ASA의 WCCP: 개념, 제한 사항 및 구성

소개

이 문서에서는 Cisco ASA(Adaptive Security Appliance)에서 WCCP(Web Cache Coordination Protocol)의 개념, 제한 사항 및 컨피그레이션에 대해 설명합니다. WCCP는 ASA가 GRE(Generic Routing Encapsulation) 터널을 통해 WCCP 캐싱 엔진으로 트래픽을 리디렉션할 수 있는 방법입니다.

사전 요구 사항

요구 사항

다음 주제에 대한 지식을 보유하고 있으면 유용합니다.

• WCCP(Web Cache Communications Protocol) 버전 2(v2)
• Cisco ASA(Adaptive Security Appliances)
• Cisco Adaptive Security Appliance(ASA) 소프트웨어; 호환성에 대한 컨피그레이션 가이드 읽기
• 프록시 캐싱
• 리디렉션

또한 다음 문서에 설명된 대로 ASA의 WCCP 컨피그레이션 제한을 이해하는 것이 좋습니다.

• CLI, 8.2를 사용하는 Cisco ASA 5500 Series 컨피그레이션 가이드: WCCP를 사용하여 웹 캐시 서비스 구성: 지침 및 제한 사항
• Cisco ASA Series CLI 컨피그레이션 가이드, 9.0: WCCP를 사용하여 웹 캐시 서비스 구성

사용되는 구성 요소

이 문서의 정보는 WCCP(Web Cache Communications Protocol) 버전 2(V2)를 기반으로 합니다.

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우, 모든 명령어의 잠재적인 영향을 미리 숙지하시기 바랍니다.

표기 규칙

문서 규칙에 대한 자세한 내용은 Cisco 기술 팁 표기 규칙을 참조하십시오.

WCCP 및 ASA 개요

WCCP는 하나 이상의 라우터와 하나 이상의 웹 캐시 간의 상호 작용을 지정합니다. 상호 작용의 목적은 라우터 그룹을 통해 이동하는 선택한 트래픽 유형의 투명한 리디렉션을 설정하고 유지 관리하는 것입니다. 리소스 사용을 최적화하고 응답 시간을 줄이기 위해 선택한 트래픽이 웹 캐시 그룹으로 리디렉션됩니다.

WCCP의 경우 ASA는 인터페이스에 구성된 가장 높은 IP 주소를 선택하고 이를 라우터 ID로 사용합니다. 이는 라우터 ID에 대해 OSPF(Open Shortest Path First)가 따르는 것과 정확히 동일한 프로세스입니다.  ASA가 패킷을 CE(캐시 엔진)로 리디렉션하면 ASA는 라우터 ID IP 주소에서 리디렉션을 소싱하고(다른 인터페이스에서 소싱하더라도) GRE 헤더에 패킷을 캡슐화합니다.

GRE 연결은 단방향입니다. ASA는 리디렉션된 패킷을 GRE로 캡슐화하여 캐싱 엔진으로 전송합니다. ASA는 CE에서 GRE 캡슐화된 응답을 처리하지 않습니다. CE는 내부 호스트와 직접 통신해야 합니다.

리디렉션을 위한 작업 흐름은 다음 단계를 포함합니다.

1. 호스트는 HTTP 연결을 열기 위해 ASA의 기본 게이트웨이를 사용합니다.
2. ASA는 패킷(GRE에서 캡슐화됨)을 CE로 리디렉션합니다.
3. CE는 요청된 사이트의 캐시를 확인하거나 업데이트합니다.
4. CE가 호스트에 직접 응답합니다.
   • 호스트의 모든 아웃바운드 패킷이 ASA에서 CE로 리디렉션됩니다.
   • 서버에서 호스트로의 모든 인바운드 패킷은 CE에서 호스트로 전달됩니다.

 

ASA는 WCCP V2를 구현합니다. 서버가 WCCP V2를 지원하는 경우 호환되어야 합니다.

