Pergunta:

Sessão WCCP para o roteador/switch ativo, mas a navegação não está ocorrendo devido a problemas de rota

Ambiente:

Cisco Web Security Appliance
Switch Catalyst, roteador, ASA

Sintomas:

A sessão do WCCP está ativa e funcionando, mas a navegação não funciona.

Em determinadas circunstâncias, o Cisco Web Security Appliance pode se comunicar com o roteador, mas o tráfego do cliente pode não passar. Veríamos que a sessão do WCCP está ativa, mas ainda assim não está ocorrendo nenhuma navegação.

A configuração do WCCP no switch Catalyst é mínima (a lista de redirecionamento não é germana para esta discussão, mas reproduzida aqui por uma questão de integridade):

ip wccp 91 redirect-list 130 group-list 30

interface Vlan20
description client vlan 20
endereço ip 192.168.20.1 255.255.255.0
ip wccp 91 redirect in

access-list 30 permit 10.66.71.17
access-list 130 permit ip any host 192.168.20.103 log
access-list 130 permit ip host 192.168.20.103 any log

Veríamos que o WCCP está ativado:

Switch#sh ip wccp 91 d
Informações do cliente WCCP:

        ID do cliente WCCP: 10.66.71.17
        Versão do protocolo: 2.0
        Estado: utilizável       
        Redirecionamento: L2
        Retorno de pacote: L2
        Pacotes Redirecionados: 0
        Tempo de conexão: 00:12:49
        Tarefa: MÁSCARA

Mas a navegação pode falhar.

O problema está na configuração da rota no Cisco Web Security Appliance. Por exemplo, o Cisco Web Security Appliance pode não ter uma rota para voltar à VLAN 20. A configuração da rota que não está funcionando é a seguinte:

O problema é geralmente visto se apenas uma interface (M1) é usada para o Cisco Web Security Appliance para tráfego de dados e gerenciamento. No exemplo acima, temos a rota para a VLAN 30 através da segunda entrada e a rota para o dispositivo WCCP através da terceira entrada e uma rota padrão para 10.66.71.1 para todas as outras redes. No entanto, se 10.66.71.1 for o gateway para a Internet, mas não souber como rotear para 192.168.20.0/24, o roteamento falhará e os navegadores clientes não poderão navegar.

Um teste de ping simples mostraria se temos uma rota de volta para o cliente.

s650a.lab (SERVICE)> ping 192.168.20.103

Pressione Ctrl-C para parar.
PING 192.168.20.103 (192.168.20.103): 56 bytes de dados
^C— 192.168.20.103 estatísticas de ping —
17 pacotes transmitidos, 0 pacotes recebidos, 100% de perda de pacotes

A solução para esse problema é adicionar uma rota no Cisco Web Security Appliance de volta às VLANs do cliente.  Isso pode ser feito por:

WebUI > Rede > Rota > Adicionar Rota 

Depois de adicionar isso, os pings devem fluir do Cisco Web Security Appliance para o cliente e devemos ver a navegação acontecendo nos clientes na VLAN 20 (host 192.168.20.103 neste exemplo).

s650a.lab (SERVICE)> ping 192.168.20.103

Pressione Ctrl-C para parar.PING 192.168.20.103 (192.168.20.103): 56 bytes de dados
64 bytes de 192.168.20.103: icmp_seq=0 ttl=127 time=0,835 ms
64 bytes de 192.168.20.103: icmp_seq=1 ttl=127 time=0,343 ms

^C— 192.168.20.103 estatísticas de ping —
2 pacotes transmitidos, 2 pacotes recebidos, 0% de perda de pacotes
round-trip min/avg/max/stddev = 0,343/0,589/0,835/0,246 ms

Observe que isso é um dos motivos pelos quais a navegação pode falhar. Pode haver outras razões pelas quais o WCCP estaria ativado, mas a navegação não funcionaria, mas esse é um dos problemas mais comuns.