Risoluzione dei problemi relativi a Smart License in Secure Web Appliance

Introduzione

In questo documento viene descritta la procedura per configurare Smart License in Secure Web Appliance (SWA) e risolverne i problemi.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

• Funzionamento di Smart License.
• Amministrazione di Secure Web Appliance (SWA).

Cisco raccomanda:

• Installazione di Physical o Virtual Secure Web Appliance (SWA) completata.

• Accesso amministrativo all'SWA.
• Accesso al portale Smart License.

Componenti usati

Il documento può essere consultato per tutte le versioni software o hardware.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Cisco Smart License 

Smart Licensing consente di:

• Gestione di tutte le licenze dei prodotti da una posizione centrale
• Normalizza il processo tra ESA (Physical and Virtual Email Security Appliance) / SMA (Security Management Appliance) / SWA, utilizzando un unico metodo per applicare e gestire le licenze
• Facile applicazione di una licenza a ESA/SMA/SWA
• Ricevi avvisi correlati alla scadenza della licenza
• Il modello hardware ESA/SMA/SWA, preconfigurato, prevede un periodo di valutazione di 90 giorni per tutti i servizi

Per registrare il dispositivo SWA con una licenza intelligente, il proprietario dell'accessorio deve disporre di uno Smart Account.

• Gli Smart Account vengono emessi uno per dominio.
• L'amministratore dello Smart Account può creare account virtuali di livello inferiore che consentono la separazione delle risorse.
• Gli account virtuali possono essere utilizzati per limitare l'accesso a diverse licenze dei prodotti Cisco, in base alle tue esigenze.
• Accedere a Cisco Smart Software Manager (CSSM) per gestire le licenze e scaricare i token.

I collegamenti alle risorse fornite da Cisco includono video, guide e spiegazioni relative a Smart Licensing:

• Crea nuovo Smart Account o richiesta per aggiungere un utente a un account esistente
• Cenni preliminari sulle licenze Smart Software Pagina Web Cisco
• Guida alla distribuzione di Smart Licensing

• Cisco Smart Account - Pagina Cisco

• Pagina Cisco di Smart Software Manager

• Cisco Smart Software Manager (CSSM)
• Generazione del file della chiave di licenza dal file PAK per la sicurezza della posta elettronica - Cisco

Satellite Di Smart Software Manager

Il satellite Cisco Smart Software Manager è un componente di Cisco Smart Licensing.

CSSM Satellite lavora in abbinamento a CSSM per gestire le licenze dei prodotti, fornire visibilità e report in tempo reale sulle licenze Cisco in uso.

Per motivi di sicurezza, se non si desidera gestire la base installata con Smart Software Manager che risiede su Cisco.com, è possibile scegliere di installare il satellite di Smart Software Manager in locale.

Per ulteriori informazioni su Smart Software Manager Satellite, visitare questo collegamento: Cisco Smart Software Manager - Cisco .

Definizioni correlate a Smart License

Tipi di licenza:

• Licenza classica (CL) fa riferimento ai metodi legacy utilizzati per le licenze sia hardware che virtuali.
• Smart License (SL)

Stato autorizzazione licenza: lo stato di una determinata licenza nell'accessorio.

• Nella pagina ESA/SWA/SMA non viene visualizzata la data di scadenza effettiva.
• Posizione: GUI > Amministrazione di sistema > Licenze.
• Posizione: CLI > license_smart > SUMMARY.

