Utiliser l'enregistrement des licences Smart FMC et FTD et les problèmes courants pour le dépannage

    

Introduction

Ce document décrit la configuration d'enregistrement de licence Smart de Firepower Management Center sur les périphériques gérés par Firepower Threat Defense.

Conditions préalables

Exigences

Aucune exigence spécifique n'est associée à ce document.

Composants utilisés

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Informations générales

Enregistrement des licences FMC, FTD et Smart.

L'enregistrement des licences Smart s'effectue sur le centre de gestion Firepower (FMC). Le FMC communique avec le portail Cisco Smart Software Manager (CSSM) via Internet. Dans le CSSM, l'administrateur du pare-feu gère le compte Smart et ses licences. Le FMC peut librement attribuer et supprimer des licences aux périphériques Firepower Threat Defense (FTD) gérés. En d'autres termes, le FMC gère de manière centralisée les licences pour les périphériques FTD.

Une licence supplémentaire est requise pour utiliser certaines fonctionnalités des périphériques FTD. Les types de licences Smart que les clients peuvent attribuer à un périphérique FTD sont documentés dans Types et restrictions de licences FTD.

La licence de base est incluse dans le périphérique FTD. Cette licence est automatiquement enregistrée dans votre compte Smart lorsque le FMC est enregistré auprès de CSSM.
Les licences à durée limitée : Threat, Malware et URL Filtering sont facultatives. Pour utiliser les fonctions associées à une licence, une licence doit être attribuée au périphérique FTD.

Pour utiliser un FMCv (Firepower Management Center Virtual) pour la gestion FTD, une licence de périphérique Firepower MCv dans CSSM est également nécessaire pour le FMCv.

La licence FMCv est incluse dans le logiciel et elle est perpétuelle.

En outre, des scénarios sont fournis dans ce document pour aider à dépanner les erreurs courantes d'enregistrement de licence qui peuvent se produire.

Pour plus d'informations sur les licences, consultez Licences de fonctions Cisco Firepower System et Foire aux questions (FAQ) sur les licences Firepower.

Inscription de licence Smart FMC

Conditions préalables

1. Pour l'enregistrement de la licence Smart, le FMC doit accéder à Internet. Étant donné que le certificat est échangé entre le FMC et le nuage de licences Smart avec HTTPS, assurez-vous qu'aucun périphérique dans le chemin d'accès ne peut affecter/modifier la communication. (par exemple, pare-feu, proxy, périphérique de décodage SSL, etc.).

2. Accédez au CSSM et émettez un ID de jeton à partir du bouton Inventory > General > New Token, comme illustré dans cette image.

Pour utiliser le chiffrement fort, activez l'option Autoriser la fonctionnalité de contrôle des exportations sur les produits enregistrés avec ce jeton. Lorsque cette option est activée, une coche s'affiche dans la case.

3. Sélectionnez Créer un jeton.

Inscription de licence Smart FMC

Accédez à System > Licenses > Smart Licenses sur le FMC, et sélectionnez le bouton Register, comme illustré dans cette image.

Saisissez l'ID de jeton dans la fenêtre Enregistrement du produit de licence Smart et sélectionnez Apply Changes, comme illustré dans cette image.

Si l'enregistrement de la licence Smart a réussi, l'état d'enregistrement du produit affiche Registered, comme illustré dans cette image.

Pour attribuer une licence à durée déterminée au périphérique FTD, sélectionnez Edit Licenses (Modifier les licences). Ensuite, sélectionnez et ajoutez un périphérique géré à la section Périphériques avec licence. Enfin, sélectionnez le bouton Apply comme illustré dans cette image.

Confirmation côté Smart Software Manager (SSM)

La réussite de l'enregistrement de la licence Smart FMC peut être confirmée à partir de Inventory > Event Log dans CSSM, comme illustré dans cette image.

