Pregunta
¿WCCP con autenticación y varios WSA provoca un bucle (se necesita ACL para limitar el acceso de los clientes)?
Síntomas
Cuando se utiliza WCCP, Authentication y al menos dos WSA, los clientes se redirigen cuando intentan acceder a la URL del servidor de autenticación transparente. Aparece como latencia grave o tiempos de espera en el cliente.
Solución
Cuando se utiliza la autenticación con WCCP, WSA debe redirigir primero el cliente a sí mismo para poder realizar la autenticación. Este es un paso necesario, ya que la autenticación no se puede realizar dos veces para el mismo destino.
El problema que ocurre es que cuando el cliente realiza una nueva solicitud para el WSA, el router WCCP redirige esta solicitud a través del conjunto WCCP. Esta solicitud se puede volver a habilitar a través de un WSA diferente, lo que hará que este segundo WSA intente obtener el objeto del primer WSA.
Para evitar este comportamiento no deseado, será necesario crear una ACL en el router WCCP. La ACL debe tener un aspecto similar al siguiente:
| línea ACL |
Propósito |
| access-list 105 deny ip host <WSA 1> any |
NO redirija el tráfico que se origina en WSA 1 |
| access-list 105 deny ip host <WSA 2> any |
NO redirija el tráfico que se origina en WSA 2 |
| access-list 105 deny ip host any <WSA 2> |
NO redirija ningún cliente directamente a WSA 1 (autenticación) |
| access-list 105 deny ip host any <WSA 1> |
NO redirija ningún cliente directamente a WSA 2 (autenticación) |
Esto evitará que los clientes sean redirigidos para las solicitudes de autenticación de proxy a los WSA.
También puede limitar los WSA que se aceptarán como cachés web mediante la lista de grupos:
| línea ACL |
Propósito |
| access-list 15 permit <WSA 1> |
Permitir que esta IP se incluya en el ID de servicio WCCP especificado |
| access-list 15 permit <WSA 2> |
Permitir que esta IP se incluya en el ID de servicio WCCP especificado |
La sintaxis para implementar WCCP con estas ACL es:
ip wccp <service ID> redirect-list 105
ip wccp <service ID> redirect-list 105 group-list 15
NOTA: Deberá agregar una regla para cada WSA que tenga. En la situación anterior, solo había dos WSA.
Comentarios