本產品的文件集力求使用無偏見用語。針對本文件集的目的,無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言,或引用第三方產品的語言,因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。
思科已使用電腦和人工技術翻譯本文件,讓全世界的使用者能夠以自己的語言理解支援內容。請注意,即使是最佳機器翻譯,也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責,並建議一律查看原始英文文件(提供連結)。
本文檔介紹在安全網路裝置(SWA)中配置智慧許可證和對其進行故障排除的步驟。
思科建議您瞭解以下主題:
思科建議您:
本文件所述內容不限於特定軟體和硬體版本。
本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除(預設)的組態來啟動。如果您的網路運作中,請確保您瞭解任何指令可能造成的影響。
智慧許可提供以下功能:
要向智慧許可註冊SWA,裝置的所有者必須具有智慧帳戶。
思科提供的資源連結,包括與智慧許可相關的影片、指南和說明:
思科智慧軟體管理器衛星是思科智慧許可的一個元件。
CSSM衛星可與CSSM配合使用,管理產品許可證,提供正在使用的思科許可證的近即時可視性和報告。
出於安全原因,如果您不想使用駐留在Cisco.com上的智慧軟體管理器來管理客戶群,您可以選擇在本地安裝智慧軟體管理器衛星。
有關智慧軟體管理器衛星的詳細資訊,請訪問此連結:Cisco智慧軟體管理器- Cisco。
許可證型別:
許可證授權狀態:裝置內給定許可證的狀態。
特定特徵的狀態會顯示為下列值之一:
附註: Perpetual索引鍵表示該功能沒有到期期間。休眠金鑰表示功能本身具有必須接受的終端使用者許可協定(EULA),或者必須配置和啟用功能。完成之後,功能會移至作用中,到期計時器就會開始。
您可以透過圖形使用者介面(GUI)和命令列介面(CLI)將SWA連線到智慧許可證。
注意:在ESA/SMA/SWA上啟用智慧許可證功能是永久性的,不允許選擇將裝置恢復為傳統許可證模式。
在Classic License的CLI中使用了四個命令。因此,在智慧許可證授權構建(15.1和更高版本)中,這些命令將被刪除。
刪除的CLI命令清單:
在Classic License的GUI中,System Administration頁籤中涉及兩個頁面。因此,在Smart License Mandate建立這些授權時,頁面會被移除。
移除的GUI頁面清單:
在SWA中重置配置是執行出廠重置,此時將清除整個配置並使SWA恢復其出廠狀態。
使用智慧許可證授權時,構建也會保留相同的行為。
Reload是一個CLI隱藏命令,用於清除配置資料並刪除功能金鑰。如果SWA已向Classic License註冊並執行重新載入,請再次載入許可證。
如果SWA配置了智慧許可證,則在重新載入後,智慧許可證將註銷並停用,同時出廠重置為當前SWA行為。
在SWA授權構建版本中,智慧許可證決不會恢復到disable狀態,因此reload命令會清除所有配置。
智慧許可證處於註冊狀態,因此,會再次請求所有許可證。
到smartreceiver.cisco.com(TCP埠443)的網路或代理通訊。
要測試從SWA的連線,請使用以下步驟:
步驟 1.登入到CLI。
步驟 2.鍵入telnet,然後按Enter。
步驟 3.選擇您希望SWA連線到智慧許可證伺服器的介面。
第4步:鍵入smartreceiver.cisco.com並按enter鍵。
步驟 5.在port部分,鍵入443並按enter。
注意:如果您已配置智慧軟體管理器衛星,請在步驟4中增加與該伺服器關聯的統一資源定位器(URL)或網際網路協定(IP)地址。
以下是成功連線的示例:
> telnet
Please select which interface you want to telnet from.
1. Auto
2. Management (10.48.48.184/24: management.swa1.cisco.com)
3. P1 (192.168.13.184/24: p1.swa1.cisco.com)
4. P2 (192.168.133.184/24: p2.swa1.cisco.com)
[1]> 4
Enter the remote hostname or IP address.
[]> smartreceiver.cisco.com
Enter the remote port.
[23]> 443
Trying 10.112.59.81...
Connected to smartreceiver.cisco.com.
Escape character is '^]'.
