Configuración de la optimización del tráfico de Youtube con Akamai Connect

Introducción

En este documento se describen los pasos necesarios para configurar la aceleración de YouTube en los servicios Cisco Wide Area Application Services (WAAS) mediante la función Akamai Connect.

Nota: En este artículo, el término dispositivo WAAS se utiliza para referirse de forma conjunta a los WAAS Central Managers y WAE de la red. El término WAE (Wide Area Application Engineer) hace referencia a los dispositivos WAE y WAVE, los módulos SM-SRE que ejecutan WAAS y las instancias vWAAS.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Cisco WAAS
• Infraestructura de clave pública
• Certificado de capa de conexión segura (SSL)

Componentes Utilizados

La información que contiene este documento se basa en estas versiones de software:

• Cisco WAAS versión 5.5.1
• Cisco WAAS versión 6.2.1

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). If your network is live, make sure that you understand the potential impact of any command.

Antecedentes

Akamai Connect y WAAS

La función Akamai Connect es un componente de caché de objetos HTTP/S agregado a Cisco WAAS. Se integra en la pila de software WAAS existente y se aprovecha a través del optimizador de aplicaciones HTTP. Akamai Connect ayuda a reducir la latencia del tráfico HTTP/S para aplicaciones empresariales y web, y puede mejorar el rendimiento de muchas aplicaciones, como POS (punto de venta), vídeo HD, señalización digital y procesamiento de pedidos en tienda. Proporciona una descarga de datos WAN significativa y mensurable y es compatible con las funciones WAAS existentes, como DRE (deduplicación), LZ (compresión), TFO (optimización del flujo de transporte) y aceleración SSL (segura/cifrada) para la aceleración de primer y segundo paso.

Estos términos se utilizan con Akamai Connect y WAAS:

• Akamai Connect: Akamai Connect es un componente de caché de objetos HTTP/S agregado a Cisco WAAS, integrado en la pila de software WAAS existente y aprovechado a través del optimizador de aplicaciones HTTP. WAAS con Akamai Connect ayuda a reducir la latencia del tráfico HTTP/S para aplicaciones empresariales y web.
  
  
• Akamai Connected Cache: Akamai Connected Cache es un componente de Akamai Connect, que permite que el motor de caché (CE) almacene en caché el contenido suministrado por un servidor perimetral en la plataforma inteligente de Akamai.

Configurar

Paso 1. Necesita un certificado SSL firmado por su CA interna/pública.

El certificado debe incluir el siguiente nombre SubjectAltName:

    *.youtube.com

    *.googlevideo.com

    *.ytimg.com

    *.ggpht.com

    youtube.com

Este es un ejemplo de certificado:

Paso 2. Debe confiar en la autoridad de certificación (CA) intermediaria y/o raíz de su organización.

Esto se puede lograr mediante la directiva de grupo en el dominio de Active Directory.

Si está probando esta configuración en un laboratorio, puede instalar la CA intermediaria y/o raíz en el dispositivo cliente como una CA de confianza.

Paso 3. Cree un servicio acelerado de SSL en un dispositivo WAAS mediante la GUI de WAAS Central Manager.

En Akamai de doble cara (anterior a WAAS 6.2.3), configure el servicio acelerado SSL en el núcleo de WAAS. Para Akamai de un solo lado (WAAS 6.2.3 o posterior), configure el servidor acelerado SSL en la sucursal WAAS y habilite el interpositor SSL. Esta es la única diferencia entre la configuración de dos lados y la configuración de un solo lado.

Nota: WAAS que ejecuta la versión de software anterior a la 6.2.3 necesita una configuración de Akamai de doble cara para acelerar el tráfico de Youtube. El núcleo de WAAS hace proxy de la conexión SSL que va a Youtube. WAAS que ejecuta la versión de software 6.2.3 o posterior admite SSL AO v2 (SAKE). Esto permite que la sucursal WAAS realice proxy de la conexión SSL cuando la sucursal envía tráfico directamente a Internet sin que se dirija a través de la infraestructura del Data Center.

Vaya a Devices > Configure > Acceleration > SSL Accelerated Service, como se muestra en la imagen:

Paso 4. Configure el servicio SSL Accelerated.

Si utiliza un proxy explícito, el encadenamiento de protocolos debe estar habilitado. HTTP AO debe aplicarse al puerto TCP utilizado para el proxy del tráfico (por ejemplo, 80 u 8080).

