17.9 Прозрачное кеширование с сервером доступа acc Tigris digital

от John Saunders

Здесь описана настройка прозрачного проксирования при помощи сервера доступа ACC Tigris (типа CISCO 5200/5300 или Ascend MAX 4000). Мной обнаружено, что если сделать это в NAS, то уменьшается трафик в локаьлной сети и уменьшается нагрузка на CISCO. Мощности CPU Tigris-у для фильтрования хватит.

Шаг 1 - создать фильтры, чтобы разрешить прохождения локального трафика. Добавьте столько фильтров сколько вам нужно для всех диапазонов ваших адресов.

ADD PROFILE IP FILTER ENTRY local1 INPUT 10.0.3.0 255.255.255.0 0.0.0.0 0.0.0.0 NORMAL

ADD PROFILE IP FILTER ENTRY local2 INPUT 10.0.4.0 255.255.255.0 0.0.0.0 0.0.0.0 NORMAL

Шаг 2 - создание фильтра для захвата трафика по 80-му порту.

ADD PROFILE IP FILTER ENTRY http INPUT 0.0.0.0 0.0.0.0 0.0.0.0 0.0.0.0 = 0x6 D= 80 NORMAL

Шаг 3 - установить "APPLICATION_ID" для трафика по порту 80 равное 80. Это значит, что все пакеты попавшие под этот фильтр будут иметь ID 80, взамен принятого по умолчанию ID 0.

SET PROFILE IP FILTER APPLICATION_ID http 80

Шаг 4 - создание специального маршрута, который используется для пакетов с "APPLICATION_ID" установленным в 80. Маршрутизатор использует ID, для выбора необходимого маршрута.

ADD IP ROUTE ENTRY 0.0.0.0 0.0.0.0 PROXY-IP 1

SET IP ROUTE APPLICATION_ID 0.0.0.0 0.0.0.0 PROXY-IP 80

Шаг 5 - привязать все к фильтру с ID по имени transproxy. Расположите все локальные фильтры первыми, а http-фильтр последним.

ADD PROFILE ENTRY transproxy local1 local2 http

В этом месте используйте ваш RADIUS-сервер чтобы вернуть ``Framed-Filter-Id = transproxy'' пару ключ/значение для NAS.

Вы можете проверить привязку фильтра к логинам при помощи команды:

display profile port table

17.10 ``Connection reset by peer'' и Cisco policy routing

Fyodor проследил причину появления сообщений ``connection reset by peer'', когда Cisco policy routing используется для перехвата HTTP-запросов.

Когда линк между маршрутизатором и кешем ненадолго пропадает, то пакет, который должен быть перенаправлен, вместо этого попадает на шлюз по умолчанию. Если это произошло, то TCP ACK от клиентского хоста может быть послан напрямую к запрашиваемому серверу, взамен того, чтобы принудительно быть завернутым к кешу. Запрашиваемый сервер, получивший непонятный пакет ACK, посылает TCP RESET клиенту, чем и завершает клиентский запрос.

Чтобы обойти эту проблему, укажите статический маршрут к интерфейсу null0 для адреса вашего кеша с более высокой метрикой (lower precedence), типа 250. После этого, если линк "упал", то пакет от клиента просто будет убит взамен того, чтобы уйти на шлюз по умолчанию. К примеру, если 1.2.3.4 - это IP-адрес вашего кеша Squid cache, можете добавить:

ip route 1.2.3.4 255.255.255.255 Null0 250

Это должно поправить ситцацию.

17.11 Wccp - Web Cache Coordination Protocol

Contributors: Glenn Chisholm и Lincoln Dale.

Поддерживает ли Squid протокол WCCP?

CISCO's Web Cache Coordination Protocol V1.0 поддерживается squid версий 2.3 и более поздних. В настоящее всемя WCCP V2 - это открытый протокол, Squid возможно будет поддерживать его в будущем.

Настройка вашего маршутизатора

Есть два различных метода настройке WCCP на роутере CISCO. Первый метод для которые поддерживают только версию 1.0 протокола. Второй - для роутеров, поддерживающих обе версии.