以下是失敗的連線範例:
SWA_CLI> telnet
Please select which interface you want to telnet from.
1. Auto
2. Management (10.48.48.184/24: management.swa1.cisco.com)
3. P1 (192.168.13.184/24: p1.swa1.cisco.com)
4. P2 (192.168.133.184/24: p2.swa1.cisco.com)
[1]> 2
Enter the remote hostname or IP address.
[]> smartreceiver.cisco.com
Enter the remote port.
[23]> 443
Trying 10.112.59.81...
telnet: connect to address 10.112.59.81: Operation timed out
Trying 2a04:e4c7:fffe::f...
bind: Invalid argument
注意:要退出telnet,如果ctrl+c不起作用,請按住Control,然後按],然後鍵入q並按enter。
步驟 1. 登入到GUI,然後導航到System Administration。
步驟 2. 選擇智慧軟體許可(Smart Software Licensing)。
影像-選擇智慧軟體授權
步驟 3. 選擇啟用智慧軟體許可
圖-選擇啟用智慧軟體許可
步驟 4. 請仔細閱讀說明並選擇「確定」。
圖-仔細閱讀說明
注意:在裝置上啟用智慧許可證功能後,不能從智慧許可證回滾到傳統許可證。
步驟 5. 提交更改。
步驟 6.暫停,然後重新整理「智慧型授權」頁面。
步驟 7. 選擇智慧許可證註冊並按一下確認
影象-選擇智慧許可證註冊
第8步(可選)如果您的網路中有智慧軟體管理器衛星,請在「傳輸設定」中增加伺服器的URL或IP地址。
第9步:如果您有單獨的路由表,但無法通過管理介面訪問https://smartreceiver.cisco.com,請選擇Test Interface部分的資料。
依預設,會選取「管理路由」表格。
影象-選擇路由表
步驟 10. 選擇Register導航到註冊頁。
步驟 11. 登入智慧軟體管理器門戶(思科軟體中心)或智慧軟體管理器衛星。
步驟 12. 導航到資產頁籤,如果尚未生成令牌,請生成新的令牌,或者按一下藍色箭頭檢視令牌。
影象-導航到資產
步驟13. (可選)要建立註冊令牌,請選擇新令牌,然後填寫必填欄位。
步驟 14. 將智慧許可證門戶中的令牌貼上到SWA並選擇Register。
影像-貼上註冊權杖
步驟15. (可選)如果裝置已註冊,則選中該覈取方塊後可重新註冊裝置。
步驟 16. 幾分鐘後,您可以檢查註冊狀態。
影像-註冊裝置
您可以從GUI、CLI或智慧許可證門戶驗證整合
步驟 1. 登入到GUI,然後導航到System Administration。
步驟 2. 選擇智慧軟體許可(Smart Software Licensing)。
步驟 3.查看以下項目:
圖-在GUI中驗證智慧許可證
步驟 4. 在System Administration選單中,選擇Licenses。
步驟 5.檢查所需許可證是否符合。
映像-許可證狀態
使用以下步驟從CLI驗證智慧許可證狀態:
步驟 1.登入到CLI
步驟 2.鍵入license_smart press Enter
步驟 3.選擇STATUS
步驟 4.查看以下項目:
Smart Licensing is : Enabled
License Reservation is: Disabled
Evaluation Period: Not In Use
Evaluation Period Remaining: 89 days 22 hours 40 minutes
Registration Status: Registered ( 04 Sep 2023 20:38 ) Registration Expires on: ( 03 Sep 2024 21:03 )
Smart Account: XXXXXXXXXXXX18.cisco.com
Virtual Account: XXXXXXXXX
Last Registration Renewal Attempt Status: SUCCEEDED on 04 Sep 2023 21:07
License Authorization Status: Authorized ( 04 Sep 2023 20:38 ) Authorization Expires on: ( 03 Dec 2023 20:03 )
Last Authorization Renewal Attempt Status: SUCCEEDED on 04 Sep 2023 21:07
Product Instance Name: wsa125to15.amojarra.calo
Transport Settings: Direct (https://smartreceiver.cisco.com/licservice/license)
Device Led Conversion Status: Started
步驟5.從license_smart精靈選擇SUMMARY。
[]> SUMMARY