Se debe comprobar Coincidir indicación de nombre de servidor. En esta configuración, cuando el núcleo WAAS recibe tráfico SSL, compara el campo SNI en el saludo del cliente con el nombre SubjectAltName en el certificado cargado. Si el campo SNI coincide con SubjectAltName, el núcleo WAAS hace proxy de este tráfico SSL.

Cuando el campo Match Server Name Indication esté marcado, utilice Any para la dirección IP y 443 para el puerto del servidor. Haga clic en Agregar para agregar esta entrada.

Indicación de nombre de servidor (SNI)

Paso 5. Cargar certificado y clave privada.

Debe proporcionar un certificado y una clave privada. El ejemplo que se muestra en la imagen utiliza el formato PEM:

Paso 6. Verifique la información del certificado cargado.

Paso 7. Haga clic en el botón ENVIAR y éste es el resultado final.

Paso 8. Active Akamai Connect.

Vaya a Dispositivos > Configurar > Almacenamiento en caché > Akamai Connect.

Paso 9. Activar el interpositor SSL en la sucursal WAAS (obligatorio solo para la configuración en un solo lado).

Verificación

Paso 1. Debe tener Akamai Connect activado en la sucursal WAAS.

WAAS-BRANCH# show accelerator http object-cache

   HTTP Object-cache
   ..........
   Status
   --------
                Operational State            
                -----------------            
                Running             
                Akamai Connected Cache State
                ------------------------
               Connected 

Asegúrese de que el estado operativo es En ejecución y de que el estado de conexión es Conectado.

Paso 2. Verifique la aceleración de Youtube en el cliente.

Al acceder a Youtube debe ver el certificado firmado por su propia CA:

Paso 3. Verifique en WAAS.

Verifique si SSL AO se aplica correctamente al tráfico:

Ejemplo de salida de la CLI al ejecutar el software WAAS anterior a la versión 6.2.3 (SSL AO v1 y configuración de sitio dual)

WAAS-BRANCH# show statistics connection

ConnID        Source IP:Port          Dest IP:Port            PeerID Accel RR   
  6859     10.66.86.90:13110       10.66.85.121:80 00:06:f6:e6:58:56 THSDL 51.9%
  6839     10.66.86.90:13105       10.66.85.121:80 00:06:f6:e6:58:56 THSDL 16.6%
  6834     10.66.86.90:13102       10.66.85.121:80 00:06:f6:e6:58:56 THSDL 93.5%
  6733     10.66.86.90:13022       10.66.85.121:80 00:06:f6:e6:58:56 THSDL 72.7%
  6727     10.66.86.90:13016       10.66.85.121:80 00:06:f6:e6:58:56 THSDL 03.9%

Ejemplo de salida de la CLI al ejecutar el software WAAS 6.2.3 o posterior (SSL AO v2 y Single Site Setup)

WAAS-BRANCH# show statistics connection

ConnID        Source IP:Port          Dest IP:Port            PeerID Accel RR   
  3771     10.66.86.66:60730     58.162.61.183:443               N/A THs   50.9%
  3770     10.66.86.66:60729     58.162.61.183:443               N/A THs   52.1%
  3769     10.66.86.66:60728     58.162.61.183:443               N/A THs   03.0%
  3752     10.66.86.66:60720    208.117.242.80:443               N/A THs   54.8%
  3731     10.66.86.66:60705      203.37.15.29:443               N/A THs   13.8%
  3713     10.66.86.66:60689     58.162.61.142:443               N/A THs   40.4%
  3692     10.66.86.66:60669     144.131.80.15:443               N/A THs   10.4%

Compruebe el registro de errores de acceso ce en la sucursal WAAS. Las entradas de registro para el tráfico optimizado tienen un código de 10000 asociado con ellas (Indicar clasificado como OTT-Youtube) y h - - - 200 indica que la memoria caché del objeto recibe un resultado y que el tráfico se sirve localmente. La mayor aceleración se espera en googlevideo. Puede abrir varios exploradores en el equipo de prueba y reproducir el mismo vídeo al mismo tiempo para probar la configuración:

Ejemplo de resultado de ce-errorlog:

08/09/2016 01:49:26.612 (fl=5948) 10000 0.002 0.033 1356 - - 148814 10.66.86.90 10.66.85.121 2905 h - - - 200 GET
https://r5---sn-uxanug5-ntqk.googlevideo.com/videoplayback?dur=703.721&ei=ozapV8jrGdWc4AKytYaYBQ&fexp=3300116%2C3
300131%2C3300161%2C3312739%2C3313265%2C9422596%2C9428398%2C9431012%2C9433096%2C9433223%2C9433946%2C9435526%2C9437
066%2C9437552%2C9438327%2C9438662%2C9438804%2C9439580%2C9442424%2C9442920&requiressl=yes&initcwndbps=6383750&gir=
yes&sparams=clen%2Cdur%2Cei%2Cgir%2Cid%2Cinitcwndbps%2Cip%2Cipbits%2Citag%2Ckeepalive%2Clmt%2Cmime%2Cmm%2Cmn%2Cms
%2Cmv%2Cpl%2Crequiressl%2Csource%2Cupn%2Cexpire&signature=34635AFA02C12695F90E50E067E6BD4B7E582132.DEB68217D77D25
F02925B272C6B3F032D3764535&ipbits=0&ms=au&mt=1470706873&pl=22&mv=m&mm=31&mn=sn-uxanug5-ntqk&keepalive=yes&key=yt6
&ip=64.104.248.209&clen=10444732&sver=3&source=youtube&itag=251&lmt=1466669747365466&upn=17O0mSaUqq4&expire=14707
28963&id=o-ABXm_M_rqaPqauN_rtx9jNvU4NPYMD-wx-oJw0mAUclg&mime=audio%2Fwebm&cpn=YsB-JmbO4EU-BeHl&alr=yes&ratebypass
=yes&c=WEB&cver=1.20160804&range=136064-284239&rn=4&rbuf=8659 - -

08/09/2016 01:49:26.899 (fl=5887) 10000 0.003 0.029 1357 - - 191323 10.66.86.90 10.66.85.121 2905 h - - - 200 GET
 https://r5---sn-uxanug5-ntqk.googlevideo.com/videoplayback?dur=703.721&ei=ozapV8jrGdWc4AKytYaYBQ&fexp=3300116%2C3
300131%2C3300161%2C3312739%2C3313265%2C9422596%2C9428398%2C9431012%2C9433096%2C9433223%2C9433946%2C9435526%2C9437
066%2C9437552%2C9438327%2C9438662%2C9438804%2C9439580%2C9442424%2C9442920&requiressl=yes&initcwndbps=6383750&gir=
yes&sparams=clen%2Cdur%2Cei%2Cgir%2Cid%2Cinitcwndbps%2Cip%2Cipbits%2Citag%2Ckeepalive%2Clmt%2Cmime%2Cmm%2Cmn%2Cms
%2Cmv%2Cpl%2Crequiressl%2Csource%2Cupn%2Cexpire&signature=34635AFA02C12695F90E50E067E6BD4B7E582132.DEB68217D77D25
F02925B272C6B3F032D3764535&ipbits=0&ms=au&mt=1470706873&pl=22&mv=m&mm=31&mn=sn-uxanug5-ntqk&keepalive=yes&key=yt6
&ip=64.104.248.209&clen=10444732&sver=3&source=youtube&itag=251&lmt=1466669747365466&upn=17O0mSaUqq4&expire=14707
28963&id=o-ABXm_M_rqaPqauN_rtx9jNvU4NPYMD-wx-oJw0mAUclg&mime=audio%2Fwebm&cpn=YsB-JmbO4EU-BeHl&alr=yes&ratebypass
=yes&c=WEB&cver=1.20160804&range=284240-474924&rn=6&rbuf=17442 - -

El resultado de show statistic Acceleration http object-cache también debe mostrar el aumento de aciertos de ott-youtube:

WAAS-BRANCH# show statistics accelerator http object-cache
..........
Object Cache Caching Type:                                         ott-youtube
   Object cache transactions served from cache:                       52       
   Object cache request bytes for cache-hit transactions:             68079    
   Object cache response bytes for cache-hit transactions:            14650548
..........

Troubleshoot

Problema: SSL AO no acelera el tráfico.

