Лицензии Cisco DNA не оплачивают работу портов

Платеж за Cisco DNA не удерживает порты коммутатора во включенном состоянии. В типовой закупке Catalyst 9000 организация получает два разных права: бессрочную лицензию Network на функции самого коммутатора и срочную подписку Cisco DNA или Cisco Catalyst на централизованное управление, автоматизацию, аналитику и связанные сервисы. Пока эти позиции лежат в одной спецификации, их легко принять за единую ежегодную лицензию.

Из этой ошибки рождаются две плохие сметы. В первой подписку не продлевают, хотя сеть зависит от SD-Access и Assurance. Во второй каждый год закладывают почти повторную покупку базовых функций, хотя бессрочный уровень Network уже оплачен. Нормальный расчет начинается не с процента от стоимости оборудования, а с трех строк по каждому SKU: уровень Network, уровень подписки и точная дата окончания срока.

В одной поставке скрыты два разных права

У Catalyst 9000 базовый уровень Network Essentials или Network Advantage действует бессрочно, а добавочный уровень DNA Essentials или DNA Advantage имеет срок. В актуальных материалах Cisco встречаются также названия Catalyst Essentials, Catalyst Advantage и новые объединенные предложения для switching. Название коммерческого пакета меняется, но для расчета важна колонка с типом права: perpetual означает бессрочное право, subscription или term означает ограниченный срок.

Cisco Catalyst 9000 Licensing White Paper прямо разделяет эти позиции. Network Essentials и Network Advantage указаны как обязательная разовая бессрочная покупка, а Cisco DNA Essentials и Cisco DNA Advantage как обязательная при первоначальном заказе подписка на 3, 5 или 7 лет. Поэтому купить новый Catalyst 9000 только с «голой» операционной системой обычно нельзя, но это не превращает весь IOS XE в аренду.

Пара Network Essentials плюс DNA Essentials подходит не всем моделям. Например, для Catalyst 9600 документация указывает Network Advantage и DNA Advantage. Совместимые комбинации, число портов и обозначение платформы зашиты в SKU, поэтому переносить цену подписки с 24-портовой модели на 48-портовую или с одной серии на другую нельзя.

В договоре полезно разнести четыре понятия, которые закупщики часто смешивают:

• право на функции Network;
• срочное право на функции DNA или Catalyst;
• программную и техническую поддержку;
• управление правами через Smart Account.

Это разные объекты учета. Smart Account показывает права, но не создает их, а сервисный контракт не заменяет подписку на функции.

В спецификации это должно быть видно без расшифровки менеджера. Строка оборудования отвечает на вопрос, что физически поставляют. Строка Network фиксирует постоянный уровень функций. Строка term subscription содержит срок и количество. Поддержку нужно вынести отдельно либо прямо указать, в какой подписочный SKU она включена. Если все четыре позиции сведены в одну цену комплекта, финансовый отдел не сможет отличить разовую часть от возобновляемой и через несколько лет получит счет, который нельзя проверить.

Смена названий создает еще одну ловушку. В старом проекте может стоять Cisco DNA Advantage, а в новом предложении появится Catalyst Advantage или Switching Advantage в составе другой модели подписки. Совпадение слова Advantage не гарантирует одинаковый состав. При миграции сравнивают entitlement и функции построчно, фиксируют кредит за неиспользованный срок и только после этого сводят даты. Иначе «обновление названия» незаметно меняет поддержку или права управления.

После окончания подписки коммутация не исчезает

Коммутатор с действующей бессрочной лицензией Network продолжит выполнять разрешенные этим уровнем функции после окончания DNA. Он не должен в полночь погасить порты, удалить VLAN или перестать маршрутизировать только из-за даты в подписке. Cisco в руководстве Configuring Licenses on Cisco Catalyst 9000 Series Switches пишет, что после деактивации добавочной лицензии и перезагрузки устройство продолжает работать с возможностями базовой лицензии.