Lo stato di una feature specifica viene visualizzato con uno dei seguenti valori:

• Valutazione:
  • Il servizio SSL è stato abilitato su una nuova ESA/SMA (Hardware) senza registrazione token
  • Servizio SSL abilitato su un accessorio con CL corrente installato
• Valutazione scaduta: la licenza Evaluation Smart valida 90 giorni è scaduta e l'appliance è passata al periodo di prova aggiuntivo di 30 giorni
• In conformità: l'accessorio è stato registrato con un token e attualmente la funzionalità utilizza una licenza valida
• La non conformità (periodo di tolleranza) può essere osservata in 2 scenari:
  
  • È in uso una richiesta con un clic per una licenza temporanea per 30 giorni
  • La licenza dell'accessorio è scaduta ed è iniziato il periodo di prova di 30 giorni
• Non conforme (scaduto): la licenza è scaduta e il servizio associato cessa di funzionare

Nota: la chiave Perpetua indica che per quella funzione non è previsto alcun periodo di scadenza. Una chiave inattiva indica che la funzionalità dispone di un Contratto di Licenza con l'Utente Finale (EULA) che deve essere accettato oppure che la funzionalità deve essere configurata e abilitata. Al termine, la funzione passa ad Attiva e il timer di scadenza ha inizio.

Configura licenza Smart in Secure Web Appliance 

È possibile collegare SWA a una licenza Smart tramite l'interfaccia utente grafica (GUI) e l'interfaccia della riga di comando (CLI).

Operazioni preliminari

Attenzione: l'attivazione della funzione di licenza intelligente su ESA/SMA/SWA è permanente e non consente di ripristinare la modalità di licenza classica per un accessorio.

• Tutti i modelli hardware SWA acquistati includono licenze di valutazione per 90 giorni per tutte le funzionalità.
• Tutti i modelli hardware che migrano con le licenze Classic (CL) correnti a licenze Smart ricevono licenze di valutazione della durata di 90 giorni.
• Tutti i modelli SWA virtuali richiedono una VLAN (Basic Virtual License) che è un file XML caricato sull'accessorio dal comando load license dell'interfaccia della riga di comando (CLI) per il collegamento al server di aggiornamento.
• Tutti i modelli SWA virtuali, una volta creati, NON includono licenze per 90 giorni e richiedono la registrazione tramite il file VLAN licenza classica (talvolta denominato XML).
• Tutti i modelli SWA virtuali in migrazione con le licenze Classic (CL) correnti includono licenze di valutazione della durata di 90 giorni.
• Attualmente SWA dispone di Smart License in tutte le versioni come funzionalità opzionale.
• Dopo aver abilitato Smart License, in questa casella non viene utilizzata la licenza classica.
• Una volta abilitata Smart License, non è possibile mantenere la licenza classica.
• Nella versione SWA 15.0 e nella versione più recente, è possibile abilitare direttamente Smart License senza attivare la licenza classica. In questo caso, le licenze devono essere acquistate e configurate per utilizzare l'appliance SWA con Smart License.
• Dalla versione 15.0, è previsto un periodo di prova di 30 giorni per l'installazione e la registrazione di Smart License senza l'attivazione di una licenza classica.
• Nell'ultima release build della release 15.1, Smart License è obbligatoria per consentire il corretto funzionamento dell'SWA. Inoltre, tutte le funzionalità relative alla licenza classica vengono rimosse nell'ultima release.
• L'aggiornamento alle build di mandato Smart License di SWA è limitato al momento del download se Smart License non è abilitato nella build base.

Modifiche nella CLI e nella visualizzazione GUI

Nella CLI per la licenza classica sono stati utilizzati quattro comandi. Pertanto, nelle build Smart License Mandate (15.1 e successive) tali comandi vengono rimossi.

Elenco dei comandi CLI rimossi:

• loadlicense
• showlicense
• chiave funzione
• configurazionechiave

Nella GUI per la licenza Classic, due pagine sono menzionate nella scheda Amministrazione del sistema. Di conseguenza, in Smart License Mandate le pagine vengono rimosse.
Elenco di pagine GUI rimosse:

• Impostazioni chiave funzionalità
• Chiave funzionalità

Ripristina e ricarica

Reset Configuration (Ripristina configurazione) in SWA è l'esecuzione del reset di fabbrica quando l'intera configurazione viene cancellata e SWA torna allo stato di fabbrica.

Con la creazione del mandato di Smart License viene mantenuto lo stesso comportamento.

