Problemen met ASDM-licentie, -upgrade en -compatibiliteit oplossen

Inleiding

In dit document wordt het proces voor probleemoplossing bij problemen met de licentie, upgrade en compatibiliteit van ASDM beschreven.

Achtergrond

Het document maakt samen met deze documenten deel uit van de serie probleemoplossing voor Adaptieve security applicatie Apparaatbeheer (ASDM):

• Problemen met ASDM-start oplossen
• Problemen met ASDM-configuratie, -verificatie en andere problemen oplossen
• Problemen met ASDM TLS-beveiliging, certificaten en kwetsbaarheid oplossen

Problemen met ASDM-upgrade

Probleem 1. Hoe upgrade ASA/ASDM-upgrade van de bronversie X naar de doelversie Y?

De gebruiker heeft hulp nodig bij een ASA/ASDM upgrade van de bronversie X naar de doelversie Y.

Probleemoplossing - Aanbevolen acties

1. Zorg ervoor dat de ASA-, ASDM-, besturingssysteem- en Java-versies compatibel zijn met de doelversie.  Raadpleeg het Opmerkingen over Cisco Secure Firewall ASA release, Opmerkingen over Cisco Secure Firewall ASDM-release, Compatibiliteit met Cisco Secure Firewall ASA.

De ASA-, ASDM-, besturingssysteem- en Java-versies moeten compatibel zijn en de doelversies moeten op specifieke hardware worden ondersteund. https://www.cisco.com/c/en/us/td/docs/security/firepower/fxos/compatibility/fxos-compatibility.html

2. Zorg er bij ASA op Firepower 4100/9300 voor dat het Firepower eXtensible Operating System (FXOS) en de ASA softwareversies compatibel zijn. Raadpleeg de compatibiliteit met Cisco Firepower 4100/9300 FXOS.

3. Zorg ervoor dat u bekend raakt met de veranderingen in de doelversie door de Opmerkingen over Cisco Secure Firewall ASA release, Opmerkingen over Cisco Secure Firewall ASDM-release. In het geval van Firepower 4100/9300, ook vertrouwd maken met de veranderingen in FXOS door te controleren Opmerkingen bij FXOS-release.

4. Controleer het upgradepad in de opmerkingen bij de release. In dit voorbeeld bevat de tabel 2 in de opmerkingen voor de release voor versie 7.22 het upgradepad van eerdere versies naar de doelversie:

5. Zodra aan de compatibiliteitsvereisten is voldaan, kunt u de doelversies ASA/ASDM en FXOS (alleen Firepower 4100/9300) downloaden van de pagina Software Download. Zorg ervoor dat u de specifieke hardwaremodellen selecteert zoals in dit voorbeeld wordt getoond. De voorgestelde releases zijn gemarkeerd met een gouden ster:

6. Zorg ervoor dat u door het hoofdstuk gaat: Uw upgrade en het hoofdstuk plannen: Upgrade de ASA in de upgrade-handleiding voor Cisco Secure Firewall ASA.

Referenties

• Opmerkingen over Cisco Secure Firewall ASA release
• Opmerkingen over Cisco Secure Firewall ASDM-release
• Compatibiliteit met Cisco Secure Firewall ASA
• Cisco Firepower 4100/9300 FXOS-compatibiliteit
• Upgradehandleiding voor Cisco Secure Firewall ASA

Probleem 2. Wat zijn de aanbevolen versies voor ASA/ASDM?

De gebruiker vraagt naar de aanbevolen versies voor ASA/ASDM.

Probleemoplossing - Aanbevolen acties

Cisco TAC biedt geen aanbevelingen over de softwareversies. Gebruikers kunnen de door Cisco aanbevolen release downloaden op basis van softwarekwaliteit, stabiliteit en levensduur. De voorgestelde releases zijn gemarkeerd met een gouden ster zoals hieronder getoond:

Probleem 3. Uitval van ASA/ASDM-updatecontrole in ASDM via Tools > Controleer op ASA/ASDM-updates

De controle op ASA/ASDM-updates in ASDM via Tools > Controleer op ASA/ASDM-updates mislukt. In het bijzonder worden deze symptomen waargenomen:

1. Het venster Wachtwoord voor netwerk invoeren wordt opnieuw weergegeven nadat u op de knop Aanmelden hebt geklikt, zelfs als de juiste referenties zijn opgegeven.

