Contents

Introduction

Prerequisites

Requirements

Componentes Utilizados

Informações de Apoio

Akamai Connect e WAAS

Configurar

Etapa 1. Você precisa de um certificado SSL assinado por sua CA interna/pública.

Etapa 2. Você precisa confiar no intermediário e/ou na autoridade de certificação (CA) raiz em toda a sua organização.

Etapa 3. Crie um serviço SSL acelerado no dispositivo WAAS usando a GUI do WAAS Central Manager.

Etapa 4. Configure o serviço SSL Accelerated.

Etapa 5. Carregar certificado e chave privada.

Etapa 6. Verifique as informações do certificado carregado.

Passo 7. Clique no botão ENVIAR e este é o resultado final.

Etapa 8. Ative o Akamai Connect.

Etapa 9. Ative o conversor SSL no WAAS da filial (obrigatório somente para configuração de lado único).

Verificar

Etapa 1. Você precisa habilitar o Akamai Connect no WAAS da filial.

Etapa 2. Verifique a aceleração do Youtube no cliente.

Etapa 3. Verifique no WAAS.

Troubleshoot

Problema: O tráfego não é acelerado por SSL AO.

Problema: O navegador não pode se conectar ao Youtube e não há certificado enviado.

Problema: O tráfego atinge o Akamai Connect Engine, mas não há ocorrências de cache.

Problema: O Akamai Cache interrompe a conexão HTTPS ao passar por um proxy com autenticação.

Introduction

Este documento descreve as etapas necessárias para configurar a Aceleração do Youtube no Cisco Wide Area Application Services (WAAS) usando o recurso Akamai Connect.

Note: Em todo este artigo, o termo dispositivo WAAS é usado para se referir coletivamente aos WAAS Central Managers e WAEs em sua rede. O termo WAE (Wide Area Application Engineer) refere-se a dispositivos WAE e WAVE, módulos SM-SRE executando WAAS e instâncias vWAAS.

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento destes tópicos:

- Cisco WAAS

- Infraestrutura de chave pública

- Certificado SSL (Secure Sockets Layer)

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software:

- Cisco WAAS versão 5.5.1

- Cisco WAAS versão 6.2.1

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Informações de Apoio

Akamai Connect e WAAS

O recurso Akamai Connect é um componente de cache de objetos HTTP/S adicionado ao Cisco WAAS. Ele é integrado à pilha de software WAAS existente e é aproveitado através do HTTP Application Otimizer. O Akamai Connect ajuda a reduzir a latência do tráfego HTTP/S para aplicativos empresariais e da Web e pode melhorar o desempenho de muitos aplicativos, incluindo POS (Point of Sale, ponto de venda), vídeo HD, sinalização digital e processamento de pedidos na loja. Ele fornece descarregamento de dados de WAN significativo e mensurável e é compatível com funções de WAAS existentes, como DRE (desduplicação), LZ (compressão), TFO (Transport Flow Otimization) e aceleração SSL (segura/criptografada) para aceleração de primeira e segunda passagem.

Esses termos são usados com o Akamai Connect e o WAAS:

- Akamai Connect - O Akamai Connect é um componente de cache de objetos HTTP/S adicionado ao Cisco WAAS, integrado à pilha de software WAAS existente e aproveitado através do HTTP Application Otimizer. O WAAS com Akamai Connect ajuda a reduzir a latência do tráfego HTTP/S para aplicativos comerciais e da Web.

- Akamai Connected Cache - O Akamai Connected Cache é um componente do Akamai Connect, que permite que o mecanismo de cache (CE) armazene em cache conteúdo fornecido por um servidor Edge na Akamai Intelligent Platform.

Configurar

Etapa 1. Você precisa de um certificado SSL assinado por sua CA interna/pública.

O certificado precisa incluir o seguinte Nome do assuntoAlt:

*.youtube.com

*.googlevideo.com

*.ytimg.com

*.gpht.com

youtube.com

Este é um exemplo de certificado:

Etapa 2. Você precisa confiar no intermediário e/ou na autoridade de certificação (CA) raiz em toda a sua organização.

Isso pode ser feito usando a Política de Grupo no domínio do Ative Diretory.

Se você estiver testando essa configuração em um laboratório, poderá instalar o CA intermediário e/ou raiz no dispositivo cliente como uma CA confiável.

Etapa 3. Crie um serviço SSL acelerado no dispositivo WAAS usando a GUI do WAAS Central Manager.