Reload è un comando nascosto della CLI che cancella i dati di configurazione e rimuove anche i tasti funzione. Se SWA è stato registrato con la licenza Classic ed è stato eseguito il ricaricamento, ricaricare la licenza.

Se SWA è stato configurato con Smart License, dopo il ricaricamento la Smart License viene cancellata e disabilitata insieme alla reimpostazione di fabbrica nel comportamento SWA corrente.

Nelle versioni di creazione del mandato SWA, Smart License non ripristina mai lo stato disable, quindi il comando reload elimina tutta la configurazione.

La licenza smart rimane nello stato registrato, quindi richiedete nuovamente tutte le licenze.

Requisiti di comunicazione

Comunicazione di rete o proxy a smartreceiver.cisco.com sulla porta TCP 443.

Per verificare la connettività da SWA, attenersi alla seguente procedura:

Passaggio 1. Accedere alla CLI.

Passaggio 2. Digitare telnet e premere Invio.

Passaggio 3. Scegliere l'interfaccia che si prevede di connettere SWA a Smart License Server.

Passaggio 4. digitare smartreceiver.cisco.com e premere Invio.

Passaggio 5. Nella sezione port, digitare 443 e premere invio.

Nota: se è stato configurato Smart Software Manager Satellite, aggiungere l'URL (Uniform Resource Locator) o l'indirizzo IP (Internet Protocol) associato a quel server nel passaggio 4.

Di seguito è riportato un esempio di connessione riuscita:

> telnet

Please select which interface you want to telnet from.
1. Auto
2. Management (10.48.48.184/24: management.swa1.cisco.com)
3. P1 (192.168.13.184/24: p1.swa1.cisco.com)
4. P2 (192.168.133.184/24: p2.swa1.cisco.com)
[1]> 4

Enter the remote hostname or IP address.
[]> smartreceiver.cisco.com

Enter the remote port.
[23]> 443

Trying 10.112.59.81...
Connected to smartreceiver.cisco.com.
Escape character is '^]'.

Di seguito è riportato un esempio di connessione non riuscita: 

SWA_CLI> telnet

Please select which interface you want to telnet from.
1. Auto
2. Management (10.48.48.184/24: management.swa1.cisco.com)
3. P1 (192.168.13.184/24: p1.swa1.cisco.com)
4. P2 (192.168.133.184/24: p2.swa1.cisco.com)
[1]> 2

Enter the remote hostname or IP address.
[]> smartreceiver.cisco.com

Enter the remote port.
[23]> 443

Trying 10.112.59.81...
telnet: connect to address 10.112.59.81: Operation timed out
Trying 2a04:e4c7:fffe::f...
bind: Invalid argument

Nota: per uscire da telnet, se ctrl+c non funziona, tenere premuto Ctrl e quindi premere ], digitare q e premere Invio.

Configurazione di Smart License dalla GUI

Passaggio 1. Accedere alla GUI e selezionare System Administration (Amministrazione sistema).

Passaggio 2. Scegliere Smart Software Licensing.

Immagine - Scegli le licenze per Smart Software

Passaggio 3. Scegliere Abilita gestione licenze Smart Software 

Immagine: scegliere Abilita gestione licenze Smart Software

Passaggio 4. Leggere attentamente le istruzioni e scegliere OK. 

Immagine- Leggere attentamente le istruzioni

Attenzione: dopo aver attivato la funzione Smart License sull'accessorio, non è possibile eseguire il rollback da Smart License a Classic License.

Passaggio 5. Eseguire il commit delle modifiche.

Passaggio 6. Sospendere, quindi aggiornare la pagina Smart Licensing. 

Passaggio 7. Selezionare Smart License Registration e fare clic su Confirm

Immagine: scegliere Smart License Registration

Passaggio 8.(Facoltativo) Se nella rete è presente il satellite Smart Software Manager, aggiungere l'URL o l'indirizzo IP del server in Impostazioni di trasporto.  

Passaggio 9. Se si dispone di una tabella di routing separata, ma non si dispone dell'accesso a https://smartreceiver.cisco.com dall'interfaccia di gestione, scegliere Dati dalla sezione Test interfaccia. 

