Configure a otimização de tráfego do Youtube com o Akamai Connect

Introdução

Este documento descreve as etapas necessárias para configurar a Aceleração do Youtube no Cisco Wide Area Application Services (WAAS) usando o recurso Akamai Connect.

Observação: neste artigo, o termo dispositivo WAAS é usado para se referir coletivamente aos WAAS Central Managers e WAEs em sua rede. O termo WAE (Wide Area Application Engineer, engenheiro de aplicativos de área ampla) se refere aos dispositivos WAE e WAVE, aos módulos SM-SRE que executam WAAS e às instâncias vWAAS.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Cisco WAAS
• Infraestrutura de chave pública
• Certificado SSL

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software:

• Cisco WAAS versão 5.5.1
• Cisco WAAS versão 6.2.1

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a sua rede estiver ativa, certifique-se de que entende o impacto potencial de qualquer comando.

Informações de Apoio

Akamai Connect e WAAS

O recurso Akamai Connect é um componente de cache de objeto HTTP/S adicionado ao Cisco WAAS. Ele está integrado à pilha de software WAAS existente e é aproveitado por meio do HTTP Application Otimizer. O Akamai Connect ajuda a reduzir a latência do tráfego HTTP/S para aplicativos empresariais e da Web e pode melhorar o desempenho de muitos aplicativos, incluindo POS (Point of Sale, ponto de venda), vídeo HD, sinalização digital e processamento de pedidos na loja. Ele fornece descarregamento de dados de WAN significativo e mensurável e é compatível com funções WAAS existentes, como DRE (desduplicação), LZ (compactação), TFO (Otimização de fluxo de transporte) e aceleração SSL (segura/criptografada) para aceleração de primeira e segunda passagem.

Estes termos são usados com o Akamai Connect e o WAAS:

• Akamai Connect - O Akamai Connect é um componente de cache de objetos HTTP/S adicionado ao Cisco WAAS, integrado à pilha de software WAAS existente e aproveitado por meio do HTTP Application Otimizer. O WAAS com Akamai Connect ajuda a reduzir a latência do tráfego HTTP/S para aplicativos empresariais e da Web.
  
  
• Akamai Connected Cache - O Akamai Connected Cache é um componente do Akamai Connect, que permite que o mecanismo de cache (CE) armazene em cache o conteúdo que é fornecido por um servidor Edge na Plataforma inteligente Akamai.

Configurar

Etapa 1. Você precisa de um certificado SSL assinado por sua CA interna/pública.

O certificado precisa incluir o seguinte SubjectAltName:

    *.youtube.com

    *.googlevideo.com

    *.ytimg.com

    *.ggpht.com

    youtube.com

Este é um exemplo de certificado:

Etapa 2. Você precisa confiar na Autoridade de Certificação (CA) raiz e/ou intermediária da sua organização.

Isso pode ser obtido usando a Diretiva de Grupo no domínio do Ative Diretory.

Se você estiver testando essa configuração em um laboratório, poderá instalar a CA intermediária e/ou raiz no dispositivo cliente como uma CA confiável.

Etapa 3. Crie um serviço SSL acelerado no dispositivo WAAS usando a GUI do WAAS Central Manager.

No Akamai de lado duplo (anterior ao WAAS 6.2.3), configure o serviço acelerado SSL no WAAS central. Para Akamai de lado único (WAAS 6.2.3 ou posterior), configure o servidor acelerado SSL no WAAS da filial e ative a placa intermediária SSL. Essa é a única diferença entre a configuração de lado duplo e a configuração de lado único.

Observação: o WAAS que executa a versão de software anterior à 6.2.3 precisa de uma configuração Akamai de lado duplo para acelerar o tráfego do Youtube O núcleo do WAAS envia os proxies da conexão SSL para o Youtube. O WAAS que executa o software release 6.2.3 ou posterior suporta SSL AO v2 (SAKE). Isso permite que o WAAS da filial aplique proxy à conexão SSL quando a filial envia o tráfego diretamente para a Internet sem ser direcionado através da infraestrutura do data center.

Navegue até Devices > Configure > Acceleration > SSL Accelerated Service, conforme mostrado na imagem:

Etapa 4. Configurar o Serviço Acelerado SSL.