L'état d'enregistrement du FMC peut être confirmé à partir de Inventory > Product Instances. Consultez le journal des événements dans l'onglet Journal des événements.  L'enregistrement et l'état d'utilisation des licences Smart peuvent être vérifiés dans l'onglet Inventory > Licenses. Vérifiez que la licence à durée déterminée achetée est utilisée correctement et qu'aucune alerte n'indique que les licences sont insuffisantes.

Désenregistrement de la licence Smart FMC

Désinscription du FMC du module Cisco SSM

Pour libérer la licence pour une raison quelconque ou utiliser un jeton différent, accédez à System > Licenses > Smart Licenses et sélectionnez le bouton de désinscription, comme illustré dans cette image.

Supprimer l'enregistrement côté SSM

Accédez à Smart Software Manager (Cisco Smart Software Manager) et, dans Inventaire > Instances de produit, sélectionnez Supprimer sur le FMC cible. Sélectionnez ensuite Remove Product Instance pour supprimer le FMC et libérer les licences allouées, comme illustré dans cette image.

RMA

Si le FMC est RMA'd, annulez l'enregistrement du FMC à partir de Cisco Smart Software Manager (CSSM) en suivant les étapes de la section Désenregistrement de la licence Smart FMC > Supprimer l'enregistrement du côté SSM et réenregistrez le FMC avec CSSM en suivant les étapes de la section Enregistrement de la licence Smart FMC.

Dépannage

Vérification de synchronisation temporelle

Accédez à l'interface de ligne de commande du contrôleur FMC (par exemple, SSH) et assurez-vous que l'heure est correcte et qu'elle est synchronisée avec un serveur NTP approuvé. Étant donné que le certificat est utilisé pour l'authentification de licence Smart, il est important que le FMC dispose des informations d'heure correctes :

admin@FMC:~$ date
Thu Jun 14 09:18:47 UTC 2020
admin@FMC:~$
admin@FMC:~$ ntpq -pn
     remote           refid      st t when poll reach   delay   offset  jitter
==============================================================================
*10.0.0.2        171.68.xx.xx     2 u  387 1024  377    0.977    0.469   0.916
 127.127.1.1     .SFCL.          13 l    -   64    0    0.000    0.000   0.000

À partir de l'interface utilisateur FMC, vérifiez les valeurs du serveur NTP à partir de System > Configuration > Time Synchronization.

Activer la résolution de noms et vérifier l'accessibilité à tools.cisco.com (smartreceiver.cisco.com à partir de FMC 7.3+)

Assurez-vous que le FMC peut résoudre un nom de domaine complet et qu'il est accessible à tools.cisco.com (smartreceiver.cisco.com à partir de FMC 7.3, comme indiqué dans https://bst.cloudapps.cisco.com/bugsearch/bug/CSCwj95397

> expert
admin@FMC2000-2:~$ sudo su
Password:
root@FMC2000-2:/Volume/home/admin# ping tools.cisco.com
PING tools.cisco.com (173.37.145.8) 56(84) bytes of data.
64 bytes from tools2.cisco.com (173.37.145.8): icmp_req=1 ttl=237 time=163 ms
64 bytes from tools2.cisco.com (173.37.145.8): icmp_req=2 ttl=237 time=163 ms

À partir de l'interface utilisateur FMC, vérifiez l'adresse IP de gestion et l'adresse IP du serveur DNS à partir de System > Configuration > Management Interfaces.

