS XE版本16.9.1开始，Catalyst 3650/3850和Catalyst 9000系列交换机平台支持将思科智能许可方法作为唯一的许可方法。
从IOS XE版本16.10.1开始，ASR1K、ISR1K、ISR4K和虚拟路由器(CSRv/ISRv)等路由器平台支持将思科智能许可方法作为唯一的许可方法。

1.4.从旧版许可证迁移到智能许可证

将旧版许可证转换为智能许可证有两种方法，如使用权(RTU)或产品激活密钥(PAK)。有关需要遵循哪种方法的详细信息，请参阅特定思科设备的相关版本说明和/或配置指南。

1.4.1.通过设备LED转换(DLC)

设备LED转换(DLC)是一种一次性方法，思科产品可以报告其使用的许可证，许可证会自动存储到思科智能软件管理器(CSSM)上相应的智能帐户中。 DLC过程直接从特定思科设备的命令行界面(CLI)执行。

DLC进程仅在Catalyst 3650/3850和所选路由器平台上受支持。有关特定路由器型号，请参阅各平台配置指南和版本说明。示例：运行Fuji 16.9.x版本的Catalyst 3850的DLC过程。

1.4.2.转换思科智能软件管理器(CSSM)或许可证注册门户(LRP)

思科智能软件管理器(CSSM)方法：

1.登录思科智能软件管理器(CSSM)，网址为https://software.cisco.com/

2.导航至“智能软件许可”>“转换为智能许可”

3.选择“转换PAK”或“转换许可证”

4.如果转换PAK许可证，请在下表中找到许可证。如果转换非PAK许可证，请使用“许可证转换向导”进行分步说明。

与帐户关联的已知PAK文件的位置：

“许可证转换向导”链接的位置：

5.找到所需的许可证和产品组合

6.点击（在“操作”下）：转换为智能许可

7.选择所需的虚拟帐户、许可证，然后点击“下一步”

8.查看选择，然后点击转换许可证

许可证注册门户(LRP)方法：

1.登录许可证注册门户(LRP)http://tools.cisco.com/SWIFT/LicensingUI/Home

2.导航至“设备”>“添加设备”

3.输入正确的产品系列和唯一设备标识符(UDI)产品ID和序列号，然后点击确定。UDI信息可从Cisco设备的命令行界面(CLI)获取的“show version”或“show inventory”

4.选择添加的设备并将许可证转换为智能许可

5.分配到适当的虚拟帐户，选择要转换的许可证并提交

提示：LRP工具也可通过在“PAK或令牌”选项卡上查找许可证/产品系列，点击PAK/令牌旁的圆圈下拉框并选择“转换为智能许可”来使用：

1.4.3 的多播地址发送一次邻居消息。通过联系思科全球许可运营(GLO)部门进行转换

全球许可运营部可在我们的全球联系中心联系到此处。

1.5. Catalyst 9500高性能行为从16.9更改为16.12.3

与其他Catalyst 9000型号一样，Catalyst 9500高性能型号在IOS XE 16.9版系列及更高版本中启用了智能许可。但是，对于Catalyst 9500高性能型号，每个型号都有自己的特定许可证授权标签。后来，产品和营销团队决定统一C9500平台授权标签。此决定将C9500高性能型号的行为从使用特定授权标签更改为通用C9500许可证。

行为的这种变化记录在以下缺陷中：

a)CSCvp30661

b)CSCvt01955

以下是C9500高性能型号的上述变更前后许可证更改：

1.5.1. IOS XE版本16.11.x及以下

每个C9600高性能型号都有其自己的授权标签：

型号	许可证
C9500-32C	C9500 32C NW基础版 C9500 32C NW优势 C9500 32C DNA基础 C9500 32C DNA优势
C9500-32QC	C9500 32QC NW基础版 C9500 32QC NW优势 C9500 32QC DNA基本版 C9500 32QC DNA优势
C9500-24Y4C	C9500 24Y4C NW基础版 C9500 24Y4C NW优势 C9500 24Y4C DNA基础 C9500 24Y4C DNA优势
C9500-48Y4C	C9500 48Y4C NW基础版 C9500 48Y4C NW优势 C9500 48Y4C DNA基础 C9500 48Y4C DNA优势