Se você usar um proxy explícito, o Encadeamento de Protocolos precisará ser habilitado. O HTTP AO deve ser aplicado à porta TCP usada para fazer proxy do tráfego (por exemplo, 80 ou 8080).

Match Server Name Indication precisa ser verificado. Nessa configuração, quando o WAAS central recebe tráfego SSL, ele compara o campo SNI no Hello do cliente com o SubjectAltName no certificado carregado. Se o campo SNI corresponder ao SubjectAltName, o núcleo do WAAS usará proxies nesse tráfego SSL.

Quando o campo Match Server Name Indication estiver marcado, use Any para IPAddress e 443 para Server Port. Clique em Adicionar para adicionar essa entrada.

SNI (Server Name Indication, indicação de nome de servidor)

Etapa 5. Carregar certificado e chave privada.

Você precisa fornecer um certificado e uma chave privada. O exemplo mostrado na imagem usa o formato PEM:

Etapa 6. Verifique as informações do certificado carregado.

Passo 7. Clique no botão ENVIAR e este é o resultado final.

Etapa 8. Ative o Akamai Connect.

Navegue até Devices > Configure > Caching > Akamai Connect.

Etapa 9. Habilite a placa intermediária SSL no WAAS da filial (necessário somente para a configuração de lado único).

Verificar

Etapa 1. Você precisa ativar o Akamai Connect no WAAS da filial.

WAAS-BRANCH# show accelerator http object-cache

   HTTP Object-cache
   ..........
   Status
   --------
                Operational State            
                -----------------            
                Running             
                Akamai Connected Cache State
                ------------------------
               Connected 

Verifique se o estado operacional é Running e se o estado Connect é Connected.

Etapa 2. Verifique a Aceleração do Youtube no Cliente.

Quando você acessa o Youtube você deve ver o certificado assinado por sua própria CA:

Etapa 3. Verifique no WAAS.

Verifique se o SSL AO está aplicado corretamente ao tráfego:

Exemplo de saída da CLI ao executar o software WAAS antes do 6.2.3 (SSL AO v1 e configuração de site duplo)

WAAS-BRANCH#show statistics connection

ConnID        Source IP:Port          Dest IP:Port            PeerID Accel RR   
  6859     10.66.86.90:13110       10.66.85.121:80 00:06:f6:e6:58:56 THSDL 51.9%
  6839     10.66.86.90:13105       10.66.85.121:80 00:06:f6:e6:58:56 THSDL 16.6%
  6834     10.66.86.90:13102       10.66.85.121:80 00:06:f6:e6:58:56 THSDL 93.5%
  6733     10.66.86.90:13022       10.66.85.121:80 00:06:f6:e6:58:56 THSDL 72.7%
  6727     10.66.86.90:13016       10.66.85.121:80 00:06:f6:e6:58:56 THSDL 03.9%

Exemplo de saída da CLI ao executar o software WAAS 6.2.3 ou posterior (SSL AO v2 e Configuração de site único)

WAAS-BRANCH#show statistics connection

ConnID        Source IP:Port          Dest IP:Port            PeerID Accel RR   
  3771     10.66.86.66:60730     58.162.61.183:443               N/A THs   50.9%
  3770     10.66.86.66:60729     58.162.61.183:443               N/A THs   52.1%
  3769     10.66.86.66:60728     58.162.61.183:443               N/A THs   03.0%
  3752     10.66.86.66:60720    208.117.242.80:443               N/A THs   54.8%
  3731     10.66.86.66:60705      203.37.15.29:443               N/A THs   13.8%
  3713     10.66.86.66:60689     58.162.61.142:443               N/A THs   40.4%
  3692     10.66.86.66:60669     144.131.80.15:443               N/A THs   10.4%

Verifique o ce-access-errorlog no WAAS da filial. Entradas de log para tráfego otimizado têm um código de 10000 associado a elas (Indique classificado como OTT-Youtube) e h - - - 200 indica que o cache de objetos é atingido e o tráfego é atendido localmente. A maior aceleração é esperada no googlevideo. Você pode abrir vários navegadores na máquina de teste e reproduzir o mesmo vídeo ao mesmo tempo para testar a configuração:

Exemplo de saída de ce-errorlog:

