Domanda
WCCP con autenticazione e più WSA causa un loop (ACL necessario per limitare l'accesso client)?
Sintomi
Quando si utilizza WCCP, Authentication e almeno due WSA, i client vengono reindirizzati quando tentano di accedere all'URL del server di autenticazione trasparente. Questo viene visualizzato come grave latenza o timeout sul client.
Soluzione
Quando si utilizza l'autenticazione con WCCP, il server di autenticazione di Windows deve reindirizzare il client a se stesso prima di poter eseguire l'autenticazione. Si tratta di un passaggio necessario, in quanto l'autenticazione non può essere eseguita due volte per la stessa destinazione.
Il problema è che quando il client effettua una nuova richiesta per il server WCCP, il router WCCP reindirizza la richiesta al pool WCCP. È possibile che la richiesta venga reinoltrata tramite un WSA diverso. In questo modo, il secondo WSA tenterà di recuperare l'oggetto dal primo WSA.
Per evitare questo comportamento indesiderato, è necessario creare un ACL sul router WCCP. L'aspetto dell'ACL dovrebbe essere simile al seguente:
| riga ACL |
Scopo |
| access-list 105 deny ip host <WSA 1> any |
NON reindirizzare il traffico proveniente da WSA 1 |
| access-list 105 deny ip host <WSA 2> any |
NON reindirizzare il traffico proveniente da WSA 2 |
| access-list 105 deny ip host any <WSA 2> |
NON reindirizzare i client che passano direttamente a WSA 1 (autenticazione) |
| access-list 105 deny ip host any <WSA 1> |
NON reindirizzare i client che passano direttamente a WSA 2 (autenticazione) |
In questo modo i client non verranno reindirizzati per le richieste di autenticazione proxy ai server WSA.
È inoltre possibile limitare le WSA che verranno accettate come cache Web utilizzando l'elenco dei gruppi:
| riga ACL |
Scopo |
| access-list 15 allow <WSA 1> |
Consenti l'inclusione di questo IP nell'ID servizio WCCP specificato |
| access-list 15 allow <WSA 2> |
Consenti l'inclusione di questo IP nell'ID servizio WCCP specificato |
La sintassi per implementare il protocollo WCCP con questi ACL è:
ip wccp <ID servizio> redirect-list 105
ip wccp <ID servizio> redirect-list 105 group-list 15
NOTA: è necessario aggiungere una regola per ogni server WSA disponibile. Nello scenario precedente, esistevano solo due WSA.
Feedback