注意：IOS XE版本16.12.1和16.12.2具有以下缺陷:CSCvp30661、CSCvt01955，并在16.12.3a及更高版本中提供。

1.5.2. IOS XE版本16.12.3及以上版本

Catalyst 9500高性能平台现在将使用通用网络许可证标签和单独的DNA许可证标签。下表显示IOS XE版本16.12.3及以后突出显示的授权更改：

型号	许可证
C9500-32C	C9500网络基础 C9500网络优势 C9500 32C DNA基础 C9500 32C DNA优势
C9500-32QC	C9500网络基础 C9500网络优势 C9500 32QC DNA基本版 C9500 32QC DNA优势
C9500-24Y4C	C9500网络基础 C9500网络优势 C9500 24Y4C DNA基础 C9500 24Y4C DNA优势
C9500-48Y4C	C9500网络基础 C9500网络优势 C9500 48Y4C DNA基础 C9500 48Y4C DNA优势

注意：从IOS XE版本16.12.1和16.12.2升级将显示此许可证行为。从IOS XE版本16.9.x、16.10.x、16.11.x到16.12.3的升级将识别旧许可证配置。

1.5.3. C9500高性能更改常见问题

1. 当我的设备使用特定于设备的网络许可证时，思科为什么支持分配通用网络许可证？

提供通用标签，因为它们是网络设备的正确授权标签。这允许在整个Cat9500平台（而不仅仅是特定的C9500高性能型号）中使用授权标签。16.12.3之前的映像要求提供设备特定的许可证标签，这符合通用许可证标签，因为更具体的许可证属于许可层次结构中的通用许可证。

2. 为什么有时智能帐户中会显示两个网络标签？

此行为是由许可层次结构造成的，当设备在使用设备特定许可标记的旧映像上运行时会发生。要求设备特定许可证标签的较旧映像符合通用许可证标签，因为更具体的标签属于许可层次结构中的通用许可证。

2.配置

2.1.基本配置

有关如何配置智能许可的确切步骤，请参阅适用于每个版本/平台的《系统管理配置指南》。

例如：Cisco IOS XE Fuji 16.9.x（Catalyst 9300交换机）系统管理配置指南

2.2.注册令牌/设备ID令牌

注册设备之前，需要生成令牌。注册令牌（也称为设备ID令牌）是从智能许可门户或Cisco Smart Software Manager自行生成的唯一令牌。单个令牌可用于注册多个思科设备，具体取决于创建过程中使用的参数。

仅在思科设备初始注册期间，注册令牌才是必需的，因为它向设备提供信息以呼叫总部到思科后端并绑定到正确的智能帐户。注册思科设备后，不再需要令牌。

有关注册令牌及其生成方式的详细信息，请单击此处获取一般指南。有关详细信息，请参阅特定思科设备的配置指南。

2.3.注册和许可证状态

部署和配置智能许可时，思科设备可能处于多种状态。通过从Cisco设备的命令行界面(CLI)查看show license all或show license status，可以显示这些状态。

以下是所有状态及其含义的列表：

评估（未识别）状态
- 这是设备首次启动时的默认状态。
- 通常，当思科设备尚未配置智能许可或注册到智能帐户时，会显示此状态。
- 在此状态下，所有功能都可用，并且设备可以自由更改许可证级别。
- 当设备处于未识别状态时，使用评估期。在此状态下，设备不会尝试与思科通信。
- 这将是90天的使用时间，而不是90个日历天。一旦过期，就不会重置。
- 对于整个设备，有一个评估期，它不是根据授权
- 当评估期在90天结束时到期时，设备将进入EVAL EXPIRY模式，但是即使重新加载后，功能也不会受到功能影响或中断。目前没有实施。
- 倒计时时间在重新启动后保持不变。
- 如果设备尚未向思科注册，且未从思科后端收到以下两条消息，则使用评估期：
  1. 成功响应注册请求
  2. 成功响应授权请求。

注册状态
- 这是成功完成注册后的预期状态。
- 思科设备已成功与思科智能帐户通信并注册。
- 设备收到有效期为1年的ID证书，该证书将用于将来的通信
- 设备将向CSSM发送请求，以授权设备上正在使用的许可证的授权
- 根据CSSM响应，设备随后将进入“已授权”或“不合规”
- ID证书在一年结束时到期。6个月后，软件代理进程将尝试续订证书。如果代理无法与思科智能软件管理器通信，则会继续尝试并续约ID证书，直到到期日期（1年）。在一年结束时，座席将返回未确定状态并尝试启用评估期。CSSM将从其数据库中删除产品实例。

