Frage
Führt WCCP mit Authentifizierung und mehreren WSAs zu einer Schleife (ACL erforderlich, um den Client-Zugriff zu beschränken)?
Symptome
Bei Verwendung von WCCP, Authentifizierung und mindestens zwei WSAs werden Clients umgeleitet, wenn sie auf die URL des transparenten Authentifizierungsservers zugreifen. Dies wird als schwere Latenz oder Zeitüberschreitung auf dem Client angezeigt.
Lösung
Wenn die Authentifizierung mit WCCP verwendet wird, muss die WSA den Client zuerst an sich selbst umleiten, bevor er die Authentifizierung durchführen kann. Dies ist ein notwendiger Schritt, da die Authentifizierung nicht zweimal für dasselbe Ziel durchgeführt werden kann.
Das Problem besteht darin, dass der WCCP-Router eine neue Anforderung für die WSA sendet, wenn der Client eine neue Anforderung sendet, die dann über den WCCP-Pool zurückgeleitet wird. Diese Anforderung kann über einen anderen WSA als Proxy weitergeleitet werden, sodass der zweite WSA versucht, das Objekt von der ersten WSA abzurufen.
Um ein solches unerwünschtes Verhalten zu verhindern, muss auf dem WCCP-Router eine ACL erstellt werden. Die ACL sollte ähnlich wie folgt aussehen:
| ACL-Leitung |
Zweck |
| access-list 105 deny ip host <WSA 1> any |
Von WSA 1 stammenden Datenverkehr NICHT umleiten |
| access-list 105 deny ip host <WSA 2> any |
Von WSA 2 stammenden Datenverkehr NICHT umleiten |
| access-list 105 deny ip host any <WSA 2> |
KEINE Clients direkt an WSA 1 weiterleiten (Authentifizierung) |
| access-list 105 deny ip host any <WSA 1> |
KEINE Clients direkt an WSA 2 weiterleiten (Authentifizierung) |
Dadurch wird verhindert, dass die Clients für die Proxy-Authentifizierungsanforderungen an die WSAs umgeleitet werden.
Sie können auch die Anzahl der WSAs begrenzen, die als Web-Caches akzeptiert werden sollen, indem Sie die Gruppenliste verwenden:
| ACL-Leitung |
Zweck |
| access-list 15 permit <WSA 1> |
Diese IP-Adresse darf in die angegebene WCCP-Dienst-ID eingeschlossen werden. |
| access-list 15 permit <WSA 2> |
Diese IP-Adresse darf in die angegebene WCCP-Dienst-ID eingeschlossen werden. |
Die Syntax zum Implementieren von WCCP mit diesen ACLs lautet wie folgt:
ip wccp <Service-ID> redirect-list 105
ip wccp <Service-ID> redirect-list 105 group-list 15
HINWEIS: Sie müssen eine Regel für jede vorhandene WSA hinzufügen. Im obigen Szenario waren nur zwei WSAs vorhanden.
Feedback