2. In de Java-console logbestanden wordt de fout "Meta-gegevensaanvraag mislukt" getoond:

2024-06-16 13:00:03,471 [ERROR] Error::Failed : Request processing
88887 [Thread-30] ERROR com.cisco.dmcommon.util.DMCommonEnv  - Error::Failed : Request processing
2024-06-16 13:00:03,472 [ERROR] Error::Access token request processing failed
88888 [Thread-30] ERROR com.cisco.dmcommon.util.DMCommonEnv  - Error::Access token request processing failed
2024-06-16 13:00:04,214 [ERROR] getMetaDataResponse :: Server returned HTTP response code: 403 for URL: https://api.cisco.com/software/v3.0/metadata/udi/PID%3A+ASA5525+VID%3A+V01+SN%3A+FOX1316G5R5/mdf_id/282867084/software_type_id/282885451/current_release/X
89630 [Thread-30] ERROR com.cisco.dmcommon.util.DMCommonEnv  - getMetaDataResponse :: Server returned HTTP response code: 403 for URL: https://api.cisco.com/software/v3.0/metadata/udi/PID%3A+ASA5525+VID%3A+V01+SN%3A+FOX1316G5R5/mdf_id/282867084/software_type_id/282885451/current_release/X
2024-06-16 13:00:04,214 [ERROR] error::Meta data request failed.
89630 [Thread-30] ERROR com.cisco.dmcommon.util.DMCommonEnv  - error::Meta data request failed.

Probleemoplossing - Aanbevolen acties

Raadpleeg de software-id van Cisco-bug CSCvf91260 "ASDM: Upgrade van CCO die niet werkt vanwege niet-onneembare velden. "Aanvraag metagegevens mislukt". De tijdelijke oplossing is om afbeeldingen rechtstreeks van de downloadpagina te downloaden en naar de firewall te uploaden.

Opmerking: Dit defect is verholpen in recente ASDM-softwarereleases. Controleer de gebreken voor meer informatie.

Probleem 4. Welke versies bevatten vast voor specifieke kwetsbaarheden?

De gebruiker vraagt naar de vaste versies van specifieke kwetsbaarheden.

Probleemoplossing - Aanbevolen acties

1. Zorg ervoor dat u het veiligheidsadvies voor de getroffen producten controleert.
2. Typ in het veiligheidsadvies de bestaande hardware- en softwareversie aan de softwarecontrole en klik op Controleren:

3. Als de vaste versie beschikbaar is, noteer dan de versies in de EERSTE VASTE OF NIET AANGETASTE kolom:

4. Ga door de stappen van "Probleem 1. Hoe ASA/ASDM upgrade van de bronversie X naar de doelversie Y?" gedeelte voor het upgraden van de software.

Probleem 5. "% FOUT: ASDM-pakket is niet digitaal ondertekend. Configuratie afwijzen." (Het stuurprogramma van de VPN-client heeft een fout aangetroffen.) getoond

De "% FOUT: ASDM-pakket is niet digitaal ondertekend. Configuratie afwijzen." foutmelding wanneer een nieuwe ASDM-afbeelding wordt ingesteld met de opdracht ASDM image <image path>.

Probleemoplossing - Aanbevolen acties

1. De ASA valideert of het ASDM-beeld een digitaal ondertekend Cisco-beeld is. Als u probeert een oudere ASDM-afbeelding met een ASA-versie uit te voeren met deze fix, wordt ASDM geblokkeerd en verschijnt het bericht "%ERROR: Handtekening niet geldig voor bestand disk0:/<filename>" wordt weergegeven op de ASA CLI. ASDM release 7.18(1.152) en later zijn achterwaarts compatibel met alle ASA versies, zelfs die zonder deze fix. Raadpleeg het gedeelte Belangrijke opmerkingen in Releaseopmerkingen voor Cisco ASDM, 7.17(x).

2. Controleer voor ASA die draait op de Secure Firewall 3100 de software Cisco bug-id CSCwc12322 "Digitaal ondertekende ASDM-fout in beeldverificatie op FPR3100-platforms".

Opmerking: Dit defect is verholpen in recente ASDM-softwarereleases. Controleer de gebreken voor meer informatie.

