Configurer l'optimisation du trafic Youtube avec Akamai Connect
Contenu
Introduction
Ce document décrit les étapes requises pour configurer l'accélération Youtube sur les services d'application de réseau étendu Cisco (WAAS) à l'aide de la fonctionnalité Akamai Connect.
Conditions préalables
Conditions requises
Cisco vous recommande de prendre connaissance des rubriques suivantes :
- Cisco WAAS
- Infrastructure à clé publique
- Certificat SSL (Secure Sockets Layer)
Components Used
Les informations contenues dans ce document sont basées sur les versions de logiciel suivantes :
- Cisco WAAS version 5.5.1
- Cisco WAAS version 6.2.1
The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.
Informations générales
Akamai Connect et WAAS
La fonctionnalité Akamai Connect est un composant de cache d'objet HTTP/S ajouté à Cisco WAAS. Il est intégré à la pile logicielle WAAS existante et est exploité via l'optimiseur d'applications HTTP. Akamai Connect contribue à réduire la latence du trafic HTTP/S pour les applications commerciales et Web et peut améliorer les performances de nombreuses applications, notamment POS (Point of Sale), vidéo HD, signalisation numérique et traitement des commandes en magasin. Il fournit un délestage de données WAN significatif et mesurable et est compatible avec les fonctions WAAS existantes telles que DRE (déduplication), LZ (compression), TFO (optimisation de flux de transport) et SSL (sécurisés/cryptés) pour l'accélération de première et de deuxième passes.
Ces termes sont utilisés avec Akamai Connect et WAAS :
- Akamai Connect - Akamai Connect est un composant de cache d'objet HTTP/S ajouté à Cisco WAAS, intégré dans la pile logicielle WAAS existante et exploité via l'optimiseur d'application HTTP. WAAS avec Akamai Connect permet de réduire la latence du trafic HTTP/S pour les applications professionnelles et Web.
- Akamai Connected Cache - Akamai Connected Cache est un composant d'Akamai Connect, qui permet au moteur de cache (CE) de mettre en cache le contenu fourni par un serveur Edge sur la plate-forme intelligente Akamai.
Configuration
Étape 1. Vous avez besoin d'un certificat SSL signé par votre CA interne/publique.
Le certificat doit inclure le SubjectAltName suivant :
*.youtube.com
*.googlevideo.com
*.ytimg.com
*.ggpht.com
youtube.com
Voici un exemple de certificat :
Étape 2. Vous devez faire confiance à votre autorité de certification intermédiaire et/ou racine au sein de votre organisation.
Pour ce faire, vous pouvez utiliser la stratégie de groupe sur l'ensemble du domaine Active Directory.
Si vous testez cette configuration dans un laboratoire, vous pouvez installer l'autorité de certification intermédiaire et/ou racine dans le périphérique client en tant qu'autorité de certification de confiance.
Étape 3. Créez un service SSL accéléré sur un périphérique WAAS à l'aide de l'interface utilisateur graphique du Gestionnaire central WAAS.
Sur Akamai à double face (avant WAAS 6.2.3), configurez le service SSL accéléré sur le WAAS principal. Pour Akamai à un seul côté (WAAS 6.2.3 ou version ultérieure), configurez le serveur SSL accéléré sur la filiale WAAS et activez l'intermédiaire SSL. Il s'agit de la seule différence entre une configuration double face et une configuration simple face.
Accédez à Périphériques > Configurer > Accélération > Service SSL accéléré, comme indiqué dans l'image :
Étape 4. Configurez le service SSL accéléré.
Si vous utilisez un proxy explicite, le chaînage de protocole doit être activé. L'AO HTTP doit être appliqué au port TCP utilisé pour le proxy du trafic (par exemple, 80 ou 8080).
L'indication du nom du serveur doit être vérifiée. Dans cette configuration, lorsque le WAAS principal reçoit le trafic SSL, il compare le champ SNI dans le champ Hello du client avec le SubjectAltName dans le certificat téléchargé. Si le champ SNI correspond au SubjectAltName, le WAAS principal proxie ce trafic SSL.
Lorsque le champ Correspondance du nom du serveur est coché, utilisez Any pour IPAddress et 443 pour Server Port. Cliquez sur Ajouter pour ajouter cette entrée.
