bluecoat 操作说明

正向代理Bluecoat配置最佳实践For SGOS V4.X第七版Bluecoat公司2009年4 月本文档的目的是通过正确的配置及测试步骤，使Blue Coat SG在正向代理测试中达到最佳的效果。

其中包括企业用显式代理和运营商带宽增益类透明代理的测试中达到最佳效果。

建议凡是碰到以运营商带宽节省为目的的测试，严格按照本文档描述的步骤。

文档修订历史目录一、SG配置关于WEB-CACHE基本配置 (5)1.1关于部署方式 (5)1.2关于操作系统版本 (5)1.3基本配置步骤 (5)二、如何调整SG性能和增益效果 (11)2.1在大流量情况下并发处理的优化 (11)2.2避免带宽负增益的最佳测试步骤 (14)2.3执行Cache充满 (14)2.4视频强制缓存 (15)2.5强制缓存没有缓存标记的流量 (17)2.6强制缓存微软的升级包 (17)2.7禁止所有包含Range: bytes header的请求（可选） (18)2.8关于Blue Coat带宽增益统计数据 (18)2.9DNS配置 (18)2.10强制缓存下载网站 (23)2.11消除Trust Destination IP对缓存影响 (25)2.12消除缓存内容过期 (26)三、查看增益效果 (26)四、如何分析流量进而优化 (29)4.1通过日志分析 (29)4.2通过Policy Trace分析 (31)4.2.1增加额外的策略+Trace (31)4.2.2打开策略Trace页面进行分析 (32)4.3检查DNS Worker (32)五、SG透明缓存环境QQ的运行 (34)六、SG和游戏及特定应用的兼容性问题的解决 (37)6.1透明代理下保证游戏能够通过SG访问 (37)6.1.1Reflect-Client-IP保证游戏服务器的认证和记录不出问题 (37)6.1.2保证联众游戏访问可以通过 (39)6.1.3设置MTU保证游戏访问通过 (39)6.2显式代理下保证MSN能够通过SG访问 (39)七、SG压力过载的保护策略 (40)7.1SG流量过载保护策略 (40)7.2CPU突发过载的保护策略 (43)八、C/S软件通过SG代理 (45)8.1Default policy Allow 和CPL中的Allow的区别 (45)8.2保证典型的C/S应用通过代理服务器能够访问 (48)8.3不支持代理的C/S软件通过SG上网的方式 (51)8.4设定放宽HTTP协议的容忍度 (52)九、飞信通过SG代理用户认证的配置 (52)一、SG配置关于Web-Cache基本配置1.1 关于部署方式Bluecoat 的SG-Web-Cache可以通过如下方式部署在网络当中：1．网桥部署方式2．通过WCCP部署方式3．通过L4的设备部署1.2 关于操作系统版本Bluecoat V4最新推荐版本是SG V4.2.8.6或4.2.9.11.3 基本配置步骤设备的基本配置步骤如下：1. STEP-1（测试前最好配置恢复为出厂配置，避免未知的问题）通过Console进入SG后—enable 进入—恢复出厂配置命令restore-defaults factory-defaults或reinitialize—初始配置设备的基本参数（IP,GW,DNS等）2. STEP-2通过HTTPS://SG-IP:8082进入SG的图形界面，进入maintenance->license->View，确认系统的License是否有效如果Licesne过期需要安装Licesne文件3. STEP-3确认设备的时钟（系统时间），由于是Cache设备，系统对时间的要求很高，需要尽可能调准系统时间，并设置适合的Local Time Zone，也可以通过NTP协议和NTP服务器自动同步。

4. STEP-4设置网络属性A. SG IP地址、子网等、Setting 设置接口网络速率B. 需要网桥部署需要设置Bridge ,可以把2个接口（如0:0 和 1:1）加入到Bridge当中，通过Link Setting设置接口速率等C. 设置确省网关和静态路由网关静态路由如果网络路由比较复杂，可以通过CLI 命令输入让SG 自动识别流量流向及路由：return-to-sender inbound enable5. STEP-5设置服务属性A. 设置服务端口设置enable需要Cache的协议端口，如：80,554,1755等，并Enable 透明方式如果是运营商作透明缓存，80端口需要关掉Explicit方式，以避免设备成为Open Proxy被黑客利用。

如果是企业做显示代理，需要关掉Transparent方式以保持设备配置最精简。

B. 通过CLI设置Byte-range等的处理行为http byte-rangeshttp revalidate-pragma-no-cacheC. 设置Services->HTTP Proxy配置，如果是做加速效果测试，使用缺省的Nornal-Profile，如果是做带宽节省测试，则会使用Bandwidth Gain Profile（具体的带宽节省测试步骤参加第2章，其中在Cache充满阶段也会使用Normal Profile，但最终会使用Bandwidth Gain模式）。

D. 如果是运营商透明代理测试，则取消IM-Proxy的HTTP hand-off，如下所示如果是企业正向代理测试并用到IM控制策略，则应保留IM Handoff为Enable状态。

E. 如果是运营商带宽节省测试，设置缺省策略为允许，如果是企业正向代理作上网策略控制，则设置缺省策略为禁止。

二、如何调整SG性能和增益效果2.1 在大流量情况下并发处理的优化第一次上线，流量比较大时，需要采用带宽增益模式为好，如下图所出示可以仅仅EnableCache Expired Objects 和 Enable Bandwidth Gain Mode在大流量时，需要观察 HTTP的连接状况 https://SG-IP:8082/http/statistics观察 HTTP Worker Statistics 如下红线部分Currently established client connections经常接近或等于Maximum acceptable concurrent client connections数值时可以做如下优化：通过CLI调整HTTP永久连接的参数当Cache设备感觉Wroker数已经达到上限时，可以通过CLI适当调整 Cliet/Server端的Persistent的数值，CLI命令如下：http persistent-timeout server 20 （缺省900）http persistent-timeout client 10 （缺省360）或禁止Persistenthttp no persistent clienthttp no persistent server2.2 避免带宽负增益的最佳测试步骤实际在运营商环境和企业环境，用户往往希望能够使用SG节省带宽，由于现在应用变化很复杂，为了避免出现带宽负增益的问题，我们建议的测试步骤有如下几项：1）假定测试使用透明代理方式，用户从路由器上使用WCCP或策略路由把流量导出来。