Referenties

• Releaseopmerkingen voor Cisco ASDM, 7.17(x)

Probleem 6. Kan niet controleren op ASA/ASDM-updates in meervoudige contextmodus

De optie Gereedschappen > Controleren op ASA/ASDM-updates is grijs in de meervoudige contextmodus:

Probleemoplossing - Aanbevolen acties

Deze optie is meestal grijs omdat op het tabblad Apparaatlijst de huidige context voor het selecteren de context voor beheerder is:

Zorg er in dit geval voor dat u op de systeemcontext switch door te dubbelklikken op het pictogram System:

Probleem 7. "Het formulier Algemene voorwaarden van Cisco is niet aanvaard of geweigerd om verder te downloaden." (Het stuurprogramma van de VPN-client heeft een fout aangetroffen.) getoond

Het formulier "Algemene voorwaarden van Cisco" is niet aanvaard of geweigerd om verder te downloaden." De foutmelding wordt weergegeven wanneer de gebruiker de ASA/ASDM-afbeeldingen probeert bij te werken via het menu Gereedschappen > Controleren op ASA/ASDM-updates.

Probleemoplossing - Aanbevolen acties

Deze foutmelding wordt weergegeven als de Gebruiksrechtovereenkomst (EULA) niet door de gebruiker wordt geaccepteerd. Als u wilt doorgaan, moet u ervoor zorgen dat de EULA wordt geaccepteerd.

Referenties

• Gebruiksrechtovereenkomst (EULA)

Probleem 8.  Kan geen software voor specifieke hardware downloaden

Op de pagina Software Download worden bepaalde ASA/ASDM-softwareversies voor specifieke hardware niet weergegeven.

Probleemoplossing - Aanbevolen acties

De beschikbaarheid van software voor specifieke hardware hangt voornamelijk af van de compatibiliteit en de end-of-life (EoL) mijlpalen. In het geval van incompatibiliteit, EoL producten of release deferrals, zijn de software versies meestal niet beschikbaar voor download.

Zorg ervoor dat u deze stappen doorloopt om de compatibiliteit en ondersteunde versies te controleren:

1. Controleer de compatibiliteit tussen software- en hardwareversies. Raadpleeg de compatibiliteit met Cisco Secure Firewall ASA.
2. Controleer de datum van de end-of-life onderhoudsreleases en de laatste datum van ondersteuning in de meldingen van end-of-life en end-of-sale

• End-of-SW onderhoudsreleases - de laatste datum waarop Cisco Engineering eventuele definitieve softwarereleases of bugfixes kan vrijgeven. Na deze datum ontwikkelt, repareert, onderhoudt of test Cisco Engineering de productsoftware niet meer.
• Laatste ondersteuningsdatum - De laatste datum voor het ontvangen van de toepasselijke service en ondersteuning voor het product waarop het recht is ontstaan door actieve servicecontracten of door garantievoorwaarden. Na deze datum zijn alle ondersteunende diensten voor het product niet beschikbaar en is het product verouderd.

3. Controleer de Releaseopmerkingen van Cisco Secure Firewall ASA en de opmerkingen van Cisco Secure Firewall ASDM release voor uitstel of verwijdering van release.

Referenties

• Compatibiliteit met Cisco Secure Firewall ASA
• Berichten bij end-of-life en end-of-sale
• Opmerkingen over Cisco Secure Firewall ASA release
• Opmerkingen over Cisco Secure Firewall ASDM-release

Probleem 9. "Fout in het uitvoeren van File Transfer HTTP Response code -1" foutmelding

De foutmelding "Error trad op in Performed File Transfer HTTP Response code -1" wordt weergegeven wanneer de gebruiker een bestand uploadt naar de firewall met behulp van de ASDM Tools > File Management optie.

Probleemoplossing - Aanbevolen acties

Raadpleeg de software Cisco bug-id CSCvf85831 "ASDM-fout "Fout tijdens het uitvoeren van File Transfer HTTP Response code -1" tijdens het uploaden van het beeld."

ASDM-compatibiliteitsproblemen

In deze sectie worden de meest voorkomende ASDM-compatibiliteitsproblemen besproken.

Over het algemeen moet ASDM compatibel zijn met deze componenten:

• ASA
• Java
• Besturingssysteem (OS)
• Browser
• SFR-module (indien gebruikt)

Aldus, alvorens of bevordering ASDM te installeren of, wordt het hoogst geadviseerd om altijd eerst deze lijst te controleren:

En dan de ASA- en ASDM-compatibiliteit per model tabel, bijvoorbeeld:

Opmerkingen:

Voor nieuwe ASA-versies is de coördinerende ASDM-versie of een latere versie vereist. u kunt geen oude versie van ASDM met een nieuwe versie van ASA gebruiken.

