目錄

簡介

必要條件

需求

採用元件

設定

WSA配置

ASA配置示例

交換器組態範例(c3560)

驗證

疑難排解

簡介

本檔案介紹如何設定網路安全裝置(WSA)/思科路由器，以支援使用網路快取通訊協定(WCCP)透通重新導向HTTP、HTTPS和原生FTP流量。

必要條件

需求

本文件沒有特定需求。

採用元件

本文中的資訊係根據以下軟體和硬體版本：

- 運行AsyncOS 6.0版或更高版本的思科網路安全裝置

- 在WSA上啟用本地FTP代理

- 與WCCPv2相容的思科路由器/交換機或ASA防火牆

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

設定

當本地FTP流量以透明方式重定向到WSA時，WSA通常在標準FTP埠21上接收流量。因此，WSA上的本地FTP代理應在埠21上偵聽（預設情況下，本地FTP代理為8021）。 在GUI中，選擇Security Services > FTP Proxy以進行驗證。

WSA配置

1. 為FTP流量建立身份。在GUI中，選擇Web Security Manager > Identities ，並確保已禁用此ID的身份驗證。

2. 建立訪問策略。在GUI中，選擇Web Security Manager > Access Policies，該操作在步驟1中引用標識。

3. 在「FTP代理設定」下，將「FTP被動埠」修改為「11000-11006」，以確保所有埠適合一個服務組。

4. 建立以下WCCP服務ID:

名稱服務     連接埠

web-cache 0 80（或者，如果您使用多個WSA，則可以使用98自定義web-cache）

ftp-native 60 21,11000,11001,11002,11003,11004,11005,11006

https快取70 443

這些示例重定向三個內部子網，同時它們繞過所有私有定址目標以及單個內部主機的WCCP重定向。

ASA配置示例

wccp web-cache redirect-list web-cache group-list group_acl

wccp 60 redirect-list ftp-native group-list group_acl

wccp 70 redirect-list https-cache group-list group_acl

wccp interface inside web-cache redirect in

wccp interface inside 60 redirect in

wccp interface inside 70 redirect in

access-list group_acl extended permit ip host 10.1.1.160 any

access-list ftp-native extended deny ip any 10.0.0.0 255.0.0.0

access-list ftp-native extended deny ip any 172.16.0.0 255.240.0.0

access-list ftp-native extended deny ip any 192.168.0.0 255.255.0.0

access-list ftp-native extended deny ip host 192.168.42.120 any

access-list ftp-native extended permit tcp 192.168.42.0 255.255.255.0 any eq ftp

access-list ftp-native extended permit tcp 192.168.42.0 255.255.255.0 any range 11000

11006

access-list ftp-native extended permit tcp 192.168.99.0 255.255.255.0 any eq ftp

access-list ftp-native extended permit tcp 192.168.99.0 255.255.255.0 any range 11000

11006

access-list ftp-native extended permit tcp 192.168.100.0 255.255.255.0 any eq ftp

access-list ftp-native extended permit tcp 192.168.100.0 255.255.255.0 any range 11000

11006

access-list https-cache extended deny ip any 10.0.0.0 255.0.0.0

access-list https-cache extended deny ip any 172.16.0.0 255.240.0.0

access-list https-cache extended deny ip any 192.168.0.0 255.255.0.0

access-list https-cache extended deny ip host 192.168.42.120 any

access-list https-cache extended permit tcp 192.168.42.0 255.255.255.0 any eq https

access-list https-cache extended permit tcp 192.168.99.0 255.255.255.0 any eq https

access-list https-cache extended permit tcp 192.168.100.0 255.255.255.0 any eq https

access-list web-cache extended deny ip any 10.0.0.0 255.0.0.0

access-list web-cache extended deny ip any 172.16.0.0 255.240.0.0

access-list web-cache extended deny ip any 192.168.0.0 255.255.0.0

access-list web-cache extended deny ip host 192.168.42.120 any

access-list web-cache extended permit tcp 192.168.42.0 255.255.255.0 any eq www

access-list web-cache extended permit tcp 192.168.99.0 255.255.255.0 any eq www

access-list web-cache extended permit tcp 192.168.100.0 255.255.255.0 any eq www

交換器組態範例(c3560)

大多數路由器也應該如此。

ip wccp web-cache redirect-list web-cache group-list group_acl

ip wccp 60 redirect-list ftp-native group-list group_acl

ip wccp 70 redirect-list https-cache group-list group_acl

interface Vlan99

ip address 192.168.99.1 255.255.255.0

ip wccp web-cache redirect in

ip wccp 60 redirect in

ip wccp 70 redirect in

interface Vlan100

ip address 192.168.100.1 255.255.255.0

ip wccp web-cache redirect in

ip wccp 60 redirect in

ip wccp 70 redirect in

interface Vlan420

ip address 192.168.42.1 255.255.255.0

ip helper-address 192.168.100.20

ip wccp web-cache redirect in

ip wccp 60 redirect in

ip wccp 70 redirect in

ip access-list extended ftp-native

deny   ip any 10.0.0.0 0.255.255.255

deny   ip any 172.16.0.0 0.15.255.255

deny   ip any 192.168.0.0 0.0.255.255

deny   ip host 192.168.42.120 any

permit tcp 192.168.42.0 0.0.0.255 any eq ftp

permit tcp 192.168.42.0 0.0.0.255 any range 11000 11006

permit tcp 192.168.99.0 0.0.0.255 any eq ftp

permit tcp 192.168.99.0 0.0.0.255 any range 11000 11006

permit tcp 192.168.100.0 0.0.0.255 any eq ftp

permit tcp 192.168.100.0 0.0.0.255 any range 11000 11006

ip access-list extended https-cache

deny   ip any 10.0.0.0 0.255.255.255

deny   ip any 172.16.0.0 0.15.255.255

deny   ip any 192.168.0.0 0.0.255.255

deny   ip host 192.168.42.120 any

permit tcp 192.168.42.0 0.0.0.255 any eq 443

permit tcp 192.168.99.0 0.0.0.255 any eq 443

permit tcp 192.168.100.0 0.0.0.255 any eq 443

ip access-list extended web-cache

deny   ip any 10.0.0.0 0.255.255.255

deny   ip any 172.16.0.0 0.15.255.255

deny   ip any 192.168.0.0 0.0.255.255

deny   ip host 192.168.42.120 any

permit tcp 192.168.42.0 0.0.0.255 any eq www

permit tcp 192.168.99.0 0.0.0.255 any eq www

permit tcp 192.168.100.0 0.0.0.255 any eq www

ip access-list standard group_acl

permit 10.1.1.160

附註：由於WCCP技術限制，每個WCCP服務ID最多可以分配八個埠。

驗證

目前沒有適用於此組態的驗證程序。

疑難排解

目前尚無適用於此組態的具體疑難排解資訊。