Feature Name License Authorization Status
----------------------------------------------------------------------------------------------------
Secure Web Appliance Cisco Web Usage Controls In Compliance
Secure Web Appliance Anti-Virus Webroot In Compliance
Secure Web Appliance L4 Traffic Monitor In Compliance
Secure Web Appliance Cisco AnyConnect SM for AnyConnect In Compliance
Secure Web Appliance Secure Endpoint Reputation In Compliance
Secure Web Appliance Anti-Virus Sophos In Compliance
Secure Web Appliance Web Reputation Filters In Compliance
Secure Web Appliance Secure Endpoint In Compliance
Secure Web Appliance Anti-Virus McAfee Not requested
Secure Web Appliance Web Proxy and DVS Engine In Compliance
Secure Web Appliance HTTPs Decryption In Compliance
步驟 6.檢查所需許可證是否符合。
步驟 1.登入智慧軟體許可門戶:思科軟體中心
步驟 2.選擇Inventory頁籤。
步驟 3.選擇Product Instances。
步驟 4. 確認您的裝置已列出,並按一下裝置名稱。
影象-驗證智慧許可證門戶中的裝置狀態
步驟5.觀察General頁籤中的功能鍵和裝置狀態
圖-驗證智慧許可證門戶中的功能金鑰
要從CLI檢視您的VLAN,請使用smartaccountinfo命令。此外,您還可以檢視一些額外資訊,例如「虛擬帳戶網域」或「ID」與「產品執行個體」。
> smartaccountinfo
Smart Account details
---------------------
Product Instance ID : 609XXXXXXXX-fXXXXXXXXX55
Smart Account Domain : XXXXXXXXXXXXXXXXXXX18.cisco.com
Smart Account ID : 111111
Smart Account Name : XXXXXXXXXXXXXXXXXXX18.cisco.com
VLN : VLNWSA1111111
Virtual Account Domain : WSA_XXXXX
Virtual Account ID : 111111
與智慧許可證相關的所有日誌都收集在智慧許可證日誌中。此記錄檔預設為啟用。
使用以下步驟配置智慧許可證日誌:
步驟 1.登入到GUI。
步驟 2.從System Administration選單中選擇Log Subscriptions。
步驟 3. 向下滾動並查詢Smartlicense日誌。
步驟 4.按一下日誌名稱以編輯配置。
提示:如果要將日誌推送到日誌收集器伺服器,建議建立新的日誌訂閱並轉發這些日誌,以便在SWA本地擁有日誌副本
以下是常見錯誤以及解決問題的步驟。
以下是成功結果的smart_license日誌示例:
Mon Sep 4 20:39:32 2023 Info: The product is registered successfully with Smart Software Manager.
映像-註冊失敗
如果返回註冊失敗,請使用以下步驟從CLI檢查smart_license日誌:
步驟 1.登入到CLI。
步驟 2.鍵入grep,然後按Enter。
步驟 3.查詢與smartlicense日誌關聯的編號並鍵入編號,然後按Enter。
步驟 4.在看到日誌之前,請按Enter。
如果顯示「通訊傳送錯誤」,請檢查SWA和埠TCP 443上的智慧許可證伺服器之間的連線。
Mon Sep 4 19:57:09 2023 Warning: The registration of the product with Smart Software Manager failed. The response from Smart Software Manager is: Communication send error.
提示:如果已配置智慧軟體管理器衛星,請檢查與已配置埠號的連線。
要檢查連通性,請使用本文的「通訊要求」一節中提供的步驟。
此外,在顯示警報中,您還會看到相同的錯誤消息:
04 Sep 2023 20:19:29 +0200 The registration of the product with Smart Software Manager failed. The response from Smart Software Manager is: Communication send error.