08/09/2016 01:49:26.612 (fl=5948) 10000 0.002 0.033 1356 - - 148814 10.66.86.90 10.66.85.121 2905 h - - - 200 GET
https://r5---sn-uxanug5-ntqk.googlevideo.com/videoplayback?dur=703.721&ei=ozapV8jrGdWc4AKytYaYBQ&fexp=3300116%2C3
300131%2C3300161%2C3312739%2C3313265%2C9422596%2C9428398%2C9431012%2C9433096%2C9433223%2C9433946%2C9435526%2C9437
066%2C9437552%2C9438327%2C9438662%2C9438804%2C9439580%2C9442424%2C9442920&requiressl=yes&initcwndbps=6383750&gir=
yes&sparams=clen%2Cdur%2Cei%2Cgir%2Cid%2Cinitcwndbps%2Cip%2Cipbits%2Citag%2Ckeepalive%2Clmt%2Cmime%2Cmm%2Cmn%2Cms
%2Cmv%2Cpl%2Crequiressl%2Csource%2Cupn%2Cexpire&signature=34635AFA02C12695F90E50E067E6BD4B7E582132.DEB68217D77D25
F02925B272C6B3F032D3764535&ipbits=0&ms=au&mt=1470706873&pl=22&mv=m&mm=31&mn=sn-uxanug5-ntqk&keepalive=yes&key=yt6
&ip=64.104.248.209&clen=10444732&sver=3&source=youtube&itag=251&lmt=1466669747365466&upn=17O0mSaUqq4&expire=14707
28963&id=o-ABXm_M_rqaPqauN_rtx9jNvU4NPYMD-wx-oJw0mAUclg&mime=audio%2Fwebm&cpn=YsB-JmbO4EU-BeHl&alr=yes&ratebypass
=yes&c=WEB&cver=1.20160804&range=136064-284239&rn=4&rbuf=8659 - -

08/09/2016 01:49:26.899 (fl=5887) 10000 0.003 0.029 1357 - - 191323 10.66.86.90 10.66.85.121 2905 h - - - 200 GET
 https://r5---sn-uxanug5-ntqk.googlevideo.com/videoplayback?dur=703.721&ei=ozapV8jrGdWc4AKytYaYBQ&fexp=3300116%2C3
300131%2C3300161%2C3312739%2C3313265%2C9422596%2C9428398%2C9431012%2C9433096%2C9433223%2C9433946%2C9435526%2C9437
066%2C9437552%2C9438327%2C9438662%2C9438804%2C9439580%2C9442424%2C9442920&requiressl=yes&initcwndbps=6383750&gir=
yes&sparams=clen%2Cdur%2Cei%2Cgir%2Cid%2Cinitcwndbps%2Cip%2Cipbits%2Citag%2Ckeepalive%2Clmt%2Cmime%2Cmm%2Cmn%2Cms
%2Cmv%2Cpl%2Crequiressl%2Csource%2Cupn%2Cexpire&signature=34635AFA02C12695F90E50E067E6BD4B7E582132.DEB68217D77D25
F02925B272C6B3F032D3764535&ipbits=0&ms=au&mt=1470706873&pl=22&mv=m&mm=31&mn=sn-uxanug5-ntqk&keepalive=yes&key=yt6
&ip=64.104.248.209&clen=10444732&sver=3&source=youtube&itag=251&lmt=1466669747365466&upn=17O0mSaUqq4&expire=14707
28963&id=o-ABXm_M_rqaPqauN_rtx9jNvU4NPYMD-wx-oJw0mAUclg&mime=audio%2Fwebm&cpn=YsB-JmbO4EU-BeHl&alr=yes&ratebypass
=yes&c=WEB&cver=1.20160804&range=284240-474924&rn=6&rbuf=17442 - -

A saída de show statistic acceleration http object-cache também deve mostrar os acertos do ott-youtube aumentando:

WAAS-BRANCH# show statistics accelerator http object-cache
..........
Object Cache Caching Type:                                         ott-youtube
   Object cache transactions served from cache:                       52       
   Object cache request bytes for cache-hit transactions:             68079    
   Object cache response bytes for cache-hit transactions:            14650548
..........

Troubleshooting

Problema: o tráfego não é acelerado pelo SSL AO.