Per impostazione predefinita, la tabella Routing di gestione è selezionata.

Immagine - scegliere la tabella di routing

Passaggio 10. Scegliere Registra per passare alla pagina di registrazione.

Passaggio 11. Accedere al portale di Smart Software Manager ( Cisco Software Central ) o al satellite di Smart Software Manager.

Passaggio 12. Passare alla scheda Inventory e, se non si dispone ancora di un token, generare un nuovo token oppure fare clic sulla freccia blu per visualizzare il token. 

Immagine - Passa a Magazzino

Passaggio 13. (Facoltativo) Per creare un token di registrazione, scegliere Nuovo token e compilare i campi obbligatori. 

Passaggio 14. Incollare il token dal portale Smart License nel file SWA e scegliere Register. 

Immagine - Incolla il token di registrazione

Passaggio 15. (Facoltativo) Se il dispositivo è già stato registrato, è possibile registrarlo nuovamente selezionando la casella di controllo. 

Passaggio 16. Dopo alcuni minuti è possibile controllare lo stato della registrazione.

Immagine - Accessorio registrato

Verifica Dell'Integrazione

È possibile verificare l'integrazione da GUI, CLI o Smart License Portal 

Verifica dello stato della licenza intelligente dalla GUI

Passaggio 1. Accedere alla GUI e selezionare System Administration (Amministrazione sistema).

Passaggio 2. Scegliere Smart Software Licensing.

Passaggio 3. Controllare quanto segue: 

• Stato registrazione
• Stato autorizzazione licenza
• Stato ultimo tentativo di rinnovo registrazione
• Stato ultimo tentativo di rinnovo autorizzazione

Immagine - Verifica della licenza Smart nella GUI

Passaggio 4. Dal menu System Administration, selezionare Licenses .

Passaggio 5. Verificare che le licenze desiderate siano conformi.

Immagine - Stato licenza

Verifica dello stato della licenza Smart dalla CLI

Per verificare lo stato di Smart Cense dalla CLI, attenersi alla procedura descritta di seguito.

Passaggio 1. Log in to CLI 

Passaggio 2. Digitare license_smart premere Invio

Passaggio 3. Scegli STATO

Passaggio 4. Controllare quanto segue: 

• Stato registrazione
• Stato autorizzazione licenza
• Stato ultimo tentativo di rinnovo registrazione
• Stato ultimo tentativo di rinnovo autorizzazione

Smart Licensing is : Enabled

License Reservation is: Disabled
Evaluation Period: Not In Use
Evaluation Period Remaining: 89 days 22 hours 40 minutes
Registration Status: Registered ( 04 Sep 2023 20:38 ) Registration Expires on:  ( 03 Sep 2024 21:03 )
Smart Account: XXXXXXXXXXXX18.cisco.com
Virtual Account: XXXXXXXXX
Last Registration Renewal Attempt Status: SUCCEEDED on 04 Sep 2023 21:07
License Authorization Status: Authorized ( 04 Sep 2023 20:38 ) Authorization Expires on:  ( 03 Dec 2023 20:03 )
Last Authorization Renewal Attempt Status: SUCCEEDED on 04 Sep 2023 21:07
Product Instance Name: wsa125to15.amojarra.calo
Transport Settings: Direct (https://smartreceiver.cisco.com/licservice/license)
Device Led Conversion Status: Started

Passaggio 5. Dalla procedura guidata license_smart, scegliere SUMMARY.

