WCCP sur ASA : Concepts, limites et configuration

Introduction

Ce document décrit les concepts, les limitations et la configuration du protocole WCCP (Web Cache Coordination Protocol) sur un dispositif de sécurité adaptatif Cisco (ASA). WCCP est une méthode par laquelle l'ASA peut rediriger le trafic vers un moteur de mise en cache WCCP via un tunnel GRE (Generic Routing Encapsulation).

Conditions préalables

Exigences

Cisco vous recommande de prendre connaissance des rubriques suivantes :

• Protocole WCCP (Web Cache Communications Protocol) version 2 (v2)
• Appareils de sécurité adaptatifs Cisco (ASA)
• Logiciel Cisco Adaptive Security Appliance (ASA) ; Lisez les guides de configuration pour vérifier la compatibilité
• Mise en cache proxy
• Redirection

Cisco vous recommande également de comprendre les limites de la configuration WCCP sur l'ASA, comme expliqué dans ces documents :

• Guide de configuration de la gamme Cisco ASA 5500 à l'aide de la CLI, 8.2 : Configuration des services Web Cache à l'aide de WCCP : Directives et restrictions
• Guide de configuration CLI de la gamme Cisco ASA, 9.0 : Configuration des services de cache web utilisant WCCP

Composants utilisés

Les informations contenues dans ce document sont basées sur le protocole WCCP (Web Cache Communications Protocol) version 2 (V2).

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Conventions

Pour plus d'informations sur les conventions utilisées dans ce document, reportez-vous à Conventions relatives aux conseils techniques Cisco.

Présentation de WCCP et ASA

Le protocole WCCP spécifie les interactions entre un ou plusieurs routeurs et un ou plusieurs caches Web. L’objectif de l’interaction est d’établir et de maintenir la redirection transparente de types de trafic sélectionnés qui circulent à travers un groupe de routeurs. Le trafic sélectionné est redirigé vers un groupe de caches Web afin d'optimiser l'utilisation des ressources et de réduire les temps de réponse.

Pour WCCP, l'ASA choisit l'adresse IP la plus élevée configurée sur une interface et l'utilise comme ID de routeur. Il s’agit exactement du même processus que celui suivi par le protocole OSPF (Open Shortest Path First) pour l’ID de routeur.  Lorsque l'ASA redirige les paquets vers le moteur de cache (CE), l'ASA source la redirection à partir de l'adresse IP de l'ID de routeur (même si elle provient d'une autre interface) et encapsule le paquet dans un en-tête GRE.

La connexion GRE est unidirectionnelle. L'ASA encapsule les paquets redirigés dans GRE et les envoie au moteur de mise en cache. L'ASA ne traite aucune réponse encapsulée GRE provenant du CE. Le CE doit communiquer directement avec l’hôte interne.

Le flux de travail pour la redirection comprend les étapes suivantes :

1. L'hôte utilise la passerelle par défaut de l'ASA afin d'ouvrir la connexion HTTP.
2. L'ASA redirige le paquet (encapsulé dans GRE) vers le CE.
3. Le CE vérifie ou met à jour le cache pour le site demandé.
4. Le CE répond directement à l'hôte.
   • Tous les paquets sortants de l'hôte sont redirigés de l'ASA vers le CE.
   • Tous les paquets entrants du serveur vers l'hôte sont dirigés du CE vers l'hôte.

 

L'ASA implémente WCCP V2. Si le serveur prend en charge WCCP V2, il doit être compatible.

Redirection WCCP

WCCP V2 définit des mécanismes qui permettent à un ou plusieurs routeurs activés pour la redirection transparente de découvrir, vérifier et annoncer la connectivité à un ou plusieurs caches Web. Voici les étapes de la redirection WCCP :

1. L'utilisateur saisit une URL dans un navigateur.
2. L'URL est transmise au système de noms de domaine (DNS) pour la résolution d'adresse.
3. L'URL est convertie en adresse IP du serveur Web.
4. Le client établit une connexion avec le serveur à l'aide d'une requête SYN.
5. Sur le routeur actif, le service de cache Web WCCP intercepte la requête HTTP (port TCP 80) et redirige la requête vers les caches en fonction de la distribution de charge configurée :
   • En cas d'accès au cache, le CE répond à l'instruction GET d'origine avec le contenu demandé et utilise l'adresse IP source du serveur d'origine dans le pack de réponse.
   • Si le contenu demandé n'est pas déjà stocké sur le CE, il y a un problème de cache :
   1. Le CE établit une connexion au serveur d'origine, utilise sa propre adresse IP comme source et envoie le HTTP GET.
   2. Le serveur répond à CE avec du contenu.
   3. Le CE écrit une copie du contenu pouvant être mis en cache sur le disque.

