Introduction
Ce document décrit comment configurer et supprimer la clé d'activation basée sur le temps sur Cisco Adaptive Security Appliance (ASA) pour les homologues AnyConnect Premium. La clé d'activation basée sur l'heure est utilisée pour activer les fonctionnalités pendant une période spécifique.
Informations générales
AnyConnect Premium et AnyConnect Essential ont été utilisés dans les anciens modèles de licence et sont obsolètes à présent. Selon le nouveau modèle de licence, AnyConnect Apex correspond à AnyConnect Premium et AnyConnect Plus correspond à AnyConnect Essential. AnyConnect Apex n'est pas compatible avec les anciennes licences. Par conséquent, si vous activez Apex, la licence Premium ne sera pas utilisée, cependant, la licence consommée prendra la forme de licences Premium. Essentials sont désactivés, car ils ne sont pas compatibles. La commande permettant de vérifier si la licence Apex est activée ou désactivée est la licence de menu de débogage 23
La licence AnyConnect Plus inclut les types de VPN suivants :
- VPN SSL
- VPN d'accès à distance IPsec avec IKEv2
La licence AnyConnect Apex inclut les types de VPN suivants :
- VPN SSL
- VPN SSL sans client
- VPN d'accès à distance IPsec avec IKEv2
La différence de fonctionnalités entre les 2 licences est décrite en détail dans ce guide de licence :
https://www.cisco.com/c/en/us/products/collateral/security/anyconnect-og.html
Note: La nouvelle clé de licence AnyConnect Plus, Apex ou VPN Only n'utilise plus l'option Essentials. Afin d'utiliser une nouvelle licence, la fonctionnalité anyconnect-essentials doit être désactivée sur votre ASA en émettant une commande no anyconnect-essentials sous webvpn. Lorsqu'une nouvelle clé de licence est installée, un avertissement indique que la clé Essentials n'est pas utilisée lors de l'installation de la nouvelle licence. Tant que tous les composants essentiels de la connexion sur votre ASA sont correctement désactivés, vous pouvez continuer.
Configuration
Étape 1. Vous devez obtenir votre clé d'activation de produit (PAK) pour le périphérique. L'équipe de gestion des licences Cisco peut vous aider à obtenir une clé d'activation basée sur le temps pour la période requise.
Note: Le numéro de série (SN) de l'ASA pour satisfaire à cette exigence doit être extrait de la sortie show version de votre ASA et non de l'inventaire show.
ciscoasa# show version
Cisco Adaptive Security Appliance Software Version 9.12(2)
Firepower Extensible Operating System Version 2.6(1.141)
Device Manager Version 7.12(2)
---omitted for brevity---
Licensed features for this platform:
Maximum VLANs : 50 perpetual
Inside Hosts : Unlimited perpetual
Failover : Active/Active perpetual
Encryption-DES : Enabled perpetual
Encryption-3DES-AES : Enabled perpetual
Security Contexts : 2 perpetual
Carrier : Disabled perpetual
AnyConnect Premium Peers : 2 perpetual
AnyConnect Essentials : Disabled perpetual
Other VPN Peers : 100 perpetual
Total VPN Peers : 100 perpetual
AnyConnect for Mobile : Disabled perpetual
AnyConnect for Cisco VPN Phone : Disabled perpetual
Advanced Endpoint Assessment : Enabled perpetual
Shared License : Disabled perpetual
Total TLS Proxy Sessions : 320 perpetual
Botnet Traffic Filter : Disabled perpetual
Cluster : Disabled perpetual
Serial Number: 9A5KG6HTQSB
Running Permanent Activation Key: 0xa339d567 0xa8df641f 0x9193bd58 0xc6344cb4 0x031bfbaa
Étape 2. Vous recevrez deux clés d'activation pour le même numéro de série de votre plate-forme ASA de l'équipe de gestion des licences.
Exemple de PAK reçu de la licence :
-------------------------------------------------------------
THE FOLLOWING ACTIVATION KEY IS VALID FOR:
ASA SOFTWARE RELEASE 8.2+ ONLY
Platform = asa
9A5KG6HTQSB: 0x5376dfc2 0x99806c06 0x9d8c5acf 0xc0a4da97 0x8512c481
--------------------------------------------------------------
THE FOLLOWING ACTIVATION KEY IS VALID FOR:
ALL ASA SOFTWARE RELEASES, BUT EXCLUDES ANY
8.2+ FEATURES FOR BACKWARDS COMPATIBILITY.
Platform = asa
9A5KG6HTQSB: 0x2722ea6c 0x6041d059 0xc930c908 0xcfe8c498 0x463cc092
---------------------------------------------------------------
Étape 3. Copiez la clé d'activation et appliquez la clé copiée sur ASA.
ASA(config)# activation-key 0x5376dfc2 0x99806c06 0x9d8c5acf 0xc0a4da97 0x8512c481
Étape 4. Une fois la licence appliquée, vous devez enregistrer la configuration (écriture de mémoire).
Ceci termine le processus d'application temporaire de la fonctionnalité de licence sur votre plate-forme ASA.
Vérification
La nouvelle licence peut être vérifiée comme indiqué ici :
ciscoasa# show version
Cisco Adaptive Security Appliance Software Version 9.12(2)
Firepower Extensible Operating System Version 2.6(1.141)
Device Manager Version 7.12(2)
---omitted for brevity---
Licensed features for this platform:
Maximum VLANs : 50 perpetual
Inside Hosts : Unlimited perpetual
Failover : Active/Active perpetual
Encryption-DES : Enabled perpetual
Encryption-3DES-AES : Enabled perpetual
Security Contexts : 2 perpetual
Carrier : Disabled perpetual
AnyConnect Premium Peers : 500 14 days
AnyConnect Essentials : Disabled perpetual
Other VPN Peers : 100 perpetual
Total VPN Peers : 100 perpetual
AnyConnect for Mobile : Disabled perpetual
AnyConnect for Cisco VPN Phone : Disabled perpetual
Advanced Endpoint Assessment : Enabled perpetual
Shared License : Disabled perpetual
Total TLS Proxy Sessions : 320 perpetual
Botnet Traffic Filter : Disabled perpetual
Cluster : Disabled perpetual
Serial Number: 9A5KG6HTQSB
Running Permanent Activation Key: 0xa339d567 0xa8df641f 0x9193bd58 0xc6344cb4 0x031bfbaa
Running Timebased Activation Key: 0x5376dfc2 0x99806c06 0x9d8c5acf 0xc0a4da97 0x8512c481
Dans le résultat ci-dessus, nous avons la nouvelle licence basée sur le temps valide pour 2 semaines (14 jours). Après 14 jours, la licence AnyConnect Premium sera remplacée par la clé d'activation permanente sur l'ASA.
Note: Si votre ASA fonctionne uniquement avec une clé d'activation basée sur le temps, après cette période spécifique, le périphérique redevient la fonction de licence par défaut.
Afin de supprimer la clé d'activation basée sur le temps dans les 14 jours et d'appliquer la licence perpétuelle préexistante, désactivez la clé basée sur le temps d'exécution comme indiqué ici :
ASA(config)# activation-key 0x5376dfc2 0x99806c06 0x9d8c5acf 0xc0a4da97 0x8512c481 deactivate