Exemple de configuration de WSA WCCP pour ASA

Introduction

Ce document décrit comment configurer le protocole WCCP (Web Cache Communication Protocol) pour l'appareil de sécurité adaptatif Cisco (ASA) via l'appareil de sécurité Web Cisco (WSA).

Conditions préalables

Exigences

Cisco vous recommande de prendre connaissance des rubriques suivantes :

• Cisco WSA
• Cisco ASA
• WCCP
• Déploiements de proxy transparents

Composants utilisés

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

• Cisco WSA version 7.x
• Cisco ASA version 8.x

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Configurer

Utilisez cette section afin de configurer le WCCP pour l'ASA.

Présentation de la configuration

Voici les commandes qui sont entrées sur le WSA afin de configurer le WCCP pour l'ASA :

hostname(config)# wccp {web-cache | service_number} [redirect-list access_list]
 [group-list access_list] [password password] 

hostname(config)# wccp interface interface_name {web-cache | service_number}
 redirect in

Voici les descriptions des entrées de cette commande :

• service-number : il s'agit d'un identificateur de service dynamique, ce qui signifie que la définition du service est dictée par le cache. Le numéro de service dynamique peut être compris entre 0 et 255. Le nombre maximal autorisé est 256, ce qui inclut le service web-cache spécifié avec le mot clé web-cache.
  
  
• redirect-list : il s'agit d'une entrée facultative. Il est utilisé avec une liste d'accès qui contrôle le trafic qui est redirigé vers ce groupe de services. L'argument access-list est une chaîne ne dépassant pas 64 caractères (nom ou numéro) qui spécifie la liste d'accès.
  

  Remarque : le logiciel ASA versions 8.1 et antérieures n'accepte pas le port TCP dans la liste de redirection ; seules les adresses réseau peuvent être utilisées.

• group-list : il s'agit d'une entrée de liste d'accès facultative qui détermine les caches Web qui sont autorisés à participer au groupe de services. L'argument access-list est une chaîne ne dépassant pas 64 caractères (nom ou numéro) qui spécifie la liste d'accès.
  
  
• password : entrée facultative qui spécifie l'authentification MD5 (Message Digest 5) pour les messages reçus du groupe de services. Les messages qui ne sont pas acceptés par l'authentification sont ignorés.

Remarque : le service standard est le cache Web (ID de service 0), qui intercepte uniquement le trafic du port TCP 80 (HTTP). Pour tout autre service personnalisé, Cisco vous recommande d'utiliser un ID de service compris entre 90 et 97.

Exemple de configuration

Complétez ces étapes afin de configurer le WCCP pour l'ASA via le WSA :

1. Entrez cette commande afin d'utiliser le groupe de services par défaut web-cache :
   
   

   wccp web-cache
   wccp interface inside web-cache redirect in

2. Entrez cette commande afin d'utiliser un ID de groupe de services dynamique pour la redirection du trafic HTTP et HTTPS :
   
   

   wccp 90 redirect-list wccp-hosts group-list wccp-routers

3. Entrez cette commande afin d'utiliser la sécurité WCCP :
   
   

   wccp 90 redirect-list wccp-hosts group-list wccp-routers password securewccp

4. La liste d'accès peut être configurée de sorte qu'elle refuse le trafic qui est envoyé à l'ASA comme adresse IP de destination et le redirige vers l'appareil de sécurité Web. Ceci est particulièrement utile lorsque l'ASA est configuré afin de rediriger le trafic vers plusieurs WSA. Par exemple, les adresses IP suivantes peuvent être attribuées aux WSA :
   
   
   • Adresse IP WSA1 = 10.0.0.1
   • Adresse IP WSA2 = 10.0.0.2
     
     
   Entrez ces commandes afin de configurer la liste d'accès pour refuser le trafic :
   
   

   access-list wccp-hosts extended deny tcp any host 10.0.0.1
   access-list wccp-hosts extended deny tcp any host 10.0.0.2

5. Entrez cette commande afin d'autoriser la redirection du trafic HTTP :
   
   

   access-list wccp-hosts extended  permit tcp any any eq www

6. Entrez cette commande afin d'autoriser la redirection du trafic HTTPS :
   
   

   access-list wccp-hosts extended  permit tcp any any eq https

7. Entrez ces commandes afin de définir les WSA qui sont autorisés à participer à la communication WCCP :
   
   

   access-list wccp-routers standard permit host 10.0.0.1
   access-list wccp-routers standard permit host 10.0.0.2

8. Si la commande redirect-list n'est pas acceptée, une liste de contrôle d'accès étendue peut être nécessaire. Entrez ces commandes afin de configurer la liste de contrôle d’accès étendue :
   
   

   access-list wccp-routers extended permit ip host 10.0.0.1 any
   access-list wccp-routers extended permit ip host 10.0.0.2 any

9. Entrez cette commande afin d'appliquer la configuration :
   
   

   wccp interface inside 90 redirect in

Vérifier

Afin d'afficher les statistiques globales qui sont liées à WCCP, entrez la commande show wccp en mode d'exécution privilégié :

show wccp {web-cache | service-number}[detail | view]
show run | inc wccp

Remarque : le type de trafic (HTTP, HTTPS, FTP) qui est redirigé est défini par la configuration WSA WCCP. L'ASA peut uniquement filtrer le trafic redirigé à l'aide de la liste de redirection.

Dépannage

Il n'existe actuellement aucune information de dépannage spécifique pour cette configuration.

Informations connexes

• Configuration des services de cache web utilisant WCCP
• Assistance et documentation techniques - Cisco Systems