授权状态
- 这是设备使用授权且合规（无负余额）时的预期状态，
- CSSM上的虚拟帐户具有授权使用设备许可证的正确许可证类型和数量
- 在30天后，设备将向CSSM发送新请求以更新授权。
- 时间跨度为90天，之后（如果未成功续约）将移至授权过期状态。

不合规状态
- 这是设备使用授权且不符合合规性（负余额）时的状态，
- 当设备在Cisco设备在Cisco智能帐户中注册到的相应虚拟帐户中没有可用许可证时，会看到此状态。
- 要进入合规/授权状态，客户必须向智能帐户添加正确的许可证数量和类型
- 当处于此状态时，设备将每天自动发送授权续订请求
- 许可证和功能将继续运行，不会影响功能

授权过期状态
- 这是设备使用授权后90天内无法与关联的思科智能帐户通信的状态。
- 如果思科设备在初始注册后无法访问互联网或无法连接到tools.cisco.com，通常会出现这种情况。
- 智能许可的在线方法要求思科设备至少每90天进行一次通信，以防止出现此状态。
- CSSM将将此设备的所有使用中许可证返回池，因为90天没有任何通信
- 在此状态下，设备将继续尝试每小时与思科联系以续订授权，直到注册期（id证书）到期
- 如果软件代理重新建立与思科的通信，并收到其授权请求，它将正常处理该应答并进入已建立状态之一

3. 注意事项

从交换机的16.9.1和路由器的16.10.1开始，将生成名为“CiscoTAC-1”的默认Call-home配置文件，以帮助迁移到智能许可。默认情况下，此配置文件为直接云访问方法设置。

#show call-home profile CiscoTAC-1
Profile Name: CiscoTAC-1
Profile status: ACTIVE
Profile mode: Full Reporting
Reporting Data: Smart Call Home, Smart Licensing
Preferred Message Format: xml
Message Size Limit: 3145728 Bytes
Transport Method: http
HTTP  address(es): https://tools.cisco.com/its/service/oddce/services/DDCEService
Other address(es): default
<snip>

当使用Cisco Smart Software Manager本地服务器时，活动Call-Home配置下的目标地址必须指向它（区分大小写！）：

(config)#call-home
(cfg-call-home)#profile "CiscoTAC-1"
(cfg-call-home-profile)#destination address http https://
     
     /Transportgateway/services/DeviceRequestHandler

解析tools.cisco.com需要DNS。如果DNS服务器连接在VRF中，请确保在以下内容中定义了正确的源接口和VRF:

Global Routing Table Used:
(config)#ip domain-lookup [source-interface <INTERFACE>]
(config)#ip name-server <IP>

VRF Routing Table Used:
(config)#ip domain-lookup [source-interface <INTERFACE>]     <<-- "ip vrf forwarding <VRF-NAME>" defined on the interface
(config)#ip name-server vrf <VRF-NAME> <SERVER-IP>

或者，如果DNS不可用，请静态配置本地DNS到IP的映射（基于终端设备上的本地DNS解析），或将呼叫总部配置中的DNS名称替换为IP地址。有关直接云访问的示例(对于Cisco Smart Software Manager on-prem)，请使用自己的DNS名称，而不是tools.cisco.com:

(config)#ip host tools.cisco.com 173.37.145.8

如果需要从特定VRF（例如Mgmt-vrf）中的接口发起与tools.cisco.com的通信，则需要配置以下CLI:

(config)#ip http client source-interface <VRF_INTERFACE>

根据思科设备的配置，可能会使用不同数量的许可证，例如在StackWise或StackWise虚拟中运行的Catalyst交换机：

支持传统堆叠的交换机（例如Catalyst 9300系列）：

网络许可证：堆栈中每台交换机使用1个许可证

DNA许可证：堆栈中每台交换机使用1个许可证

模块化机箱（例如Catalyst 9400系列）：

网络许可证：机箱中每个管理引擎使用1个许可证

DNA许可证：每个机箱使用1个许可证

固定堆叠式虚拟支持的交换机（例如Catalyst 9500系列）：

网络许可证：堆栈中每台交换机使用1个许可证

DNA许可证：堆栈中每台交换机使用1个许可证

对于智能许可，只有一个Call-Home配置文件可以处于活动状态。
仅当配置了相应功能时，才会使用许可证。
为智能许可配置的思科设备需要配置正确的系统时间和日期，以确保它们与相应的思科智能帐户正确同步。如果思科设备的时间偏移太远，设备可能无法注册。时钟需要通过网络时间协议(NTP)或精确时间协议(PTP)等定时协议手动设置或配置。有关实施这些更改所需的确切步骤，请参阅特定思科设备的配置指南。
如果注册后未自动保存，则需要保存在思科设备注册期间生成的公钥基础设施(PKI)密钥。如果设备无法保存PKI密钥，则会生成系统日志，声明通过“copy running-config startup-config”或“write memory”保存配置。
如果思科设备的PKI密钥未正确保存，则许可证状态可能会在故障切换或重新加载时丢失。
默认情况下，当将第三方代理用于HTTPS代理方法时，智能许可不支持HTTPS代理SSL证书拦截。要支持此功能，可以在代理上禁用SSL拦截，或手动导入从代理发送的证书。

How to Manually Import Certification as a TrustPoint:
The certificate will need be in a BASE64 format to be copied and pasted onto the device as a TrustPoint. 

The following example shown below uses "LicRoot" as the TrustPoint name, however, this name can be changed as desired.

Device#conf t 
Device(config)#crypto pki trustpoint LicRoot 
Device(ca-trustpoint)#enrollment terminal 
Device(ca-trustpoint)#revocation-check none 
Device(ca-trustpoint)#exit 
Device(config)#crypto pki authenticate LicRoot 
Enter the base 64 encoded CA certificate. 
End with a blank line or the word "quit" on a line by itself 
-----BEGIN CERTIFICATE----- 
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
-----END CERTIFICATE----- 
Certificate has the following attributes: 
     Fingerprint MD5: XXXXXXXX
   Fingerprint SHA1: XXXXXXX
% Do you accept this certificate? [yes/no]: yes 
Trustpoint CA certificate accepted. 
% Certificate successfully imported

使用传输网关HTTP代理时，IP地址需要从tools.cisco.com更改为代理，如下所示：
目的地址http https:// tools.cisco.com/its/service/oddce/services/DDCEService
至
目标地址http https://<TransportGW-IP_Address>:<port_number>/Transportgateway/services/DeviceRequestHandler
通过导航至HTTP设置并查看思科传输网关GUI上的HTTP服务URL，可以找到传输网关IP地址。
- 有关详细信息，请参阅以下思科传输网关配置指南。

4.故障排除

将思科设备迁移至支持智能许可的软件版本时，以下流程图可用作所有三种方法(直接云访问、HTTPS代理和思科智能软件管理器内部)的一般指南。

设备升级或随支持智能许可的软件版本一起提供（有关支持的IOS-XE版本列表，请参阅第1.3节）。

下面的故障排除步骤主要集中于“设备无法注册”的场景。

4.1.设备无法注册

在初始配置后，为了启用智能许可，需要通过CLI在设备上注册令牌(在CSSM/Cisco Smart Software Manager上自行生成):

license smart register idtoken <TOKEN>

这将生成以下事件：

! Smart licensing process starts
!
Registration process is in progress. Use the 'show license status' command to check the progress and result
!
! Crypto key is automatically generated for HTTPS communication
!
Generating 2048 bit RSA keys, keys will be exportable... [OK] (elapsed time was 1 seconds)
%CRYPTO_ENGINE-5-KEY_ADDITION: A key named SLA-KeyPair has been generated or imported by crypto-engine
%PKI-4-NOCONFIGAUTOSAVE: Configuration was modified.  Issue "write memory" to save new IOS PKI configuration
!
! Call-home start registration process
!
%CALL_HOME-6-SCH_REGISTRATION_IN_PROGRESS: SCH device registration is in progress. Call-home will poll SCH server for registration result. You can also check SCH registration status with "call-home request registration-info" under EXEC mode.
!
! Smart Licensing process connects with CSSM and check entitlement.
!
%SMART_LIC-6-EXPORT_CONTROLLED: Usage of export controlled features is allowed
%SMART_LIC-6-AGENT_REG_SUCCESS: Smart Agent for Licensing Registration with the Cisco Smart Software Manager or satellitefor udi PID:<PID>,SN:<SN>
%SMART_LIC-4-CONFIG_NOT_SAVED: Smart Licensing configuration has not been saved
%SMART_LIC-5-IN_COMPLIANCE: All entitlements and licenses in use on this device are authorized
%SMART_LIC-6-AUTH_RENEW_SUCCESS: Authorization renewal with the Cisco Smart Software Manager or satellite. State=authorized for udi PID:<PID>,SN:<SN>

