Cisco без контракта: прошивки, лицензии и обновление IOS XE

Коротко: Оборудование Cisco без сервисного контракта полностью работает на установленной версии ПО и бессрочных лицензиях: контракт даёт доступ к поддержке TAC, замене по гарантии и загрузке обновлений, но не включает и не выключает функции. С IOS XE 17.3.2 действует Smart Licensing Using Policy — большинство лицензий работают без регистрации, отдельный код авторизации SLAC нужен только экспортно контролируемым функциям вроде HSECK9. Обновлять такие устройства безопасно в install mode с проверкой образа по SHA512, а веб-интерфейс, через который в 2023 году атаковали IOS XE (CVE-2023-20198), стоит отключить, если он не используется.

Что даёт сервисный контракт и что работает без него

Сервисный контракт Cisco (Smart Net Total Care, Solution Support и аналоги) — это право на поддержку инженеров TAC, замену неисправного устройства (RMA) и загрузку обновлений ПО с сайта производителя. На работу самого устройства контракт не влияет.

Политика Cisco по уязвимостям допускает бесплатные обновления для владельцев без контракта, но только для отдельных бюллетеней высокой критичности и по решению Cisco: запрос подаётся в TAC со ссылкой на бюллетень. Такое обновление закрывает уязвимость, но не даёт новых лицензий и функций.

Что происходит после окончания подписки

У Catalyst 9000 лицензия состоит из двух частей: бессрочной Network Essentials/Advantage и подписки DNA на 3, 5 или 7 лет. После окончания подписки коммутатор продолжает работать, функции сетевого уровня сохраняются. Функции, привязанные к подписке (управление и аналитика через контроллер), с точки зрения правил Cisco требуют продления.

У Nexus 9000 в режиме NX-OS лицензирование работает по принципу доверия: функции включаются, а соответствие лицензиям — ответственность владельца; периода отсрочки (grace period) у Nexus 9000 нет. При покупке б/у оборудования выясняйте, какие лицензии бессрочные, а какие срочные, — разборы платформ: Catalyst 9300, Nexus 9000.

Smart Licensing Using Policy: как работает с 17.3.2

Smart Licensing Using Policy (SLP) — модель лицензирования Cisco, которая действует по умолчанию начиная с IOS XE 17.3.2 (на части платформ — с 17.4.1). Главное отличие от прежнего Smart Licensing: для включения обычных лицензий не нужна регистрация устройства и ключи — функция работает сразу, а устройство накапливает отчёты об использовании (RUM).

• Обычные лицензии (Network Essentials/Advantage, DNA) — без регистрации, учёт через отчёты RUM.
• Экспортно контролируемые и принудительные (HSECK9 и отдельные другие) — требуют кода авторизации SLAC.
• Отчётность — напрямую в Cisco Smart Software Manager, через утилиту CSLU или офлайн для закрытых сетей.

Полезные команды: show license summary — какие лицензии используются, show license status — состояние отчётности, show license usage — подробности. Для офлайн-отчёта: license smart save usage all file flash:report.txt. Cisco выпустила уведомление о том, что большое число накопленных отчётов RUM (около 1000) может повышать загрузку процессора и памяти, — это исправлено в новых версиях IOS XE.

При обновлении со старых версий на 17.3.2 и новее лицензии переносятся в новую модель автоматически.

Экспортные функции: HSECK9 и коды SLAC

HSECK9 — экспортно контролируемая лицензия Cisco на сильное шифрование с высокой скоростью. Без неё ограничены число туннелей и скорость шифрования на маршрутизаторах.

С SLP такие лицензии ставятся кодом SLAC (Smart Licensing Authorization Code), привязанным к конкретному устройству. Cisco может установить его заранее при заказе с оборудованием. Вернуть SLAC в пул можно только после отключения функции, которая его использует. При покупке б/у проверяйте наличие HSECK9 командой show license summary: установить его позже без доступа к Smart Account затруднительно.

Проверка образа по SHA512

Каждый образ Cisco публикуется с контрольными суммами MD5 и SHA512. Проверка обязательна, если образ получен не напрямую с сайта производителя: она выявляет и повреждение при копировании, и подмену.

1. Скопируйте файл .bin на flash: copy tftp: flash: или с USB-накопителя.
2. Вычислите сумму на устройстве: verify /sha512 flash:cat9k_iosxe.17.12.04.SPA.bin.
3. Сравните результат с эталонной суммой из описания образа; при несовпадении файл не устанавливайте.

Сумму считают по исходному файлу .bin. Файл packages.conf, который создаётся после установки в install mode, с опубликованной суммой не совпадёт — это нормально. Дополнительно образы с суффиксом SPA подписаны Cisco, и устройство проверяет подпись при загрузке.

