Cisco NPE
Что такое Cisco PCI? Маршрутизаторы Cisco K9 как средство защиты информации в банковских сетях
Запрет к открытой поставке в Россию таких устройств сетевой защиты как маршрутизаторы и межсетевые экраны Cisco с 3DES шифрованием вызвал значительный резонанс. Подобные сетевые устройства защиты в большинстве своем использовались не частными лицами, а бизнес-структурами, финансовыми и производственными предприятиями. Наибольшая потребность в надежных VPN-устройствах у финансовых организаций – банков. Применение стойких алгоритмов защиты в банковских сетях гарантирует сохранение ценной информации – финансовых данных и личных данных клиентов. Нехватка сетевых средств защиты информации в продаже со вступлением новых законов в силу приостановила рост и развитие финансовых институтов, ввиду отсутствия необходимых устройств защиты сети на российском рынке. В значительной степени это было связано с расширением сети банкоматов – выросло потребление маршрутизаторов младшей серии СISCO881-K9, СISCO861-K9, которые в большинстве использовались банками для организации безопасного подключения мобильного терминала (банкомата) к банковской сети. Понимая сложность ситуации, правительство пришло на помощь. Устройства, специально разработанные для защиты финансовой информации платежных систем, имеют в артикуле сокращение PCI – Payment Card Industry, означающее, что данное устройство одобрено MasterCard, Visa, Amex, JCB для организации доступа к платежным системам. Именно поэтому устройства PCI-K9 продаются, Но приобрести подобные устройства имеет право только финансовое учреждение с лицензией, а продавать – организация, имеющая лицензию на распространение криптографических средств.
Таким образом, подводя итог анализа средств Cisco K9 и Cisco K8 для защиты сети:
1. Все устройства Cisco K9 в окончании артикула на официальном рынке России – имеют криптографию, разрешенную ко ввозу на территорию России без лицензии и разрешены к открытой продаже.
2. Сетевые устройства Cisco, имеющие в артикуле K8 – устройства, с усеченными функциями по криптографии, которые в большинстве касаются отсутствием поддержки протокола 3DES, но при этом поддерживают IPSEC VPN на уровне AES, DES.
IOS. Версии, лицензии и что делать в РФ
У начинающих cisco-водов много вопросов вызывают различные варианты линеек IOS их отличия и функционал. Дополнительную сумятицу внесло появление новых маршрутизаторов ISR G2 и новой линейки IOS версии 15. Попробуем разобраться на пальцах.
Будем обсуждать IOS для самых распространенных маршрутизаторов – Integrated Services Router (ISR) первой и второй «волны» (G1 и G2). Я не буду вдаваться совсем уж в историю и начну с IOS 12 версии. Более ранние, конечно, бывают, но встречаются сейчас крайне редко. Мало того, даже для самого древнего железа уже как правило хотя бы 12.0 версия есть.
Начиная с этой линейки у cisco появилось понятие «стабильный» или «основной» образ (main deployment, MD), «ранние версии» (early deployment, ED), всякие экспериментальные версии (обычно содержат несколько новых фич) и целая «продвинутая» технологическая линейка (обозначается буквой Т в названии IOS). Общая идеология такая: все, что обкатали в экспериментальных и технологических линейках предыдущих версий, появляется как основная фича в следующей версии основной линейки. Например, то, что было в 12.3Т и прошло успешные испытания, зафиксировано в 12.4 MD. Понятно, что возможностей у Т-линейки больше, функционал менее оттестирован и статистически менее надежен.
Отдельная тема: функционал IOS. Чтобы вас не запутать, давайте разделим: IOS для ISR G1 (самых обычных маршрутизаторов 85х, 87х, 18хх, 28хх, 38хх а также их предшественников 26хх, 36хх, 37хх) и IOS для ISR G2 (89х, 19хх, 29хх, 39хх). Для последних есть ТОЛЬКО IOS версии 15.0(1)М и новее. Для старых есть и 12 и 15 версия.
Примечание: версий 12.5, 13 и 14 никогда не было. По легенде, 13 – несчастливое число в США, а 14 – в Японии.