[]> SUMMARY

Feature Name                                                        License Authorization Status
----------------------------------------------------------------------------------------------------
Secure Web Appliance Cisco Web Usage Controls                          In Compliance
Secure Web Appliance Anti-Virus Webroot                                In Compliance
Secure Web Appliance L4 Traffic Monitor                                In Compliance
Secure Web Appliance Cisco AnyConnect SM for AnyConnect                In Compliance
Secure Web Appliance Secure Endpoint Reputation                        In Compliance
Secure Web Appliance Anti-Virus Sophos                                 In Compliance
Secure Web Appliance Web Reputation Filters                            In Compliance
Secure Web Appliance Secure Endpoint                                   In Compliance
Secure Web Appliance Anti-Virus McAfee                                 Not requested
Secure Web Appliance Web Proxy and DVS Engine                          In Compliance
Secure Web Appliance HTTPs Decryption                                  In Compliance

Passaggio 6. Verificare che le licenze desiderate siano conformi.

Verifica dello stato del dispositivo in Smart License Portal

Passaggio 1. Accedere al portale delle licenze Smart Software: Cisco Software Central

Passaggio 2. Scegliere la scheda Inventario.

Passaggio 3. Scegliere Istanze prodotto. 

Passaggio 4. Verificare che il dispositivo sia presente nell'elenco e fare clic sul nome del dispositivo.

Immagine - Verifica dello stato del dispositivo in Smart License Portal

Passaggio 5. Osservare le chiavi delle funzionalità e lo stato del dispositivo nella scheda Generale

Immagine - Verifica dei tasti funzione nel portale Smart License

Ricerca di VLAN dalla CLI

Per visualizzare la VLAN dalla CLI, usare il comando smartaccountinfo. È inoltre possibile visualizzare alcune informazioni aggiuntive, ad esempio il dominio o l'ID dell'account virtuale e le istanze del prodotto. 

> smartaccountinfo

Smart Account details
---------------------

Product Instance ID       : 609XXXXXXXX-fXXXXXXXXX55
Smart Account Domain      : XXXXXXXXXXXXXXXXXXX18.cisco.com
Smart Account ID          : 111111
Smart Account Name        : XXXXXXXXXXXXXXXXXXX18.cisco.com
VLN                       : VLNWSA1111111
Virtual Account Domain    : WSA_XXXXX
Virtual Account ID        : 111111

Registrazione 

Tutti i log relativi a Smart License sono raccolti nei log Smartlicense. Questo registro è abilitato per impostazione predefinita.

Per configurare il log delle licenze Smart, attenersi alla procedura seguente:

Passaggio 1. Accedere alla GUI.

Passaggio 2. Dal menu Amministrazione di sistema scegliere Registra sottoscrizioni.

Passaggio 3. Scorrere verso il basso e individuare i log delle licenze Smart.

Passaggio 4. Fare clic sul nome del registro per modificare la configurazione. 

Suggerimento: se si desidera eseguire il push dei log nel server di raccolta dei log, è consigliabile creare una nuova sottoscrizione ai log e inoltrare tali log, in modo da avere una copia dei log localmente nell'SWA

Licenza Trouble Shoot Smart  

Di seguito sono riportati gli errori più comuni e le procedure per risolvere il problema. 

Connessione sussessfull 

Di seguito è riportato un esempio di log di smart_license con risultato positivo:

Mon Sep  4 20:39:32 2023 Info: The product is registered successfully with Smart Software Manager.

Registrazione non riuscita 

Immagine - Registrazione non riuscita

Se viene restituito Registration Failed, controllare i log smart_license dalla CLI attenendosi alla seguente procedura: 

Passaggio 1. Accedere alla CLI.

Passaggio 2. Digitare grep e premere Invio.

Passaggio 3. Individuare il numero associato ai log delle licenze intelligenti e digitare il numero, quindi premere Invio.

Passaggio 4. Premere Invio finché non vengono visualizzati i log.

Errore di invio comunicazione

Se viene visualizzato "Errore di invio comunicazione", controllare la connettività tra SWA e Smart License Server sulla porta TCP 443.

Mon Sep 4 19:57:09 2023 Warning: The registration of the product with Smart Software Manager failed. The response from Smart Software Manager is: Communication send error. 

Suggerimento: se è stato configurato il satellite di Smart Software Manager, verificare la connettività al numero di porta configurato.