要检查Call-Home配置，请运行以下CLI:

#show call-home profile all

Profile Name: CiscoTAC-1
    Profile status: ACTIVE
    Profile mode: Full Reporting
    Reporting Data: Smart Call Home, Smart Licensing
    Preferred Message Format: xml
    Message Size Limit: 3145728 Bytes
    Transport Method: http
    HTTP  address(es): https://tools.cisco.com/its/service/oddce/services/DDCEService
    Other address(es): default

    Periodic configuration info message is scheduled every 1 day of the month at 09:15

    Periodic inventory info message is scheduled every 1 day of the month at 09:00

    Alert-group               Severity
    ------------------------  ------------
    crash                     debug
    diagnostic                minor
    environment               warning
    inventory                 normal

    Syslog-Pattern            Severity
    ------------------------  ------------
    APF-.-WLC_.*              warning
    .*                        major

要检查智能许可状态，请运行以下CLI:

#show license summary
Smart Licensing is ENABLED

Registration:
  Status: REGISTERED
  Smart Account: TAC Cisco Systems, Inc.
  Virtual Account: Krakow LAN-SW
  Export-Controlled Functionality: ALLOWED
  Last Renewal Attempt: None
  Next Renewal Attempt: Nov 22 21:24:32 2019 UTC

License Authorization:
  Status: AUTHORIZED
  Last Communication Attempt: SUCCEEDED
  Next Communication Attempt: Jun 25 21:24:37 2019 UTC

License Usage:
  License                 Entitlement tag               Count Status
  -----------------------------------------------------------------------------
  C9500 Network Advantage (C9500 Network Advantage)         1 AUTHORIZED
  C9500-DNA-40X-A         (C9500-40X DNA Advantage)         1 AUTHORIZED

如果设备无法注册(且状态与上图所示的REGISTERED不同；请注意，“不合规”指向CSSM上的问题，如智能虚拟帐户中缺少许可证、映射不正确（例如，在许可证不可用的情况下使用了来自不同虚拟帐户的令牌等），请检查以下内容：

1.检验配置设置和常见故障场景

有关基本配置步骤，请参阅第2.1节。另请参阅第5部分，了解现场观察到的常见故障场景。

2.检查基本连通性

验证设备可以访问（并打开TCP端口）tools.cisco.com（如果是直接访问）或Cisco Smart Software Manager内部服务器:

#show run all | in destination address http
  destination address http https://tools.cisco.com/its/service/oddce/services/DDCEService
!
! check connectivity
!
#telnet tools.cisco.com 443 /source-interface gi0/0
Trying tools.cisco.com (173.37.145.8, 443)... Open
[Connection to tools.cisco.com closed by foreign host]

如果以上不起作用，请仔细检查路由规则、源接口和防火墙设置。

请注意，HTTP(TCP/80)已弃用，建议的协议为HTTPS(TCP/443)。

请参阅部分：本文档中的“3.注意事项和注意事项”，以了解有关如何配置DNS和HTTP详细信息的进一步指南。

3.验证智能许可证设置

收集以下命令的输出：

#show tech-support license

并验证收集的配置/日志（如果您决定打开Cisco TAC案例进行进一步调查，请附加此输出）。

4.启用调试

启用以下调试以收集有关智能许可流程的其他信息（请注意，在启用调试后，您需要尝试通过第4.1点中提到的CLi再次注册许可证）：

#debug call-home smart-licensing [all | trace | error]
#debug ip http client [all | api | cache | error | main | msg | socket]

对于内部调试，启用和读取二进制跟踪：

! enable debug
#set platform software trace ios [switch] active R0 infra-sl debug
!
! read binary traces infra-sl process logs
#show platform software trace message ios [switch] active R0

五、常见故障场景

以下是在思科设备注册期间或之后可能遇到的一些常见故障场景：

场景#1:交换机注册“失败原因：产品已注册”

“全部显示许可证”的片段：

状态：未注册 — 注册失败

导出控制功能：不允许

初始注册：2018年10月22日14:25:31日失败

失败原因：产品已注册

下次注册尝试：2018年10月22日14:45:34（美国东部标准时间）

后续方案

— 思科设备需要重新注册。

— 如果思科智能软件管理器(CSSM)中显示思科设备，则需要使用“force”参数(即"license smart register idtoken <TOKEN> force")