Здесь нужна точная формулировка. «Железо продолжает работать» не значит «вся текущая архитектура остается лицензированной». Если конфигурация или эксплуатационный процесс опирается на возможности срочного уровня, право на них заканчивается. На версиях IOS XE со Smart Licensing Using Policy многие entitlement имеют Enforcement type: NOT ENFORCED. Устройство может не отключить функцию технически, но отсутствие программной блокировки не продлевает договорное право на использование.

Именно поэтому проверка в лаборатории «перевели дату вперед, трафик идет» дает ложное чувство безопасности. Она отвечает на вопрос о поведении конкретного образа IOS XE, но ничего не говорит о праве организации пользоваться DNA-функцией, получать связанные обновления или обращаться за поддержкой. При аудите важны заказ, Smart Account, условия предложения и фактическое потребление лицензий.

Без продления безопасно рассчитывать только на функции, которые матрица относит к приобретенному уровню Network. Все остальное нужно либо продлить, либо заранее вывести из эксплуатации и проверить после перезагрузки. Такой переход планируют как изменение сети, а не как бухгалтерскую отметку.

Самый неприятный отказ проявляется не в пересылке обычного трафика. Например, сеть продолжает обслуживать пользователей, но новый коммутатор нельзя ввести тем же автоматизированным процессом, Assurance больше не дает привычную диагностику, а изменение групповой политики требует другой процедуры. Во время спокойной недели это выглядит терпимо. При массовой замене после аварии выясняется, что инструкция восстановления зависела от истекшей подписки. Поэтому проверка должна охватывать эксплуатационные операции и восстановление, а не только ping между двумя VLAN.

Нельзя также путать окончание подписки с окончанием поддержки оборудования. Аппаратная гарантия, сервис на замену, право на обращение в TAC, обновления IOS XE и поддержка Catalyst Center могут иметь разные основания и даты. Cisco меняла состав поддержки в разных коммерческих предложениях. Ответ берут из строки заказа и описания услуги, а не из общего утверждения, что «DNA включает поддержку».

Бессрочный уровень определяет неснижаемый минимум

Network Essentials и Network Advantage задают набор функций, который остается у устройства без активной DNA-подписки. По матрице Cisco к базовым возможностям относятся коммутация уровня 2, routed access, QoS, 802.1X, механизмы защиты первого перехода и часть протоколов маршрутизации. Точный набор зависит от серии, модели и версии IOS XE, поэтому короткий список в коммерческом предложении не заменяет Cisco Switching Licensing Feature Matrix и Cisco Feature Navigator.

Разница между Essentials и Advantage существенна. Advantage нужен для более широкого набора маршрутизации, сегментации и функций, которые Essentials не покрывает. Ошибка при первоначальном заказе живет дольше самой подписки: если организация купила Network Essentials, окончание DNA Advantage не оставит ей Network Advantage по умолчанию.

Перед закупкой следует составить таблицу «используемая функция - требуемый уровень - устройство». В нее вносят не желаемые возможности на будущее, а реально включенные технологии: протоколы динамической маршрутизации, VRF, шифрование, телеметрию, программируемые интерфейсы, фабрику и централизованные политики. Для каждой строки инженер должен указать документ и версию, по которым он подтвердил уровень.

Особенно внимательно проверяют функции, которые Cisco со временем переносила между уровнями или открывала в определенных выпусках IOS XE. Старый слайд партнера может утверждать, что функция требует DNA Advantage, а свежая матрица относит ее к Network Advantage, или наоборот уточняет ограничение по платформе. Бюджет на пять лет нельзя строить по презентации без номера версии.

Если после такой проверки сеть использует только бессрочный набор, отказ от продления возможен технически. Но организация отдельно решает вопрос поддержки, обновлений и управления. Эти расходы не стоит прятать под словом «лицензия».

