私有网络买 DNA 必须上公网吗？

直答：订阅不是一条互联网电路

直答：买 DNA 不会把交换机放到公网上。转发留在私有网络。用量报告如果要做，是你从工作站带走的文件。Catalyst Center 如果部署，放在你自己的机房，并且可以隔离运行。

发布日期 2026-09-29。这一页写给标准就是私有网络的运维。交换机可以对 Cisco 保持 0小时 的直接联系，仍然转发。

订阅不是互联网电路

定义：Cisco DNA 是指期限许可，不是要求交换机向公网打开会话。Catalyst 9000 上的 Smart Licensing Using Policy 有一种官方拓扑：不连接 CSSM。机箱是否转发，不取决于那份文件有没有离开大楼。

人们把三张网混在一起。第一张是生产网，用户和服务器住在这里。第二张是许可报告文件，Cisco 要求你从某台能到达 Cisco 的工作站上传。第三张是 Catalyst Center，若你真想用 DNA 功能，这台设备应放在你自己的机房。

这三张里没有一张是“从配线间交换机拉一根线到互联网”。交换机可以保持 0小时 与 Cisco 的直接接触，仍然转发。9800 的隔离说明是同一思路：关掉传输，保存用量报告，从工作站移动文件。该页示例使用 30天 的报告推送间隔。恢复出厂后，至少等 1小时 再生成报告。这些是管理杂务，不是用户流量穿过防火墙的路径。

把私有转发 对比 公网电路。买期限和把交换机接上公网，是两份工作。

三列：流量、文件、控制器

直答：流量留在私有网络。用量文件从工作站移动，不从交换机移动。Catalyst Center 如果要，装在你的机房，Cisco 写了隔离模式。订阅里的云功能在该模式下不工作。

如果你永远不会部署 Catalyst Center，就不要安装它。那时网络里不会为了 DNA 功能新开一条到 Cisco 的会话，因为那些功能没开。如果在私网内部署 Catalyst Center，按隔离指南做。Cisco 的产品说明写明：隔离模式会丢掉订阅里可能包含的云功能。Catalyst Center 的隔离软件更新可能超过 6小时。请排窗口。不要把这句话读成“接入交换机必须在线”。

Meraki 仪表板管理是另一种产品选择。那种模式的设备与 Cisco 云通话。不要用那句话去描述一台只带着 DNA 期限的园区交换机。

如何让交换机不上公网

直答：在 Catalyst 9000 上关掉许可传输，若策略要求报告，就导出用量文件，并从工作站上传。交换机留在私有网络。没人会用时，就整套跳过 Catalyst Center。

1. 第1步。确认平台是使用 Smart Licensing Using Policy 的 Catalyst 9000 或 9800，而不是 Meraki 云设备。
2. 第2步。在交换机或控制器上关闭智能许可传输，使它不向外呼叫。
3. 第3步。如果必须报告用量，把报告存成文件，用工作站搬走。
4. 第4步。确认回执也用同样方式导入。不要为了“让 DNA 工作”把交换机对公网打开。

跳过上传不会停止转发。Cisco 仍把报告描述为策略的一部分，所以安全团队应知道：文件可能随工作站离开。那是受控导出，不是配线间里一条常驻隧道。

典型场景：没有浏览路径的工厂网

直答：典型场景是工厂或分支，策略禁止交换机解析公网名字。采购订单上仍然有 DNA 期限。运维关掉传输，转发留在本地，并且不部署 Catalyst Center。用户看不到变化，因为 DNA 功能从来不是他们流量走的路径。

请标成典型场景。没有人被要求在生产 VLAN 上为“许可回家”打洞。如果以后领导要 Assurance，那是在机房安装 Catalyst Center 的项目，仍然不必把接入交换机放到公网上，并且应预期：隔离模式开着时，云功能保持关闭。

“DNA 意味着必须上互联网”的恐惧，来自更早的呼叫回家习惯，以及 Meraki。接受这份恐惧之前，先读面板上的平台名。传输关掉的 Catalyst 9000 仍然是 Catalyst 9000。

这一页不决定的事

直答：Essentials 对比 Advantage 是采购选择，删除订阅在这里不被允许。本页只拆开你买的许可，和你不必建设的互联网电路。买期限和连接交换机是不同的工作。

你可以跑一张完全私有的转发平面，同时在订购硬件时仍被要求买期限。那条商务规则在采购页。这里运维问题的答案很短：交换机不需要公网路径，也能继续转发你的流量。

如果设计文件写着“DNA 许可，因此防火墙要对 Cisco 开口”，退回去。问他们指的是三列中的哪一列。多数时候他们指的是用量文件，交换机本身可以在整个期限里对公网保持 0小时 的直接会话。

FAQ

参考

直答：Cisco 为 Catalyst 9000 写了不连接 CSSM 的智能许可拓扑，为 9800 写了隔离路径，为 Catalyst Center 写了隔离模式。用这三页。Meraki 云仪表板是另一种产品，不是这个答案。

• Catalyst 9000 的 Smart Licensing Using Policy — 不连接 CSSM
• Catalyst 9800 离线隔离许可 — 关掉传输，使用用量文件
• Catalyst Center 隔离部署指南 — 不经 Cisco 云的更新

要点

相关阅读