注意：故障原因也可显示如下：
— 失败原因：已注册包含udiSerialNumber:<SerialNumber>、udiPid:<Product>的产品<X>和sudi。
— 失败原因：现有产品实例具有消耗且强制标志为假

场景#2:交换机注册“失败原因：您的请求现在无法处理。请重试"

“全部显示许可证”的片段：

状态:注册 — 正在注册

导出控制功能：不允许

初始注册：2018年10月24日15:55:26日失败

失败原因： 您的请求现在无法处理。请重试

下次注册尝试：2018年10月24日16:12:15（美国东部标准时间）

后续方案

— 启用第4节中提到的调试，以便更深入地了解问题，

— 在智能许可的CSSM中生成新令牌，然后再尝试一次。

场景#3:故障原因“设备日期1526135268653的偏移超出允许的容差限制

“全部显示许可证”的片段：

状态:注册 — 正在注册

导出控制功能：不允许

初始注册：2018年11月1117:55:46日（美国东部标准时间）失败

失败原因： {"timestamp":["设备日期'1526135268653'的偏移超出允许的容差限制。"]}

下次注册尝试：2018年11月11日18:12:17（美国东部标准时间）

可能看到的日志：

%PKI-3-CERTIFICATE_INVALID_NOT_YET_VALID:证书链验证失败。证书(SN:XXXXX)尚无效。有效期从2018-12-12:43Z开始

后续方案

— 检验思科设备时钟是否显示正确的时间(show clock)

— 尽可能配置网络时间协议(NTP)，以确保时钟设置正确

— 如果NTP不可能，请验证手动设置的时钟（时钟设置）是否正确（显示时钟），并通过验证配置了“clock calendar-valid”来配置为可信时间源

注意：默认情况下，系统时钟不受信任。需要“clock calendar-valid”。

场景#4:交换机注册“失败原因：通信传输不可用。”

“全部显示许可证”的片段：

导出控制功能：不允许

初始注册：失败于2019年3月09日21:42:02 CST

失败原因：通信传输不可用。

可能看到的日志：

%CALL_HOME-3-CALL_HOME_FAILED_TO_ENABLE:无法从智能代理启用Call-Home以进行许可：由于现有活动用户配置文件，该命令无法启用smart call home。如果您使用除“CiscoTAC-1”配置文件外的用户配置文件将数据发送到思科的SCH服务器，请在配置文件模式下输入“reporting smart-licensing-data”，以配置该配置文件进行智能许可。有关SCH的更多详情，请查看http://www.cisco.com/go/smartcallhome
%SMART_LIC-3-AGENT_REG_FAILED:向思科智能软件管理器或卫星进行许可注册的智能代理失败：通信传输不可用。
%SMART_LIC-3-COMM_FAILED:与思科智能软件管理器或卫星的通信故障：通信传输不可用。

后续方案

— 验证在思科设备的“show running-config”输出中，call-home已启用“service call-home”

— 确保正确的Call-Home配置文件处于活动状态

— 验证在活动Call-Home配置文件下配置了“reporting smart-licensing-data”

场景#5:交换机许可证授权“失败原因：无法发送Call Home HTTP消息。"

“全部显示许可证”的片段：

许可证授权：

状态:UTC 2018年7月26日09:24:09不合规

上次通信尝试：UTC 2018年8月14:26:23日失败

失败原因：无法发出Call Home HTTP消息。

下次通信尝试：世界协调时2018年8月14:26:53日

通信截止时间：世界协调时2018年10月25日09:21:38日

可能的日志：

%CALL_HOME-5-SL_MESSAGE_FAILED:无法将智能许可消息发送到：https://<ip>/its/service/oddce/services/DDCEService(错误205:请求已中止)

%SMART_LIC-3-COMM_FAILED：与思科智能软件管理器或卫星的通信失败：无法发出Call Home HTTP消息。

%SMART_LIC-3-AUTH_RENEW_FAILED：使用思科智能软件管理器或卫星进行授权续订：udi PID:XXX，SN的通信消息发送错误：3911、3951、69XX 系列和 894X <tag></tag><tag></tag>电话通过根据配置文件中的以下部分下载 tzdatacsv.csv 文件来更新 tzdata 信息：