Voorbeeld 1

U kunt ASDM 7.17 niet gebruiken met ASA 9.18. Voor ASA-interims kunt u de huidige ASDM-versie blijven gebruiken, tenzij anders vermeld. U kunt bijvoorbeeld ASA 9.22(1.2) met ASDM 7.2(1) gebruiken.

Voorbeeld 2

U hebt ASAS 9.8(4)32. U kunt ASDM 7.19(1) gebruiken om het te beheren omdat ASDM achterwaarts compatibel is, tenzij anders vermeld in de ASDM release notes.

Referenties

• https://www.cisco.com/c/en/us/td/docs/security/asdm/7_22/release/notes/rn722.html#id_25469
• https://www.cisco.com/c/en/us/td/docs/security/asa/compatibility/asamatrx.html#id_65776

Probleem 1. Incompatibele Java-versie

Probleemoplossing - Aanbevolen stappen

Controleer de logbestanden van de Java-console:

Controleer vervolgens de Java- en ASA-compatibiliteitsgidsen:

• https://www.cisco.com/c/en/us/td/docs/security/asdm/7_22/release/notes/rn722.html#id_25469
• https://www.cisco.com/c/en/us/td/docs/security/asa/compatibility/asamatrx.html#id_65776

Probleem 2. Incompatibele ASA en ASDM-versie

Als u incompatibele ASA- en ASDM-versies tegenkomt, kunt u de toegang tot ASDM UI verliezen.

Probleemoplossing - Aanbevolen stappen

U moet de ASDM-versie van de CLI van het apparaat installeren, de afbeelding via TFTP naar de flitser van de ASA kopiëren en de ASDM-afbeelding instellen met de opdracht "asdm-afbeelding" zoals in de onderstaande handleiding wordt uitgelegd:

https://www.cisco.com/c/en/us/td/docs/security/asa/asa-cli-reference/A-H/asa-command-ref-A-H/ar-az-commands.html#wp3551901007

Voorbeeld

asa# copy tftp flash

Address or name of remote host []? 10.62.146.125
Source filename []? asdm-7221.bin
Destination filename [asdm-7221.bin]?

Verifying file disk0:/asdm-7221.bin...
Writing file disk0:/asdm-7221.bin...
INFO: No digital signature found
126659176 bytes copied in 70.590 secs (1809416 bytes/sec)

asa# config terminal
asa(config)# asdm image disk0:/asdm-7151-150.bin
asa(config)# copy run start
Source filename [running-config]?
Cryptochecksum: afae0454 bf24b2ac 1126e026 b1a26a2c

4303 bytes copied in 0.210 secs

Probleem 3. Ondersteuning van ASDM en OpenJDK

Cisco ASDM image ondersteunt OpenJDK niet officieel. Er zijn dus 2 opties beschikbaar:

• Oracle JRE: Bevat de Java Web Start runtime om ASDM op de host-pc te starten. Om deze methode te kunnen gebruiken, moet de 64-bits Oracle JRE op de lokale pc zijn geïnstalleerd. U kunt dit downloaden op de officiële website van Java.
• OpenJRE: De open JRE-afbeelding is hetzelfde als de Oracle-afbeelding, maar het verschil is dat u de 64-bits Oracle JRE niet hoeft te installeren op de lokale pc, aangezien de afbeelding zelf de Java Web Start-functie heeft om de ASDM te starten. Dit is de reden waarom de grootte van de OpenJRE afbeelding groter is dan de Oracle JRE. Merk op dat verwacht wordt dat de OpenJRE met een wat oudere Java-release zal worden gecompileerd met de nieuwste stabiele versie die beschikbaar is aan het begin van de ASDM openJRE-ontwikkelingscyclus.

Oracle JRE vs OpenJRE

	Oracle JRE	OpenJRE
Vereist dat Java wordt geïnstalleerd op de eindhost	Ja	Nee (het heeft zijn eigen Java geïntegreerd)
eigen	Ja	Nee (open source)
Beeldformaat	Gemiddeld	Groter omdat het ook Java heeft geïntegreerd
Naam afbeelding	ASDM-xxxx.bin	asdm-openjre-xxxx.bin

Tip: Als u besluit de versie van de ASDM-startcher te wijzigen, verwijdert u eerst de bestaande ASDM-startcher en installeert u vervolgens de nieuwe versie via HTTPS met de ASA.