Vérifiez l'accès HTTPS (TCP 443) de FMC à tools.cisco.com (smartreceiver.cisco.com de FMC 7.3+)

Utilisez la commande Telnet ou curl pour vous assurer que le FMC a un accès HTTPS à tools.cisco.com (smartreceiver.cisco.com à partir de FMC 7.3+). Si la communication TCP 443 est interrompue, vérifiez qu'elle n'est pas bloquée par un pare-feu et qu'il n'y a pas de périphérique de déchiffrement SSL dans le chemin.

root@FMC2000-2:/Volume/home/admin# telnet tools.cisco.com 443
Trying 72.163.4.38...
Connected to tools.cisco.com.
Escape character is '^]'.
^CConnection closed by foreign host.                    <--- Press Ctrl+C

Essai de boucle :

root@FMC2000-2:/Volume/home/admin# curl -vvk https://tools.cisco.com
*   Trying 72.163.4.38...
* TCP_NODELAY set
* Connected to tools.cisco.com (72.163.4.38) port 443 (#0)
* ALPN, offering http/1.1
* Cipher selection: ALL:!EXPORT:!EXPORT40:!EXPORT56:!aNULL:!LOW:!RC4:@STRENGTH
* successfully set certificate verify locations:
*   CAfile: /etc/ssl/certs/ca-certificates.crt
  CApath: none
* TLSv1.2 (OUT), TLS header, Certificate Status (22):
* TLSv1.2 (OUT), TLS handshake, Client hello (1):
* TLSv1.2 (IN), TLS handshake, Server hello (2):
* TLSv1.2 (IN), TLS handshake, Certificate (11):
* TLSv1.2 (IN), TLS handshake, Server finished (14):
* TLSv1.2 (OUT), TLS handshake, Client key exchange (16):
* TLSv1.2 (OUT), TLS change cipher, Change cipher spec (1):
* TLSv1.2 (OUT), TLS handshake, Finished (20):
* TLSv1.2 (IN), TLS change cipher, Change cipher spec (1):
* TLSv1.2 (IN), TLS handshake, Finished (20):
* SSL connection using TLSv1.2 / AES128-GCM-SHA256
* ALPN, server accepted to use http/1.1
* Server certificate:
*  subject: C=US; ST=CA; L=San Jose; O=Cisco Systems, Inc.; CN=tools.cisco.com
*  start date: Sep 17 04:00:58 2018 GMT
*  expire date: Sep 17 04:10:00 2020 GMT
*  issuer: C=US; O=HydrantID (Avalanche Cloud Corporation); CN=HydrantID SSL ICA G2
*  SSL certificate verify ok.
> GET / HTTP/1.1
> Host: tools.cisco.com
> User-Agent: curl/7.62.0
> Accept: */*
>
< HTTP/1.1 200 OK
< Date: Wed, 17 Jun 2020 10:28:31 GMT
< Last-Modified: Thu, 20 Dec 2012 23:46:09 GMT
< ETag: "39b01e46-151-4d15155dd459d"
< Accept-Ranges: bytes
< Content-Length: 337
< Access-Control-Allow-Credentials: true
< Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS
< Access-Control-Allow-Headers: Content-type, fromPartyID, inputFormat, outputFormat, Authorization, Content-Length, Accept, Origin
< Content-Type: text/html
< Set-Cookie: CP_GUTC=10.163.4.54.1592389711389899; path=/; expires=Mon, 16-Jun-25 10:28:31 GMT; domain=.cisco.com
< Set-Cookie: CP_GUTC=10.163.44.92.1592389711391532; path=/; expires=Mon, 16-Jun-25 10:28:31 GMT; domain=.cisco.com
< Cache-Control: max-age=0
< Expires: Wed, 17 Jun 2020 10:28:31 GMT
<
<html>
<head>
<script language="JavaScript">

var input = document.URL.indexOf('intellishield');
if(input != -1) {
 window.location="https://intellishield.cisco.com/security/alertmanager/";
}
else {
 window.location="http://www.cisco.com";
};

</script>
</head>

<body>
<a href="http://www.cisco.com">www.cisco.com</a>
</body>
</html>
* Connection #0 to host tools.cisco.com left intact
root@FMC2000-2:/Volume/home/admin#

Vérification DNS

Vérifiez la résolution vers tools.cisco.com (smartreceiver.cisco.com à partir de FMC 7.3+) :

root@FMC2000-2:/Volume/home/admin# nslookup tools.cisco.com
Server:         192.0.2.100
Address:        192.0.2.100#53