Indication de nom de serveur (SNI)
Étape 5. Télécharger le certificat et la clé privée.
Vous devez fournir un certificat et une clé privée. L'exemple présenté dans l'image utilise le format PEM :
Étape 6. Vérifiez les informations de certificat téléchargées.
Étape 7. Cliquez sur le bouton SUBMIT et il s'agit du résultat final.
Étape 8. Activez Akamai Connect.
Accédez à Périphériques > Configurer > Mise en cache > Akamai Connect.
Étape 9. Activez l'intermédiaire SSL sur le WAAS de la filiale (obligatoire uniquement pour la configuration côté unique).
Vérification
Étape 1. Akamai Connect doit être activé sur le WAAS de filiale.
WAAS-BRANCH# show accélérateur http object-cache
HTTP Object-cache
..........
Status
--------
Operational State
-----------------
Running
Akamai Connected Cache State
------------------------
Connected
Assurez-vous que l'état opérationnel est en cours d'exécution et que l'état de connexion est connecté.
Étape 2. Vérifier l'accélération Youtube sur le client.
Lorsque vous accédez à Youtube, vous devez voir le certificat signé par votre propre CA :
Étape 3. Vérifiez sur WAAS.
Vérifiez si SSL AO est correctement appliqué au trafic :
Exemple de sortie de l'interface de ligne de commande lors de l'exécution du logiciel WAAS avant la version 6.2.3 (SSL AO v1 et configuration de site double)
WAAS-BRANCH# show statistics connection
ConnID Source IP:Port Dest IP:Port PeerID Accel RR 6859 10.66.86.90:13110 10.66.85.121:80 00:06:f6:e6:58:56 THSDL 51.9% 6839 10.66.86.90:13105 10.66.85.121:80 00:06:f6:e6:58:56 THSDL 16.6% 6834 10.66.86.90:13102 10.66.85.121:80 00:06:f6:e6:58:56 THSDL 93.5% 6733 10.66.86.90:13022 10.66.85.121:80 00:06:f6:e6:58:56 THSDL 72.7% 6727 10.66.86.90:13016 10.66.85.121:80 00:06:f6:e6:58:56 THSDL 03.9%
Exemple de sortie de l'interface de ligne de commande lors de l'exécution du logiciel WAAS 6.2.3 ou ultérieur (SSL AO v2 et configuration de site unique)
WAAS-BRANCH# show statistics connection
ConnID Source IP:Port Dest IP:Port PeerID Accel RR 3771 10.66.86.66:60730 58.162.61.183:443 N/A THs 50.9% 3770 10.66.86.66:60729 58.162.61.183:443 N/A THs 52.1% 3769 10.66.86.66:60728 58.162.61.183:443 N/A THs 03.0% 3752 10.66.86.66:60720 208.117.242.80:443 N/A THs 54.8% 3731 10.66.86.66:60705 203.37.15.29:443 N/A THs 13.8% 3713 10.66.86.66:60689 58.162.61.142:443 N/A THs 40.4% 3692 10.66.86.66:60669 144.131.80.15:443 N/A THs 10.4%
Vérifiez l'erreur ce-access-errorlog sur le WAAS de la filiale. Les entrées de journal pour le trafic optimisé ont un code de 10000 associé à elles (Indicate classifié OTT-Youtube) et h - - - 200 indique que le cache d'objet est atteint et que le trafic est servi localement. La plus grande accélération est attendue sur googlevideo. Vous pouvez ouvrir plusieurs navigateurs sur la machine de test et lire la même vidéo en même temps pour tester la configuration :