Solución:

Verifique si SSL AO coincide con el SNI en el núcleo WAAS con estos comandos debug:

Este es un ejemplo de resultado exitoso de ssl-errorlog:

WAAS# debug accelerator ssl sni
08/09/2016 01:33:23.721sslao(20473 4.0) TRCE (721383) SNI(youtube.com) matched with certificate SNA youtube.com [c2s.c:657]

08/09/2016 01:33:23.962sslao(20473 6.0) TRCE (962966) SNI(youtube.com) matched with certificate SNA youtube.com [c2s.c:657]

Este es un ejemplo de un resultado fallido de ssl-errorlog:

WAAS# debug accelerator ssl sni
08/09/2016 01:19:35.929sslao(20473 5.0) NTCE (929983) Unknown SNI: youtube.com [sm.c:4312]

08/09/2016 01:20:58.913sslao(20473 3.0) TRCE (913804) Pipethrough connection unknown SNI:youtube.com IP:10.66.85.121 ID:655078 [c2s.c:663]

Problema: el navegador no puede conectarse a Youtube y no se ha enviado ningún certificado.

Solución:

Esto puede deberse a que el núcleo de WAAS no confía en el certificado enviado por Youtube.

Desactive esta opción en el servicio acelerado SSL.

Problema: el tráfico llega al motor de conexión de Akamai, pero no hay ninguna coincidencia de caché.

Solución:

Esto puede deberse a la aplicación de la comprobación If-Modified-since (IMF) en la sucursal WAAS. La opción IMS puede comprobar el registro forzado de la actividad de los usuarios en un servidor proxy o en un dispositivo de análisis de uso. Cuando la verificación IMS está habilitada, en la versión actual de OTT, Youtube siempre solicita al cliente que obtenga la última copia del servidor de origen.

Esto se puede observar en ce-access-errorlog:

07/20/2016 00:41:49.420 (fl=36862) 10000 2.511 0.000 1312 1383 4194962 4194941 10.37.125.203 10.6.76.220 2f25 l-s
s-ims-fv - - 200 GET  https://r3---sn-jpuxj-coxe.googlevideo.com/videoplayback?signature=AACC537F02B652FEA0600C90
0B069CA3063C15CD.58BA962C80C0E7DFA9A6664ECDCCE6404A3E2C65&clen=601694377&pl=24&mv=m&mt=1468974801&ms=au&ei=a8iOV-
HZG4u24gL-hpu4BQ&mn=sn-jpuxj-coxe&mm=31&key=yt6&sparams=clen%2Cdur%2Cei%2Cgir%2Cid%2Cinitcwndbps%2Cip%2Cipbits%2C
itag%2Ckeepalive%2Clmt%2Cmime%2Cmm%2Cmn%2Cms%2Cmv%2Cpl%2Crequiressl%2Csource%2Cupn%2Cexpire&sver=3&gir=yes&fexp=9
416891%2C9422596%2C9428398%2C9431012%2C9433096%2C9433221%2C9433946%2C9435526%2C9435876%2C9437066%2C9437553%2C9437
742%2C9438662%2C9439652&expire=1468996811&initcwndbps=9551250&ipbits=0&mime=video%2Fmp4&upn=B-BbHfjKlaI&source=yo
utube&dur=308.475&id=o-ABCCHl2_QzDMemZ8Eh7hbsSbhXZQ7yt325a-xfqNROk1&lmt=1389684805775554&itag=138&requiressl=yes&
ip=203.104.11.77&keepalive=yes&cpn=4cIAF7ZEwNbfV7Cr&alr=yes&ratebypass=yes&c=WEB&cver=1.20160718&range=193174249-
197368552&rn=68&rbuf=23912 - -

Desmarque estas opciones en la sucursal WAAS para desactivar la verificación IMS:

Vaya a Configurar > Almacenamiento en caché > Akamai Connect.

Se espera que este problema se solucione en WAAS 6.3 y posterior.

Problema: la caché de Akamai interrumpe la conexión HTTPS al pasar por un proxy con autenticación.

Solución:

Si necesita pasar a través de un proxy antes de ir a Internet y el proxy requiere autenticación, WAAS puede interrumpir la conexión HTTPS. La captura de paquetes tomada en la sucursal WAAS muestra la respuesta de HTTP 407 desde el sitio del servidor. Sin embargo, la captura se detiene después del primer paquete. Los paquetes subsiguientes no se envían y la respuesta es incompleta.

Se realiza un seguimiento de esto en el defecto CSCva26420 y es probable que se corrija en la versión 6.3 de WAAS.