Per verificare la connettività, utilizzare i passaggi indicati nella sezione "Requisiti di comunicazione" di questo articolo. 

Anche in visualizzazione avvisi è possibile visualizzare lo stesso messaggio di errore:

04 Sep 2023 20:19:29 +0200    The registration of the product with Smart Software Manager failed. The response from Smart Software Manager is: Communication send error.

Token non valido

Se il token è scaduto o ha raggiunto il valore Utilizzato massimo definito, viene restituito il token del log di avviso non valido.

È possibile verificare l'errore dal comando displayalert o dai log delle licenze intelligenti. 

Di seguito è riportato un esempio di errore da displayalert nella CLI:

04 Sep 2023 20:26:55 +0200    The registration of the product with Smart Software Manager failed. The response from Smart Software Manager is: Token is not valid

Di seguito è riportato un esempio di riga di log dai log SmartLicense della CLI:

Mon Sep 4 20:26:55 2023 Warning: The registration of the product with Smart Software Manager failed. The response from Smart Software Manager is: Token is not valid

Per verificare la validità del token, accedere al portale Smart License, passare all'inventario, controllare lo stato di scadenza e il numero di utenti.

Immagine - Token Expier

Impossibile Rinnovare L'Autorizzazione

Errore di invio comunicazione

Se non si riesce a rinnovare l'autorizzazione a causa di un errore di invio della comunicazione, la causa potrebbe essere un problema di connettività. Verificare che sia selezionata la tabella di routing corretta e verificare la connettività tra SWA e smartreceiver.cisco.com, la porta TCP 443 o il server satellite Smart Software Manager 

Per verificare la connettività, eseguire la procedura descritta nella sezione "Requisiti di comunicazione" in questo articolo. 

È possibile verificare l'errore con il comando displayalert o dai log delle licenze intelligenti 

Di seguito è riportato un esempio di errore da displayalert nella CLI:

04 Sep 2023 22:23:43 +0200 Failed to renew authorization of the product with Smart Software Manager due to Communication send error..

Di seguito è riportato un esempio di riga di log dai log SmartLicense della CLI:

Mon Sep 4 22:22:58 2023 Warning: Failed to renew authorization of the product with Smart Software Manager due to Communication send error..

Il certificato è REVOCATO

Se il motivo per cui rinnovare l'autorizzazione è il certificato REVOCATO, verificare che il dispositivo sia stato rimosso da Smart License Portal.

Selezionare la sezione "Verify Device Status in Smart License Portal" (Verifica dello stato del dispositivo in Smart License Portal) in questo articolo. 

Verificare l'errore utilizzando il comando displayalert o dai log delle licenze intelligenti 

Di seguito è riportato un esempio di errore da displayalert nella CLI:

04 Sep 2023 22:39:10 +0200 Failed to renew authorization of the product with Smart Software Manager due to Could not return the certificate for the given sn (111111111) since it is REVOKED..

Di seguito è riportato un esempio di riga di log dai log SmartLicense della CLI:

Mon Sep 4 22:39:10 2023 Warning: Failed to renew authorization of the product with Smart Software Manager due to Could not return the certificate for the given sn (1111111) since it is REVOKED..

Per risolvere il problema, registrare nuovamente il dispositivo. 

Nessuna VLAN nel dispositivo 

Per i dispositivi fisici, non è presente una VLAN; il numero di licenza virtuale viene utilizzato principalmente nelle appliance virtuali.

Se si utilizza un SWA virtuale e non è presente alcuna VLAN nell'output di smartaccountinfo nella CLI, provare a caricare di nuovo il file di licenza XML con il comando loadlicense nella CLI. 

Attenzione: il comando loadlicense rimuove tutte le chiavi di funzionalità esistenti (incluse le chiavi di valutazione) e il file di licenza dal sistema prima di installare il nuovo file di licenza e le nuove chiavi.

Il servizio Agente di licenza Smart non è disponibile

Se viene visualizzato questo messaggio di errore, il problema è dovuto all'ID di un bug Cisco noto.  