Отдельно проверьте уровень, который устройство реально использует, и уровень, который организация купила. После замены по RMA, миграции Smart Account или ручной смены license level эти значения иногда расходятся. Конфигурация может требовать Advantage, тогда как заказ содержит Essentials, либо в пуле есть права, но устройство отчитывается в другой Virtual Account. Исправление такого расхождения до окончания срока обычно административное. После истечения и смены ответственного оно превращается в отдельный проект с участием закупок и поддержки.

Для долгого жизненного цикла полезно хранить снимок матрицы вместе с проектной документацией. Он не отменяет актуальную матрицу, но объясняет, на каком основании архитекторы приняли решение в момент закупки. При обновлении IOS XE инженер повторяет проверку и записывает изменения. Так можно доказать, что повышение уровня вызвано новой функцией, а не тем, что в смете по привычке оставили более дорогой пакет.

Подписка оплачивает централизованные сценарии

DNA Essentials и Advantage покупают ради функций, которые выходят за рамки локальной настройки коммутатора. Essentials обычно покрывает базовую автоматизацию, Plug and Play, централизованное управление, инвентаризацию, управление образами и базовый мониторинг через Cisco Catalyst Center. Advantage добавляет более сложные сценарии, включая SD-Access, политику сегментации, расширенную Assurance и аналитику. Конкретный состав зависит от действующего предложения и релиза.

При окончании срока организация теряет право использовать подписочные возможности на соответствующем числе устройств. На практике риск заметнее всего в четырех местах:

• Catalyst Center показывает истекшие права и больше не имеет действующего entitlement для управления этими устройствами;
• автоматизация развертывания и операций, Assurance и подписочная аналитика больше не покрыты лицензией;
• SD-Access и связанные политические сценарии нельзя считать законно продленными только потому, что готовая фабрика продолжает пересылать пакеты;
• включенные в предложение программная поддержка, обновления или облачные entitlement заканчиваются по условиям конкретного SKU.

Не все пункты обязательно отключатся одной командой и в одну секунду. Поведение Catalyst Center, облачного сервиса и самого IOS XE различается. Поэтому ответ «перестанет работать Assurance» без номера релиза и типа подписки слишком грубый. Правильнее говорить: право на функцию заканчивается, интерфейс управления фиксирует истечение, а техническое ограничение проверяют по руководству именно для установленной версии.

Cisco отдельно публикует матрицу подписок для switching. Она связывает Network с ручным управлением и WebUI, а DNA или Catalyst subscription с автоматизацией через Catalyst Center. Эта граница полезнее маркетингового перечня: если ежедневная эксплуатация зависит от контроллера, продление нужно считать частью операционной модели сети.

Зависимость измеряют по операциям. Посмотрите, кто создает шаблоны, раскатывает образы, выдает сетевые настройки новым устройствам, меняет fabric-политику и расследует жалобы клиентов. Если эти действия выполняют через Catalyst Center, подписка оплачивает работающий производственный процесс. Если контроллер служит только красивым инвентарем, уровень можно пересмотреть. Наличие установленного сервера само по себе ничего не доказывает.

Облачные entitlement требуют отдельной осторожности. Некоторые пакеты Advantage включали ограниченные права на связанные сервисы, например тесты ThousandEyes, но объем и правила зависели от поколения предложения. Нельзя переносить такое право на другую модель или новый срок по памяти. В смете его либо подтверждают действующей матрицей и количеством единиц, либо считают отдельной покупкой. Это защищает бюджет от функции, которая «входила раньше», но отсутствует в новом SKU.

Smart Licensing учитывает потребление, а не продает доступ

Smart Licensing и DNA subscription отвечают на разные вопросы. Подписка определяет, какие функции и до какой даты куплены. Smart Licensing Using Policy собирает сведения о том, какие entitlement устройство потребляет, связывает их со Smart Account и задает правила отчетности.