Примечание 2: маршрутизатор 86х хоть и относится формально к G2, о выпущен раньше остальной линейки. Имеет IOS 12.4 и не лицензируется (т.е. работает так же, как G1)
ISR G1:
В версиях до 15 фичи IOSов можно было разделить на несколько типов:
1. Security. Позволяет сделать VPN разного вида, МСЭ, IPS и защитить сам маршрутизатор.
2. Enterprise. Позволяет обрабатывать не только IPv4, например, IPX, CLNP. Раньше только в него включали IPv6. Сейчас этот протокол есть и в Base
3. Unified communications. Всевозможные телефонные фичи, типа CUCM, gateway, gatekeeper и пр.
4. IP Base. Минимальный набор. Даже ip sla нет! Я стараюсь IP Base не оставлять.
Самих IOSов было гораздо больше, т.к. они могли сочетать разные фичи. Подробно узнать, какие возможности есть в каком IOS можно в цискином удобном фича-навигаторе.
_______________
UPD от 3.04.11
Названия линеек IOSов в 12 версии
IP Base
IP Voice
Advanced Security
SP Services
Enterprise Base
Advanced IP Services
Enterprise Services
Advanced Enterprise Services
________________
С 15 версии возможности называются почти так же
1. Security
2. DATA
3. UC
4. Base
15 версия IOS содержит в себе ВСЕ возможности. Для ISR G1 это означает, что можно закачать свежий IOS 15 версии и не бояться. Т-линейка, как и прежде, содержит в себе больше возможностей, но считается менее стабильной.
Зачем же выделять группы фич, если они все доступны? А вот зачем: в ISR G2 внедрена система лицензирования фич, примерно как на ASA. Т.е. залить в ISR G2 другой IOS и получить другой функционал, как привыкли делать в ISR G1, не получится. Нужно покупать лицензии на нужный функционал. Так cisco борется с изобилием «не совсем легальных установок» продвинутого функционала. Ведь IP BASE стоит гораздо дешевле, чем нужный bundle, а значит можно «сэкономить». И хоть формально за это можно пожурить, но если вы не покупали поддержку от cisco (SmartNet), то о факте такой замены никто не узнает.
Дополнительную сложность вносит наше таможенное законодательство, которое ставит табу на ввоз шифровальных средств с длиной ключа более 56 бит (DES еще проходит и так ввозят ASA-K8, а 3DES/AES- нет). Cisco в ответ на эти запреты выпустила локализованную версию IOS, с обрезанным функционалом по шифрованию туннелей. Первой ласточкой была NOVPN для 3845, а для 15 версии IOS такая линейка называется NPE (No Payload Encryption). Такой шаг позволил получить на ISR G2 нотификацию и ввозить на территорию РФ такие циски беспрепятственно (ISR G1 легко ввозятся с IOS IP Base). Однако, лишил нас массы удобных возможностей: IPSec VPN, L2TPoIPSec, SSLVPN, GETVPN, DMVPN, sRTP и других шифровальных возможностей … То, за что многие так уважают цискины маршрутизаторы. Вы можете купить bundle UC, Sec-NPE, DATA, но ни одна из них вам не разблокирует шифрования. И до недавнего времени решения этой проблемы не было: официально купить полноценный IOS (PE) и лицензию на Security, где есть VPN не было…
Но если очень хочется…
Недавно появилась такая возможность: на 12 лет получить «технологические лицензии» на шифрование (SecurityK9, UCk9, DATAk9). Для этого можно сделать так:
1. Найти где-нибудь IOS не NPE, т.е. без NPE в названии, т.е., например, вот такой: c2900-universalk9-mz.SPA.151-3.T.bin.
2. ИОС не ниже версий: 15.0(1)M4, 15.1(1)T2, 15.1(2)T2, 15.1(3)T.
3. Ввести несколько волшебных команд, которые при некоторой настойчивости находятся так:
Примечание: я намеренно не привожу точных команд, т.к. не знаю, как отреагируют владельцы Хабра на такой «хак»
4. Сохраниться
5. Перезагрузить маршрутизатор, не пугаясь предупреждения, что до конца технологического периода осталось всего ничего: 12 лет 🙂
Дисклаймер: пользуемся на свой страх и риск. Регуляторы возможно могут придраться, так что готовьте security action plan отката. Возможны подводные камни, о которых я не знаю. Например, один из тестировщиков решения сообщил, что после заливки лицензий и перезагрузки пропала часть команд ip inspect.