如果Token已過期或達到其最大定義Used值,則返回警告日誌Token is not valid。
您可以透過displayalerts命令或smartlicense日誌驗證錯誤。
以下是CLI中displayalerts的錯誤示例:
04 Sep 2023 20:26:55 +0200 The registration of the product with Smart Software Manager failed. The response from Smart Software Manager is: Token is not valid
以下是CLI中smartlcese日誌的日誌行示例:
Mon Sep 4 20:26:55 2023 Warning: The registration of the product with Smart Software Manager failed. The response from Smart Software Manager is: Token is not valid
要驗證令牌有效性登入智慧許可證門戶,請導航到資產,檢查過期狀態和使用次數。
影像- Expier Token
如果由於通訊傳送錯誤而更新授權失敗,則可能是由於連線問題。請確保選擇正確的路由表並測試SWA與smartreceiver.cisco.com TCP埠443或您的智慧軟體管理器衛星伺服器之間的連線
要檢查連通性,請使用本文的「通訊要求」一節中提供的步驟。
您可以使用displayalerts命令或透過smartlicense日誌驗證錯誤
以下是CLI中displayalerts的錯誤示例:
04 Sep 2023 22:23:43 +0200 Failed to renew authorization of the product with Smart Software Manager due to Communication send error..
以下是CLI中smartlcese日誌的日誌行示例:
Mon Sep 4 22:22:58 2023 Warning: Failed to renew authorization of the product with Smart Software Manager due to Communication send error..
如果更新授權的原因是證書被吊銷,請檢查裝置是否已從智慧許可證門戶中刪除。
檢查本文的「在智慧許可證門戶中驗證裝置狀態」部分。
使用displayalerts命令或smartlicense日誌驗證錯誤
以下是CLI中displayalerts的錯誤示例:
04 Sep 2023 22:39:10 +0200 Failed to renew authorization of the product with Smart Software Manager due to Could not return the certificate for the given sn (111111111) since it is REVOKED..
以下是CLI中smartlcese日誌的日誌行示例:
Mon Sep 4 22:39:10 2023 Warning: Failed to renew authorization of the product with Smart Software Manager due to Could not return the certificate for the given sn (1111111) since it is REVOKED..
要解決此問題,請再次註冊裝置。
對於物理裝置,沒有VLAN;虛擬許可證編號主要用於虛擬裝置。
如果您使用的是虛擬SWA,且CLI的smartaccountinfo的輸出中沒有VLN,請嘗試在CLI中使用loadlicense命令再次載入XML許可證檔案。
注意:在安裝新的許可證檔案和金鑰之前,loadlicense命令將從系統中刪除所有現有的功能金鑰(包括評估金鑰)和許可證檔案。
如果收到此錯誤消息,則是由已知Cisco bug ID 引起的。
"Smart license agent service is unavailable. Please visit this page after some time. If you continue to see the same message, please contact Cisco Sales representative."
如果智慧許可證授權失敗並出現錯誤:
Tue Apr 22 09:46:27 2023 Warning: Failed to renew authorization of the product with Smart Software Manager due to Failed to verify signature..
[首次測試]此錯誤可能是由已知的思科漏洞ID CSCvx04164引起的 。
此錯誤的條件是智慧許可門戶上的虛擬帳戶名稱包含非英語字元,此問題的解決方法為:
重新命名虛擬帳戶並移除非英文字元:
步驟 1.請前往software.cisco.com。
步驟 2.導航到管理>管理智慧帳戶>虛擬帳戶。
步驟 3.按一下有問題的虛擬帳戶。
步驟 4.定義新名稱並移除非英文字元。
注意:使用者必須具有管理許可權,才能重新命名虛擬帳戶。
[第二次測試]如果虛擬帳戶名稱正確,請確保裝置列在智慧許可證門戶資產中。
請使用本文中「驗證智慧許可證門戶中的裝置狀態」部分提供的步驟。
[第三次測試]如果裝置列在智慧許可證門戶資產中,請嘗試從CLI重新啟動SWA智慧許可證服務:
步驟 1.登入到CLI。
步驟 2.運行診斷命令
步驟 3.選擇服務
步驟 4.選擇SMART_LICENSE
步驟 5.選擇重新啟動
SWA_CLI> diagnostic
Choose the operation you want to perform:
- NET - Network Diagnostic Utility.
- PROXY - Proxy Debugging Utility.
- REPORTING - Reporting Utilities.
- SERVICES - Service Utilities.