后续方案

— 验证Cisco设备是否能ping通tools.cisco.com

— 如果未配置DNS，请为tools.cisco.com的本地nslookup IP配置DNS服务器或“ip host”语句

— 尝试从思科设备telnet至TCP端口443（HTTPS使用的端口）上的tools.cisco.com

— 检验HTTPs客户端源接口是否已定义且正确

— 通过“show call-home profile all”验证Cisco设备上呼叫总部配置文件中的URL/IP是否设置正确

— 检验ip路由是否指向正确的下一跳

— 确保Cisco设备、Smart Call Home Server路径或Cisco Smart Software Manager on-prem（卫星）上未阻塞TCP端口443

— 如果适用，请确保在call-home下配置了正确的虚拟路由和转发(VRF)实例

场景#6:失败原因“缺少ID证书序列号字段；缺少签名证书序列号字段；签名数据和证书不匹配“日志

当使用CSSM本地服务器时，如果其加密证书已到期，则会出现此行为。这是预期行为，因为应允许CSSM本地同步并更新其证书，以防止任何注册设备发生证书同步问题。

“全部显示许可证”的片段：

许可证授权：
状态:评估模式
剩余评估期：65天，18小时，43分，0秒

可能看到的日志：

在“show logging”或“show license eventlog”下，出现以下错误：
SAEVT_DEREGISTER_STATUS msgStatus="LS_INVALID_DATA" error="Missing Id cert serial number"字段；缺少签名证书序列号字段；签名数据和证书不匹配”

后续方案

— 检验Cisco设备是否具有与CSSM本地服务器的IP连接
— 如果使用HTTPS，请确认证书C-Name正在设备call-home配置中使用
— 如果DNS服务器不可用于解析证书C-Name，请配置静态“ip host”语句以映射域名和IP地址

— 验证CSSM内部部署上证书的状态是否仍然有效
— 如果CSSM本地证书已过期，请遵循CSCvr41393中记录的解决方法之一

注意：默认情况下，HTTPS将在SSL握手期间执行服务器身份检查，以验证URL或IP是否与从服务器提供的证书相同。如果主机名和IP不匹配，则当使用IP地址而不是DNS条目时，这可能会导致问题。如果DNS不可能或静态ip host语句，可以配置“no http secure server-identity-check”以禁用此证书检查。

场景#7:交换机许可证授权“失败原因：正在等待回复”

“全部显示许可证”的片段：

许可证授权：
状态:UTC 2018年7月26日09:24:09不合规
上次通信尝试：UTC 2018年8月14:34:51日待定
失败原因：正在等待回复
下次通信尝试：世界协调时2018年8月14:53:58日
通信截止时间：世界协调时2018年10月25日09:21:39日

可能的日志：

%PKI-3-CRL_FETCH_FAIL:信任点SLA-TrustPoint的CRL获取失败原因：无法选择套接字。超时：5（连接超时）
%PKI-3-CRL_FETCH_FAIL:信任点SLA-TrustPoint的CRL获取失败原因：无法选择套接字。超时：5（连接超时）

后续方案

— 要更正此问题，应在运行配置下将SLA-TrustPoint配置为none

show running-config

<省略>

crypto pki trustpoint SLA-TrustPoint

revocation-check none

什么是CRL?

证书撤销列表(CRL)是已撤销证书的列表。CRL由最初颁发证书的证书颁发机构(CA)创建并数字签名。CRL包含颁发每个证书的日期和证书到期日期。有关CRL的详细信息，请点击。

场景#8:许可证处于“不合规”状态

“全部显示许可证”的片段：

可能的日志：

%SMART_LIC-3-OUT_OF_COMPLIANCE:一个或多个授权不符合要求

后续方案

— 验证是否已使用正确智能虚拟帐户中的令牌，

— 验证此处可用许可证的数量。

场景#9:交换机许可证授权“失败原因：数据和签名不匹配''

“全部显示许可证”的片段：

许可证授权：

状态:EDT 2020年3月12日09:17:45日授权

上次通信尝试：EDT 2020年3月12日09:17:45失败

失败原因：数据和签名不匹配

下次通信尝试：美国东部夏令时间2020年3月12日09:18:15

通信截止时间：2020年美国东部夏令时间2020年5月21:22:43日

可能的日志：

%SMART_LIC-3-AUTH_RENEW_FAILED:通过思科智能软件管理器(CSSM)进行授权续约：从智能软件管理器收到错误：udi PID:C9000、SN:XXXXXXXXXX的数据和签名不匹配

后续方案

— 使用“License smart deregister”取消注册交换机

— 然后使用新令牌使用“license smart register idtoken <TOKEN> force”注册交换机

六、参考资料

1)思科智能许可主页

2)思科社区 — 按需培训。

3)智能帐户 — 管理门户：智能软件许可

4)智能帐户 — 创建新帐户：智能帐户

5)配置指南（示例） — Cisco IOS XE Fuji 16.9.x（Catalyst 9300交换机）系统管理配置指南

修订历史记录

版本	发布日期	备注
1.0	31-May-2019	初始版本

由思科工程师提供

Devin Davis
Cisco Customer Experience

此文档是否有帮助?