На Catalyst 9000 с IOS XE 17.3.2 и новее Cisco использует Smart Licensing Using Policy. Модель допускает прямое соединение с Cisco Smart Software Manager, работу через Cisco Smart Licensing Utility или локальную инфраструктуру для изолированных сетей. Отсутствие постоянного интернета само по себе не означает отсутствие лицензии, но организация обязана настроить предусмотренный маршрут отчетов и подтверждений.

Инженер может быстро увидеть два слоя на самом коммутаторе:

Device# show license summary
License Usage:
  License                 Entitlement Tag               Count Status
  network-advantage       (C9300-48 Network Advan...)       1 IN USE
  dna-advantage           (C9300-48 DNA Advantage)          1 IN USE

Форма вывода взята из командного справочника Cisco. Она показывает потребление, но не заменяет проверку срока в Cisco Smart Software Manager. Для подробностей используют show license usage и show license status; в Smart Account сверяют количество, Start Date, Expiration Date, заказ и Virtual Account.

Статус IN USE означает, что устройство заявляет entitlement. Он не доказывает, что в пуле есть неистекшее право. Аналогично NOT ENFORCED описывает механизм принуждения на устройстве, а не бесплатный режим. Я видел немало реестров, где зеленый статус на CLI принимали за оплаченный срок, хотя дата была видна только владельцу другого Virtual Account.

Для изолированной сети задача не сводится к фразе «доступ в интернет запрещен». Архитектор выбирает поддерживаемый Cisco способ передачи usage report, назначает владельца выгрузки и подтверждения, задает периодичность и проверяет журнал ACK. Если отчет забирают вручную, процедуру включают в регламент эксплуатации и проверяют после обновления IOS XE. Неработающий канал учета не должен обнаруживаться одновременно с запросом на продление.

Smart Account тоже требует резервирования ролей. Нужны минимум два действующих администратора организации, понятное распределение Virtual Account и корпоративный адрес для уведомлений. Права, зарегистрированные на личную почту сотрудника или в аккаунте поставщика, формально могут существовать, но заказчик не контролирует их. Исправлять владельца нужно при приемке, пока номер заказа и команда поставки доступны.

Срок начинается не с ввода сети в эксплуатацию

Дату окончания считают от Subscription Start Date, а не от монтажа, подписания внутреннего акта или первой регистрации коммутатора. В FAQ Cisco для Catalyst указано, что начало можно отложить максимум на 60 дней с момента выхода заказа из центра исполнения. Условия конкретного предложения могут отличаться, поэтому дата в заказе и Smart Account важнее предположения инженера.

Это создает типичный провал в проектах с длинной логистикой. Партия отгружена в марте, приехала на склад в мае, монтаж закончили в августе, а эксплуатация началась в октябре. Если отсрочку не согласовали, несколько месяцев подписки ушли до того, как Catalyst Center увидел первый коммутатор.

Для каждой строки заказа нужны четыре даты: отгрузка, начало подписки, окончание подписки и плановая дата ввода. Разница между второй и четвертой датой показывает потерянный срок. При частичных поставках нельзя назначать всей партии одну условную годовщину, пока поставщик не подтвердил co-term или выравнивание дат.

Первоначально для Catalyst 9000 обычно заказывают 3, 5 или 7 лет. Cisco допускает однолетний вариант при продлении, но это не означает, что новый коммутатор можно всегда купить с подпиской на один год. На практике более длинный срок снижает риск разрыва бюджета, а короткое продление дает возможность выйти из ненужного уровня. Выбор зависит от архитектуры и графика замены, а не от желания получить минимальную цену строки.

При приемке я требую выгрузку с фактическими Start Date и Expiration Date. Сертификат или счет без этих полей не подтверждает, сколько полезного срока осталось.

Для расчета даты нельзя просто прибавить три календарных года к дню подписания договора. Начало может быть связано с исполнением заказа, а при co-term конец нескольких строк намеренно выравнивают. Новая лицензия, добавленная в середине общего срока, иногда продается на укороченный период до общей годовщины. Ее цена должна соответствовать этому периоду. В реестре хранят обе даты из системы, а формулу используют только для проверки, не как замену данным Cisco.