[]> SERVICES
Choose one of the following services:
- AMP - Secure Endpoint
- AVC - AVC
- ADC - ADC
- DCA - DCA
- WBRS - WBRS
- EXTFEED - ExtFeed
- L4TM - L4TM
- ANTIVIRUS - Anti-Virus xiServices
- AUTHENTICATION - Authentication Services
- MANAGEMENT - Appliance Management Services
- REPORTING - Reporting Associated services
- MISCSERVICES - Miscellaneous Service
- OCSP - OSCP
- UPDATER - UPDATER
- SICAP - SICAP
- SNMP - SNMP
- SNTP - SNTP
- VMSERVICE - VM Services
- WEBUI - Web GUI
- SMART_LICENSE - Smart Licensing Agent
- WCCP - WCCP
[]> SMART_LICENSE
Choose the operation you want to perform:
- RESTART - Restart the service
- STATUS - View status of the service
[]> RESTART
smart_agent is restarting.
[Forth test] 在智慧許可證管理器門戶中生成新令牌並重新註冊裝置。
在將裝置(在升級前啟用了智慧許可證)升級到版本14.1或14.0後,ESA或SMA上會出現這些錯誤。
注意:在x195或x395裝置上出現此錯誤。
以下是裝置生成的消息示例
08 Apr 2023 10:19:36 -0500 Initialization of smart agent service failed. Reason : Port 65501 is not available for smart agent service to run. Please try changing port for smart agent service through `license_smart setagentport` cli command or free the port from other service.
在smart_license記錄中,您可以看到:
Mon Apr 8 09:02:36 2021 Warning: Smart License: Failed to change the hostname to esa.local for the product.
此錯誤是由於ESA的已知思科漏洞ID CSCvz74874和用於SMA的思科漏洞ID CSCvx68947引起的。您需要聯絡思科支援解決此問題。
此錯誤主要與虛擬裝置相關,這些虛擬裝置配置了比預期更多的資源。
以下是日誌的範例:
Thu Jun 23 16:16:07 2022 Critical: Initialization of smart agent service failed. Reason : Port 65501 is not available for smart agent service to run. Please try changing port for smart agent service through `license_smart setagentport` cli command or free the port from other service.
any attempts to swap ports using the defined command will fail.
要解決此問題,請檢查CLI中version命令的輸出,確保CPU的數量和分配的記憶體設定為expected。
如果受支援的裝置有更多核心,請更正分配。
如果已從智慧許可證管理器門戶中刪除裝置,則較舊版本會返回此錯誤,
Thu Nov 15 13:50:20 2022 Warning: Failed to renew authorization of the product with Smart Software Manager due to Invalid response from licensing cloud..
若要修正此問題,請重新註冊裝置。
如果從您的裝置收到此錯誤並且您無法取得更新,請參閱Field Notice: FN - 72502以獲取詳細資訊。
21 Aug 2023 14:03:04 +0200 Unable to connect to the Cisco Aggregator Server.
Details: No valid SSL certificate was sent
傳統VLN證書檔案包括由Talos Keymaster建立的用於訪問更新和升級的證書。舊金鑰管理證書頒發機構(CA)於2023年1月13日到期。
2021年12月15日前簽發的證書有效期超過12個月的VLN證書檔案必須在2023年1月13日前續簽應用。
要解決此問題,請與思科許可證支援部門聯絡並請求一個新的VLN檔案。
如果您看到某些記錄指出您的功能已移至不符合規範,請檢查:
以下是日誌示例:
Mon Sep 4 20:41:09 2023 Warning: Secure Web Appliance HTTPs Decryption license has been moved to Out of Compliance successfully.
Mon Sep 4 20:41:10 2023 Warning: The Secure Web Appliance HTTPs Decryption is in Out of Compliance (OOC) state. You have 29 days remaining in your grace period.
如果收到「Critical error as "Smart Agent is Authorization Expired state",請檢視以下行查詢此狀態的原因。
以下是錯誤範例:
Fri Aug 18 15:51:11 2023 Critical: Web Security Appliance Cisco Web Usage Controls feature will stop working as Smart Agent is in Authorization Expired state. This can happen if there is no communication between the appliance and the Cisco Smart Software Manager (CSSM) for more than 90 days.
請檢查連線並確保您的裝置已在智慧許可證門戶中註冊。
Cisco Secure Web Appliance的AsyncOS 14.5使用手冊- GD(常規部署) -連線、安裝和配置[Cisco Secure Web Appliance] -思科
修訂 | 發佈日期 | 意見 |
---|---|---|
1.0 |
08-Sep-2023 |
初始版本 |