WSA-WCCP für ASA - Konfigurationsbeispiel

Einleitung

In diesem Dokument wird die Konfiguration des Web Cache Communication Protocol (WCCP) für die Cisco Adaptive Security Appliance (ASA) über die Cisco Web Security Appliance (WSA) beschrieben.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Cisco WSA
• Cisco ASA
• WCCP
• Transparente Proxybereitstellungen

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

• Cisco WSA Version 7.x
• Cisco ASA Version 8.x

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netz Live ist, überprüfen Sie, ob Sie die mögliche Auswirkung jedes möglichen Befehls verstehen.

Konfigurieren

In diesem Abschnitt können Sie die WCCP für die ASA konfigurieren.

Konfigurationsübersicht

Dies sind die Befehle, die auf der WSA zur Konfiguration des WCCP für die ASA eingegeben werden:

hostname(config)# wccp {web-cache | service_number} [redirect-list access_list]
 [group-list access_list] [password password] 

hostname(config)# wccp interface interface_name {web-cache | service_number}
 redirect in

Dies sind die Eintragsbeschreibungen für diesen Befehl:

• service-number: Dies ist ein dynamischer Dienstbezeichner, d. h. die Dienstdefinition wird vom Cache vorgegeben. Die dynamische Service-Nummer kann zwischen 0 und 255 liegen. Die maximal zulässige Zahl ist 256, einschließlich des Web-Cache-Dienstes, der mit dem Web-Cache-Schlüsselwort angegeben wird.
  
  
• redirect-list: Dies ist ein optionaler Eintrag. Sie wird mit einer Zugriffsliste verwendet, die den Datenverkehr steuert, der an diese Servicegruppe umgeleitet wird. Das Argument access-list ist eine Zeichenfolge mit maximal 64 Zeichen (Name oder Nummer), die die Zugriffsliste angibt.
  

  Hinweis: Die ASA Software Version 8.1 und frühere Versionen akzeptieren den TCP-Port in der Redirect-Liste nicht. Es können nur Netzwerkadressen verwendet werden.

• group-list: Dies ist ein optionaler Zugriffslisteneintrag, der die Web-Caches bestimmt, die zur Teilnahme an der Servicegruppe berechtigt sind. Das Argument access-list ist eine Zeichenfolge mit maximal 64 Zeichen (Name oder Nummer), die die Zugriffsliste angibt.
  
  
• password: Dies ist ein optionaler Eintrag, der die MD5-Authentifizierung (Message Digest 5) für die von der Servicegruppe empfangenen Nachrichten angibt. Nachrichten, die von der Authentifizierung nicht akzeptiert werden, werden verworfen.

Hinweis: Der Standarddienst ist der Web-Cache (Service-ID 0), der nur TCP-Datenverkehr über Port 80 (HTTP) abfängt. Für alle anderen angepassten Services empfiehlt Cisco die Verwendung einer Service-ID zwischen 90 und 97.

Konfigurationsbeispiel

Gehen Sie wie folgt vor, um den WCCP für die ASA über die WSA zu konfigurieren:

1. Geben Sie den folgenden Befehl ein, um den standardmäßigen Service-Gruppen-Web-Cache zu verwenden:
   
   

   wccp web-cache
   wccp interface inside web-cache redirect in

2. Geben Sie diesen Befehl ein, um eine dynamische Servicegruppen-ID für die Umleitung von HTTP- und HTTPS-Datenverkehr zu verwenden:
   
   

   wccp 90 redirect-list wccp-hosts group-list wccp-routers

3. Geben Sie den folgenden Befehl ein, um die WCCP-Sicherheit zu verwenden:
   
   

   wccp 90 redirect-list wccp-hosts group-list wccp-routers password securewccp

4. Die Zugriffsliste kann so konfiguriert werden, dass der an die ASA gesendete Datenverkehr als Ziel-IP-Adresse abgelehnt und an die WSA umgeleitet wird. Dies ist besonders nützlich, wenn die ASA so konfiguriert ist, dass der Datenverkehr an mehrere WSAs umgeleitet wird. Den WSAs können beispielsweise folgende IP-Adressen zugewiesen werden:
   
   
   • WSA1-IP-Adresse = 10.0.0.1
   • WSA2-IP-Adresse = 10.0.0.2
     
     
   Geben Sie die folgenden Befehle ein, um die Zugriffsliste so zu konfigurieren, dass der Datenverkehr abgelehnt wird:
   
   

   access-list wccp-hosts extended deny tcp any host 10.0.0.1
   access-list wccp-hosts extended deny tcp any host 10.0.0.2

5. Geben Sie den folgenden Befehl ein, um die Umleitung des HTTP-Datenverkehrs zu ermöglichen:
   
   

   access-list wccp-hosts extended  permit tcp any any eq www

6. Geben Sie den folgenden Befehl ein, um die Umleitung des HTTPS-Datenverkehrs zu ermöglichen:
   
   

   access-list wccp-hosts extended  permit tcp any any eq https

7. Geben Sie die folgenden Befehle ein, um die WSAs zu definieren, die an der WCCP-Kommunikation teilnehmen dürfen:
   
   

   access-list wccp-routers standard permit host 10.0.0.1
   access-list wccp-routers standard permit host 10.0.0.2

8. Wenn der Befehl redirect-list nicht akzeptiert wird, ist möglicherweise eine erweiterte Zugriffsliste erforderlich. Geben Sie die folgenden Befehle ein, um die erweiterte Zugriffsliste zu konfigurieren:
   
   

   access-list wccp-routers extended permit ip host 10.0.0.1 any
   access-list wccp-routers extended permit ip host 10.0.0.2 any

9. Geben Sie den folgenden Befehl ein, um die Konfiguration zu übernehmen:
   
   

   wccp interface inside 90 redirect in

Überprüfung

Um die globalen Statistiken anzuzeigen, die sich auf WCCP beziehen, geben Sie den Befehl show wccp im privilegierten EXEC-Modus ein:

show wccp {web-cache | service-number}[detail | view]
show run | inc wccp

Hinweis: Die Art des umgeleiteten Datenverkehrs (HTTP, HTTPS, FTP) wird durch die WSA WCCP-Konfiguration definiert. Die ASA kann den umgeleiteten Datenverkehr nur mithilfe der Umleitungsliste filtern.

Fehlerbehebung

Für diese Konfiguration sind derzeit keine spezifischen Informationen zur Fehlerbehebung verfügbar.

Zugehörige Informationen

• Konfigurieren von Webcachediensten mithilfe von WCCP
• Technischer Support und Dokumentation für Cisco Systeme