"Smart license agent service is unavailable. Please visit this page after some time. If you continue to see the same message, please contact Cisco Sales representative."

Impossibile verificare la firma

Se l'autorizzazione della Smart License non riesce e viene visualizzato il messaggio di errore:

Tue Apr 22 09:46:27 2023 Warning: Failed to renew authorization of the product with Smart Software Manager due to Failed to verify signature..

[First test] Questo errore può essere dovuto a un ID bug Cisco noto CSCvx04164  .

La condizione per questo bug è che il nome dell'account virtuale sul portale di Smart Licensing contiene caratteri non inglesi e la soluzione al problema è:

Rinominare l'account virtuale e rimuovere i caratteri non inglesi:

Passaggio 1. Visitare il sito Web all'indirizzo software.cisco.com.
Passaggio 2. Passare a Amministrazione > Gestisci Smart Account > Account virtuali.
Passaggio 3. Fare clic sull'account virtuale in questione.
Passaggio 4. Assegnate un nuovo nome e rimuovete i caratteri non inglesi.

Nota: per poter rinominare l'account virtuale, l'utente deve disporre di privilegi amministrativi.

[Secondo test] Se il nome dell'account virtuale è corretto, verificare che il dispositivo sia elencato nell'inventario del portale Smart License.

Attenersi alla procedura descritta nella sezione "Verifica dello stato del dispositivo nel portale delle licenze Smart" in questo articolo.  

[Terzo test] Se il dispositivo è elencato nell'inventario di Smart License Portal, provare a riavviare il servizio SWA Smart License dalla CLI:

Passaggio 1. Accedere alla CLI.

Passaggio 2. Eseguire il comando di diagnostica

Passaggio 3. Scegli SERVIZI 

Passaggio 4. Scegliere SMART_LICENSE 

Passaggio 5. Scegliere RIAVVIA

SWA_CLI> diagnostic

Choose the operation you want to perform:
- NET - Network Diagnostic Utility.
- PROXY - Proxy Debugging Utility.
- REPORTING - Reporting Utilities.
- SERVICES - Service Utilities.
[]> SERVICES

Choose one of the following services:
- AMP - Secure Endpoint
- AVC - AVC
- ADC - ADC
- DCA - DCA
- WBRS - WBRS
- EXTFEED - ExtFeed
- L4TM - L4TM
- ANTIVIRUS - Anti-Virus xiServices
- AUTHENTICATION - Authentication Services
- MANAGEMENT - Appliance Management Services
- REPORTING - Reporting Associated services
- MISCSERVICES - Miscellaneous Service
- OCSP - OSCP
- UPDATER - UPDATER
- SICAP - SICAP
- SNMP - SNMP
- SNTP - SNTP
- VMSERVICE - VM Services
- WEBUI - Web GUI
- SMART_LICENSE - Smart Licensing Agent
- WCCP - WCCP
[]> SMART_LICENSE


Choose the operation you want to perform:
- RESTART - Restart the service
- STATUS - View status of the service
[]> RESTART

smart_agent is restarting.

[Forth test] Generare un nuovo token nel portale di Smart License Manager e registrare nuovamente il dispositivo.

Smart_agent bloccato nello stato disabilitato 

Questi errori possono essere rilevati su un'ESA o un SMA dopo l'aggiornamento dell'accessorio (su cui la Smart License era stata abilitata prima dell'aggiornamento) alla versione 14.1 o 14.0.

Nota: questo errore si verifica sui dispositivi x195 o x395.

Di seguito è riportato un esempio del messaggio generato dall'appliance 

08 Apr 2023 10:19:36 -0500 Initialization of smart agent service failed. Reason : Port 65501 is not available for smart agent service to run. Please try changing port for smart agent service through `license_smart setagentport` cli command or free the port from other service.

Nei log di smart_license è inoltre possibile visualizzare:

Mon Apr 8 09:02:36 2021 Warning: Smart License: Failed to change the hostname to esa.local for the product.

