• 您可以安装多个基于时间的许可证，包括同一功能的多个许可证。但是，每个功能一次只能有一个基于时间的许可证处于活动状态。非活动许可证保持已安装状态，并可随时使用。例如，如果安装一个 1000 会话的 Secure Client 高级版许可证和一个 2500 会话的 Secure Client 高级版许可证，则其中仅有一个许可证可处于活动状态。

• 如果激活在密钥中具有多个功能的评估许可证，则无法为所包含的其中一个功能也同时激活另一基于时间的许可证。

• 当在 ASA 上激活基于时间的许可证时，其计时器便开始倒计时。

• 如果在基于时间的许可证超时之前停止对其进行使用，则计时器会停止。仅当重新激活基于时间的许可证时，计时器才会再次启动。

• 如果基于时间的许可证处于活动状态，并且您关闭 ASA，则计时器会停止倒计时。仅当 ASA 正在运行时，基于时间的许可证才会倒计时。系统时钟设置不影响许可证；只有 ASA 正常运行时间会计入许可证持续时间。

VPN 负载均衡需要强加密 (3DES/AES) 许可证。

对于故障转移对，每台设备上的许可证会合并为单个运行集群许可证。如果您为每台设备购买单独的许可证，则合并的许可证使用以下规则：

• 对于具有数字层（例如，会话数）的许可证，每台设备的许可证的值会合并，最高值为平台限制。如果正在使用的所有许可证都基于时间，则许可证将同时倒计时。

  例如，对于故障转移：

  • 您有两台 ASA，每台安装了 10 个 TLS 代理会话；许可证将进行合并以获得总共 20 个 TLS 代理会话。

  • 您有一台具有 1000 个 TLS 代理会话的 ASA ，以及另一台具有 2000 个会话的 ASA 5545-X；由于平台限制为 2000 个，因此合并的许可证可允许 2000 个 TLS 代理会话。

• 对于状态为启用或禁用的许可证，将会使用状态为启用的许可证。

• 对于启用或禁用的基于时间的许可证（并且没有数字层），持续时间是所有许可证的合并后的持续时间。主/控制单位首先对其许可证进行倒计时，当其许可证到期时，辅助/数据单位开始对其许可证进行倒计时，依此类推。

如果设备丢失通信超过 30 天，则每台设备将还原到本地安装的许可证。在 30 天宽限期内，所有设备将继续使用合并的运行许可证。

如果在 30 天的宽限期内恢复通信，则对于基于时间的许可证，将从主/主许可证中减去耗用时间；如果主/主许可证已到期，则仅在此时辅助/从属许可证才会开始倒计时。

如果在 30 天内没有恢复通信，则对于基于时间的许可证，将从所有设备许可证（如果已安装）中减去耗用时间。它们会被视为独立许可证，不会受益于合并后的许可证。耗用时间包括 30 天的宽限期。

由于故障转移对不要求在两台设备上具有同一许可证，因此可以将新许可证应用于每台设备而不会产生任何停机时间。如果应用要求重新加载的永久许可证，则可以在重新加载时故障转移到另一台设备。如果两台设备都需要重新加载，则可以将其分开重新加载，以便不会产生停机时间。

以下步骤说明共享许可证的工作方式：

1. 确定哪一台 ASA 应充当共享许可服务器，然后使用该设备的序列号购买共享许可服务器许可证。

2. 确定哪些 ASA 应充当共享许可参与者（包括共享许可备用服务器），并使用每台设备的序列号获取每台设备的共享许可参与者许可证。

3. （可选）将另一台 ASA 指定为共享许可备用服务器。只能指定一台备用服务器。

   注	共享许可备用服务器仅需要参与者许可证。

4. 请在共享许可服务器上配置一个共享密钥；具有该共享密钥的所有参与者都可以使用共享许可证。

5. 将 ASA 配置为参与者时，它通过发送有关自身的信息（包括本地许可证和型号信息）向共享许可服务器注册。

   注	参与者需要能够通过 IP 网络与服务器通信；它不必在同一子网中。

6. 共享许可服务器会使用参与者应轮询服务器的频率的有关信息进行响应。

7. 当参与者用尽本地许可证的会话时，它会向共享许可服务器发出请求，从而获取更多会话（以 50 个会话为增量）。

8. 共享许可服务器使用共享许可证进行响应。参与者使用的会话总数不能超过平台型号的最大会话数。

   注	共享许可服务器也可以参与共享许可证池。它进行参与既不需要参与者许可证，也不需要服务器许可证。

   1. 如果在共享许可证池中没有为参与者留下足够多的会话，则服务器通过提供尽可能多的可用会话进行响应。

   2. 参与者会继续发送请求更多会话的刷新消息，直到服务器可以充分满足请求。

9. 当参与者的负载减少时，它会向服务器发送消息，以释放共享会话。

注	ASA 在服务器和参与者之间使用 SSL 来加密所有通信。

有关参与者和服务器之间的通信问题的信息，请参阅以下准则：

• 如果参与者在 3 倍刷新间隔后未能发送刷新信息，则服务器会将会话释放回共享许可证池。

• 如果参与者无法访问许可证服务器以发送刷新消息，则参与者可以继续使用其从服务器收到的共享许可证，最多可使用 24 小时。

• 如果在 24 小时后，参与者仍无法与许可证服务器通信，则参与者将释放共享许可证，即使其仍然需要会话也如此。参与者会保留已建立的现有连接，但无法接受超过许可证限制的新连接。

• 如果在 24 小时的时间到期之前且服务器使参与者会话到期之后，参与者与服务器重新连接，则参与者需要为会话发送新的请求；服务器通过可向该参与者发送尽可能多的会话进行响应。

共享许可备用服务器必须先成功向主共享许可服务器注册，然后才能承担备用角色。当其注册时，主共享许可服务器将与备用服务器同步服务器设置以及共享许可证信息，其中包括已注册参与者的列表以及当前的许可证使用情况。主服务器和备用服务器以 10 秒为间隔同步数据。在最初的同步之后，即使经过重新加载，备份服务器也能够成功履行备用职责。

当主服务器发生故障时，备用服务器会接管服务器操作。备用服务器可以连续运行最多 30 天，在此之后，备用服务器会停止向参与者发出会话，而且现有会话将会超时。请务必在此 30 天的时段内恢复主服务器。关键级别的系统日志消息会在 15 天时发送，并在 30 天时再次发送。

当主服务器恢复正常运行时，它将与备用服务器同步，然后接管服务器操作。

当备用服务器不处于主用状态时，它会充当主共享许可服务器的普通参与者。

注	首次启动主共享许可服务器时，备用服务器仅可独立运行 5 天。运行限制将逐日延长，直至达到 30 天。此外，如果此后主服务器停止运行任意时长，则备用服务器的运行限制会逐日缩短。当主服务器恢复正常运行时，备用服务器的运行限制会开始再次逐日延长。例如，如果主服务器停止运行 20 天，在此期间备用服务器处于主用状态，则备用服务器的运行限制将仅剩余 10 天。备份服务器在继续充当非主用的备用服务器 20 天后，将“充值”至最长的 30 天运行限制。实施此“充值”功能是为了防止滥用共享许可证。

本节介绍共享许可证如何与故障转移交互。

ASA 不限制共享许可证的参与者数量；但是，超大共享网络可能会潜在影响许可服务器的性能。在这种情况下，您可以增大参与者刷新之间的延迟，也可以创建两个共享网络。

下表显示了 ISA 3000 已获许可的功能。