ASA 用の WSA WCCP の設定例

はじめに

このドキュメントでは、Cisco Web セキュリティ アプライアンス（WSA）を使用して Cisco 適応型セキュリティ アプライアンス（ASA）の Web Cache Communication Protocol（WCCP）を設定する方法について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

• Cisco WSA
• Cisco ASA
• WCCP
• 透過的なプロキシの導入

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

• Cisco WSA バージョン 7.x
• Cisco ASA バージョン 8.x

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

設定

ここでは、ASA の WCCP を設定します。

設定の概要

WSA で ASA の WCCP を設定するために入力するコマンドを、次に示します。

hostname(config)# wccp {web-cache | service_number} [redirect-list access_list]
 [group-list access_list] [password password] 

hostname(config)# wccp interface interface_name {web-cache | service_number}
 redirect in

このコマンドのエントリの説明を次に示します。

• service-number：これはダイナミックなサービス識別子です。つまり、サービス定義がキャッシュによって指定されます。ダイナミック サービス番号は 0 ～ 255 の範囲で指定できます。web-cache キーワードで指定される Web キャッシュ サービスを含めて、許可される最大数は 256 です。
  
  
• redirect-list：これはオプションのエントリです。このサービス グループにリダイレクトされるトラフィックを制御するアクセス リストとともに使用します。access-list 引数は、アクセス リストを指定する 64 文字以下の文字列（名前または番号）です。
  

  注:ASAソフトウェアバージョン8.1以前では、リダイレクトリスト内のTCPポートは受け付けられません。使用できるのはネットワークアドレスだけです。

• group-list：これは、サービスグループへの参加を許可するWebキャッシュを決定するオプションのアクセスリストエントリです。access-list 引数は、アクセス リストを指定する 64 文字以下の文字列（名前または番号）です。
  
  
• password：これは、サービスグループから受信するメッセージのMessage Digest 5(MD5)認証を指定するオプションのエントリです。認証で受け入れられなかったメッセージは廃棄されます。

注：標準サービスはWebキャッシュ(サービスID 0)で、TCPポート80(HTTP)トラフィックのみを代行受信します。その他のカスタマイズされたサービスについては、90 ～ 97 のサービス ID を使用することを推奨します。

設定例

WSA を使用して ASA の WCCP を設定するには、次の手順を実行します。

1. デフォルトのサービス グループ web-cache を使用するため、次のコマンドを入力します。
   
   

   wccp web-cache
   wccp interface inside web-cache redirect in

2. HTTP および HTTPS トラフィックのリダイレクションでダイナミック サービス グループ ID を使用するため、次のコマンドを入力します。
   
   

   wccp 90 redirect-list wccp-hosts group-list wccp-routers

3. WCCP セキュリティを使用するため、次のコマンドを入力します。
   
   

   wccp 90 redirect-list wccp-hosts group-list wccp-routers password securewccp

4. 宛先 IP アドレスとして ASA に送信されたトラフィックを拒否し、WSA にリダイレクトするようにアクセス リストを設定できます。これは、トラフィックを複数の WSA にリダイレクトするように ASA を設定する場合に特に役立ちます。たとえば、次の IP アドレスが WSA に割り当てられたとします。
   
   
   • WSA1 の IP アドレス = 10.0.0.1
   • WSA2 の IP アドレス = 10.0.0.2
     
     
   トラフィックを拒否するようにアクセス リストを設定するには、次のコマンドを入力します。
   
   

   access-list wccp-hosts extended deny tcp any host 10.0.0.1
   access-list wccp-hosts extended deny tcp any host 10.0.0.2

5. HTTP トラフィックのリダイレクトを許可するため、次のコマンドを入力します。
   
   

   access-list wccp-hosts extended  permit tcp any any eq www

6. HTTPS トラフィックのリダイレクトを許可するため、次のコマンドを入力します。
   
   

   access-list wccp-hosts extended  permit tcp any any eq https

7. WCCP 通信への参加が許可される WSA を定義するため、次のコマンドを入力します。
   
   

   access-list wccp-routers standard permit host 10.0.0.1
   access-list wccp-routers standard permit host 10.0.0.2

8. redirect-list コマンドが受け入れられない場合は、拡張アクセス リストが必要になります。拡張アクセス リストを設定するには、次のコマンドを入力します。
   
   

   access-list wccp-routers extended permit ip host 10.0.0.1 any
   access-list wccp-routers extended permit ip host 10.0.0.2 any

9. 設定を適用するため、次のコマンドを入力します。
   
   

   wccp interface inside 90 redirect in

確認

WCCP に関するグローバルな統計情報を表示するには、特権 EXEC モードで show wccp コマンドを入力します。

show wccp {web-cache | service-number}[detail | view]
show run | inc wccp

注：リダイレクトされるトラフィックのタイプ(HTTP、HTTPS、FTP)は、WSA WCCP設定で定義されます。ASA は、redirect-list を使用してリダイレクトされるトラフィックだけをフィルタできます。

トラブルシュート

現在、この設定に関する特定のトラブルシューティング情報はありません。

関連情報

• WCCP を使用した Web キャッシュ サービスの設定
• テクニカル サポートとドキュメント - Cisco Systems