Referenties

• https://www.cisco.com/c/en/us/td/docs/security/asdm/7_22/release/notes/rn722.html#id_25472
• OpenJDK: Volledige ontwikkelings- en runtime-omgeving, open-source, GPL-licentie.
• Oracle JRE: Alleen runtime omgeving, bedrijfseigen licentie, vereist een commerciële licentie voor productiegebruik.
• OpenJRE: Alleen runtime omgeving, opensource, GPL-licentie.
• https://www.oracle.com/java/technologies/javase/jre8-readme.html

Probleem 4. Compatibiliteit met ASDM en Java Azul Zulu

Oracle JRE-gebaseerde ASDM-afbeeldingen ondersteunen Java Azul Zulu niet. Aan de andere kant, op ASDM OpenJRE gebaseerde beelden komen Azul Zulu integratie. Controleer de ‘Probleem 3’-aanbevelingen voor de beschikbare opties.

Probleem 5. WAARSCHUWING: Handtekening niet gevonden in bestand disk0:/asdm-xxx.bin

Voorbeeld:

asa# copy tftp flash:
Address or name of remote host [192.0.2.5]?
Source filename []? asdm-7171.bin
Destination filename [asdm-7171.bin]?

Accessing ftp://192.0.2.5/asdm-7171.bin...!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
Verifying file disk0:/asdm-7171.bin...
%WARNING: Signature not found in file disk0:/asdm-7171.bin.

Probleemoplossing - Aanbevolen stappen

Dit is doorgaans een ASA vs ASDM-compatibiliteitsprobleem. Controleer de ASDM-compatibiliteitshandleiding en controleer of uw ASDM compatibel is met het ASA-beeld. U vindt de ASA- en ASDM-compatibiliteitsmatrix op:

https://www.cisco.com/c/en/us/td/docs/security/asa/compatibility/asamatrx.html#id_65776

Probleem 6. "% FOUT: ASDM-pakket is niet digitaal ondertekend. Configuratie afwijzen."

Deze foutmelding kan worden weergegeven wanneer er een nieuwe ASDM-afbeelding wordt ingesteld met de asdm-afbeelding <pad voor afbeelding> uit.

Probleemoplossing - Aanbevolen acties 

1. ASA valideert of het ASDM-image een digitaal ondertekend Cisco-beeld is. Als u probeert een oudere ASDM-afbeelding met een ASA-versie uit te voeren met deze fix, wordt ASDM geblokkeerd en verschijnt het bericht "%ERROR: Handtekening niet geldig voor bestand disk0:/<filename>" wordt weergegeven op de ASA CLI. ASDM release 7.18(1.152) en later zijn achterwaarts compatibel met alle ASA versies, zelfs die zonder deze fix. Raadpleeg het gedeelte Belangrijke opmerkingen in Releaseopmerkingen voor Cisco ASDM, 7.17(x).
   
   
2. Werk de Java-versie bij op uw host-pc.
   
   
3. Controleer voor ASA die op de Secure Firewall 3100 draait de software-id van Cisco-bugs CSCwc12322 "Digitaal ondertekende ASDM image verificatiefout op FPR3100-platforms"

https://bst.cloudapps.cisco.com/bugsearch/bug/CSCwc12322

Opmerking: Dit defect is verholpen in recente ASDM-softwarereleases. Controleer de gebreken voor meer informatie.

Probleem 7. "%FOUT: Handtekening niet geldig voor bestand disk0:/<filename>"

De fout wordt tijdens het kopiëren van het bestand weergegeven, bijvoorbeeld:

asa# copy tftp://cisco:cisco@192.0.2.1/cisco-asa-fp2k.9.20.3.7.SPA

Address or name of remote host [192.0.2.1]?
Source filename [cisco-asa-fp2k.9.20.3.7.SPA]?
Destination filename [cisco-asa-fp2k.9.20.3.7.SPA]?

Accessing tftp://cisco:<password>@192.0.2.1/cisco-asa-fp2k.9.20.3.7.SPA...
!!!!!!!!!!!!!!!!!!!...!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

Verifying file disk0:/cisco-asa-fp2k.9.20.3.7.SPA...
%ERROR: Signature not valid for file disk0:/cisco-asa-fp2k.9.20.3.7.SPA.