Groupes de services WCCP

Une fois la connectivité établie, les routeurs et les caches Web forment des groupes de services afin de gérer la redirection du trafic dont les caractéristiques font partie de la définition du groupe de services.

Un cache Web transmet un message WCCP2_HERE_I_AM à chaque routeur du groupe à des intervalles de 10 secondes HERE_I_AM_T (10) afin de rejoindre et de maintenir son appartenance à un groupe de services. Le message peut être transmis par monodiffusion à chaque routeur ou par multidiffusion à l'adresse de multidiffusion du groupe de services configuré.

• Le composant Web-Cache Identity Info du message WCCP2_HERE_I_AM identifie le cache Web par adresse IP.
• Le composant Service Info du message WCCP2_HERE_I_AM identifie et décrit le groupe de services auquel le cache Web souhaite participer.

Groupe de services	Type	Description
Service 0	cache Web	Service de mise en cache Web qui permet à l'ASA de rediriger le trafic HTTP vers le CE.
Service 53	DNS	Service de mise en cache DNS qui permet à l'ASA de rediriger les requêtes des clients DNS de manière transparente vers le moteur client.
Service 60	natif de FTP	Service de mise en cache qui permet à l'ASA de rediriger les requêtes natives FTP de manière transparente vers un seul port du moteur de contenu.
Service 70	https-cache	Service de mise en cache qui permet à l'ASA d'intercepter le trafic TCP du port 443 et de rediriger ce trafic HTTPS vers le moteur de contenu.
Service 80	reer	Service de diffusion multimédia en continu qui permet à l'ASA de rediriger les requêtes des clients RTSP (Real Time Streaming Protocol) vers un seul port du moteur de contenu.
Service 81	mst	Service de mise en cache des supports qui permet à l'ASA d'utiliser la redirection MMST (Microsoft Media Server) basée sur TCP afin d'acheminer les demandes des clients WMT (Windows Media Technology) vers le port TCP 1755 sur le moteur de contenu.
Service 82	mmsu	Service de mise en cache des supports qui permet à l'ASA d'utiliser la redirection Microsoft Media Server (MMSU) basée sur le protocole UDP (User Datagram Protocol) afin d'acheminer les demandes des clients WMT vers le port UDP 1755 sur le moteur de contenu.
Service 83	wmt-rtsp	Service de diffusion multimédia en continu qui permet à l'ASA de rediriger les requêtes RTSP des clients Windows Media Service 9 vers le port UDP 5005 sur le CE.
Service 90-97	configurable utilisateur	Services WCCP définis par l'utilisateur qui prennent en charge jusqu'à huit ports pour chaque service WCCP. Lorsque vous configurez ces services définis par l'utilisateur, vous devez spécifier s'il faut rediriger le trafic vers l'application de mise en cache HTTP, vers l'application HTTPS ou vers l'application de diffusion en continu sur le moteur de contenu.
Service 98	custom-web-cache	Service de mise en cache qui permet à l'ASA de rediriger de manière transparente le trafic HTTP vers le moteur de contenu sur plusieurs ports autres que le port 80.
Service 99	proxy inverse	Service de mise en cache qui permet à l'ASA de rediriger le trafic proxy inverse HTTP vers le moteur de contenu sur le port 80.

Un groupe de services est identifié par le type de service et l'ID de service. Il existe deux types de groupes de services :

• Services bien connus
• Services dynamiques

Les services connus sont connus à la fois par l'ASA et les caches Web et ne nécessitent pas de description autre qu'un ID de service.

En revanche, les services dynamiques doivent être décrits à un ASA. L'ASA peut être configuré pour participer à un groupe de services dynamique particulier, identifié par l'ID de service, sans aucune connaissance des caractéristiques du trafic associé à ce groupe de services. La description du trafic est communiquée à l'ASA dans le message WCCP2_HERE_I_AM du premier cache Web afin de rejoindre le groupe de services. Un cache Web utilise les champs Protocol, Service Flags et Port du composant Service Info afin de décrire un service dynamique. Une fois qu'un service dynamique a été défini, l'ASA rejette tout message WCCP2_HERE_I_AM suivant qui contient une description conflictuelle. L'ASA rejette également un message WCCP2_HERE_I_AM qui décrit un groupe de services pour lequel il n'a pas été configuré.