Non-authoritative answer:
Name:   tools.cisco.com
Address: 72.163.4.38

Vérification du proxy

Si apProxy est utilisé, vérifiez les valeurs sur le FMC et sur le serveur proxy. Sur le FMC, vérifiez que le FMC utilise l'adresse IP et le port corrects du serveur proxy.

root@FMC2000-2:/Volume/home/admin# cat /etc/sf/smart_callhome.conf 
KEEP_SYNC_ACTIVE:1
PROXY_DST_URL:https://tools.cisco.com/its/service/oddce/services/DDCEService
PROXY_SRV:192.0.xx.xx
PROXY_PORT:80

Dans l'interface utilisateur de FMC, les valeurs de proxy peuvent être confirmées à partir de System > Configuration > Management Interfaces.

Si les valeurs côté FMC sont correctes, vérifiez les valeurs côté serveur proxy (par exemple, si le serveur proxy autorise l'accès depuis le FMC et vers tools.cisco.com. En outre, autorisez le trafic et l'échange de certificats via le proxy. Le FMC utilise un certificat pour l'enregistrement de la licence Smart).

ID de jeton expiré

Vérifiez que l'ID de jeton émis n'a pas expiré. Si elle a expiré, demandez à l'administrateur Smart Software Manager d'émettre un nouveau jeton et de réenregistrer la licence Smart avec le nouvel ID de jeton.

Modification de la passerelle FMC

Il peut arriver que l'authentification de la licence Smart ne puisse pas être effectuée correctement en raison des effets d'un proxy relais ou d'un périphérique de déchiffrement SSL. Si possible, changez la route pour l'accès Internet FMC pour éviter ces périphériques, puis recommencez l'enregistrement de la licence Smart.

Vérifiez les événements d'intégrité sur FMC

Sur le FMC, accédez à System > Health > Events et vérifiez l'état du module Smart License Monitor pour les erreurs. Par exemple, si la connexion échoue en raison d'un certificat expiré ; une erreur, telle que id certificate expiré est générée, comme illustré dans cette image.

Vérifiez le journal des événements côté SSM

Si le FMC peut se connecter au CSSM, vérifiez le journal des événements de la connectivité dans Inventory > Event Log. Vérifiez s'il existe de tels journaux d'événements ou d'erreurs dans le CSSM. S’il n’y a pas de problème avec les valeurs/le fonctionnement du site FMC, et s’il n’y a pas de journal des événements du côté du CSSM, il est possible qu’il y ait un problème avec la route entre le FMC et le CSSM.

Problèmes courants

Résumé des États d'enregistrement et d'autorisation :

État d'enregistrement du produit	État autorisation utilisation	Commentaires
Non Enregistré	—	Le FMC n'est ni en mode enregistré ni en mode d'évaluation. Il s’agit de l’état initial après l’installation de FMC ou après l’expiration de la licence d’évaluation de 90 jours.
Enregistré	Autorisé	Le FMC est enregistré auprès de Cisco Smart Software Manager (CSSM) et des périphériques FTD sont enregistrés avec un abonnement valide.
Enregistré	Autorisation expirée	Le FMC n'a pas pu communiquer avec le serveur principal de licences Cisco pendant plus de 90 jours.
Enregistré	Non Enregistré	Le FMC est enregistré auprès de Cisco Smart Software Manager (CSSM), mais aucun périphérique FTD n'est enregistré sur le FMC.
Enregistré	Non-conformité	Le FMC est enregistré auprès de Cisco Smart Software Manager (CSSM), mais des périphériques FTD sont enregistrés avec un ou plusieurs abonnements non valides. Par exemple, un périphérique FTD (FP4112) utilise un abonnement THREAT, mais avec Cisco Smart Software Manager (CSSM), aucun abonnement THREAT n'est disponible pour FP4112.
Évaluation (90 jours)	S/O	La période d'évaluation est en cours d'utilisation, mais aucun périphérique FTD n'est enregistré sur le FMC.

