内容

質問：

ルータ/スイッチへの WCCP セッションは存在するが、ルート問題のため参照できない

環境：

Cisco Web Security Appliance

Catalyst スイッチ、ルータ、ASA

症状：

WCCP セッションが確立されていても、ブラウジングが機能しない。

特定の状況では、Cisco Web セキュリティ アプライアンスがルータと通信できても、クライアント トラフィックが通過しない場合があります。この場合、WCCP セッションは確立されていることは確認できるとしても、ブラウジングは機能しません。

Catalyst スイッチ上の WCCP 設定は最小限です（redirect-list はここでの説明には関係ありませんが、完全を期して記載します）。

ip wccp 91 redirect-list 130 group-list 30

interface Vlan20

description client vlan 20

ip address 192.168.20.1 255.255.255.0

ip wccp 91 redirect in

access-list 30 permit 10.66.71.17

access-list 130 permit ip any host 192.168.20.103 log

access-list 130 permit ip host 192.168.20.103 any log

以下の内容から、WCCP が確立されていることがわかります。

Switch#sh ip wccp 91 d

WCCP Client information:

WCCP Client ID:          10.66.71.17

プロトコル バージョン：        2.0

State                    :                   Usable

Redirection:             L2

Packet Return:           L2

Packets Redirected:      0

Connect Time:            00:12:49

Assignment:              MASK

しかし、ブラウジングは機能しませんでした。

問題は、Cisco Web セキュリティ アプライアンス上のルート設定にあります。たとえば、Cisco Webセキュリティアプライアンス(WSA)に、VLAN 20に戻るルートがない場合があります。動作しないルートの設定は次のとおりです。

通常、この問題が発生するのは、Cisco Web セキュリティ アプライアンスで管理とデータ トラフィックの両方に 1 つのインターフェイス（M1）だけが使用されている場合です。上記の例では、2 番目のエントリで VLAN 30 へのルートが設定され、3 番目のエントリで WCCP デバイスへのルートが設定されていて、その他すべてのネットワークのデフォルト ルートは 10.66.71.1 に設定されています。ただし、10.66.71.1 がインターネットへのゲートウェイであるのに、192.168.20.0/24 にルーティングする方法が設定されていなければ、ルーティングは失敗し、クライアント ブラウザはブラウジングできません。

簡単な ping テストで、クライアントに戻るルートがあるかどうかを確認できます。

s650a.lab (SERVICE)> ping 192.168.20.103

停止するには Ctrl-C を押します。

PING 192.168.20.103 (192.168.20.103):56 data bytes

^C— 192.168.20.103 ping statistics:

17 packets transmitted, 0 packets received, 100% packet loss

この問題を解決するには、Cisco Web セキュリティ アプライアンス上でクライアント VLAN に戻るルートを追加します。 これは次の方法で行います。

[WebUI] > [Network] > [Route] > [Add Route]

上記の設定を追加すると、ping が Cisco Web セキュリティ アプライアンスからクライアントに送信されて、VLAN 20（この例ではホスト 192.168.20.103）内のクライアントでブラウジングが機能するようになります。

s650a.lab (SERVICE)> ping 192.168.20.103

停止するには Ctrl-C を押します。PING 192.168.20.103 (192.168.20.103):56 data bytes

64 bytes from 192.168.20.103:icmp_seq=0 ttl=127 time=0.835 ms

64 bytes from 192.168.20.103:icmp_seq=1 ttl=127 time=0.343 ms

^C— 192.168.20.103 ping statistics:

2 packets transmitted, 2 packets received, 0% packet loss

round-trip min/avg/max/stddev = 0.343/0.589/0.835/0.246 ms

以上で説明した理由は、ブラウジングが失敗する理由のうちの 1 つであることに注意してください。WCCP セッションが有効でもブラウジングが機能しない理由は他にも考えられますが、このドキュメントで説明した理由が最も一般的です。