Em uma Akamai de lado duplo (pré-WAAS 6.2.3), configure o serviço acelerado SSL no WAAS central. Para Akamai de lado único (WAAS 6.2.3 ou posterior), configure o servidor SSL acelerado no WAAS da filial e ative o interposer SSL. Essa é a única diferença entre a configuração dual side e a configuração single side.

Note: WAAS executando a versão de software anterior à 6.2.3 precisa de uma configuração de Akamai dual sided para acelerar o tráfego do Youtube O WAAS central faz proxy da conexão SSL indo para o Youtube. O WAAS executando o software versão 6.2.3 ou posterior suporta SSL AO v2 (SAKE). Isso permite que o WAAS da filial faça proxy da conexão SSL quando a filial envia tráfego diretamente para a Internet sem ser direcionado através da infraestrutura do data center.

Navegue até Dispositivos > Configurar > Aceleração > SSL Accelerated Service, conforme mostrado na imagem:

Etapa 4. Configure o serviço SSL Accelerated.

Se você usar um proxy explícito, o Encadeamento de Protocolo precisa ser ativado. O HTTP AO deve ser aplicado à porta TCP usada para proxy do tráfego (por exemplo, 80 ou 8080).

A indicação de nome do servidor correspondente precisa ser verificada. Nesta configuração, quando o WAAS principal recebe tráfego SSL, ele compara o campo SNI no cliente Hello com o SubjectAltName no certificado carregado. Se o campo SNI corresponder ao SubjectAltName, o WAAS principal fará o proxy desse tráfego SSL.

Quando o campo Corresponder indicação de nome do servidor estiver marcado, use Any for IPAaddress e 443 for Server Port. Clique em Adicionar para adicionar esta entrada.

Indicação de nome do servidor (SNI)

Etapa 5. Carregar certificado e chave privada.

Você precisa fornecer um certificado e uma chave privada. O exemplo mostrado na imagem usa o formato PEM:

Etapa 6. Verifique as informações do certificado carregado.

Passo 7. Clique no botão ENVIAR e este é o resultado final.

Etapa 8. Ative o Akamai Connect.

Navegue até Dispositivos > Configurar > Cache > Akamai Connect.

Etapa 9. Ative o conversor SSL no WAAS da filial (obrigatório somente para configuração de lado único).

Verificar

Etapa 1. Você precisa habilitar o Akamai Connect no WAAS da filial.

WAAS-BRANCH# show accelerator http object-cache

HTTP Object-cache

..........

Status

--------

Operational State

-----------------

Running

Akamai Connected Cache State

------------------------

Connected

Verifique se o estado operacional está em execução e se o estado de conexão está conectado.

Etapa 2. Verifique a aceleração do Youtube no cliente.

Ao acessar o Youtube, você deve ver o certificado assinado por sua própria CA:

Etapa 3. Verifique no WAAS.

Verifique se SSL AO está corretamente aplicado ao tráfego:

Exemplo de saída da CLI ao executar o software WAAS antes da 6.2.3 (SSL AO v1 e configuração de local duplo)

WAAS-BRANCH# show statistics connection

ConnID        Source IP:Port          Dest IP:Port            PeerID Accel RR

6859     10.66.86.90:13110       10.66.85.121:80 00:06:f6:e6:58:56 THSDL 51.9%

6839     10.66.86.90:13105       10.66.85.121:80 00:06:f6:e6:58:56 THSDL 16.6%

6834     10.66.86.90:13102       10.66.85.121:80 00:06:f6:e6:58:56 THSDL 93.5%

6733     10.66.86.90:13022       10.66.85.121:80 00:06:f6:e6:58:56 THSDL 72.7%

6727     10.66.86.90:13016       10.66.85.121:80 00:06:f6:e6:58:56 THSDL 03.9%

Exemplo de saída da CLI ao executar o software WAAS 6.2.3 ou posterior (SSL AO v2 e Configuração de local único)

WAAS-BRANCH# show statistics connection

ConnID        Source IP:Port          Dest IP:Port            PeerID Accel RR

3771     10.66.86.66:60730     58.162.61.183:443               N/A THs   50.9%

3770     10.66.86.66:60729     58.162.61.183:443               N/A THs   52.1%

3769     10.66.86.66:60728     58.162.61.183:443               N/A THs   03.0%

3752     10.66.86.66:60720    208.117.242.80:443               N/A THs   54.8%

3731     10.66.86.66:60705      203.37.15.29:443               N/A THs   13.8%

3713     10.66.86.66:60689     58.162.61.142:443               N/A THs   40.4%

3692     10.66.86.66:60669     144.131.80.15:443               N/A THs   10.4%

Verifique o ce-access-errorlog no WAAS da filial. As entradas de log para tráfego otimizado têm um código de 10000 associado a elas (Indique classificado como OTT-Youtube) e h - - - 200 indica que o cache de objetos é atingido e o tráfego é servido localmente. A maior aceleração é esperada no googlevideo. Você pode abrir vários navegadores na máquina de teste e reproduzir o mesmo vídeo ao mesmo tempo para testar a configuração:

Exemplo de saída do ce-errorlog:

08/09/2016 01:49:26.612 (fl=5948) 10000 0.002 0.033 1356 - - 148814 10.66.86.90 10.66.85.121 2905 h - - - 200 GET

https://r5---sn-uxanug5-ntqk.googlevideo.com/videoplayback?dur=703.721&ei=ozapV8jrGdWc4AKytYaYBQ&fexp=3300116%2C3

300131%2C3300161%2C3312739%2C3313265%2C9422596%2C9428398%2C9431012%2C9433096%2C9433223%2C9433946%2C9435526%2C9437

066%2C9437552%2C9438327%2C9438662%2C9438804%2C9439580%2C9442424%2C9442920&requiressl=yes&initcwndbps=6383750&gir=

yes&sparams=clen%2Cdur%2Cei%2Cgir%2Cid%2Cinitcwndbps%2Cip%2Cipbits%2Citag%2Ckeepalive%2Clmt%2Cmime%2Cmm%2Cmn%2Cms

%2Cmv%2Cpl%2Crequiressl%2Csource%2Cupn%2Cexpire&signature=34635AFA02C12695F90E50E067E6BD4B7E582132.DEB68217D77D25

F02925B272C6B3F032D3764535&ipbits=0&ms=au&mt=1470706873&pl=22&mv=m&mm=31&mn=sn-uxanug5-ntqk&keepalive=yes&key=yt6

&ip=64.104.248.209&clen=10444732&sver=3&source=youtube&itag=251&lmt=1466669747365466&upn=17O0mSaUqq4&expire=14707

28963&id=o-ABXm_M_rqaPqauN_rtx9jNvU4NPYMD-wx-oJw0mAUclg&mime=audio%2Fwebm&cpn=YsB-JmbO4EU-BeHl&alr=yes&ratebypass

=yes&c=WEB&cver=1.20160804&range=136064-284239&rn=4&rbuf=8659 - -

08/09/2016 01:49:26.899 (fl=5887) 10000 0.003 0.029 1357 - - 191323 10.66.86.90 10.66.85.121 2905 h - - - 200 GET

https://r5---sn-uxanug5-ntqk.googlevideo.com/videoplayback?dur=703.721&ei=ozapV8jrGdWc4AKytYaYBQ&fexp=3300116%2C3

300131%2C3300161%2C3312739%2C3313265%2C9422596%2C9428398%2C9431012%2C9433096%2C9433223%2C9433946%2C9435526%2C9437

066%2C9437552%2C9438327%2C9438662%2C9438804%2C9439580%2C9442424%2C9442920&requiressl=yes&initcwndbps=6383750&gir=

yes&sparams=clen%2Cdur%2Cei%2Cgir%2Cid%2Cinitcwndbps%2Cip%2Cipbits%2Citag%2Ckeepalive%2Clmt%2Cmime%2Cmm%2Cmn%2Cms

%2Cmv%2Cpl%2Crequiressl%2Csource%2Cupn%2Cexpire&signature=34635AFA02C12695F90E50E067E6BD4B7E582132.DEB68217D77D25

F02925B272C6B3F032D3764535&ipbits=0&ms=au&mt=1470706873&pl=22&mv=m&mm=31&mn=sn-uxanug5-ntqk&keepalive=yes&key=yt6

&ip=64.104.248.209&clen=10444732&sver=3&source=youtube&itag=251&lmt=1466669747365466&upn=17O0mSaUqq4&expire=14707

28963&id=o-ABXm_M_rqaPqauN_rtx9jNvU4NPYMD-wx-oJw0mAUclg&mime=audio%2Fwebm&cpn=YsB-JmbO4EU-BeHl&alr=yes&ratebypass

=yes&c=WEB&cver=1.20160804&range=284240-474924&rn=6&rbuf=17442 - -

A saída de show statistics acceleration http object-cache também deve mostrar os acertos de ott-youtube aumentando:

WAAS-BRANCH# show statistics accelerator http object-cache

..........

Object Cache Caching Type:                                         ott-youtube

Object cache transactions served from cache:                       52

Object cache request bytes for cache-hit transactions:             68079

Object cache response bytes for cache-hit transactions:            14650548

..........