Probleemoplossing - Aanbevolen acties 

ASA 9.14(4.14) en hoger vereist ASDM 7.18(1.152) of hoger. ASA valideert nu of het ASDM-beeld een digitaal ondertekend Cisco-beeld is. Als u probeert een oudere ASDM-afbeelding uit te voeren dan 7.18(1.152) met een ASA-versie met deze fix, wordt ASDM geblokkeerd en verschijnt het bericht "%ERROR: Handtekening niet geldig voor bestand disk0:/<filename>" wordt weergegeven op de ASA CLI.

Deze wijziging is geïntroduceerd vanwege Cisco ASDM en ASA Software Client-side Arbitary Code Execution Vulnerability (CVE-id CVE-2022-20829)

• https://bst.cloudapps.cisco.com/bugsearch/bug/CSCwb05291
• https://bst.cloudapps.cisco.com/bugsearch/bug/CSCwb05264

Als het apparaat in de platformmodus werkt, volgt u de instructies in dit document om de afbeelding te uploaden: https://www.cisco.com/c/en/us/td/docs/security/asa/upgrade/asa-upgrade/asa-appliance-asav.html#topic_zp4_dzj_cjb

Referenties

• ASDM-releases: https://www.cisco.com/c/en/us/td/docs/security/asdm/7_14/release/notes/rn714.html#reference_yw3_ngz_vhb
• ASA upgrade gids: https://www.cisco.com/c/en/us/td/docs/security/asa/upgrade/asa-upgrade/asa-appliance-asav.html#task_E9EE51964590499999B1D976F66E2771

Probleem 8. Compatibiliteit met Secure Firewall Posture (Hostscan)

Hostscan versie is meer afhankelijk van AnyConnect versie dan ASA versie. U vindt beide versies hier: Software downloaden - Cisco Systems:

https://software.cisco.com/download/home/283000185

Probleem 9. Nieuwste ondersteunde versie

Probleemoplossing - Aanbevolen acties 

Als u de nieuwste ondersteunde ASDM-versie voor uw firewall wilt kennen, zijn er voornamelijk twee documenten die moeten worden gecontroleerd:

• ASDM-releases: https://www.cisco.com/c/en/us/td/docs/security/asdm/7_14/release/notes/rn714.html#reference_yw3_ngz_vhb

Met name de ASA-modeltabel

Het tweede document is de SW download pagina:

https://software.cisco.com/download/home/286291275

U vindt de nieuwste ASDM-versies per SW-trein ondersteund door uw HW, bijvoorbeeld:

Probleem 10. ASDM-ondersteuning op Linux

Probleemoplossing - Aanbevolen acties 

Linux wordt niet officieel ondersteund.

Verwante verbeteringen:

Cisco fout-id CSCwk67345 NIEUW: Linux opnemen in de lijst met ondersteunde besturingssystemen

https://bst.cloudapps.cisco.com/bugsearch/bug/CSCwk67345

Probleem 11. ASDM-end-of-support

Probleemoplossing - Aanbevolen acties 

Raadpleeg de ASA/ASDM end-of-life en end-of-sale meldingen:

https://www.cisco.com/c/en/us/products/security/asa-firepower-services/eos-eol-notice-listing.html

ASDM-licentieproblemen

In deze sectie worden de meest voorkomende problemen met ASDM-licenties besproken.

Smart Licensing-model wordt gebruikt door:

• Firepower 4100/9300 chassisregistratie: Licentiebeheer voor de ASA
• ASAv, Firepower 1000, Firepower 2100, Firepower 9300 en Firepower 4100: Licenties: Smart Software Licensing (ASAv, ASA op FirePOWER)

Alle andere modellen gebruiken Licentie voor Product Autorisation Key (PAK)

Referenties

• Cisco Secure Firewall ASA Series functielicenties - Modelrichtlijnen

https://www.cisco.com/c/en/us/td/docs/security/asa/roadmap/licenseroadmap.html

Probleem 1. 3DES/AES slimme licentie ontbreekt

ASDM vereist een Strong Encryption License (3DES/AES) op ASA, tenzij u er toegang toe hebt via de beheerinterface. Om ASDM-toegang via een gegevensinterface mogelijk te maken, moet u de 3DES/AES-licentie verkrijgen.