WCCP 리디렉션

WCCP V2는 투명 리디렉션을 위해 활성화된 하나 이상의 라우터가 하나 이상의 웹 캐시에 대한 연결을 검색, 확인 및 광고할 수 있는 메커니즘을 정의합니다. WCCP 리디렉션의 단계는 다음과 같습니다.

1. 사용자가 브라우저에 URL을 입력합니다.
2. 주소 확인을 위해 URL이 DNS(Domain Name System)로 전달됩니다.
3. URL은 웹 서버의 IP 주소로 확인됩니다.
4. 클라이언트는 SYN 요청을 통해 서버에 대한 연결을 시작합니다.
5. 활성 라우터에서 WCCP 웹 캐시 서비스는 HTTP 요청(TCP 포트 80)을 인터셉트하고 구성된 로드 분포를 기반으로 캐시에 요청을 리디렉션합니다.
   • 캐시 히트가 있는 경우 CE는 요청된 콘텐츠로 원래 GET에 응답하고 응답 팩에서 원본 서버의 소스 IP 주소를 사용합니다.
   • 요청한 콘텐츠가 CE에 아직 저장되지 않은 경우 캐시 누락이 있습니다.
   1. CE는 원천 서버에 대한 연결을 설정하고 자체 IP 주소를 소스로 사용하며 HTTP GET을 전송합니다.
   2. 서버는 콘텐츠로 CE에 응답합니다.
   3. CE는 캐시에 저장할 수 있는 콘텐츠의 사본을 디스크에 씁니다.

WCCP 서비스 그룹

연결이 설정되면 특성이 서비스 그룹 정의의 일부인 트래픽의 리디렉션을 처리하기 위해 라우터와 웹 캐시가 서비스 그룹을 형성합니다.

웹 캐시는 서비스 그룹에 가입하고 멤버십을 유지하기 위해 WCCP2_HERE_I_I_AM_T(10)초 간격으로 그룹의 각 라우터에 WCCP2_HERE_I_AM 메시지를 전송합니다. 메시지는 각 라우터에 유니캐스트 방식으로 전달되거나 구성된 서비스 그룹 멀티캐스트 주소에 멀티캐스트 방식으로 전달될 수 있습니다.

• WCCP2_HERE_I_AM 메시지의 Web-Cache Identity Info 구성 요소는 IP 주소로 웹 캐시를 식별합니다.
• WCCP2_HERE_I_AM 메시지의 Service Info(서비스 정보) 구성 요소는 웹 캐시가 참여하려는 서비스 그룹을 식별하고 설명합니다.

서비스 그룹	유형	설명
서비스 0	웹 캐시	ASA가 HTTP 트래픽을 CE로 리디렉션하도록 허용하는 웹 캐싱 서비스입니다.
서비스 53	DNS	ASA가 DNS 클라이언트 요청을 클라이언트 엔진에 투명하게 리디렉션하도록 허용하는 DNS 캐싱 서비스입니다.
서비스 60	FTP 네이티브	ASA가 FTP 네이티브 요청을 콘텐츠 엔진의 단일 포트로 투명하게 리디렉션하도록 허용하는 캐싱 서비스입니다.
서비스 70	https 캐시	ASA가 포트 443 TCP 트래픽을 가로채고 이 HTTPS 트래픽을 콘텐츠 엔진으로 리디렉션하도록 허용하는 캐싱 서비스입니다.
서비스 80	rtsp	ASA가 RTSP(Real Time Streaming Protocol) 클라이언트 요청을 콘텐츠 엔진의 단일 포트로 리디렉션하도록 허용하는 미디어 스트리밍 서비스입니다.
서비스 81	최악	WMT(Windows Media Technology) 클라이언트 요청을 콘텐츠 엔진의 TCP 포트 1755로 라우팅하기 위해 ASA가 TCP 기반 MMST(Microsoft Media Server) 리디렉션을 사용하도록 허용하는 미디어 캐싱 서비스입니다.
서비스 82	음수	ASA에서 WMT 클라이언트 요청을 콘텐츠 엔진의 UDP 포트 1755로 라우팅하기 위해 UDP(User Datagram Protocol) 기반 MMSU(Microsoft Media Server) 리디렉션을 사용하도록 허용하는 미디어 캐싱 서비스입니다.
서비스 83	wmt-rtsp	ASA가 Windows Media Service 9 클라이언트의 RTSP 요청을 CE의 UDP 포트 5005로 리디렉션하도록 허용하는 미디어 스트리밍 서비스입니다.
서비스 90-97	사용자 설정 가능하	각 WCCP 서비스에 대해 최대 8개의 포트를 지원하는 사용자 정의 WCCP 서비스 이러한 사용자 정의 서비스를 구성할 때 트래픽을 HTTP 캐싱 애플리케이션으로 리디렉션할지, HTTPS 애플리케이션으로 리디렉션할지, 콘텐츠 엔진의 스트리밍 애플리케이션으로 리디렉션할지를 지정해야 합니다.
서비스 98	사용자 지정 웹 캐시	ASA가 포트 80 이외의 여러 포트에서 HTTP 트래픽을 콘텐츠 엔진에 투명하게 리디렉션하도록 허용하는 캐싱 서비스입니다.
서비스 99	리버스 프록시	ASA가 HTTP 리버스 프록시 트래픽을 포트 80의 콘텐츠 엔진으로 리디렉션하도록 허용하는 캐싱 서비스입니다.