CISCO K8/K9 — защита и шифрование
Продукция Cisco K9, имеющая в себе 3DES шифрование, запрещена к ввозу на территорию Российской Федерации без лицензии. Поэтому любой маршрутизатор Cisco является криптографическим средством, имея в арсенале протокол 3DES, наличие которого приравнивает его к шифровальному средству. Ввоз, обслуживание, реализация шифровальных средств на территории России – лицензируемая деятельность. Чтобы обеспечить пользователям свободный доступ к сетевым технологиям и современным решениям по защите сети, компания выпустила модель Cisco К8. Это технически и физически то же самое устройство, но с вырезанными функциями 3DES из операционной системы устройства IOS. Для создания защищенного соединения и удаленного доступа в устройствах Cisco K8, поставляемых российским потребителям, присутствует только DES или AES шифрование.
Cisco NPE
Дополнительный класс устройств, IOS которых получил суффикс NPE, был выпущен для упрощения процедуры ввоза интегрированных маршрутизаторов Cisco. Такие маршрутизаторы стали комплектоваться специальным IOS — NPE (no payload encryption). Это полностью функциональная операционная система, со всеми необходимыми функциями с тем ограничением, что полностью вырезана часть, обеспечивающая шифрование пропускаемого трафика. Т.е. версия NPE может иметь Advanced Security набор функций, Вы можете использовать Firewall, IPS, работать с расширенным количеством пользователей, однако функции шифования остаются недоступны.
Что такое Cisco PCI? Маршрутизаторы Cisco K9 как средство защиты информации в банковских сетях
Запрет к открытой поставке в Россию таких устройств сетевой защиты как маршрутизаторы и межсетевые экраны Cisco с 3DES шифрованием вызвал значительный резонанс. Подобные сетевые устройства защиты в большинстве своем использовались не частными лицами, а бизнес-структурами, финансовыми и производственными предприятиями. Наибольшая потребность в надежных VPN-устройствах у финансовых организаций – банков. Применение стойких алгоритмов защиты в банковских сетях гарантирует сохранение ценной информации – финансовых данных и личных данных клиентов. Нехватка сетевых средств защиты информации в продаже со вступлением новых законов в силу приостановила рост и развитие финансовых институтов, ввиду отсутствия необходимых устройств защиты сети на российском рынке. В значительной степени это было связано с расширением сети банкоматов – выросло потребление маршрутизаторов младшей серии СISCO881-K9, СISCO861-K9, которые в большинстве использовались банками для организации безопасного подключения мобильного терминала (банкомата) к банковской сети. Понимая сложность ситуации, правительство пришло на помощь. Устройства, специально разработанные для защиты финансовой информации платежных систем, имеют в артикуле сокращение PCI – Payment Card Industry, означающее, что данное устройство одобрено MasterCard, Visa, Amex, JCB для организации доступа к платежным системам. Именно поэтому устройства PCI-K9 продаются, Но приобрести подобные устройства имеет право только финансовое учреждение с лицензией, а продавать – организация, имеющая лицензию на распространение криптографических средств.
Таким образом, подводя итог анализа средств Cisco K9 и Cisco K8 для защиты сети:
1. Все устройства Cisco K9 в окончании артикула на официальном рынке России – имеют криптографию, разрешенную ко ввозу на территорию России без лицензии и разрешены к открытой продаже.
2. Сетевые устройства Cisco, имеющие в артикуле K8 – устройства, с усеченными функциями по криптографии, которые в большинстве касаются отсутствием поддержки протокола 3DES, но при этом поддерживают IPSEC VPN на уровне AES, DES.
Особенности лицензирования функционала и апгрейд версий IOS на популярных линейках оборудования Cisco
Многие знают, что практически у каждой модели Cisco существует несколько «подвидов», отличающихся не аппаратно, а программно, своим функционалом (банальнейший пример: WS-C3750-24TS-S с предустановленным IOS уровня IP Base по умолчанию и WS-C3750-24TS-E c предустановленным IP Services).