Troubleshoot

Problema: O tráfego não é acelerado por SSL AO.

Solução:

Verifique se SSL AO corresponde ao SNI no WAAS principal com este comando debug:

Este é um exemplo de uma saída bem-sucedida de ssl-errorlog:

WAAS# debug accelerator ssl sni

08/09/2016 01:33:23.721sslao(20473 4.0) TRCE (721383) SNI(youtube.com) matched with certificate SNA youtube.com [c2s.c:657]

08/09/2016 01:33:23.962sslao(20473 6.0) TRCE (962966) SNI(youtube.com) matched with certificate SNA youtube.com [c2s.c:657]

Este é um exemplo de uma saída malsucedida de ssl-errorlog:

WAAS# debug accelerator ssl sni

08/09/2016 01:19:35.929sslao(20473 5.0) NTCE (929983) Unknown SNI: youtube.com [sm.c:4312]

08/09/2016 01:20:58.913sslao(20473 3.0) TRCE (913804) Pipethrough connection unknown SNI:youtube.com IP:10.66.85.121 ID:655078 [c2s.c:663]

Problema: O navegador não pode se conectar ao Youtube e não há certificado enviado.

Solução:

Isso pode ser causado pelo WAAS central que não confia no certificado enviado pelo Youtube.

Desmarque isso no serviço acelerado SSL.

Problema: O tráfego atinge o Akamai Connect Engine, mas não há ocorrências de cache.

Solução:

Isso pode ser causado pela imposição da verificação If-Modified-Since (FMI) no WAAS da filial. A opção IMS pode verificar o registro forçado da atividade dos usuários em um servidor proxy ou dispositivo de análise de uso. Quando a verificação de IMS está ativada, na versão atual do OTT, o Youtube sempre solicita que o cliente busque a cópia mais recente do servidor de origem.

Isso pode ser observado no ce-access-errorlog:

07/20/2016 00:41:49.420 (fl=36862) 10000 2.511 0.000 1312 1383 4194962 4194941 10.37.125.203 10.6.76.220 2f25 l-s

s-ims-fv - - 200 GET  https://r3---sn-jpuxj-coxe.googlevideo.com/videoplayback?signature=AACC537F02B652FEA0600C90

0B069CA3063C15CD.58BA962C80C0E7DFA9A6664ECDCCE6404A3E2C65&clen=601694377&pl=24&mv=m&mt=1468974801&ms=au&ei=a8iOV-

HZG4u24gL-hpu4BQ&mn=sn-jpuxj-coxe&mm=31&key=yt6&sparams=clen%2Cdur%2Cei%2Cgir%2Cid%2Cinitcwndbps%2Cip%2Cipbits%2C

itag%2Ckeepalive%2Clmt%2Cmime%2Cmm%2Cmn%2Cms%2Cmv%2Cpl%2Crequiressl%2Csource%2Cupn%2Cexpire&sver=3&gir=yes&fexp=9

416891%2C9422596%2C9428398%2C9431012%2C9433096%2C9433221%2C9433946%2C9435526%2C9435876%2C9437066%2C9437553%2C9437

742%2C9438662%2C9439652&expire=1468996811&initcwndbps=9551250&ipbits=0&mime=video%2Fmp4&upn=B-BbHfjKlaI&source=yo

utube&dur=308.475&id=o-ABCCHl2_QzDMemZ8Eh7hbsSbhXZQ7yt325a-xfqNROk1&lmt=1389684805775554&itag=138&requiressl=yes&

ip=203.104.11.77&keepalive=yes&cpn=4cIAF7ZEwNbfV7Cr&alr=yes&ratebypass=yes&c=WEB&cver=1.20160718&range=193174249-

197368552&rn=68&rbuf=23912 - -

Desmarque-os no WAAS da filial para desabilitar a verificação de IMS:

Navegue até Configure > Caching > Akamai Connect.

Espera-se que esse problema seja corrigido no WAAS 6.3 e mais avançado.

Problema: O Akamai Cache interrompe a conexão HTTPS ao passar por um proxy com autenticação.

Solução:

Quando você precisa passar por um proxy antes de ir para a Internet e o proxy exige autenticação, o WAAS pode interromper a conexão HTTPS. A captura de pacotes capturada no WAAS da filial mostra a resposta do HTTP 407 do site do servidor. No entanto, a captura é interrompida após o primeiro pacote. Os pacotes subsequentes não são enviados e a resposta está incompleta.

Isso é controlado no defeito CSCva26420 e provavelmente será corrigido na versão WAAS 6.3.