Étude de cas 1. Jeton non valide

Symptôme : l'enregistrement au CSSM échoue rapidement (~10 s) en raison d'un jeton non valide, comme illustré dans cette image.

Résolution : utilisez un jeton valide.

Étude de cas 2. DNS non valide

Symptôme : échec de l'inscription au CSSM après un certain temps (~25 s), comme illustré dans cette image.

Vérifiez le fichier /var/log/process_stdout.log. Le problème DNS est visible :

root@FMC2000-2:/Volume/home/admin# cat /var/log/process_stdout.log
2020-06-25 09:05:21 sla[24043]: *Thu Jun 25 09:05:10.989 UTC: CH-LIB-ERROR: ch_pf_curl_send_msg[494], 
failed to perform, err code 6, err string "Couldn't resolve host name"

Résolution : échec de la résolution du nom d'hôte CSSM. La résolution consiste à configurer le DNS, s'il n'est pas configuré, ou à résoudre les problèmes DNS.

Étude de cas 3. Valeurs temporelles non valides

Symptôme : échec de l'inscription au CSSM après un certain temps (~25 s), comme illustré dans cette image.

Vérifiez le fichier /var/log/process_stdout.log. Les problèmes de certificat sont les suivants :

2021-06-25 09:22:51 sla[24043]: *Fri Jun 25 09:22:39.716 UTC: CH-LIB-TRACE: ch_pf_curl_request_init[59], request "POST", url "https://tools.cisco.com/its/service/oddce/services/DDCEService"
2021-06-25 09:22:51 sla[24043]: *Fri Jun 25 09:22:39.716 UTC: CH-LIB-TRACE: ch_pf_curl_post_prepare[299], https related setting
2021-06-25 09:22:51 sla[24043]: *Fri Jun 25 09:22:39.716 UTC: CH-LIB-TRACE: ch_pf_curl_post_prepare[302], set ca info
2021-06-25 09:22:51 sla[24043]: *Fri Jun 25 09:22:39.716 UTC: CH-LIB-TRACE: ch_pf_curl_head_init[110], init msg header
2021-06-25 09:22:51 sla[24043]: *Fri Jun 25 09:22:40.205 UTC: CH-LIB-ERROR: ch_pf_curl_send_msg[494], 
failed to perform, err code 60, err string "SSL peer certificate or SSH remote key was not OK"
2021-06-25 09:22:51 sla[24043]: *Fri Jun 25 09:22:40.205 UTC: CH-LIB-TRACE: ch_pf_http_unlock[330], unlock http mutex.
2021-06-25 09:22:51 sla[24043]: *Fri Jun 25 09:22:40.205 UTC: CH-LIB-TRACE: ch_pf_send_http[365], send http msg, result 30
2021-06-25 09:22:51 sla[24043]: *Fri Jun 25 09:22:40.205 UTC: CH-LIB-TRACE: ch_pf_curl_is_cert_issue[514], 
cert issue checking, ret 60, url https://tools.cisco.com/its/service/oddce/services/DDCEService

Vérifiez la valeur de temps FMC :

root@FMC2000-2:/Volume/home/admin# date
Fri Jun 25 09:27:22 UTC 2021

Étude de cas 4. Aucun abonnement

S'il n'y a pas d'abonnement de licence pour une fonctionnalité spécifique, le déploiement FMC n'est pas possible :

Résolution : il est nécessaire d'acheter et d'appliquer l'abonnement requis au périphérique.