反馈

联系我们

提交支持案例
(需要思科服务合同)

思科智能许可 - Catalyst 平台故障排除步骤和注意事项

下载选项

非歧视性语言

关于此翻译

目录

1. 简介

1.1.什么是思科智能许可？

1.2.智能许可实施方法

1.3.支持的IOS XE平台

1.4.从旧版许可证迁移到智能许可证

1.4.1.通过设备LED转换(DLC)

1.4.2.转换思科智能软件管理器(CSSM)或许可证注册门户(LRP)

1.4.3 的多播地址发送一次邻居消息。通过联系思科全球许可运营(GLO)部门进行转换

1.5. Catalyst 9500高性能行为从16.9更改为16.12.3

1.5.1. IOS XE版本16.11.x及以下

1.5.2. IOS XE版本16.12.3及以上版本

1.5.3. C9500高性能更改常见问题

2.配置

2.1.基本配置

2.2.注册令牌/设备ID令牌

2.3.注册和许可证状态

3. 注意事项

4.故障排除

4.1.设备无法注册

五、常见故障场景

场景#1:交换机注册“失败原因：产品已注册”

场景#2:交换机注册“失败原因：您的请求现在无法处理。请重试"

场景#3:故障原因“设备日期1526135268653的偏移超出允许的容差限制

场景#4:交换机注册“失败原因：通信传输不可用。”

场景#5:交换机许可证授权“失败原因：无法发送Call Home HTTP消息。"

场景#6:失败原因“缺少ID证书序列号字段；缺少签名证书序列号字段；签名数据和证书不匹配“日志

场景#7:交换机许可证授权“失败原因：正在等待回复”

场景#8:许可证处于“不合规”状态

场景#9:交换机许可证授权“失败原因：数据和签名不匹配''

六、参考资料

修订历史记录

由思科工程师提供

此文档是否有帮助?

联系我们

本文档适用于以下产品

思科智能许可 - Catalyst 平台故障排除步骤和注意事项

下载选项

非歧视性语言

关于此翻译

目录

1. 简介

1.1.什么是思科智能许可？

1.2.智能许可实施方法

1.3.支持的IOS XE平台

1.4.从旧版许可证迁移到智能许可证

1.4.1.通过设备LED转换(DLC)

1.4.2.转换 思科智能软件管理器(CSSM)或许可证注册门户(LRP)

1.4.3 的多播地址发送一次邻居消息。 通过联系思科全球许可运营(GLO)部门进行转换

1.5. Catalyst 9500高性能行为从16.9更改为16.12.3

1.5.1. IOS XE版本16.11.x及以下

1.5.2. IOS XE版本16.12.3及以上版本

1.5.3. C9500高性能更改常见问题

2.配置

2.1.基本配置

2.2.注册令牌/设备ID令牌

2.3.注册和许可证状态

3. 注意事项

4.故障排除

4.1.设备无法注册

五、常见故障场景

场景#1:交换机注册“失败原因：产品已注册”

场景#2:交换机注册“失败原因：您的请求现在无法处理。请重试"

场景#3:故障原因“设备日期1526135268653的偏移超出允许的容差限制

场景#4:交换机注册“失败原因：通信传输不可用。”

场景#5:交换机许可证授权“失败原因：无法发送Call Home HTTP消息。"

场景#6:失败原因“缺少ID证书序列号字段；缺少签名证书序列号字段；签名数据和证书不匹配“日志

场景#7:交换机许可证授权“失败原因：正在等待回复”

场景#8:许可证处于“不合规”状态

场景#9:交换机许可证授权“失败原因：数据和签名不匹配''

六、参考资料

修订历史记录

由思科工程师提供

此文档是否有帮助?

联系我们

本文档适用于以下产品

1.4.2.转换思科智能软件管理器(CSSM)或许可证注册门户(LRP)

1.4.3 的多播地址发送一次邻居消息。通过联系思科全球许可运营(GLO)部门进行转换