В некоторых случаях функционал определяется типом используемого IOS. В других случаях IOS может быть универсальным, а «подвиды» будут отличаться наличием активированных лицензий соответствующего уровня (опять же IP Base, IP Services, etc). А иногда активируются не только лицензии на общий уровень функционала, а еще и конкретные лицензии на тот или иной специфический функционал (ну например SEC или VOICE на маршрутизаторах линейки ISR).
Мы часто сталкиваемся с вопросами о том, можно ли залить на ту или иную модель IOS более продвинутой версии. Как активировать лицензию на тот или иной функционал и так далее.
Наконец, зачастую коллеги задают вопрос ребром: можно ли апгрейдить IOS или активировать функционал, а лицензии не покупать? Есть ли какая-либо защита, проверка ключа или что-то подобное.
Давайте попробуем разобраться и ответить на эти вопросы.
Многие лицензии распространяются по принципам Right-To-Use / honor-based и для их активации достаточно ввести соответствующие команды в CLI. Сама лицензия в данном случае является просто документальным подтверждением того, что за функционал уплачено. В процессе активации не используется и не требуется.
Итак, начнем по порядку рассмотрение наиболее популярных семейств оборудования Cisco и принципов лицензирования функционала.
P.S. Сразу хотелось бы отметить, что обозначенные в данной статье версии программного обеспечения не всегда являются самыми последними, но обычно это актуальные и стабильные версии, доступные в открытых источниках.
О самых последних версиях IOS и наборе функционала, который доступен, можно узнать, используя инструмент Cisco Feature Navigator.
I. Коммутаторы Cisco
1) Семейство Cisco 2950
Уровень функционала определяется моделью коммутатора.
Линейка: Cisco Catalyst 2950 Standart Image
Модели: WS-C2950-12, WS-C2950-24, WS-C2950C-24, WS-C2950T-24, WS-C2950T-48-SI
Максимально доступный уровень функционала: Standart Image
Версия IOS: c2950-i6k2l2q4-tar.121-22.EA13.tar
Линейка: Cisco Catalyst 2950 Enhanced Image
Модели: WS-C2950G-12-EI, WS-C2950G-24-EI, WS-C2950G-48-EI
Максимально доступный уровень функционала: Enhanced Image
Версия IOS: c2950-i6k2l2q4-tar.121-22.EA13.tar
2) Семейство Cisco 2960
Уровень функционала определяется типом IOS.
Аппаратные ограничения и защита от апгрейда IOS: присутствуют.
Линейка: Cisco Catalyst 2960 LAN Lite
Модели: WS-C2960-24TC-S, WS-C2960-24LC-S, WS-C2960-48PST-S, WS-C2960-48TC-S, WS-C2960-48TT-S
Максимально доступный уровень функционала: LAN Lite
Версия IOS: c2960-lanlitek9-tar.122-58.SE2.tar
3) Семейство Cisco 2960S
Уровень функционала определяется типом IOS.
Аппаратные ограничения и защита от апгрейда IOS: присутствуют.
Линейка: Cisco Catalyst 2960S LAN Lite
Модели: WS-C2960S-24TS-S, WS-C2960S-48TS-S
Максимально доступный уровень функционала: LAN Lite
Версия IOS: c2960s-universalk9-tar.122-58.SE2.tar
Линейка: Cisco Catalyst 2960S LAN Base
Модели: WS-C2960S-24PD-L, WS-C2960S-24PS-L, WS-C2960S-24TD-L, WS-C2960S-24TS-L, WS-C2960S-48TD-L, WS-C2960S-48TS-L
Максимально доступный уровень функционала: LAN Base
Версия IOS: c2960s-universalk9-tar.122-58.SE2.tar
4) Семейство Cisco 2970
Уровень функционала определяется моделью коммутатора.
Модели: WS-C2970G-24T-E, WS-C2970G-24TS-E
Максимально доступный уровень функционала: LAN Base
Версия IOS: c2970-lanbasek9-mz.122-44.SE6.bin
А теперь начинается самое интересное… 🙂
5) Семейство Cisco Catalyst 3550
Уровень функционала определяется типом IOS.