Exemple de sortie de ce-errorlog :
08/09/2016 01:49:26.612 (fl=5948) 10000 0.002 0.033 1356 - - 148814 10.66.86.90 10.66.85.121 2905 h - - - 200 GET https://r5---sn-uxanug5-ntqk.googlevideo.com/videoplayback?dur=703.721&ei=ozapV8jrGdWc4AKytYaYBQ&fexp=3300116%2C3 300131%2C3300161%2C3312739%2C3313265%2C9422596%2C9428398%2C9431012%2C9433096%2C9433223%2C9433946%2C9435526%2C9437 066%2C9437552%2C9438327%2C9438662%2C9438804%2C9439580%2C9442424%2C9442920&requiressl=yes&initcwndbps=6383750&gir= yes&sparams=clen%2Cdur%2Cei%2Cgir%2Cid%2Cinitcwndbps%2Cip%2Cipbits%2Citag%2Ckeepalive%2Clmt%2Cmime%2Cmm%2Cmn%2Cms %2Cmv%2Cpl%2Crequiressl%2Csource%2Cupn%2Cexpire&signature=34635AFA02C12695F90E50E067E6BD4B7E582132.DEB68217D77D25 F02925B272C6B3F032D3764535&ipbits=0&ms=au&mt=1470706873&pl=22&mv=m&mm=31&mn=sn-uxanug5-ntqk&keepalive=yes&key=yt6 &ip=64.104.248.209&clen=10444732&sver=3&source=youtube&itag=251&lmt=1466669747365466&upn=17O0mSaUqq4&expire=14707 28963&id=o-ABXm_M_rqaPqauN_rtx9jNvU4NPYMD-wx-oJw0mAUclg&mime=audio%2Fwebm&cpn=YsB-JmbO4EU-BeHl&alr=yes&ratebypass =yes&c=WEB&cver=1.20160804&range=136064-284239&rn=4&rbuf=8659 - - 08/09/2016 01:49:26.899 (fl=5887) 10000 0.003 0.029 1357 - - 191323 10.66.86.90 10.66.85.121 2905 h - - - 200 GET
https://r5---sn-uxanug5-ntqk.googlevideo.com/videoplayback?dur=703.721&ei=ozapV8jrGdWc4AKytYaYBQ&fexp=3300116%2C3 300131%2C3300161%2C3312739%2C3313265%2C9422596%2C9428398%2C9431012%2C9433096%2C9433223%2C9433946%2C9435526%2C9437 066%2C9437552%2C9438327%2C9438662%2C9438804%2C9439580%2C9442424%2C9442920&requiressl=yes&initcwndbps=6383750&gir= yes&sparams=clen%2Cdur%2Cei%2Cgir%2Cid%2Cinitcwndbps%2Cip%2Cipbits%2Citag%2Ckeepalive%2Clmt%2Cmime%2Cmm%2Cmn%2Cms %2Cmv%2Cpl%2Crequiressl%2Csource%2Cupn%2Cexpire&signature=34635AFA02C12695F90E50E067E6BD4B7E582132.DEB68217D77D25 F02925B272C6B3F032D3764535&ipbits=0&ms=au&mt=1470706873&pl=22&mv=m&mm=31&mn=sn-uxanug5-ntqk&keepalive=yes&key=yt6 &ip=64.104.248.209&clen=10444732&sver=3&source=youtube&itag=251&lmt=1466669747365466&upn=17O0mSaUqq4&expire=14707 28963&id=o-ABXm_M_rqaPqauN_rtx9jNvU4NPYMD-wx-oJw0mAUclg&mime=audio%2Fwebm&cpn=YsB-JmbO4EU-BeHl&alr=yes&ratebypass =yes&c=WEB&cver=1.20160804&range=284240-474924&rn=6&rbuf=17442 - -
Le résultat de show statistics accélération http object-cache doit également montrer que les résultats de ott-youtube augmentent :
WAAS-BRANCH# show statistics accelerator http object-cache
.......... Object Cache Caching Type: ott-youtube Object cache transactions served from cache: 52 Object cache request bytes for cache-hit transactions: 68079 Object cache response bytes for cache-hit transactions: 14650548 ..........
Dépannage
Problème : Le trafic n'est pas accéléré par SSL AO.