U kunt als volgt een 3DES/AES-licentie aanvragen bij Cisco:

1. Ga naar https://www.cisco.com/go/license
2. Klik op Doorgaan naar registratie van productlicenties.
3. Klik in het Licentieportal op Andere licenties verkrijgen naast het tekstveld.
4. Kies IPS, Crypto, Overig... uit de vervolgkeuzelijst.
5. Typ ASA in het veld Zoeken op trefwoord.
6. Selecteer Cisco ASA 3DES/AES-licentie in de lijst Product en klik op Volgende.
7. Voer het serienummer van de ASA in en volg de aanwijzingen om een 3DES/AES-licentie voor de ASA aan te vragen.

Probleemoplossing - Aanbevolen acties

Zorg ervoor dat de licenties en het register naar het Cisco Smart Licensing-portal zijn ingeschakeld:

• De ASA klok toont de juiste tijd. Aanbevolen wordt om een NTP-server te gebruiken.
• Routing naar het Cisco Smart Licensing-portal.
• HTTPS-verkeer wordt niet geblokkeerd van de firewall naar het licentieportal. Een opnameverzameling op de firewall kan dit bevestigen.
• Als er een noodzaak is om een HTTP proxy server te gebruiken, neem dan de benodigde opdracht op, bijvoorbeeld:

ciscoasa(config)# call-home
ciscoasa(cfg-call-home)# http-proxy 10.1.1.1 port 443

Probleem 2. Oracle Java JRE-licentievereisten

Probleemoplossing - Aanbevolen acties

ASDM .bin beeldbestand wordt geleverd in twee smaken:

• Oracle JRE: Bevat de Java Web Start runtime om ASDM op de host-pc te starten. Om deze methode te kunnen gebruiken, moet de 64-bits Oracle JRE op de lokale pc zijn geïnstalleerd. U kunt dit downloaden op de officiële website van Java.
• OpenJRE: De open JRE-afbeelding is hetzelfde als de Oracle-afbeelding, maar het verschil is dat u de 64-bits Oracle JRE niet hoeft te installeren op de lokale pc, aangezien de afbeelding zelf de Java Web Start-functie heeft om de ASDM te starten.

Als u besluit om de op Oracle gebaseerde ASDM-afbeelding te gebruiken, moet u een Java-licentie hebben als u deze gebruikt voor niet-persoonlijk gebruik. Veelgestelde vragen over Oracle Java SE:

Persoonlijk gebruik is het gebruik van Java op een desktop of laptop computer om dingen te doen zoals het spelen van games of andere persoonlijke toepassingen. Als u Java op een desktop of laptop gebruikt als onderdeel van een zakelijke activiteit, dan is dat geen persoonlijk gebruik. U kunt bijvoorbeeld een Java-productiviteitstoepassing gebruiken om uw eigen huiswerk of persoonlijke belastingen te doen, maar u kunt deze niet gebruiken om uw bedrijfsboekhouding te voeren.

Als u geen Java-licenties wilt toepassen, kunt u de op OpenJRE gebaseerde ASDM-afbeelding gebruiken.

Referenties

• https://www.oracle.com/java/technologies/javase/jdk-faqs.html
• ASDM Java-vereisten voor ASDM 7.2: https://www.cisco.com/c/en/us/td/docs/security/asdm/7_22/release/notes/rn722.html#id_25472
• ASDM-compatibiliteitsopmerkingen voor ASDM 7.2: https://www.cisco.com/c/en/us/td/docs/security/asdm/7_22/release/notes/rn722.html#id_25476

Opmerking: Controleer de releaseopmerkingen voor de ASDM-versie die u gebruikt.

Probleem 3. ASDM-waarschuwing over site-to-site VPN-licentie in multi-context modus

De ASDM geeft dit weer:

WAARSCHUWING: Er is geen site-to-site VPN-licentie die is toegewezen aan deze context. Ga naar Security Context Management om VPN-licentie aan deze context toe te wijzen.

Probleemoplossing - Aanbevolen acties

Dit is een cosmetisch softwaredefect dat wordt getraceerd door:

Cisco bug-id CSCvj66962 ASDM 7.9(2) ASA 9.6(4)8 multi-context L2L persistente fout

https://bst.cloudapps.cisco.com/bugsearch/bug/CSCvj66962

U kunt zich abonneren op het defect, dus u ontvangt een bericht over defect updates.

Referenties

• ASDM-configuratiehandleidingen
• Cisco ASA- en ASDM-compatibiliteit per model