Аппаратные ограничения и защита от апгрейда IOS: отсутствуют.
Модели: WS-C3550-12G, WS-C3550-12T, WS-C3550-24-FX-SMI, WS-C3550-24-PWR, WS-C3550-24 SMI, WS-C3550-48
Максимально доступный уровень функционала: IP SERVICES
Версия IOS: c3550-ipservicesk9-tar.122-44.SE6.tar
6) Семейство Cisco Catalyst 3560
Уровень функционала определяется типом IOS.
Аппаратные ограничения и защита от апгрейда IOS: отсутствуют.
Модели: WS-C3560-24PS-S, WS-C3560-24TS-S, WS-C3560-48PS-S, WS-C3560-48TS-E, WS-C3560-48TS-S, WS-C3560G-24PS-S, WS-C3560G-24TS-S, WS-C3560G-48PS-S, WS-C3560G-48TS-S
Максимально доступный уровень функционала: IP SERVICES
Версия IOS: c3560-advipservicesk9-tar.122-46.SE.tar
8) Семейство Cisco Catalyst 3750
Уровень функционала определяется типом IOS.
Аппаратные ограничения и защита от апгрейда IOS: отсутствуют.
Модели: WS-C3750-24PS-S, WS-C3750-24TS-S, WS-C3750-48PS-S, WS-C3750-48TS-E, WS-C3750-48TS-S, WS-C3750G-12S-E, WS-C3750G-12S, WS-C3750G-16TD, WS-C3750G-24PS-S, WS-C3750G-24T, WS-C3750G-24TS-E, WS-C3750G-24TS, WS-C3750G-24TS-S1U, WS-C3750G-48PS-S, WS-C3750G-48TS-S
Максимально доступный уровень функционала: IP SERVICES
Версия IOS: c3750-advipservicesk9-tar.122-46.SE.tar
9) Семейство Cisco Catalyst 3750E
Уровень функционала определяется активированной лицензией.
Аппаратные ограничения и защита от повышения уровня лицензии: отсутствуют (начиная с 15й ветки софта).
Модели: WS-C3750E-24PD-S, WS-C3750E-24TD-S, WS-C3750E-48PD-S, WS-C3750E-48TD-S, WS-C3750E-48TD-E, WS-C3750E-24TD-E
Максимально доступный уровень функционала: IP SERVICES (RightToUse)
Версия IOS: c3750e-universalk9-tar.150-2.SE6.tar
10) Семейство Cisco Catalyst 3750X
Уровень функционала определяется активированной лицензией.
Аппаратные ограничения и защита от повышения уровня лицензии: отсутствуют (начиная с 15й ветки софта).
Модели: WS-C3750X-12S-S, WS-C3750X-24P-S, WS-C3750X-24S-S, WS-C3750X-24T-L, WS-C3750X-24T-S, WS-C3750X-48P-S, WS-C3750X-48T-S, WS-C3750X-48T-E, WS-C3750X-24T-E
Максимально доступный уровень функционала: IP SERVICES (RightToUse)
Версия IOS: c3750e-universalk9-tar.150-2.SE6.tar
11) Семейство модульных коммутаторов Cisco Catalyst 4500
Уровень функционала определяется типом IOS на управляющем модуле.
Аппаратные ограничения и защита от апгрейда IOS: отсутствуют.
Модели управляющих модулей: WS-X4516, WS-X4516-10GE
Максимально доступный уровень функционала: ENTERPRISE SERVICES SSH
Версия IOS: cat4500-entservicesk9-mz.122-46.SG.bin
12) Семейство Cisco Catalyst 4900
Уровень функционала определяется типом IOS.
Аппаратные ограничения и защита от апгрейда IOS: отсутствуют.
Модели: WS-C4948-S, WS-C4948-10GE-S
Максимально доступный уровень функционала: ENTERPRISE SERVICES SSH
Версия IOS: cat4500-entservicesk9-mz.122-46.SG.bin
13) Семейство модульных коммутаторов Cisco Catalyst 6500
Уровень функционала определяется типом IOS на управляющем модуле.
Аппаратные ограничения и защита от апгрейда IOS: отсутствуют.
