WCCP op ASA: Concepten, beperkingen en configuratie

Inleiding

Dit document beschrijft concepten, beperkingen en configuratie van het Web Cache Coordinating Protocol (WCCP) op een Cisco adaptieve security applicatie (ASA). WCCP is een methode waarmee de ASA het verkeer naar een WCCP-caching-motor kan omleiden door een generieke routinginsluitingstunnel (GRE).

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Web Cache Communications Protocol (WCCP) versie 2 (v2)
• Cisco adaptieve security applicaties (ASA)
• Software voor Cisco adaptieve security applicatie (ASA) lees Configuratiehandleidingen voor compatibiliteit
• Proxycaching
• omleiding

Cisco raadt u ook aan de beperkingen van de WCCP-configuratie op de ASA te begrijpen, zoals in deze documenten wordt uitgelegd:

• Cisco ASA 5500 Series configuratiegids met behulp van de CLI, 8.2: Webcacheservices configureren met WCCP: Richtsnoeren en beperkingen
• Cisco ASA Series CLI Configuration Guide, 9.0: Web cacheservices configureren met WCCP

Gebruikte componenten

De informatie in dit document is gebaseerd op Web Cache Communications Protocol (WCCP) versie 2 (V2).

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Conventies

Raadpleeg Cisco Technical Tips Convention voor informatie over documentconventies.

WCCP en ASA-Overzicht

WCCP specificeert interacties tussen een of meer routers en een of meer webcaches. Het doel van de interactie is het instellen en onderhouden van de transparante omleiding van geselecteerde typen verkeer die door een groep routers stromen. Het geselecteerde verkeer wordt omgeleid naar een groep webcaches om het gebruik van hulpbronnen te optimaliseren en de responstijd te verkorten.

Voor WCCP kiest de ASA het hoogste IP adres dat op een interface is geconfigureerd en gebruikt ze dat als de router-ID. Dit is precies het zelfde proces dat Open Kortste Pad Eerst (OSPF) volgt voor de router-ID.  Wanneer ASA pakketten naar de cache-motor (CE) omwijst, levert de ASA de omleiding van het router-ID IP-adres op (zelfs als deze is afgeleid uit een andere interface) en kapselt het pakket in een GRE-header in.

De GRE-verbinding is in één richting. ASA kapselt pakketjes met omleiding in GRE in en stuurt ze naar de caching motor. De ASA verwerkt geen GRE-ingekapselde reacties van de CE. De CE moet rechtstreeks communiceren met de interne gastheer.

De stroom werk voor omleiding bestaat uit de volgende stappen:

1. De host gebruikt de standaardgateway van de ASA om de HTTP-verbinding te openen.
2. ASA wijst het pakket (ingekapseld in GRE) terug naar CE.
3. De CE verifieert of actualiseert de cache voor de gevraagde site.
4. De CE antwoordt rechtstreeks op de gastheer.
   • Alle uitgaande pakketten van de host worden van de ASA naar de CE omgeleid.
   • Alle inkomende pakketten van de server aan de gastheer worden van de CE naar de gastheer geleid.

 

ASA implementeert WCCP V2. Als de server WCCP V2 ondersteunt, moet het compatibel zijn.

WCCP-omleiding

WCCP V2 definieert mechanismen die een of meer routers beschikbaar stellen voor transparante omleiding om connectiviteit op een of meer webcaches te ontdekken, te controleren en bekend te maken. Dit zijn de stappen in WCCP-omleiding:

1. De gebruiker voert een URL in een browser in.
2. De URL wordt naar het Domain Name System (DNS) doorgestuurd voor een adresoplossing.
3. De URL wordt opgelost aan het IP-adres van de webserver.
4. De client start een verbinding naar de server met een SYN-verzoek.
5. Op de actieve router onderscheppt de WCCP web cache service het HTTP-verzoek (TCP-poort 80) en stuurt het verzoek terug naar caches op basis van de geconfigureerde load distribution:
   • Als er een cache hit is, reageert de CE op de originele GET met de gevraagde inhoud en gebruikt de bron IP-adres van de beginserver in het responspakket.
   • Als de gevraagde inhoud nog niet op de CE is opgeslagen, is er een cache-fout:
   1. CE voert een verbinding naar de bronserver in, gebruikt zijn eigen IP-adres als bron en verstuurt de HTTP GET.
   2. De server reageert op CE met inhoud.
   3. De CE schrijft een kopie van de cacheable content naar de disk.

WCCP-servicegroepen

Zodra connectiviteit is gevestigd, vormen de routers en web caches servicegroepen om de omleiding van verkeer aan te pakken waarvan de kenmerken deel uitmaken van de servicegroepdefinitie.

