WSA WCCP voor ASA Configuration Voorbeeld

Inleiding

Dit document beschrijft hoe u het Web Cache Communication Protocol (WCCP) voor de Cisco adaptieve security applicatie (ASA) kunt configureren via de Cisco Web Security applicatie (WSA).

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Cisco WSA-software
• Cisco ASA
• WCCP
• Transparante proxy-implementaties

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• Cisco WAAS versie 7.x
• Cisco ASA versie 8.x

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Configureren

Gebruik deze sectie om WCCP voor de ASA te configureren.

Overzicht van configuratie

Dit zijn de opdrachten die op de WSA zijn ingevoerd om WCCP voor de ASA te configureren:

hostname(config)# wccp {web-cache | service_number} [redirect-list access_list]
 [group-list access_list] [password password] 

hostname(config)# wccp interface interface_name {web-cache | service_number}
 redirect in

Dit zijn de beschrijvingen van de vermeldingen voor deze opdracht:

• service-nummer: Dit is een dynamische service-identifier, wat betekent dat de service-definitie wordt gedicteerd door de cache. Het dynamische servicenummer kan variëren van 0 tot 255. Het maximum toegestane aantal is 256, die de web-cache service die is gespecificeerd met het web-cache sleutelwoord omvat.
  
  
• omleiden-lijst: Dit is een facultatieve ingang. Het wordt gebruikt met een toegangslijst die het verkeer controleert dat aan deze servicegroep wordt omgeleid. Het access-list argument is een string van niet meer dan 64 karakters (naam of nummer) die de access list specificeert.
  

  Opmerking: de ASA-softwareversies 8.1 en hoger accepteren de TCP-poort niet in de redirect-list; alleen netwerkadressen kunnen worden gebruikt.

• groep-lijst: Dit is een facultatieve ingang van de toegangslijst die de webcaches bepaalt die om aan de de dienstgroep worden toegestaan deel te nemen. Het access-list argument is een string van niet meer dan 64 karakters (naam of nummer) die de access list specificeert.
  
  
• wachtwoord: Dit is een optionele vermelding die de Berichtsamenvatting 5 (MD5)-verificatie specificeert voor de berichten die van de servicegroep worden ontvangen. De berichten die niet door de authentificatie worden goedgekeurd worden verworpen.

Opmerking: de standaardservice is web-cache (Service ID 0), die alleen TCP-poort 80 (HTTP)-verkeer onderschept. Voor alle andere aangepaste services raadt Cisco u aan een Service-ID tussen 90 en 97 te gebruiken.

Configuratievoorbeeld

Voltooi de volgende stappen om de WCCP voor de ASA via de WSA te configureren:

1. Voer deze opdracht in om het web-cache van de standaard servicegroep te gebruiken:
   
   

   wccp web-cache
   wccp interface inside web-cache redirect in

2. Voer deze opdracht in om een id van een dynamische servicegroep te gebruiken voor de omleiding van HTTP- en HTTPS-verkeer:
   
   

   wccp 90 redirect-list wccp-hosts group-list wccp-routers

3. Voer deze opdracht in om WCCP-beveiliging te gebruiken:
   
   

   wccp 90 redirect-list wccp-hosts group-list wccp-routers password securewccp

4. De toegangslijst kan zo worden geconfigureerd dat het verkeer dat naar de ASA wordt verzonden als IP-adres van de bestemming wordt ontkend en naar de WSA wordt omgeleid. Dit is in het bijzonder nuttig wanneer de ASA is geconfigureerd om verkeer naar meerdere WSA’s te leiden. Aan de WSA’s kunnen bijvoorbeeld deze IP-adressen worden toegewezen:
   
   
   • WSA1 IP-adres = 10.0.0.1
   • WSA2 IP-adres = 10.0.0.2
     
     
   Voer deze opdrachten in om de toegangslijst te configureren en het verkeer te weigeren:
   
   

   access-list wccp-hosts extended deny tcp any host 10.0.0.1
   access-list wccp-hosts extended deny tcp any host 10.0.0.2

5. Voer deze opdracht in om het HTTP-verkeer te kunnen omleiden:
   
   

   access-list wccp-hosts extended  permit tcp any any eq www

6. Voer deze opdracht in om het HTTPS-verkeer te kunnen omleiden:
   
   

   access-list wccp-hosts extended  permit tcp any any eq https

7. Voer deze opdrachten in om de WSA’s te definiëren die mogen deelnemen aan de WCCP-communicatie:
   
   

   access-list wccp-routers standard permit host 10.0.0.1
   access-list wccp-routers standard permit host 10.0.0.2

8. Als de opdracht omleiden-lijst niet wordt geaccepteerd, is er mogelijk een uitgebreide toegangslijst nodig. Voer deze opdrachten in om de uitgebreide toegangslijst te configureren:
   
   

   access-list wccp-routers extended permit ip host 10.0.0.1 any
   access-list wccp-routers extended permit ip host 10.0.0.2 any

9. Voer deze opdracht in om de configuratie toe te passen:
   
   

   wccp interface inside 90 redirect in

Verifiëren

Om de globale statistieken weer te geven die betrekking hebben op WCCP, voert u de opdracht show wccp in in de bevoorrechte EXEC-modus:

show wccp {web-cache | service-number}[detail | view]
show run | inc wccp

Opmerking: het type verkeer (HTTP, HTTPS, FTP) dat wordt omgeleid, wordt gedefinieerd door de WSA WCCP-configuratie. ASA kan alleen het omgeleide verkeer filteren met behulp van de omleidingslijst.

Problemen oplossen

Er is momenteel geen specifieke troubleshooting-informatie beschikbaar voor deze configuratie.

Gerelateerde informatie

• Web Cache services configureren met WCCP
• Technische ondersteuning en documentatie – Cisco Systems