MACsec (Media Access Control Security) est un protocole de chiffrement de couche 2 conforme à la norme IEEE 802.1AE. Il offre un chiffrement des données basé sur le matériel avec une faible latence sur les connexions physiques. Si MACsec est activé sur un port physique, gérez ses clés dans l'onglet MACsec de la page des détails du port.
Présentation
Les concepts liés à MACsec sont les suivants :
|
Concept |
description |
|
CKN (Connectivity Association Key Name) |
Identifie de manière unique une CAK. Les participants au protocole MKA utilisent le CKN pour sélectionner la CAK appropriée lors de la négociation des clés. |
|
CAK (Connectivity Association Key) |
Utilisée pour la communication du plan de contrôle MACsec. La CAK n'est pas utilisée directement pour le chiffrement des données, mais sert de base à la dérivation de la SAK. |
|
SAK (Secure Association Key) |
Utilisée pour le chiffrement et le déchiffrement effectifs des données. Le système dérive automatiquement la SAK à partir d'une paire CKN/CAK et la régénère périodiquement. |
|
MKA (MACsec Key Agreement) |
Établit et gère le canal sécurisé MACsec et négocie les clés. |
Algorithmes de chiffrement pris en charge :
GCM-AES-128
GCM-AES-XPN-128
GCM-AES-256
GCM-AES-XPN-256
Pour les liens à haut débit, utilisez GCM-AES-XPN-256 afin d'éviter la perte de paquets due à une surcharge du plan de contrôle.
Associer des clés
Assurez-vous d'avoir activé MACsec lors de la création du port physique.
-
Cliquez sur l'ID du port physique cible pour ouvrir sa page de détails, puis cliquez sur l'onglet MACsec.
Cet onglet n'apparaît que pour les ports physiques qui prennent en charge le chiffrement MACsec. Si l'onglet est absent, cela signifie que MACsec n'a pas été activé lors de la création du port.
-
Cliquez sur Associate MACsec Keys, sélectionnez un Encryption Algorithm, puis saisissez le Connectivity Association Key Name (CKN) et la Connectivity Association Key (CAK). Le CKN et la CAK doivent être des chaînes de caractères hexadécimaux (0-9, A-F) :
Pour les algorithmes GCM-AES-128 et GCM-AES-XPN-128, le CKN et la CAK doivent comporter 32 caractères hexadécimaux (128 bits).
Pour les algorithmes GCM-AES-256 et GCM-AES-XPN-256, le CKN et la CAK doivent comporter 64 caractères hexadécimaux (256 bits).
-
Cliquez sur OK. Après l'ajout de la clé, le système utilise la clé la plus récemment ajoutée pour initier la négociation MKA.
Associating : la clé est en cours de vérification et de négociation.
Associated : la clé a été vérifiée et associée.
Failed : la vérification de la clé a échoué. Vous pouvez cliquer sur Re-associate pour relancer la négociation.
Disassociated : la clé a été dissociée.
Rotation des clés
MACsec prend en charge la rotation des clés. Vous pouvez stocker jusqu'à trois paires de clés CKN/CAK et effectuer une rotation manuelle des clés.
Les clés sont triées par date d'ajout, de la plus récente à la plus ancienne.
Lorsque vous associez une nouvelle paire CKN/CAK, le système utilise la clé la plus récente pour initier la négociation. Configurez la même paire de clés sur votre CPE.
Après avoir Disassociate une clé dont l'état est Associated ou Association Failed, le système tente automatiquement une négociation avec la clé suivante de la liste.
Vous ne pouvez supprimer que les clés dont l'état est Disassociated.
Configuration du routeur sur site
Après avoir configuré une clé MACsec sur Alibaba Cloud, configurez les paramètres correspondants sur votre routeur sur site. Consultez la documentation de votre fournisseur de routeur pour les paramètres suivants :
|
Paramètre |
Description |
|
Algorithme de chiffrement MACsec |
Doit correspondre à l'algorithme configuré sur Alibaba Cloud. |
|
Algorithme de chiffrement CAK |
AES_256_CMAC |
|
CKN/CAK |
Doit correspondre à la paire CKN/CAK configurée sur Alibaba Cloud. |
|
Secure Channel Identifier (SCI) |
Doit être activé. |
Pour éviter toute interruption du trafic, terminez la configuration MACsec sur votre routeur sur site avant d'ajouter une clé dans la console Alibaba Cloud afin d'initier la négociation.
Limites
MACsec prend actuellement uniquement en charge le mode de chiffrement obligatoire. Si la négociation des clés entre Alibaba Cloud et votre CPE client échoue, la connexion est interrompue et tout le trafic est bloqué.
MACsec ne peut être activé que lors de la création d'un nouveau port physique, et non sur des ports existants.
Chaque port physique supporte un maximum de trois paires de clés MACsec.
Les clés doivent être au format hexadécimal (0-9, A-F). Longueur du CKN et de la CAK : 32 caractères pour les algorithmes 128 bits, 64 caractères pour les algorithmes 256 bits.
Le Secure Channel Identifier (SCI) est requis et ne peut pas être désactivé.
Le déplacement des tags IEEE 802.1Q (Dot1q/VLAN) hors de la charge utile chiffrée n'est pas pris en charge.
MACsec est un attribut de port physique. Vous ne pouvez pas interroger ni désactiver MACsec séparément sur un VBR.