排除FMC主機限制許可證錯誤故障："；剩餘xxxxxx個FireSIGHT主機許可證中有0個"

問題

防火牆管理中心(FMC)顯示運行狀況警報，表示已達到主機許可證限制。特定錯誤消息顯示：

FireSIGHT主機限制 — [FMC主機名]

您還剩餘0個xxxxxx FireSIGHT主機許可證

範例：

此外，在Overview > Summary > Discovery Statistics頁中，它顯示100%的使用率：

環境

• FMC 7.7.10。其它軟體版本也可能會受到影響。

• 已啟用主機跟蹤的網路發現配置。

解析

FMC主機限制警報不會導致防火牆流量中斷。訪問控制和檢查功能繼續正常運行。主要影響是FMC中的主機可視性和情景跟蹤。

當FMC達到其跟蹤網路對映和主機資料庫中的主機的最大容量時，系統會顯示此通知。

檢視網路發現範圍：

確保僅將發現限制在所需的內部網路。除非需要安全可視性，否則請避免發現不必要的公用、NAT、訪客、負載平衡器或臨時地址範圍。

在這種情況下，您需要更改網路發現配置，並僅指定要監控的內部網路。否則，外部(Internet)主機可能會填充您的發現資料庫：

當前配置分析

通過檢視Policies > Network Discovery > Advanced > Network Discovery Data Storage Settings中的網路發現設定檢查當前的主機限制：

此組態通常顯示：

• 達到主機限制時：不插入新主機

• 主機超時：10080分鐘/7天

• 伺服器超時：10080分鐘/7天

• 客戶端超時：10080分鐘/7天

在當前設定「不插入新主機」且主機資料庫已滿的情況下，FMC不會新增新發現的主機，直到主機計數下降到限制以下，導致主機可見性不完整。

可選配置更改

可以更改主機限制行為以允許持續跟蹤活動主機：

步驟 1:導覽至Policies > Network Discovery。

步驟 2:按一下Advanced頁籤。

步驟 3:在Network Discovery Data Storage Settings下，按一下Edit。

步驟 4:將When Host Limit Reached從「Don't insert new hosts」更改為Drop hosts。

步驟 5:儲存更改。

步驟 6:部署配置以應用更改。

預期影響和行為

啟用「丟棄主機」設定後：

• 預期沒有防火牆流量中斷。

• 訪問控制和檢查繼續正常運行。

• 新增新發現的主機時，FMC從網路對映中刪除最長非活動主機。

• 保持對當前活動主機的持續跟蹤。

• 在這些主機再次處於活動狀態之前，已丟棄主機的歷史主機上下文不再可見。

主機超時檢查：

預設超時值10080分鐘（7天）通常合適。考慮僅在非活動主機保留時間過長時進行調整。

手動主機清理（如果需要）：

如果需要立即減少主機數量，可以從分析>主機>主機表檢視中刪除過時的主機。請注意，這只是清理操作 — 如果發現範圍仍然太廣，FMC將重新發現相同的主機。

或者，也可以從System > Tools > Data Purge中清除發現資料庫中的所有主機:

原因

當FMC發現並正在跟蹤其網路對映和主機資料庫中的最大主機數時，達到FireSIGHT主機許可證限制。常見的促成因素包括：

• 網路發現範圍配置得太廣，包括不必要的外部或公有地址範圍。

• 發現佔用主機許可證的NAT、負載平衡器或臨時地址。

• 將非活動主機保留較長時間的主機超時設定。

• 自然網路增長達到FMC主機容量限制。

相關內容

• 思科安全防火牆管理中心裝置配置指南 — 網路發現策略

• 思科技術支援與下載

修訂記錄

修訂	發佈日期	意見
1.0	06-Aug-2026	初始版本