Questo errore è causato da un ID bug Cisco noto CSCvz74874 per ESA e da un ID bug Cisco CSCvx68947 per SMA. Per risolvere il problema, contattare il supporto Cisco.

Inizializzazione del servizio Smart Agent non riuscita

Questo errore è dovuto principalmente ad appliance virtuali configurate con un numero di risorse superiore al previsto.

Di seguito è riportato un esempio del registro:

Thu Jun 23 16:16:07 2022 Critical: Initialization of smart agent service failed. Reason : Port 65501 is not available for smart agent service to run. Please try changing port for smart agent service through `license_smart setagentport` cli command or free the port from other service.
any attempts to swap ports using the defined command will fail.

Per risolvere il problema, controllare l'output del comando version nella CLI e verificare che il numero di CPU e la memoria allocata siano impostati come previsto.

Se all'accessorio sono supportati più core, correggere l'allocazione. 

Risposta Non Valida Da Licensing Cloud

Se il dispositivo è stato rimosso dal portale di Smart License Manager, le versioni precedenti restituiscono questo errore, 

Thu Nov 15 13:50:20 2022 Warning: Failed to renew authorization of the product with Smart Software Manager due to Invalid response from licensing cloud..

Per risolvere il problema, registrare nuovamente l'accessorio.

Nessun certificato SSL valido inviato

Se l'accessorio restituisce questo errore e non è possibile ottenere gli aggiornamenti, consultare la Notifica sul campo: FN - 72502 per ulteriori informazioni. 

21 Aug 2023 14:03:04 +0200    Unable to connect to the Cisco Aggregator Server.
Details: No valid SSL certificate was sent

I file dei certificati VLAN tradizionali includono un certificato creato da Talos Keymaster per l'accesso agli aggiornamenti. La vecchia Autorità di certificazione (CA) Keymaster è scaduta il 13 gennaio 2023.

I file di certificato VLAN con certificati rilasciati prima del 15 dicembre 2021, con una validità di oltre 12 mesi, devono essere rinnovati e applicati prima del 13 gennaio 2023.

Per risolvere questo problema, contattare il supporto della licenza Cisco e chiedere un nuovo file VLAN. 

La funzionalità è stata spostata in Non conforme

Se viene visualizzato un registro in cui si segnala che una o alcune delle funzionalità sono state spostate in Non conforme, verificare:

1. Si dispone di una licenza valida 
2. L'accessorio è connesso al server Smart License (vedere la sezione "Requisiti di comunicazione" in questo articolo). 
3. Per ulteriori informazioni sul problema, consultare i log delle Smart License.
4. Contatta il supporto Cisco per assistenza 

Di seguito è riportato un esempio di registro:

Mon Sep 4 20:41:09 2023 Warning: Secure Web Appliance HTTPs Decryption license has been moved to Out of Compliance successfully.
Mon Sep 4 20:41:10 2023 Warning: The Secure Web Appliance HTTPs Decryption is in Out of Compliance (OOC) state. You have 29 days remaining in your grace period.

Smart Agent è in stato Autorizzazione scaduta

Se viene visualizzato l'errore Critico come "Smart Agent è in stato Autorizzazione scaduta", esaminare le righe successive per trovare i motivi di questo stato.

Di seguito è riportato un esempio di errore:

Fri Aug 18 15:51:11 2023 Critical: Web Security Appliance Cisco Web Usage Controls feature will stop working as Smart Agent is in Authorization Expired state. This can happen if there is no communication between the appliance and the Cisco Smart Software Manager (CSSM) for more than 90 days.

Verificare la connettività e verificare che il dispositivo sia registrato nel portale Smart License.  

Riferimento 

Linee guida sulle best practice di Cisco Web Security Appliance - Cisco

BRKSEC-3303 (Colive)

Guida per l'utente di AsyncOS 14.5 for Cisco Secure Web Appliance - GD (General Deployment) - Connessione, installazione e configurazione [Cisco Secure Web Appliance] - Cisco

Cisco Smart Software Manager - Cisco