Étude de cas 5. Non-conformité (OOC)

S'il n'y a aucun droit pour les abonnements FTD, la licence Smart FMC passe à l'état de non-conformité (OOC) :

Dans le CSSM, recherchez les erreurs dans les alertes :

Étude de cas 6. Aucun chiffrement fort

Si seule la licence de base est utilisée, le cryptage DES (Data Encryption Standard) est activé dans le moteur FTD LINA. Dans ce cas, les déploiements tels que le réseau privé virtuel L2L (VPN) avec des algorithmes plus puissants échouent :

Résolution : enregistrez le FMC sur le CSSM et activez un attribut de chiffrement fort.

Notes supplémentaires

Définir la notification d'état de licence Smart

Notification par e-mail par SSM

Du côté SSM, la notification par e-mail SSM permet la réception d'e-mails récapitulatifs pour divers événements. Par exemple, une notification pour un manque de licence ou pour des licences qui sont sur le point d'expirer. Des notifications de connexion d'instance de produit ou d'échec de mise à jour peuvent être reçues.

Cette fonction est très utile pour signaler et empêcher l'apparition de restrictions fonctionnelles dues à l'expiration de la licence.

    

Obtenir des notifications d'alerte d'intégrité du FMC

Côté FMC, il est possible de configurer une alerte Health Monitor et de recevoir une notification d'alerte d'un événement d'intégrité. Le module Smart License Monitor est disponible pour vérifier l'état de la licence Smart. L'alerte de surveillance prend en charge les déroutements Syslog, Email et SNMP.

Voici un exemple de configuration pour obtenir un message Syslog lorsqu'un événement Smart License monitor se produit :

Voici un exemple d'alerte d'état de santé :

Le message Syslog généré par le FMC est le suivant :

Mar 13 18:47:10 xx.xx.xx.xx Mar 13 09:47:10 FMC : HMNOTIFY: Smart License Monitor (Sensor FMC): Severity: critical: Smart License usage is out of compliance

Reportez-vous à la Surveillance de l'état pour plus de détails sur les alertes de la Surveillance de l'état.

Plusieurs FMC sur le même compte Smart

Lorsque plusieurs FMC sont utilisés sur le même compte Smart, chaque nom d'hôte FMC doit être unique. Lorsque plusieurs FMC sont gérés dans CSSM, pour distinguer chaque FMC, le nom d'hôte de chaque FMC doit être unique. Ceci est utile pour la maintenance de la licence Smart FMC en cours d'utilisation.

FMC doit maintenir la connectivité Internet

Après l'enregistrement, le FMC vérifie le cloud de licences Smart et l'état des licences tous les 30 jours. Si le FMC ne peut pas communiquer pendant 90 jours, la fonction sous licence est conservée, mais elle conserve l'état Authorization Expired. Même dans cet état, le FMC tente en permanence de se connecter au cloud de licences Smart.

Déployer plusieurs FMCv

Lorsque le système Firepower est utilisé dans un environnement virtuel, le clonage (à chaud ou à froid) n'est pas officiellement pris en charge. Chaque FMCv (Firepower Management Center virtual) est unique car il contient des informations d'authentification. Pour déployer plusieurs FMCv, le FMCv doit être créé un par un à partir du fichier OVF (Open Virtualization Format). Pour plus d'informations sur cette limitation, reportez-vous au Guide de démarrage rapide du déploiement de Cisco Firepower Management Center Virtual pour VMware.

Foire aux questions (FAQ)

Dans FTD HA, combien de licences de périphériques sont nécessaires ?

Lorsque deux FTD sont utilisés en haute disponibilité, une licence est requise pour chaque périphérique. Par exemple, deux licences Threat and Malware sont nécessaires si les fonctionnalités Intrusive Protection System (IPS) et Advanced Malware Protection (AMP) sont utilisées sur la paire FTD HA.

Informations connexes

• Guides de configuration de Firepower Management Center

• Présentation de Cisco Live Smart Licensing : BRKARC-2034

• Licences de fonctions Cisco Secure Firewall Management Center

• Foire aux questions (FAQ) sur les licences logicielles Cisco Smart