서비스 그룹은 서비스 유형 및 서비스 ID로 식별됩니다. 서비스 그룹에는 두 가지 유형이 있습니다.

• 잘 알려진 서비스
• 동적 서비스

잘 알려진 서비스는 ASA 및 웹 캐시에서 모두 인식하며 서비스 ID 이외의 설명은 필요하지 않습니다.

이와 달리 동적 서비스는 ASA에 설명해야 합니다. ASA는 서비스 ID로 식별되는 특정 동적 서비스 그룹에 참여하도록 구성될 수 있으며, 해당 서비스 그룹과 연결된 트래픽의 특성을 전혀 알지 못합니다. 트래픽 설명은 서비스 그룹에 참가하기 위해 첫 번째 웹 캐시의 WCCP2_HERE_I_AM 메시지에서 ASA에 전달됩니다. 웹 캐시는 동적 서비스를 설명하기 위해 Service Info 구성 요소의 Protocol, Service Flags 및 Port 필드를 사용합니다. 동적 서비스가 정의되면 ASA는 충돌하는 설명이 포함된 후속 WCCP2_HERE_I_AM 메시지를 폐기합니다. 또한 ASA는 구성되지 않은 서비스 그룹을 설명하는 WCCP2_HERE_I_AM 메시지를 삭제합니다.

숫자 0~254는 동적 서비스이며 웹 캐시 서비스는 표준 또는 잘 알려진 서비스입니다. 즉, 웹 캐시 서비스가 지정되면 WCCP V2 프로토콜에서 TCP 목적지 포트 80 트래픽을 리디렉션하도록 미리 정의했습니다. 숫자 0~254의 경우 각 숫자는 동적 서비스 그룹을 나타냅니다. WCCP CE(예: Bluecoat)는 각 서비스 그룹에 대해 리디렉션될 프로토콜 및 포트 집합을 정의하기 위한 것입니다. 그런 다음 ASA가 동일한 서비스 그룹 번호(wccp 0 ... 또는 wccp 1 ...)로 구성되면 ASA는 Bluecoat 디바이스의 지시에 따라 지정된 프로토콜 및 포트에서 리디렉션을 수행합니다.

다음은 Web-Cache ID 정보를 보여 주는 예입니다.

웹 캐시가 서비스 그룹 0의 일부임을 보여주는 예입니다.

다음은 웹 캐시 서버를 고객 서비스 그룹 91의 일부로 표시하고 트래픽이 서버로 리디렉션되는 포트를 보여 주는 예입니다.

ASA는 WCCP2_I_SEE_YOU 메시지로 WCCP2_HERE_I_AM 메시지에 응답합니다.