Solution::
Vérifiez si l'AO SSL correspond à l'interface SNI sur le WAAS principal avec la commande debug suivante :
Voici un exemple de résultat réussi de ssl-errorlog :
WAAS# debug accelerator ssl sni
08/09/2016 01:33:23.721sslao(20473 4.0) TRCE (721383) SNI(youtube.com) matched with certificate SNA youtube.com [c2s.c:657] 08/09/2016 01:33:23.962sslao(20473 6.0) TRCE (962966) SNI(youtube.com) matched with certificate SNA youtube.com [c2s.c:657]
Voici un exemple d'échec de sortie de ssl-errorlog :
WAAS# debug accelerator ssl sni
08/09/2016 01:19:35.929sslao(20473 5.0) NTCE (929983) Unknown SNI: youtube.com [sm.c:4312] 08/09/2016 01:20:58.913sslao(20473 3.0) TRCE (913804) Pipethrough connection unknown SNI:youtube.com IP:10.66.85.121 ID:655078 [c2s.c:663]
Problème : Le navigateur ne peut pas se connecter à Youtube et aucun certificat n'est poussé.
Solution :
Cela peut être dû au noyau WAAS qui ne fait pas confiance au certificat poussé par Youtube.
Décochez cette case sur le service SSL accéléré.
Problème : Le trafic atteint le moteur de connexion Akamai, mais il n'y a aucun accès au cache.
Solution :
Cela peut être dû à l'application du contrôle if-Modified-depuis (FMI) sur la succursale WAAS. L'option IMS peut vérifier la journalisation forcée de l'activité des utilisateurs vers un serveur proxy ou un périphérique d'analyse d'utilisation. Lorsque le contrôle IMS est activé, dans la version OTT actuelle, Youtube demande toujours au client de récupérer la dernière copie à partir du serveur d'origine.
Ceci peut être observé dans ce-access-errorlog :
07/20/2016 00:41:49.420 (fl=36862) 10000 2.511 0.000 1312 1383 4194962 4194941 10.37.125.203 10.6.76.220 2f25 l-s s-ims-fv - - 200 GET https://r3---sn-jpuxj-coxe.googlevideo.com/videoplayback?signature=AACC537F02B652FEA0600C90 0B069CA3063C15CD.58BA962C80C0E7DFA9A6664ECDCCE6404A3E2C65&clen=601694377&pl=24&mv=m&mt=1468974801&ms=au&ei=a8iOV- HZG4u24gL-hpu4BQ&mn=sn-jpuxj-coxe&mm=31&key=yt6&sparams=clen%2Cdur%2Cei%2Cgir%2Cid%2Cinitcwndbps%2Cip%2Cipbits%2C itag%2Ckeepalive%2Clmt%2Cmime%2Cmm%2Cmn%2Cms%2Cmv%2Cpl%2Crequiressl%2Csource%2Cupn%2Cexpire&sver=3&gir=yes&fexp=9 416891%2C9422596%2C9428398%2C9431012%2C9433096%2C9433221%2C9433946%2C9435526%2C9435876%2C9437066%2C9437553%2C9437 742%2C9438662%2C9439652&expire=1468996811&initcwndbps=9551250&ipbits=0&mime=video%2Fmp4&upn=B-BbHfjKlaI&source=yo utube&dur=308.475&id=o-ABCCHl2_QzDMemZ8Eh7hbsSbhXZQ7yt325a-xfqNROk1&lmt=1389684805775554&itag=138&requiressl=yes& ip=203.104.11.77&keepalive=yes&cpn=4cIAF7ZEwNbfV7Cr&alr=yes&ratebypass=yes&c=WEB&cver=1.20160718&range=193174249- 197368552&rn=68&rbuf=23912 - -
Décochez ces options sur le WAAS de la filiale pour désactiver le contrôle IMS :
Naviguez jusqu'à Configure > Caching > Akamai Connect.
Ce problème devrait être corrigé dans WAAS 6.3 et au-delà.
Problème : Le cache Akamai rompt la connexion HTTPS lorsqu'il passe par un proxy avec l'authentification.
Solution :
Lorsque vous devez passer par un proxy avant d'accéder à Internet et que le proxy nécessite une authentification, WAAS peut interrompre la connexion HTTPS. La capture de paquets effectuée sur le WAAS de filiale montre la réponse du protocole HTTP 407 à partir du site du serveur. Cependant, la capture s’arrête après le premier paquet. Les paquets suivants ne sont pas envoyés et la réponse est incomplète.
Ceci est suivi dans le défaut CSCva26420 et est susceptible d'être corrigé dans la version WAAS 6.3.
Commentaires