Een webcache geeft een WCCP2_HERE_I_AM-bericht door naar elke router in de groep met tweede intervallen HERE_I_AM_T (10) om zich aan te sluiten bij een servicegroep en dit te behouden. Het bericht kan door unicast aan elke router of door multicast aan het geconfigureerde Service group multicast adres worden gericht.

• De component Web-Cache Identity Info in het WCCP2_HERE_I_AM bericht identificeert het webcachegeheugen door IP-adres.
• De component Service Info van het bericht WCCP2_HERE_I_AM identificeert en beschrijft de servicegroep waarin het webcachegeheugen wil deelnemen.

Servicegroep	Type	Beschrijving
Service 0	Web-cache	Web caching Service die de ASA toestaat om HTTP verkeer naar de CE opnieuw te richten.
Service 53	DNS	DNS-caching-service waarmee de ASA DNS-clientverzoeken op transparante wijze kan doorsturen naar de client.
Service 60	FTP-inheems	Cachingservice waarmee de ASA inheemse FTP-verzoeken op transparante wijze kan doorsturen naar één poort op de inhoud-motor.
Service 70	https-cache	Cachingservice waarmee de ASA poort 443 TCP-verkeer kan onderscheppen en dit HTTPS-verkeer naar de content-motor kan sturen.
Service 80	rtsp	Media streaming service waarmee de ASA Real Time Streaming Protocol (RTSP)-clientverzoeken via één poort op de contentmotor kan worden doorgestuurd.
Service 81	borst	De caching-service van media die de ASA toestaat om op TCP gebaseerde Microsoft Media Server (MMST) omleiding te gebruiken om de client van Windows Media Technology (WMT) naar TCP poort 1755 op de contentmotor te leiden.
Service 82	sms	De caching-service van media die de ASA toestaat om op User Datagram Protocol (UDP) gebaseerde Microsoft Media Server (MMSU)-omleiding te gebruiken om WMT-clientverzoeken naar UDP-poort 1755 op de inhoudsmotor te verzenden.
Service 83	wmt-rtsp	Media streaming service waarmee de ASA RTSP-verzoeken van Windows Media Service 9-klanten kan doorsturen naar UDP-poort 5005 op de CE.
Service 90-97	Configureerbaar	Door gebruiker gedefinieerde WCCP-services die tot acht poorten ondersteunen voor elke WCCP-service. Wanneer u deze door een gebruiker gedefinieerde services instelt, moet u specificeren of u het verkeer wilt omleiden naar de HTTP-caching-toepassing, naar de HTTPS-toepassing of naar de streaming-toepassing op de inhoud-motor.
Service 98	op maat gesneden webcaches	Caching service die het ASA mogelijk maakt om op transparante wijze HTTP-verkeer naar de content-motor te sturen op meerdere poorten behalve poort 80.
Service 99	omgekeerde proxy	Caching service die het ASA mogelijk maakt om HTTP reverse proxy-verkeer om te leiden naar de content engine op poort 80.

Een servicegroep wordt geïdentificeerd aan de hand van het servicetype en de Service-ID. Er zijn twee soorten servicegroepen:

• bekende diensten
• Dynamische services

De bekende diensten zijn bekend bij zowel ASA als webcaches en vereisen geen andere beschrijving dan een Service-ID.

In tegenstelling daarmee moeten dynamische services worden beschreven aan een ASA. De ASA kan zo worden geconfigureerd dat hij deelneemt aan een bepaalde dynamische servicegroep, geïdentificeerd door Service-ID, zonder dat hij op de hoogte is van de kenmerken van het verkeer dat met die servicegroep verband houdt. De verkeersbeschrijving wordt aan de ASA doorgegeven in het WCCP2_HERE_I_AM bericht van het eerste webcachegeheugen om zich bij de servicegroep aan te sluiten. Een webcache gebruikt het Protocol, de Service Flags en de Port-velden van de Service Info-component om een dynamische service te beschrijven. Nadat een dynamische service is gedefinieerd, verwijdert de ASA elk volgende WCCP2_HERE_I_AM bericht dat een conflicterende beschrijving bevat. ASA wijst ook een bericht van WCCP2_HERE_I_AM weg dat een servicegroep beschrijft waarvoor het niet is geconfigureerd.

De getallen 0 tot 254 zijn dynamische diensten, en de web cache service is een standaard of een bekende service. Wat dit betekent is dat wanneer de webcacheservice wordt gespecificeerd, het WCCP V2 protocol vooraf heeft gedefinieerd dat TCP-doelpoort 80-verkeer opnieuw moet worden gericht. Voor de nummers 0 tot 254 vertegenwoordigt elk nummer een dynamische servicegroep. WCCP CEs (zoals Bluecoat) moet een reeks protocollen en poorten definiëren die voor elke servicegroep opnieuw gericht moeten worden. Vervolgens, wanneer de ASA is geconfigureerd met hetzelfde servicegroep nummer (wcp 0 ... of wcp 1 ...), voert de ASA omleiding uit op de opgegeven protocollen en poorten zoals geregisseerd door het Bluecoat apparaat.

