Esempio di configurazione di WSA WCCP per ASA

Introduzione

In questo documento viene descritto come configurare il protocollo WCCP (Web Cache Communication Protocol) per Cisco Adaptive Security Appliance (ASA) tramite Cisco Web Security Appliance (WSA).

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

• Cisco WSA
• Cisco ASA
• WCCP
• Distribuzioni proxy trasparenti

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

• Cisco WSA versione 7.x
• Cisco ASA versione 8.x

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Configurazione

Utilizzare questa sezione per configurare il protocollo WCCP per l'ASA.

Panoramica della configurazione

Di seguito vengono riportati i comandi immessi sul server WSA per configurare il protocollo WCCP per l'appliance ASA:

hostname(config)# wccp {web-cache | service_number} [redirect-list access_list]
 [group-list access_list] [password password] 

hostname(config)# wccp interface interface_name {web-cache | service_number}
 redirect in

Di seguito viene riportata la descrizione delle voci per questo comando:

• service-number: si tratta di un identificativo di servizio dinamico, ovvero la definizione del servizio è determinata dalla cache. Il numero di servizio dinamico può essere compreso tra 0 e 255. Il numero massimo consentito è 256, che include il servizio Web-cache specificato con la parola chiave web-cache.
  
  
• redirect-list: voce facoltativa. Viene utilizzato con un elenco degli accessi che controlla il traffico reindirizzato a questo gruppo di servizi. L'argomento access-list è una stringa di massimo 64 caratteri (nome o numero) che specifica l'elenco degli accessi.
  

  Nota: il software ASA versione 8.1 e precedenti non accetta la porta TCP nell'elenco di reindirizzamento; è possibile usare solo indirizzi di rete.

• group-list: voce facoltativa dell'elenco degli accessi che determina le cache Web a cui è consentito partecipare al gruppo di servizi. L'argomento access-list è una stringa di massimo 64 caratteri (nome o numero) che specifica l'elenco degli accessi.
  
  
• password: questa voce è facoltativa e specifica l'autenticazione MD5 (Message Digest 5) per i messaggi ricevuti dal gruppo di servizi. I messaggi non accettati dall'autenticazione vengono eliminati.

Nota: il servizio standard è Web-cache (ID servizio 0), che intercetta solo il traffico TCP porta 80 (HTTP). Per tutti gli altri servizi personalizzati, Cisco consiglia di utilizzare un ID servizio compreso tra 90 e 97.

Esempio di configurazione

Per configurare il WCCP per l'ASA tramite il WSA, completare la procedura seguente:

1. Immettere questo comando per utilizzare la cache Web predefinita del gruppo di servizi:
   
   

   wccp web-cache
   wccp interface inside web-cache redirect in

2. Immettere questo comando per utilizzare un ID gruppo di servizi dinamico per il reindirizzamento del traffico HTTP e HTTPS:
   
   

   wccp 90 redirect-list wccp-hosts group-list wccp-routers

3. Per utilizzare la sicurezza WCCP, immettere questo comando:
   
   

   wccp 90 redirect-list wccp-hosts group-list wccp-routers password securewccp

4. È possibile configurare l'elenco degli accessi in modo che neghi il traffico inviato all'ASA come indirizzo IP di destinazione e lo reindirizzi al server WSA. Questa funzione è particolarmente utile quando l'ASA è configurata per reindirizzare il traffico a più appliance WSA. Ad esempio, ai WSA potrebbero essere assegnati i seguenti indirizzi IP:
   
   
   • Indirizzo IP WSA1 = 10.0.0.1
   • Indirizzo IP WSA2 = 10.0.0.2
     
     
   Immettere questi comandi per configurare l'elenco degli accessi in modo da bloccare il traffico:
   
   

   access-list wccp-hosts extended deny tcp any host 10.0.0.1
   access-list wccp-hosts extended deny tcp any host 10.0.0.2

5. Immettere questo comando per consentire il reindirizzamento del traffico HTTP:
   
   

   access-list wccp-hosts extended  permit tcp any any eq www

6. Immettere questo comando per consentire il reindirizzamento del traffico HTTPS:
   
   

   access-list wccp-hosts extended  permit tcp any any eq https

7. Immettere questi comandi per definire i WSA a cui è consentito partecipare alla comunicazione WCCP:
   
   

   access-list wccp-routers standard permit host 10.0.0.1
   access-list wccp-routers standard permit host 10.0.0.2

8. Se il comando redirect-list non viene accettato, potrebbe essere necessario un elenco degli accessi esteso. Immettere questi comandi per configurare l'elenco degli accessi estesi:
   
   

   access-list wccp-routers extended permit ip host 10.0.0.1 any
   access-list wccp-routers extended permit ip host 10.0.0.2 any

9. Immettere questo comando per applicare la configurazione:
   
   

   wccp interface inside 90 redirect in

Verifica

Per visualizzare le statistiche globali relative a WCCP, immettere il comando show wcp in modalità di esecuzione privilegiata:

show wccp {web-cache | service-number}[detail | view]
show run | inc wccp

Nota: il tipo di traffico (HTTP, HTTPS, FTP) reindirizzato è definito dalla configurazione WSA WCCP. L'ASA può filtrare il traffico reindirizzato solo con l'uso dell'elenco di reindirizzamento.

Risoluzione dei problemi

Al momento non sono disponibili informazioni specifiche per la risoluzione dei problemi di questa configurazione.

Informazioni correlate

• Configurazione dei servizi Web Cache tramite WCCP
• Documentazione e supporto tecnico – Cisco Systems