Inhalt

Frage

Symptome

Lösung

Frage

Führt WCCP mit Authentifizierung und mehreren WSAs zu einer Schleife (ACL erforderlich, um den Client-Zugriff zu beschränken)?

Symptome

Bei Verwendung von WCCP, Authentifizierung und mindestens zwei WSAs werden Clients umgeleitet, wenn sie versuchen, auf die URL des transparenten Auth-Servers zuzugreifen. Dies wird als schwerwiegende Latenz oder Zeitüberschreitung auf dem Client angezeigt.

Lösung

Wenn die Authentifizierung mit WCCP verwendet wird, muss die WSA den Client zuerst an sich selbst umleiten, bevor eine Authentifizierung durchgeführt werden kann. Dies ist ein notwendiger Schritt, da die Authentifizierung für dasselbe Ziel nicht zweimal durchgeführt werden kann.

Das Problem besteht darin, dass der WCCP-Router diese Anforderung über den WCCP-Pool zurückleitet, wenn der Client eine neue Anforderung für die WSA sendet. Diese Anforderung kann über eine andere WSA erneut proximiert werden, wodurch diese zweite WSA versucht, das Objekt von der ersten WSA abzurufen.

Um ein solches unerwünschtes Verhalten zu verhindern, muss auf dem WCCP-Router eine ACL erstellt werden. Die ACL sollte ähnlich wie folgt aussehen:

ACL-Leitung

Zweck

access-list 105 deny ip host <WSA 1> any

Datenverkehr, der von der WSA 1 stammt, NICHT umleiten

access-list 105 deny ip host <WSA 2> any

Datenverkehr, der von der WSA 2 stammt, NICHT umleiten

access-list 105 deny ip host any <WSA 2>

Clients, die direkt zu WSA 1 (Authentifizierung) geleitet werden, dürfen NICHT umgeleitet werden.

access-list 105 deny ip host any <WSA 1>

Clients, die direkt zu WSA 2 (Authentifizierung) geleitet werden, dürfen NICHT umgeleitet werden.

Dadurch wird verhindert, dass die Clients für die Proxy-Authentifizierungsanforderungen an die WSAs umgeleitet werden.

Mithilfe der Gruppenliste können Sie auch begrenzen, welche WSAs als Web-Caches akzeptiert werden:

ACL-Leitung

Zweck

access-list 15 permit <WSA 1>

Lassen Sie zu, dass diese IP in die angegebene WCCP-Dienst-ID aufgenommen wird.

access-list 15 permit <WSA 2>

Lassen Sie zu, dass diese IP in die angegebene WCCP-Dienst-ID aufgenommen wird.

Die Syntax für die Implementierung von WCCP in diesen ACLs lautet wie folgt:

ip wccp <Service-ID> redirect-list 105

ip wccp <Service-ID> redirect-list 105 group-list 15

HINWEIS: Sie müssen für jede WSA, die Sie haben, eine Regel hinzufügen. Im obigen Szenario gab es nur zwei WSAs.