Dit is een voorbeeld dat Web-Cache Identity Info toont:

Dit is een voorbeeld dat aantoont dat het webcache deel uitmaakt van servicegroep 0:

Dit is een voorbeeld dat een web cache server toont als onderdeel van de klantenservice groep 91 en de poorten waarvan het verkeer wordt omgeleid naar de server:

ASA reageert op een WCCP2_HERE_I_AM bericht met een WCCP2_I_SEE_You bericht.

• Als het WCCP2_HERE_I_AM bericht eenast was, reageert de router direct met een eenmalig WCCP2_I_SEE_You bericht.
• Als het bericht WCCP2_HERE_I_AM multicast was, reageert de router met het geplande multicast WCCP2_I_SEE_U bericht voor de servicegroep.

Dit is een voorbeeld van het router/ASA 'I see You'-bericht, dat aantoont dat de router zich bij servicegroep 91 aansluit en poorten 8080, 8080 en 443 omwijst naar de web cache server:

Dit is een voorbeeld van een GRE-pakket:

Configureren

Opmerking: In de vervolgkeuzelijst opnieuw direct opnemen zou de toegangslijst alleen netwerkadressen moeten bevatten. Poortspecifieke items worden niet ondersteund.

Opmerking: Zie Cisco ASA 5500 Series Opdrachtreferentie, 8.2 voor meer informatie over de opdracht wcp. 

In deze procedure wordt beschreven hoe u WCCP op een ASA kunt configureren:

1. Typ de opdracht wcp om het verkeer dat u wilt omleiden te specificeren:
   
   

   wccp {web-cache | service_number} [redirect-list access_list] [group-list access_list] 
   [password password]

2. Typ de opdracht wcp om de interface te specificeren waarop verkeersomleiding moet plaatsvinden:
   
   

   wccp interface interface_name {web-cache | service_number} redirect in

Opmerking: WCCP-omleiding wordt alleen ondersteund bij de ingang van een interface.

Dit is een voorbeeld van een ASA-configuratie:

access-list caching permit ip source_subnet mask any
wccp 90 redirect-list caching
wccp interface 90 redirect in

Helpful Commands:
show wccp
show wccp 90 service -> this should indicate the ports that are being serviced by this WCCP 
server. Without the 'service-flags ports-defined' in the Cache server configuration, the ports 
to be redirected are NOT passed to the ASA. Therefore, the traffic will never be redirected. 
This will result in 'Unassigned' increases with 'show wccp'.

ASA# show wccp 90 service

WCCP service information definition:
Type:          Dynamic
Id:            90
Priority:      0
Protocol:      6
Options:       0x00000013
--------
Hash:      SrcIP DstIP
Alt Hash:  -none-
Ports:     Destination:: 80 8080 0 0 0 0 0 0

ASA# show wccp 90 view

WCCP Routers Informed of:
X.X.X.X [Higher IP address on the device will be seen here]

WCCP Cache Engines Visible:
Y.Y.Y.Y [IP address of the web-cache server in the service-group 91]

Opmerking: Gebruik de Command Lookup Tool (alleen voor geregistreerde gebruikers) voor meer informatie over de opdrachten die in deze sectie worden gebruikt.

Verifiëren

Er is momenteel geen verificatieprocedure beschikbaar voor deze configuratie.

Problemen oplossen

Als een herleiding niet werkt zoals verwacht, gebruikt u deze uitgangen om een oplossing te vinden. Al deze outputs zijn op ASA.

• technische ondersteuning voor show
• WCCP [service|weergave |hak|emmer|details] tonen
• asp-tabelclassificatie tonen

Als de uitvoer van deze drie opdrachten geldig is, kunt u het volgende nodig hebben:

• Controleer de juiste systemen.
• Gebruik de opnamecompositie om opnamen tussen de ASA interface en web cache server IP te onderzoeken en opnames te maken tussen de client en de webserver die het probeert te bereiken.

De Output Interpreter Tool (alleen voor geregistreerde klanten) ondersteunt bepaalde opdrachten met show. Gebruik de Output Interpreter Tool om een analyse te bekijken van de output van de opdracht show.

Gerelateerde informatie

• Cisco ASA 5500 Series Next-generation firewalls in de handleidingen
• Cisco ASA 5500 Series configuratie handleidingen voor volgende generatie
• Technische ondersteuning en documentatie – Cisco Systems