Les numéros 0 à 254 sont des services dynamiques et le service de cache Web est un service standard, ou bien connu. Cela signifie que lorsque le service de cache Web est spécifié, le protocole WCCP V2 a prédéfini que le trafic du port de destination TCP 80 doit être redirigé. Pour les numéros 0 à 254, chaque numéro représente un groupe de services dynamique. Les CE WCCP (tels que Bluecoat) doivent définir un ensemble de protocoles et de ports qui doivent être redirigés pour chaque groupe de services. Ensuite, lorsque l'ASA est configuré avec le même numéro de groupe de services (wccp 0 ... ou wccp 1 ...), l'ASA effectue la redirection sur les protocoles et les ports spécifiés, comme indiqué par le périphérique Bluecoat.

Voici un exemple qui montre les informations d'identité Web-Cache :

Voici un exemple qui montre que le cache Web fait partie du groupe de services 0 :

Voici un exemple qui montre un serveur de cache Web comme faisant partie du groupe de service client 91 et les ports dont le trafic est redirigé vers le serveur :

ASA répond à un message WCCP2_HERE_I_AM par un message WCCP2_I_SEE_YOU.

• Si le message WCCP2_HERE_I_AM était en monodiffusion, le routeur répond immédiatement avec un message WCCP2_I_SEE_YOU en monodiffusion.
• Si le message WCCP2_HERE_I_AM a été multidiffusé, le routeur répond avec le message de multidiffusion planifiée WCCP2_I_SEE_YOU pour le groupe de services.

Voici un exemple du message « I See You » du routeur/ASA, qui indique que le routeur rejoint le groupe de services 91 et redirige les ports 80, 8080 et 443 vers le serveur de cache Web :

Voici un exemple de paquet GRE :

Configurer

Remarque : Dans la liste de redirection, la liste d’accès ne doit contenir que des adresses réseau. Les entrées spécifiques au port ne sont pas prises en charge.

Remarque : Pour plus d'informations sur la commande wccp, consultez Référence des commandes de la gamme Cisco ASA 5500, 8.2. 

Cette procédure décrit comment configurer WCCP sur un ASA :

1. Entrez la commande wccp afin de spécifier le trafic à rediriger :
   
   

   wccp {web-cache | service_number} [redirect-list access_list] [group-list access_list] 
   [password password]

2. Entrez la commande wccp afin de spécifier l'interface sur laquelle la redirection du trafic doit avoir lieu :
   
   

   wccp interface interface_name {web-cache | service_number} redirect in

Remarque : La redirection WCCP est prise en charge uniquement à l'entrée d'une interface.

Voici un exemple de configuration ASA :

access-list caching permit ip source_subnet mask any
wccp 90 redirect-list caching
wccp interface 90 redirect in

Helpful Commands:
show wccp
show wccp 90 service -> this should indicate the ports that are being serviced by this WCCP 
server. Without the 'service-flags ports-defined' in the Cache server configuration, the ports 
to be redirected are NOT passed to the ASA. Therefore, the traffic will never be redirected. 
This will result in 'Unassigned' increases with 'show wccp'.

ASA# show wccp 90 service

WCCP service information definition:
Type:          Dynamic
Id:            90
Priority:      0
Protocol:      6
Options:       0x00000013
--------
Hash:      SrcIP DstIP
Alt Hash:  -none-
Ports:     Destination:: 80 8080 0 0 0 0 0 0

ASA# show wccp 90 view

WCCP Routers Informed of:
X.X.X.X [Higher IP address on the device will be seen here]

WCCP Cache Engines Visible:
Y.Y.Y.Y [IP address of the web-cache server in the service-group 91]

Remarque : Utilisez l'Outil de recherche de commande (clients inscrits seulement) pour obtenir plus d'informations sur les commandes utilisées dans cette section.

Vérifier

Aucune procédure de vérification n'est disponible pour cette configuration.

Dépannage

Si la redirection ne fonctionne pas comme prévu, utilisez ces résultats afin de dépanner. Toutes ces sorties sont sur ASA.

• show tech-support
• show wccp [service|view|hash|bucket|detail]
• show asp table classify

Si le résultat de ces trois commandes semble valide, vous devrez peut-être :

• Passez en revue les syslogs appropriés.
• Utilisez la commande capture afin d'examiner les captures entre l'interface ASA et l'adresse IP du serveur de cache web et les captures entre le client et le serveur web auquel il tente d'accéder.

L'Outil d'interprétation de sortie (clients enregistrés seulement) prend en charge certaines commandes d'affichage. Utilisez l'Outil d'interprétation de sortie afin de visualiser une analyse de commande d'affichage de sortie .

Informations connexes

• Guides de référence des pare-feu de nouvelle génération Cisco ASA 5500
• Guides de configuration des pare-feu de nouvelle génération Cisco ASA 5500
• Assistance et documentation techniques - Cisco Systems