Если поставка разбита на очереди, условие старта нужно повторить для каждой очереди. Фраза «подписка на пять лет» без календарных дат недостаточна: у первой и последней партии может оказаться разное число полезных месяцев. В тендерной документации стоит потребовать, чтобы поставщик раскрыл начало, конец и механизм компенсации при задержке оборудования, насколько это допускает предложение производителя.

Годовой бюджет строят из чистой цены срока

Ежегодная стоимость DNA для внутреннего бюджета равна цене подписочной строки после скидки, деленной на число месяцев срока и умноженной на 12. Это управленческая амортизация, а не обещание ежегодного счета. Поставщик может выставить всю сумму вперед, а налоги, валюта и условия оплаты меняют денежный график.

Рабочая формула для партии выглядит так:

Годовая нагрузка = сумма чистых цен term SKU / срок в годах + отдельная поддержка + резерв на курс и налоги

Допустим, организация покупает 40 коммутаторов с трехлетним DNA Essentials и 8 коммутаторов с пятилетним DNA Advantage. В расчет идут две фактические цены из предложения, а не средняя цена «на коммутатор». Стоимость первой группы делят на 3, второй на 5, затем добавляют только те сервисы, которых нет внутри выбранных SKU. Числа в валюте здесь намеренно не приведены: прайс без модели, числа портов, страны, скидки и даты предложения вводит в заблуждение.

В реестре должна быть одна строка на коммерческий SKU, даже если финансовый отдел хочет видеть только площадку. Минимальный набор колонок такой:

• площадка, модель, серийный номер и количество физических устройств;
• Network level и его бессрочный статус;
• subscription level, SKU, начало и окончание;
• Smart Account, Virtual Account и владелец продления;
• чистая цена срока, валюта, налог и год бюджетного платежа.

Стек не следует считать одним логическим коммутатором автоматически. Лицензирование обычно считает физические участники и соответствующие entitlement, что видно по Count в show license usage. То же относится к резервным устройствам: если запасной коммутатор включен и потребляет право, его нельзя потерять в смете.

Для TCO добавляют внутренние работы, которые меняются вместе с выбранным уровнем. Catalyst Center требует эксплуатации, резервного копирования, обновлений и компетенций команды. Отказ от подписки, напротив, может увеличить ручную настройку и время восстановления. Эти часы не входят в лицензионный SKU, но сравнение вариантов без них нечестно. Дешевый уровень с постоянными ручными изменениями бывает дороже подписки, а дорогой уровень без используемой автоматизации остается лишним расходом.

Резерв на продление лучше считать сценариями. Базовый сценарий сохраняет текущее количество и уровень, сценарий роста добавляет утвержденную партию, а сценарий выхода убирает устройства, которые спишут до даты продления. Для каждого применяют ожидаемый курс и налоговые правила финансового отдела. Не следует механически индексировать старую цену: новая модель предложения, иной срок и изменившаяся скидка способны дать большую разницу, чем инфляционный коэффициент.

Продление должно повторять реальную архитектуру

Продлевать все лицензии на прежнем уровне удобно продавцу, но не всегда нужно сети. За 120-180 дней до окончания инженер должен сопоставить фактические сценарии с текущей матрицей. Если площадка больше не использует Catalyst Center, SD-Access или подписочную аналитику, можно рассмотреть понижение уровня либо отказ от добавочного права после корректной деактивации. Если контроллер управляет конфигурациями и политиками каждый день, экономия на подписке превращается в незапланированную переделку эксплуатации.

Популярный совет «не продлевайте, ведь порты не упадут» неверен по двум причинам. Он игнорирует договорное право на подписочные функции и не учитывает зависимость процессов от Catalyst Center. Обратный совет «без DNA коммутатор станет кирпичом» тоже неверен, потому что бессрочный Network stack остается.