Обновление IOS XE в install mode

Install mode — рекомендуемый режим загрузки Catalyst 9000, ISR 4000, Catalyst 8000 и ASR 1000: образ распаковывается в пакеты, загрузка идёт через packages.conf, а у обновления есть откат. Старый bundle mode (загрузка прямо из .bin) поддерживается ограниченно и откат не даёт.

Короткая форма для одного шага: install add file flash:образ.bin activate commit. Безопасная схема для удалённого узла — раздельные шаги: после install activate проверьте доступность и работу, затем install commit. Если связь потеряна и commit не выполнен, по таймеру устройство само вернётся на прежнюю версию. Команда install remove inactive работает только после commit. Стек Catalyst обновляется одной командой для всех членов.

Закрытие веб-интерфейса и CVE-2023-20198

В октябре 2023 года Cisco опубликовала уязвимость CVE-2023-20198 в веб-интерфейсе IOS XE с максимальной оценкой CVSS 10.0. Она позволяла без пароля создать учётную запись с полными правами и использовалась в атаках вместе с CVE-2023-20273. Уязвимы были устройства, на которых включён HTTP-сервер.

• Первые исправленные версии: 17.9.4a, 17.6.6a, 17.3.8a, а для Catalyst 3650/3850 — 16.12.10a; для остальных веток — версии из бюллетеня Cisco по этой уязвимости.
• Если веб-интерфейс не используется, отключите его: no ip http server и no ip http secure-server.
• Если нужен — ограничьте доступ списком доверенных адресов и не открывайте его из интернета.
• Проверьте устройство на незнакомые локальные учётные записи: show running-config | include username.

Общее правило для устройств без контракта: интерфейсы управления (HTTP, SSH, SNMP) доступны только из сети управления, неиспользуемые службы отключены.

Какую версию держать

Для эксплуатации без регулярных обновлений выбирайте ветки Extended Maintenance — у IOS XE это, например, 17.3, 17.6, 17.9, 17.12, 17.15: по ним дольше выходят исправления. Учитывайте предел платформы: для ASR1001-HX и ASR1002-HX последняя версия — 17.15, для ASR1009-X — 17.18; для ISR 4221–4451 выпуск обновлений ПО закончился 31.08.2025.

Перед выбором сверьте версию с бюллетенями безопасности Cisco. Как найти нужный образ по партномеру — в статье Прошивка по партномеру.

Бюллетени EoL: как читать даты

Cisco объявляет о снятии продукта бюллетенем End-of-Sale and End-of-Life Announcement с таблицей дат. Пример — бюллетень для ISR 4221–4451:

После End-of-Sale оборудование продолжает работать годами, а на вторичном рынке часто становится выгодным выбором. Главное — понимать, до какой даты будут исправления, и иметь запас на замену.

ЗИП: что держать в запасе

Без контракта нет замены по RMA, поэтому запас запчастей (ЗИП) — основной способ сократить простой.

• Подменное устройство той же модели с той же версией ПО и лицензиями — для критичных узлов.
• Блоки питания и вентиляторы — самые частые отказы; партномера должны совпадать, у Nexus — и направление обдува.
• Модули аплинков, стековые кабели, оптика — по одному на тип.
• Образ ПО текущей версии с эталонной SHA512 на USB-накопителе и сервере.
• Резервные копии конфигураций и вывод show license summary для каждого устройства.

Методика расчёта запаса — в статье ЗИП операторских сетей и б/у EoL.

Как обслуживать парк Cisco без контракта: 7 шагов

1. Составьте реестр: партномер, серийный номер, версия ПО, лицензии, даты EoL по каждому устройству.
2. Выберите целевые версии из веток длительной поддержки и сведите парк к нескольким версиям.
3. Сверьте версии с бюллетенями безопасности, отключите неиспользуемые службы, закройте веб-интерфейс.
4. Получите образы, проверьте SHA512, храните их централизованно.
5. Обновляйте в install mode с таймером автоотката, начиная с некритичных узлов.
6. Сформируйте ЗИП по самым частым отказам и критичным узлам.
7. Раз в квартал проверяйте новые бюллетени безопасности и EoL.

Типичные ошибки

• Обновление в bundle mode без возможности отката.
• Не выполнен install commit — через 120 минут устройство откатилось, работа «пропала».
• Образ не проверен по SHA512.
• Веб-интерфейс открыт в интернет или во всю локальную сеть.
• Покупка б/у маршрутизатора под VPN без проверки HSECK9.
• Ожидание, что после окончания подписки DNA коммутатор перестанет работать, — и лишняя срочная замена.

Что учесть при закупке

При покупке оборудования Cisco без контракта запрашивайте у поставщика: вывод show version, show inventory и show license summary, версию ПО и возможность установить нужную до отгрузки, наличие экспортных лицензий, сроки EoL модели, гарантию и комплект ЗИП. Мы предоставляем эти данные по каждому устройству и подбираем ПО и лицензии — см. подборку ПО Cisco и раздел ПО и лицензии.

Купить ПО и лицензии Cisco: цены и наличие → Весь каталог →