• WCCP2_HERE_I_AM 메시지가 유니캐스트인 경우 라우터는 유니캐스트 WCCP2_I_SEE_YOU 메시지로 즉시 응답합니다.
• WCCP2_HERE_I_AM 메시지가 멀티캐스트인 경우 라우터는 서비스 그룹에 대해 예약된 멀티캐스트 WCCP2_I_SEE_YOU 메시지로 응답합니다.

다음은 라우터가 서비스 그룹 91에 가입하고 포트 80, 8080, 443을 웹 캐시 서버로 리디렉션하는 것을 보여주는 라우터/ASA 'I See You' 메시지의 예입니다.

다음은 GRE 패킷의 예입니다.

구성

참고: redirect-list에서 액세스 목록은 네트워크 주소만 포함해야 합니다. 포트별 항목은 지원되지 않습니다.

참고: wccp 명령에 대한 자세한 내용은 Cisco ASA 5500 Series 명령 참조, 8.2를 참조하십시오. 

이 절차에서는 ASA에서 WCCP를 구성하는 방법에 대해 설명합니다.

1. 리디렉션할 트래픽을 지정하려면 wccp 명령을 입력합니다.
   
   

   wccp {web-cache | service_number} [redirect-list access_list] [group-list access_list] 
   [password password]

2. 트래픽 리디렉션을 수행해야 하는 인터페이스를 지정하려면 wccp 명령을 입력합니다.
   
   

   wccp interface interface_name {web-cache | service_number} redirect in

참고: WCCP 리디렉션은 인터페이스의 인그레스(ingress)에서만 지원됩니다.

다음은 ASA 컨피그레이션의 예입니다.

access-list caching permit ip source_subnet mask any
wccp 90 redirect-list caching
wccp interface 90 redirect in

Helpful Commands:
show wccp
show wccp 90 service -> this should indicate the ports that are being serviced by this WCCP 
server. Without the 'service-flags ports-defined' in the Cache server configuration, the ports 
to be redirected are NOT passed to the ASA. Therefore, the traffic will never be redirected. 
This will result in 'Unassigned' increases with 'show wccp'.

ASA# show wccp 90 service

WCCP service information definition:
Type:          Dynamic
Id:            90
Priority:      0
Protocol:      6
Options:       0x00000013
--------
Hash:      SrcIP DstIP
Alt Hash:  -none-
Ports:     Destination:: 80 8080 0 0 0 0 0 0

ASA# show wccp 90 view

WCCP Routers Informed of:
X.X.X.X [Higher IP address on the device will be seen here]

WCCP Cache Engines Visible:
Y.Y.Y.Y [IP address of the web-cache server in the service-group 91]

참고: 이 섹션에 사용된 명령에 대한 자세한 내용을 가져오려면 명령 조회 툴(등록 고객 전용)을 사용하십시오.

다음을 확인합니다.

현재 이 설정에 사용 가능한 확인 절차는 없습니다.

문제 해결

리디렉션이 예상대로 작동하지 않으면 이러한 출력을 사용하여 문제를 해결하십시오. 이러한 모든 출력은 ASA에 있습니다.

• show tech-support
• show wccp [service|view|hash|bucket|detail]
• asp 테이블 분류 표시

이 세 명령의 출력이 유효한 것 같으면 다음을 수행해야 할 수 있습니다.

• 적절한 syslog를 검토합니다.
• ASA 인터페이스와 웹 캐시 서버 IP 간의 캡처 및 액세스하려는 클라이언트와 웹 서버 간의 캡처를 조사하려면 capture 명령을 사용합니다.

아웃풋 인터프리터 툴(등록 고객 전용)은 특정 show 명령을 지원합니다. show 명령 출력의 분석을 보려면 아웃풋 인터프리터 툴을 사용합니다.

관련 정보

• Cisco ASA 5500 Series Next Generation Firewalls 참조 설명서
• Cisco ASA 5500 Series Next Generation Firewalls 컨피그레이션 가이드
• 기술 지원 및 문서 − Cisco Systems