Перед решением об отказе проводят контролируемую проверку на устройстве той же модели и версии IOS XE. Инженер фиксирует активный license level, экспортирует конфигурацию, сверяет функции с матрицей, деактивирует add-on по руководству Cisco и выполняет требуемую перезагрузку. Затем он проверяет маршрутизацию, доступ, 802.1X, телеметрию, управление образами и аварийные процедуры. Одна успешная передача пакетов не закрывает тест.

Для смешанного парка полезно выровнять даты продления по бюджетному циклу, если коммерческие условия позволяют co-term. Но выравнивание не должно сжигать оплаченный остаток без кредита. Cisco указывает возможность согласовывать даты и добавлять лицензии к существующей подписке в новых моделях Cisco Networking Subscription; в заказе все равно нужны явные начальная дата, конечная дата и расчет неиспользованного срока.

GSE.kz работает как системный интегратор с нейтральным отношением к производителю, поэтому проект поставки можно связать с общим планом инфраструктуры и последующей поддержки, а не оставлять реестр лицензий приложением к счету. Ответственность за окончательный выбор уровня все равно должна оставаться у архитектора заказчика.

Решение о продлении фиксируют по площадкам, а не одной фразой на весь парк. Кампус с SD-Access может сохранить Advantage, небольшой филиал перейти на Essentials, а автономная площадка остаться на бессрочном Network при наличии подходящей поддержки. Такое разделение допустимо только при корректном учете устройств и совместимости уровней. Оно требует больше строк в реестре, зато организация платит за используемые сценарии, а не за одинаковое название во всех филиалах.

План выхода должен существовать до отказа от подписки. В нем указаны замена шаблонов, способ резервного развертывания, источник образов, диагностика клиентов, управление политиками и ответственный за ручные операции. Если хотя бы один обязательный процесс не имеет замены, отказ еще не подготовлен. Продление на один год в таком случае может быть разумной ценой за аккуратную миграцию, а не бессмысленной отсрочкой.

Приемка заканчивается сверкой трех источников

Лицензии считаются принятыми, когда заказ, Smart Account и фактическое потребление на устройствах совпали. Наличие оборудования на складе и PDF от поставщика этого не доказывают. Самая дорогая ошибка обнаруживается через три года: entitlement лежит не в том Virtual Account, срок начался слишком рано, а сотрудник с доступом уже уволился.

В акт приемки стоит включить короткую проверку из пяти действий:

1. Сверить модели, число портов, количество и срок каждого term SKU с коммерческим заказом.
2. Открыть Smart Account и записать Start Date, Expiration Date, Virtual Account и доступных администраторов.
3. Выполнить show license summary, show license usage и show license status на выборке каждого типа устройств.
4. Сопоставить Count с физическим количеством, включая стек, резерв и замененные серийные номера.
5. Поставить владельцу бюджета напоминание минимум за 180 дней и повторную техническую проверку за 120 дней.

Cisco Smart Software Manager умеет отправлять предупреждения об истечении, но уведомление приходит только тем, кому правильно настроили доступ и предпочтения. Почтовая рассылка не заменяет запись в корпоративном календаре и реестре договоров.

В бюджет новой партии закладывают полную срочную строку на обязательный первоначальный срок, даже если финансовая модель показывает среднюю цену за год. На годы продления создают отдельный прогноз по архитектурному сроку жизни площадки. Если коммутаторы планируют заменить через четыре года, семилетняя подписка требует явного обоснования. Если фабрика должна работать семь лет, трехлетняя покупка без строки продления просто переносит известный расход в чужой бюджет.

Хорошая спецификация отвечает на простой вопрос без участия поставщика: какая функция оплачена бессрочно, какая до конкретной даты и кто примет решение до ее окончания. Пока ответа нет, цена партии еще не посчитана.