Модели управляющих модулей: WS-SUP32-GE-3B, WS-SUP32-10GE-3B
Максимально доступный уровень функционала: ADVANCED ENTERPRISE SERVICES SSH
Версия IOS: s3223-adventerprisek9_wan-mz.122-33.SXJ.bin
Модели управляющих модулей: WS-SUP720-3B, WS-SUP720-3BXL, VS-S720-10G-3C, VS-S720-10G-3CXL
Максимально доступный уровень функционала: ADVANCED ENTERPRISE SERVICES SSH
Версия IOS: s72033-adventerprisek9_wan-mz.122-33.SXH8.bin
II. Маршрутизаторы Cisco
1) Семейство Cisco 1700
Уровень функционала определяется типом IOS.
Аппаратные ограничения и защита от апгрейда IOS: отсутствуют при условии установки достаточного объема памяти.
Модели: C1751, C1760
Уровень функционала с памятью по умолчанию: IP Base
Версия IOS: c1700-ipbasek9-mz.124-12.bin
Уровень функционала с максимальным объемом DRAM: ENTERPRISE SERVICES
Версия IOS: c1700-entservicesk9-mz.124-15.T10.bin
2) Семейство: Сisco 3700
Уровень функционала определяется типом IOS.
Аппаратные ограничения и защита от апгрейда IOS: отсутствуют.
Модели: c3725
Максимально доступный уровень функционала: ADVANCED ENTERPRISE SERVICES
Версия IOS с памятью по умолчанию: c3725-adventerprisek9-mz.123-26.bin
Версия IOS с максимальным объемом DRAM: c3725-adventerprisek9-mz.124-15.T8.bin
Модели: c3745
Максимально доступный уровень функционала: ADVANCED ENTERPRISE SERVICES
Версия IOS с памятью по умолчанию: c3745-adventerprisek9-mz.123-26.bin)
Версия IOS с максимальным объемом DRAM: c3745-adventerprisek9-mz.124-15.T14.bin)
3) Семейство: Сisco 1800
Уровень функционала определяется типом IOS.
Аппаратные ограничения и защита от апгрейда IOS: отсутствуют при условии установки достаточного объема памяти.
Модели: C1841
Уровень функционала с памятью по умолчанию: IP Base
Версия IOS :c1841-ipbasek9-mz.124-25a.bin
Уровень функционала с максимальным объемом DRAM: ADVANCED ENTERPRISE SERVICES
Версия IOS: c1841-adventerprisek9-mz.124-24.T7.bin
4) Семейство: Сisco 2800
Уровень функционала определяется типом IOS.
Аппаратные ограничения и защита от апгрейда IOS: отсутствуют при условии установки достаточного объема памяти.
Модели: CISCO2801
Уровень функционала с памятью по умолчанию: IP Base
Версия IOS: c2801-ipbasek9-mz.124-15.T1.bin
Уровень функционала с максимальным объемом DRAM: ADVANCED ENTERPRISE SERVICES
Версия IOS: c2801-adventerprisek9-mz.124-24.T7.bin
Модели: CISCO2811, CISCO2821, CISCO2851
Максимально доступный уровень функционала: ADVANCED ENTERPRISE SERVICES
Версия IOS с памятью по умолчанию: c2800nm-adventerprisek9-mz.124-25f.bin)
Версия IOS с максимальным объемом DRAM: c2800nm-adventerprisek9-mz.124-24.T8.bin
5) Семейство: Сisco 3800
Уровень функционала определяется: типом IOS.
Аппаратные ограничения и защита от апгрейда IOS: отсутствуют.
Модели: c3825
Максимально доступный уровень функционала: ADVANCED ENTERPRISE SERVICES
Версия IOS с памятью по умолчанию: c3825-adventerprisek9-mz.124-25f.bin
Версия IOS с максимальным объемом DRAM: c3825-adventerprisek9-mz.124-24.T7.bin
Модели: c3845
Максимально доступный уровень функционала: ADVANCED ENTERPRISE SERVICES
Версия IOS с памятью по умолчанию: c3845-adventerprisek9-mz.124-25f.bin
Версия IOS с максимальным объемом DRAM: c3845-adventerprisek9-mz.124-24.T6.bin)
6) Семейство: Cisco 1900
Уровень функционала определяется набором активированных лицензий.
