问题:
路由器/交换机的WCCP会话打开,但由于路由问题而未进行浏览
环境:
思科网络安全设备
Catalyst交换机、路由器、ASA
症状:
WCCP会话已启动且工作,但浏览不起作用。
在某些情况下,思科网络安全设备可以与路由器通信,但客户端流量可能无法通过。我们会看到WCCP会话已启动,但仍未进行浏览。
Catalyst交换机上的WCCP配置最少(redirect-list与本讨论无关,但为了完整起见在此处复制):
ip wccp 91 redirect-list 130 group-list 30
接口VLAN20
description client vlan 20
ip address 192.168.20.1 255.255.255.0
ip wccp 91 redirect in
access-list 30 permit 10.66.71.17
access-list 130 permit ip any host 192.168.20.103 log
access-list 130 permit ip host 192.168.20.103 any log
我们会看到WCCP启动:
Switch#sh ip wccp 91 d
WCCP客户端信息:
WCCP客户端ID: 10.66.71.17
协议版本: 2.0
状态: 可用
重定向: L2
数据包返回: L2
重定向的数据包: 0
连接时间: 00:12:49
作业: 掩码
但浏览可能不会发生。
问题出在思科网络安全设备上的路由配置。例如,思科网络安全设备可能没有返回VLAN 20的路由。非工作路由配置如下:

如果思科网络安全设备仅使用一个接口(M1)用于管理和数据流量,则通常会出现问题。在上例中,我们通过第二个条目路由到VLAN 30,通过第三个条目路由到WCCP设备,对于所有其他网络,我们通过默认路由路由到10.66.71.1。但是,如果10.66.71.1是Internet网关,但不知道如何路由到192.168.20.0/24,则路由将失败,客户端浏览器将无法浏览。
简单的ping测试将显示我们是否有返回客户端的路由。
s650a.lab(SERVICE)> ping 192.168.20.103
按Ctrl-C停止。
PING 192.168.20.103(192.168.20.103):56个数据字节
^C— 192.168.20.103 ping统计数据 —
传输17个数据包,接收0个数据包,丢失100%数据包
此问题的解决方案是在思科网络安全设备上将路由添加回客户端VLAN。 这可以通过以下方式实现:
WebUI > Network > Route > Add Route

添加后,ping应从思科网络安全设备流到客户端,我们应看到VLAN 20(本例中的主机192.168.20.103)中的客户端上正在浏览。
s650a.lab(SERVICE)> ping 192.168.20.103
按Ctrl-C停止。PING 192.168.20.103(192.168.20.103):56个数据字节
192.168.20.103中的64个字节:icmp_seq=0 ttl=127 time=0.835 ms
192.168.20.103中的64个字节:icmp_seq=1 ttl=127 time=0.343 ms
^C— 192.168.20.103 ping统计数据 —
传输2个数据包,接收2个数据包,丢包率0%
往返最小/avg/max/stddev = 0.343/0.589/0.835/0.246 ms
请注意,它会重复这是浏览可能失败的原因之一。WCCP启动但浏览不起作用还有其他原因,但这是比较常见的问题之一。