Solução:

Verifique se SSL AO corresponde ao SNI no WAAS central com estes comandos de depuração:

Este é um exemplo de uma saída bem-sucedida de ssl-errorlog:

WAAS# debug accelerator ssl sni
08/09/2016 01:33:23.721sslao(20473 4.0) TRCE (721383) SNI(youtube.com) matched with certificate SNA youtube.com [c2s.c:657]

08/09/2016 01:33:23.962sslao(20473 6.0) TRCE (962966) SNI(youtube.com) matched with certificate SNA youtube.com [c2s.c:657]

Este é um exemplo de uma saída malsucedida de ssl-errorlog:

WAAS# debug accelerator ssl sni
08/09/2016 01:19:35.929sslao(20473 5.0) NTCE (929983) Unknown SNI: youtube.com [sm.c:4312]

08/09/2016 01:20:58.913sslao(20473 3.0) TRCE (913804) Pipethrough connection unknown SNI:youtube.com IP:10.66.85.121 ID:655078 [c2s.c:663]

Problema: O navegador não pode se conectar ao Youtube e não há certificado enviado.

Solução:

Isso pode ser causado pelo núcleo WAAS não confiando no certificado empurrado pelo Youtube.

Desmarque essa opção no serviço acelerado SSL.

Problema: o tráfego atinge o Mecanismo de Conexão Akamai, mas não há nenhum acerto de Cache.

Solução:

Isso pode ser causado pela aplicação da verificação If-Modified-since (IMF) no WAAS da filial. A opção IMS pode verificar o registro forçado da atividade dos usuários em um servidor proxy ou dispositivo de análise de uso. Quando a verificação do IMS está habilitada, na versão atual do OTT, o Youtube sempre solicita que o cliente busque a cópia mais recente do servidor de origem.

Isso pode ser observado em ce-access-errorlog:

07/20/2016 00:41:49.420 (fl=36862) 10000 2.511 0.000 1312 1383 4194962 4194941 10.37.125.203 10.6.76.220 2f25 l-s
s-ims-fv - - 200 GET  https://r3---sn-jpuxj-coxe.googlevideo.com/videoplayback?signature=AACC537F02B652FEA0600C90
0B069CA3063C15CD.58BA962C80C0E7DFA9A6664ECDCCE6404A3E2C65&clen=601694377&pl=24&mv=m&mt=1468974801&ms=au&ei=a8iOV-
HZG4u24gL-hpu4BQ&mn=sn-jpuxj-coxe&mm=31&key=yt6&sparams=clen%2Cdur%2Cei%2Cgir%2Cid%2Cinitcwndbps%2Cip%2Cipbits%2C
itag%2Ckeepalive%2Clmt%2Cmime%2Cmm%2Cmn%2Cms%2Cmv%2Cpl%2Crequiressl%2Csource%2Cupn%2Cexpire&sver=3&gir=yes&fexp=9
416891%2C9422596%2C9428398%2C9431012%2C9433096%2C9433221%2C9433946%2C9435526%2C9435876%2C9437066%2C9437553%2C9437
742%2C9438662%2C9439652&expire=1468996811&initcwndbps=9551250&ipbits=0&mime=video%2Fmp4&upn=B-BbHfjKlaI&source=yo
utube&dur=308.475&id=o-ABCCHl2_QzDMemZ8Eh7hbsSbhXZQ7yt325a-xfqNROk1&lmt=1389684805775554&itag=138&requiressl=yes&
ip=203.104.11.77&keepalive=yes&cpn=4cIAF7ZEwNbfV7Cr&alr=yes&ratebypass=yes&c=WEB&cver=1.20160718&range=193174249-
197368552&rn=68&rbuf=23912 - -

Desmarque-os no WAAS da filial para desabilitar a verificação de IMS:

Navegue até Configure > Caching > Akamai Connect.

Espera-se que esse problema seja corrigido no WAAS 6.3 e posterior.

Problema: o Cache Akamai interrompe a conexão HTTPS ao passar por um proxy com Autenticação.

Solução:

Quando você precisa passar por um proxy antes de ir para a Internet e o proxy requer autenticação, o WAAS pode interromper a conexão HTTPS. A captura de pacote feita no WAAS da filial mostra a resposta do HTTP 407 do site do servidor. No entanto, a captura é interrompida após o primeiro pacote. Os pacotes subsequentes não são enviados e a resposta está incompleta.

Isso é rastreado no defeito CSCva26420 e provavelmente será corrigido na versão 6.3 do WAAS.