Ejemplo de Configuración de WSA WCCP para ASA

Introducción

Este documento describe cómo configurar el protocolo de comunicación de caché web (WCCP) para el dispositivo de seguridad adaptable de Cisco (ASA) a través del dispositivo de seguridad Cisco Web Security Appliance (WSA).

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Cisco WSA
• Cisco ASA
• WCCP
• Implementaciones de proxy transparentes

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• Cisco WSA versión 7.x
• Cisco ASA versión 8.x

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). If your network is live, make sure that you understand the potential impact of any command.

Configurar

Utilice esta sección para configurar el WCCP para el ASA.

Información general sobre configuración

Estos son los comandos que se ingresan en el WSA para configurar el WCCP para el ASA:

hostname(config)# wccp {web-cache | service_number} [redirect-list access_list]
 [group-list access_list] [password password] 

hostname(config)# wccp interface interface_name {web-cache | service_number}
 redirect in

Estas son las descripciones de entrada para este comando:

• service-number: Este es un identificador de servicio dinámico, lo que significa que la definición de servicio es dictada por la memoria caché. El número de servicio dinámico puede oscilar entre 0 y 255. El número máximo permitido es 256, que incluye el servicio de caché web especificado con la palabra clave web-cache.
  
  
• redirect-list: se trata de una entrada opcional. Se utiliza con una lista de acceso que controla el tráfico que se redirige a este grupo de servicio. El argumento access-list es una cadena de no más de 64 caracteres (nombre o número) que especifica la lista de acceso.
  

  Nota: Las versiones 8.1 y anteriores del software ASA no aceptan el puerto TCP en la lista de redireccionamiento; sólo se pueden utilizar direcciones de red.

• group-list: es una entrada opcional de la lista de acceso que determina las cachés web que tienen permiso para participar en el grupo de servicio. El argumento access-list es una cadena de no más de 64 caracteres (nombre o número) que especifica la lista de acceso.
  
  
• password: entrada opcional que especifica la autenticación Message Digest 5 (MD5) para los mensajes recibidos del grupo de servicio. Los mensajes que no son aceptados por la autenticación son descartados.

Nota: el servicio estándar es la caché web (ID de servicio 0), que solo intercepta el tráfico del puerto TCP 80 (HTTP). Para cualquier otro servicio personalizado, Cisco recomienda que utilice un ID de servicio entre 90 y 97.

Ejemplo de configuración

Complete estos pasos para configurar el WCCP para el ASA vía el WSA:

1. Ingrese este comando para utilizar el grupo de servicio predeterminado web-cache:
   
   

   wccp web-cache
   wccp interface inside web-cache redirect in

2. Ingrese este comando para utilizar un ID de grupo de servicio dinámico para la redirección del tráfico HTTP y HTTPS:
   
   

   wccp 90 redirect-list wccp-hosts group-list wccp-routers

3. Ingrese este comando para utilizar la seguridad WCCP:
   
   

   wccp 90 redirect-list wccp-hosts group-list wccp-routers password securewccp

4. La lista de acceso se puede configurar de modo que niegue el tráfico que se envía al ASA como dirección IP de destino y lo redirija al WSA. Esto es particularmente útil cuando el ASA se configura para redirigir el tráfico a los WSA múltiples. Por ejemplo, a los WSA se les pueden asignar estas direcciones IP:
   
   
   • Dirección IP WSA1 = 10.0.0.1
   • Dirección IP de WSA2 = 10.0.0.2
     
     
   Ingrese estos comandos para configurar la lista de acceso para denegar el tráfico:
   
   

   access-list wccp-hosts extended deny tcp any host 10.0.0.1
   access-list wccp-hosts extended deny tcp any host 10.0.0.2

5. Ingrese este comando para permitir que el tráfico HTTP sea redirigido:
   
   

   access-list wccp-hosts extended  permit tcp any any eq www

6. Ingrese este comando para permitir que el tráfico HTTPS sea redirigido:
   
   

   access-list wccp-hosts extended  permit tcp any any eq https

7. Ingrese estos comandos para definir los WSA que pueden participar en la comunicación WCCP:
   
   

   access-list wccp-routers standard permit host 10.0.0.1
   access-list wccp-routers standard permit host 10.0.0.2

8. Si no se acepta el comando redirect-list, es posible que se necesite una lista de acceso ampliada. Ingrese estos comandos para configurar la lista de acceso ampliada:
   
   

   access-list wccp-routers extended permit ip host 10.0.0.1 any
   access-list wccp-routers extended permit ip host 10.0.0.2 any

9. Ingrese este comando para aplicar la configuración:
   
   

   wccp interface inside 90 redirect in

Verificación

Para mostrar las estadísticas globales que están relacionadas con WCCP, ingrese el comando show wccp en el modo EXEC privilegiado:

show wccp {web-cache | service-number}[detail | view]
show run | inc wccp

Nota: El tipo de tráfico (HTTP, HTTPS, FTP) que se redirige lo define la configuración WCCP de WSA. El ASA sólo puede filtrar el tráfico redirigido con el uso de la lista de redireccionamiento.

Troubleshoot

Actualmente, no hay información específica de troubleshooting disponible para esta configuración.

Información Relacionada

• Configuración de Servicios de Caché Web Usando WCCP
• Soporte Técnico y Documentación - Cisco Systems