2）流量导出建议使用安装目的地址Hash的方法，不推荐把所有目的地址段都放开导出到SG。

选择流量导出目的地址段的原则在于把互联网上用户访问最多的视频或可缓存的新闻网站。

为了记录这些网站的地址，需要测试人员在用户网上使用当地确省配置的DNS服务器，这样解析出来的地址和当地实际上网人员的地址是一致的。

拿到解析出来的地址，通常把它们放达到B类地址，以保证安全和有足够的流量进入SG。

这种选择目的网段流量进行流量导入的方式可以保证SG上带宽没有负增益。

3）当代理服务器刚刚上线时，由于其对象缓存中并没有存储相关内容，首先要进行Cache充满动作。

并选用Normal Profile，目的是缓存尽可能多地内容。

具体策略可以参见2.3节4）充满结束后，要选用Bandwidth gain profile,目的是增加带宽节省比例，同时去掉原来做带宽充满时的策略。

然后增加强制缓存视频类内容的策略及强制缓存Microsoft Windows Update内容的策略。

具体可以参见2.4, 2.5, 2.6节。

5）将tcp window-size 降低至20k，增益将会提高15%-35%。

Demo-sg400#(config)tcp-ip window-size 204802.3 执行Cache充满为达到最佳效果，我们需要配置策略来在一定的时间范围内使Cache内容得到充满。

;;;; 下面的策略在Cache充满完成后必须去掉（充满时间可选择三至七天）。

;;;; 下面的策略在Cache充满完成后必须去掉（充满时间可选择三至七天）。

为避免SG将过期内容提交给用户，建议在Configurations/Services/HTTP Proxy下打开“Always check with source before serving object”选项。

带宽充满阶段需要选择Normal Profile达到最快时间充满的效果。

在充满Cache 的阶段，带宽增益为负是正常的现象。

2.4 视频强制缓存下面的策略强制将国内几大门户网站的视频及YouTube的视频进行缓存，加到测试设备中会对带宽增益效果有很大帮助。

;; This policy rewrites the storage/lookup of various video and file sharing web sites; to maximize the caching of content regardless of which server delivered the file.;;<proxy> url.extension=flv ; check requests which use an flv extensioncondition=sina_video_request action.force_cache_sina(yes)condition=youku_video_request action.force_cache_youku(yes)condition=youku_video_request_regex action.force_cache_youku(yes)<proxy> condition=youtube_related_request ; check for youtube and googlevideo style requestscondition=youtube_video_request action.force_cache_youtube(yes)<cache>condition=youku_video_request delete_on_abandonment(no) force_cache(all)ttl(172800) ;one-day = 86400 secondscondition=youtube_video_request delete_on_abandonment(no) force_cache(all)ttl(172800) ;one-day = 86400 secondscondition=sina_video_request delete_on_abandonment(no) force_cache(all)ttl(172800) ;one-day = 86400 secondsurl.extension=flv force_cache(all) ttl(172800) ;one-day = 86400 seconds;--Ensure the internal URLs are not leak via refresh--;<cache>url.domain= refresh(no);; youtube conditions and actions;;define condition youtube_related_requesturl.host.substring="youtube"request.header.Referer.url.substring="youtube";or numeric hostnames lack the the referer headerurl.host.is_numeric=yes request.header.Referer.regex=!"."enddefine condition youtube_video_requesturl.path="/get_video" url.query.regex="video_id="define action force_cache_youtuberewrite(url, "(.+)video_id=([^&]+)(\&.*|$)","/get_video/$(2)", cache)end;;;; end youtube conditions and actions;; sina video sharing portal conditions and actions;;define condition sina_video_requesturl.domain= url.extension=flvenddefine action force_cache_sinarewrite(url, "(.+)/([^/]+\.flv)$", "/$(2)", cache) end;;;; end sina conditions and actions;; youku conditions and actions;;define condition youku_video_requesturl.host.is_numeric=yes request.header.Referer.substring="" url.extension=flv ; this will only match requests from Internet explorerenddefine condition youku_video_request_regexurl.host.is_numeric=yes url.path.regex="^[A-Z0-9]+-[A-Z0-9]+-[A-Z0-9]+-[A-Z0-9]+-[A-Z0-9]+\.flv"enddefine action force_cache_youkurewrite(url, "(.+)/([^/]+\.flv)$", "/$(2)", cache)end;;;; end youku conditions and actions;; begin policy to cache zshare download site;;<proxy>url.domain=// action.force_cache_zshare(yes)<cache>url.domain=// delete_on_abandonment(no)never_serve_after_expiry(yes) force_cache(all) ttl(172800) ;one-day = 86400 seconds define action force_cache_zsharerewrite(url, "http://([^/]+)/download/(.+)/([^/]+/[^/]+)$","/$(3)", cache)end2.5 强制缓存没有缓存标记的流量很多的网站（特别是视频网站）有些大的Object既没有Cache-Control 标记也没有Exprie标记，SG是不做缓存的，此时可能出现负增益，需要强制缓存这些Object (如土豆网的FLV文件80-90%的都是如此)。