ASA용 WSA WCCP 컨피그레이션 예

소개

이 문서에서는 Cisco WSA(Web Security Appliance)를 통해 Cisco ASA(Adaptive Security Appliance)에 대한 WCCP(Web Cache Communication Protocol)를 구성하는 방법에 대해 설명합니다.

사전 요구 사항

요구 사항

다음 주제에 대한 지식을 보유하고 있으면 유용합니다.

• Cisco WSA
• Cisco ASA
• WCCP
• 투명한 프록시 구축

사용되는 구성 요소

이 문서의 정보는 다음 소프트웨어 및 하드웨어 버전을 기반으로 합니다.

• Cisco WSA 버전 7.x
• Cisco ASA 버전 8.x

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우, 모든 명령어의 잠재적인 영향을 미리 숙지하시기 바랍니다.

구성

ASA에 대한 WCCP를 구성하려면 이 섹션을 사용합니다.

구성 개요

다음은 ASA에 WCCP를 구성하기 위해 WSA에 입력하는 명령입니다.

hostname(config)# wccp {web-cache | service_number} [redirect-list access_list]
 [group-list access_list] [password password] 

hostname(config)# wccp interface interface_name {web-cache | service_number}
 redirect in

다음은 이 명령에 대한 항목 설명입니다.

• service-number: 서비스 정의가 캐시에 의해 지정됨을 의미하는 동적 서비스 식별자입니다. 동적 서비스 번호의 범위는 0~255입니다. 최대 허용 가능한 수는 256이며, 여기에는 web-cache 키워드와 함께 지정된 web-cache 서비스가 포함됩니다.
  
  
• redirect-list: 선택 항목입니다. 이 서비스 그룹으로 리디렉션되는 트래픽을 제어하는 액세스 목록과 함께 사용됩니다. access-list 인수는 액세스 목록을 지정하는 64자 이하의 문자열입니다(이름 또는 번호).
  

  참고: ASA 소프트웨어 버전 8.1 및 이전 버전에서는 리디렉션 목록의 TCP 포트를 허용하지 않으며, 네트워크 주소만 사용할 수 있습니다.

• group-list: 서비스 그룹에 참여할 수 있는 웹 캐시를 결정하는 선택적 액세스 목록 항목입니다. access-list 인수는 액세스 목록을 지정하는 64자 이하의 문자열입니다(이름 또는 번호).
  
  
• password: 서비스 그룹에서 받은 메시지에 대해 MD5(Message Digest 5) 인증을 지정하는 선택적 항목입니다. 인증에서 수락되지 않은 메시지는 삭제됩니다.

참고: 표준 서비스는 web-cache(Service ID 0)이며 TCP 포트 80(HTTP) 트래픽만 인터셉트합니다. 기타 사용자 지정 서비스의 경우 90~97 범위의 서비스 ID를 사용하는 것이 좋습니다.

컨피그레이션 예시

WSA를 통해 ASA용 WCCP를 구성하려면 다음 단계를 완료하십시오.

1. 기본 서비스 그룹 web-cache를 사용하려면 다음 명령을 입력합니다.
   
   

   wccp web-cache
   wccp interface inside web-cache redirect in

2. HTTP 및 HTTPS 트래픽의 리디렉션에 동적 서비스 그룹 ID를 사용하려면 다음 명령을 입력합니다.
   
   

   wccp 90 redirect-list wccp-hosts group-list wccp-routers

3. WCCP 보안을 사용하려면 다음 명령을 입력합니다.
   
   

   wccp 90 redirect-list wccp-hosts group-list wccp-routers password securewccp

4. ASA에 목적지 IP 주소로 전송된 트래픽을 거부하고 WSA로 리디렉션하도록 액세스 목록을 구성할 수 있습니다. 이는 트래픽을 여러 WSA로 리디렉션하도록 ASA가 구성된 경우 특히 유용합니다. 예를 들어 WSA에는 다음 IP 주소가 할당될 수 있습니다.
   
   
   • WSA1 IP 주소 = 10.0.0.1
   • WSA2 IP 주소 = 10.0.0.2
     
     
   트래픽을 거부하도록 액세스 목록을 구성하려면 다음 명령을 입력합니다.
   
   

   access-list wccp-hosts extended deny tcp any host 10.0.0.1
   access-list wccp-hosts extended deny tcp any host 10.0.0.2

5. HTTP 트래픽 리디렉션을 허용하려면 다음 명령을 입력합니다.
   
   

   access-list wccp-hosts extended  permit tcp any any eq www

6. HTTPS 트래픽 리디렉션을 허용하려면 다음 명령을 입력합니다.
   
   

   access-list wccp-hosts extended  permit tcp any any eq https

7. WCCP 통신에 참여할 수 있는 WSA를 정의하려면 다음 명령을 입력합니다.
   
   

   access-list wccp-routers standard permit host 10.0.0.1
   access-list wccp-routers standard permit host 10.0.0.2

8. redirect-list 명령이 허용되지 않는 경우 확장 액세스 목록이 필요할 수 있습니다. 확장 액세스 목록을 구성하려면 다음 명령을 입력합니다.
   
   

   access-list wccp-routers extended permit ip host 10.0.0.1 any
   access-list wccp-routers extended permit ip host 10.0.0.2 any

9. 컨피그레이션을 적용하려면 다음 명령을 입력합니다.
   
   

   wccp interface inside 90 redirect in

다음을 확인합니다.

WCCP와 관련된 전역 통계를 표시하려면 특권 EXEC 모드에서 show wccp 명령을 입력합니다.

show wccp {web-cache | service-number}[detail | view]
show run | inc wccp

참고: 리디렉션되는 트래픽의 유형(HTTP, HTTPS, FTP)은 WSA WCCP 컨피그레이션에 의해 정의됩니다. ASA는 리디렉션 목록을 사용하여 리디렉션된 트래픽만 필터링할 수 있습니다.

문제 해결

현재 이 설정에 사용할 수 있는 특정 문제 해결 정보가 없습니다.

관련 정보

• WCCP를 사용하여 웹 캐시 서비스 구성
• 기술 지원 및 문서 − Cisco Systems