Аппаратные ограничения и защита от повышения уровня лицензии: отсутствуют.
7) Семейство: Сisco 2900
Уровень функционала определяется набором активированных лицензий.
Аппаратные ограничения и защита от повышения уровня лицензии: отсутствуют.
8) Семейство: Сisco 3900
Уровень функционала определяется набором активированных лицензий.
Аппаратные ограничения и защита от повышения уровня лицензии: отсутствуют.
9) Семейство: Сisco 7200
Уровень функционала определяется типом IOS.
Аппаратные ограничения и защита от апгрейда IOS: отсутствуют.
Модели: NPE-G1
Максимально доступный уровень функционала: ADVANCED ENTERPRISE SERVICES
Версия IOS с памятью по умолчанию: c7200-adventerprisek9-mz.124-11.T2.bin
Версия IOS с максимальным объемом DRAM: c7200-adventerprisek9-mz.124-24.T8.bin
Модели: NPE-G2
Максимально доступный уровень функционала: ADVANCED ENTERPRISE SERVICES
Версия IOS: c7200p-adventerprisek9-mz.124-24.T5.bin
Модели: 7301
Максимально доступный уровень функционала: ADVANCED ENTERPRISE SERVICES
Версия IOS: c7301-adventerprisek9-mz.124-24.T4.bin
10) Семейство Cisco ASR1000
Уровень функционала определяется: набором активированных лицензий.
Аппаратные ограничения и защита от повышения уровня лицензии: отсутствуют.
Лицензия для шифрования на маршрутизаторах Cisco
В последнее время в Cisco TAC попадает много кейсов из Licensing Team с просьбой помочь клиенту установить лицензию для шифрования на маршрутизаторе. Такие кейсы можно разделить на два вида:
В первом случае проблема выглядит следующим образом: во время попытки установить лицензию на маршрутизаторе, появляется следующая ошибка:
bursa_efes#license install flash:FCZ1444213E_20120111051555288.lic
Installing licenses from “flash:FCZ1444213E_20120111051555288.lic”
1/1 licenses were successfully installed
0/1 licenses were existing licenses
0/1 licenses were failed to install
Здесь видно, что маршрутизатор не может установить лицензию securityk9, так как она не поддерживается. Происходит этого из-за того, что на маршрутизаторе установлен NPE IOS, то есть программное обеспечение вида “universalk9_npe”. Аббревиатура NPE расшифровывается как “NO PAYLOAD ENCRYPTION”, что означает “нет поддержки шифрования”. Такая проблема с установкой лицензии решается заменой этого IOS на IOS без аббревиатуры NPE в названии.
В примере выше у клиента была версия IOS “c2900-universalk9_npe-mz.SPA.151-1.T1.bin”, после обновления на “c2900-universalk9-mz.SPA.151-1.T1.bin” – проблема была решена.
Во втором случае шифрование не включается, так как сама лицензия содержит NPE в названии. В этом случае мы рекомендуем клиенту заказать лицензию без аббревиатуры NPE в названии и конечно обязательно устновить non-NPE IOS.
Если у вас возникла проблема с лицензией для шифрования, вы всегда можете написать в Licensing Team на licensing@cisco.com или, конечно, открыть кейс в Cisco TAC, где мы всегда рады вам помочь. Пожалуйста сразу присылайте “sh ver”+ “sh license det”, это позволит ускорить процесс решения кейса.
Если вы хотите, чтобы ваш кейс попал в русскоязычный ТАС, его надо открыть с 10:00 до 18:00 (GMT+4) с понедельника по пятницу одним из трёх способов:
Moscow: +7 495 961 13 82
St. Petersburg: +7 812 363-3328
All-Russia Toll Free: 8 800 700 05 22
Asia-Pacific: +61 2 8446 7411
Australia: +1 800 805 227
Europe: +32 2 704 5555
North America: +1 800 553 2447
UK: +44 800 960 547
Англоязычный ТАС работает 24 часа в сутки, 7 дней в неделю.
