Exemplo de configuração do WSA WCCP para ASA

Introdução

Este documento descreve como configurar o Protocolo de Comunicação de Cache da Web (WCCP - Web Cache Communication Protocol) para o Cisco Adaptive Security Appliance (ASA) através do Cisco Web Security Appliance (WSA).

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Cisco WSA
• Cisco ASA
• WCCP
• Implantações de proxy transparentes

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

• Cisco WSA versão 7.x
• Cisco ASA versão 8.x

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a sua rede estiver ativa, certifique-se de que entende o impacto potencial de qualquer comando.

Configurar

Use esta seção para configurar o WCCP para o ASA.

Visão geral sobre a configuração

Estes são os comandos inseridos no WSA para configurar o WCCP para o ASA:

hostname(config)# wccp {web-cache | service_number} [redirect-list access_list]
 [group-list access_list] [password password] 

hostname(config)# wccp interface interface_name {web-cache | service_number}
 redirect in

Estas são as descrições de entrada para este comando:

• service-number: é um identificador de serviço dinâmico, que significa que a definição do serviço é ditada pelo cache. O número de serviço dinâmico pode variar de 0 a 255. O número máximo permitido é 256, que inclui o serviço de cache da Web especificado com a palavra-chave web-cache.
  
  
• redirect-list: Esta é uma entrada opcional. Ele é usado com uma lista de acesso que controla o tráfego redirecionado para esse grupo de serviços. O argumento access-list é uma sequência de caracteres com no máximo 64 caracteres (nome ou número) que especifica a lista de acesso.
  

  Observação: as versões 8.1 e anteriores do software ASA não aceitam a porta TCP na lista de redirecionamento; somente endereços de rede podem ser usados.

• group-list: Esta é uma entrada de lista de acesso opcional que determina os web caches que têm permissão para participar do grupo de serviços. O argumento access-list é uma sequência de caracteres com no máximo 64 caracteres (nome ou número) que especifica a lista de acesso.
  
  
• password: Esta é uma entrada opcional que especifica a autenticação MD5 (Message Digest 5) para as mensagens recebidas do grupo de serviços. As mensagens não aceitas pela autenticação são descartadas.

Observação: o serviço padrão é o web-cache (Service ID 0), que intercepta apenas o tráfego da porta TCP 80 (HTTP). Para qualquer outro serviço personalizado, a Cisco recomenda que você use uma ID de serviço entre 90 e 97.

Exemplo de configuração

Conclua estas etapas para configurar o WCCP para o ASA via WSA:

1. Insira este comando para usar o cache da Web do grupo de serviços padrão:
   
   

   wccp web-cache
   wccp interface inside web-cache redirect in

2. Insira este comando para usar um ID de grupo de serviço dinâmico para o redirecionamento de tráfego HTTP e HTTPS:
   
   

   wccp 90 redirect-list wccp-hosts group-list wccp-routers

3. Insira este comando para usar a segurança WCCP:
   
   

   wccp 90 redirect-list wccp-hosts group-list wccp-routers password securewccp

4. A lista de acesso pode ser configurada de modo que negue o tráfego enviado ao ASA como um endereço IP destino e o redirecione para o WSA. Isso é particularmente útil quando o ASA está configurado para redirecionar o tráfego para vários WSAs. Por exemplo, os WSAs podem receber estes endereços IP:
   
   
   • Endereço IP do WSA1 = 10.0.0.1
   • Endereço IP do WSA2 = 10.0.0.2
     
     
   Insira estes comandos para configurar a lista de acesso para negar o tráfego:
   
   

   access-list wccp-hosts extended deny tcp any host 10.0.0.1
   access-list wccp-hosts extended deny tcp any host 10.0.0.2

5. Digite este comando para permitir que o tráfego HTTP seja redirecionado:
   
   

   access-list wccp-hosts extended  permit tcp any any eq www

6. Insira este comando para permitir que o tráfego HTTPS seja redirecionado:
   
   

   access-list wccp-hosts extended  permit tcp any any eq https

7. Insira estes comandos para definir os WSAs que podem participar da comunicação WCCP:
   
   

   access-list wccp-routers standard permit host 10.0.0.1
   access-list wccp-routers standard permit host 10.0.0.2

8. Se o comando redirect-list não for aceito, talvez seja necessária uma lista de acesso estendida. Insira estes comandos para configurar a lista de acesso estendida:
   
   

   access-list wccp-routers extended permit ip host 10.0.0.1 any
   access-list wccp-routers extended permit ip host 10.0.0.2 any

9. Insira este comando para aplicar a configuração:
   
   

   wccp interface inside 90 redirect in

Verificar

Para exibir as estatísticas globais relacionadas ao WCCP, insira o comando show wccp no modo EXEC privilegiado:

show wccp {web-cache | service-number}[detail | view]
show run | inc wccp

Observação: o tipo de tráfego (HTTP, HTTPS, FTP) que é redirecionado é definido pela configuração WSA WCCP. O ASA só pode filtrar o tráfego redirecionado com o uso da lista de redirecionamento.

Troubleshooting

Atualmente, não existem informações disponíveis específicas sobre Troubleshooting para esta configuração.

Informações Relacionadas

• Configurando os serviços de cache da Web usando o WCCP
• Suporte Técnico e Documentação - Cisco Systems