MACsec (Media Access Control Security) adalah protokol enkripsi Layer 2 IEEE 802.1AE yang menyediakan enkripsi data berbasis perangkat keras dengan latensi rendah pada koneksi fisik. Jika MACsec diaktifkan pada port fisik, kelola kuncinya di tab MACsec pada halaman detail port tersebut.
Ikhtisar
Konsep terkait MACsec adalah sebagai berikut:
Konsep | Deskripsi |
CKN (Connectivity Association Key Name) | Mengidentifikasi CAK secara unik. Peserta protokol MKA menggunakan CKN untuk memilih CAK yang tepat dalam negosiasi kunci. |
CAK (Connectivity Association Key) | Digunakan untuk komunikasi lapisan kontrol MACsec. CAK tidak digunakan langsung untuk enkripsi data, tetapi menjadi dasar untuk menurunkan SAK. |
SAK (Secure Association Key) | Digunakan untuk enkripsi dan dekripsi data sesungguhnya. Sistem secara otomatis menurunkan SAK dari pasangan CKN/CAK dan secara berkala menghasilkannya kembali. |
MKA (MACsec Key Agreement) | Membentuk dan mengelola saluran aman MACsec serta melakukan negosiasi kunci. |
Algoritma enkripsi yang didukung:
GCM-AES-128
GCM-AES-XPN-128
GCM-AES-256
GCM-AES-XPN-256
Untuk tautan bandwidth tinggi, gunakan GCM-AES-XPN-256 untuk mencegah kehilangan paket akibat beban berlebih pada lapisan kontrol.
Asosiasikan kunci
Pastikan Anda telah mengaktifkan MACsec saat membuat port fisik.
Klik ID port fisik target untuk membuka halaman detailnya, lalu klik tab MACsec.
Tab ini hanya muncul untuk port fisik yang mendukung enkripsi MACsec. Jika tab tidak tersedia, berarti MACsec tidak diaktifkan saat port dibuat.
Klik Associate MACsec Keys, pilih Encryption Algorithm, lalu masukkan Connectivity Association Key Name (CKN) dan Connectivity Association Key (CAK). Baik CKN maupun CAK harus berupa string karakter heksadesimal (0–9, A–F):
Untuk algoritma GCM-AES-128 dan GCM-AES-XPN-128, panjang CKN dan CAK harus 32 karakter heksadesimal (128 bit).
Untuk algoritma GCM-AES-256 dan GCM-AES-XPN-256, panjang CKN dan CAK harus 64 karakter heksadesimal (256 bit).
Klik OK. Setelah kunci ditambahkan, sistem menggunakan kunci yang paling baru ditambahkan untuk memulai negosiasi MKA.
Associating: Kunci sedang diverifikasi dan dinegosiasikan.
Associated: Kunci telah diverifikasi dan diasosiasikan.
Failed: Verifikasi kunci gagal. Anda dapat mengklik Re-associate untuk memulai negosiasi kembali.
Disassociated: Kunci telah diputus asosiasinya.
Rotasi kunci
MACsec mendukung rotasi kunci. Anda dapat menyimpan hingga tiga pasang kunci CKN/CAK dan melakukan rotasi kunci secara manual.
Kunci diurutkan berdasarkan waktu penambahan, dengan kunci terbaru di posisi pertama.
Saat Anda mengasosiasikan pasangan CKN/CAK baru, sistem menggunakan kunci terbaru untuk memulai negosiasi. Konfigurasikan pasangan kunci yang sama pada CPE Anda.
Setelah Anda Disassociate kunci yang berada dalam status Associated atau Association Failed, sistem secara otomatis mencoba negosiasi dengan kunci berikutnya dalam daftar.
Anda hanya dapat menghapus kunci yang berada dalam status Disassociated.
Konfigurasi router on-premises
Setelah Anda mengonfigurasi kunci MACsec di Alibaba Cloud, konfigurasikan pengaturan yang sesuai pada router on-premises Anda. Rujuk dokumentasi vendor router Anda untuk parameter berikut:
Parameter | Deskripsi |
MACsec encryption algorithm | Harus sesuai dengan algoritma yang dikonfigurasi di Alibaba Cloud. |
CAK encryption algorithm | AES_256_CMAC |
CKN/CAK | Harus sesuai dengan pasangan CKN/CAK yang dikonfigurasi di Alibaba Cloud. |
Secure Channel Identifier (SCI) | Harus diaktifkan. |
Untuk menghindari gangguan traffic, selesaikan konfigurasi MACsec pada router on-premises Anda sebelum menambahkan kunci di Konsol Alibaba Cloud untuk memulai negosiasi.
Batasan
MACsec saat ini hanya mendukung mode must-encrypt. Jika negosiasi kunci antara Alibaba Cloud dan CPE pelanggan gagal, koneksi akan terputus dan seluruh traffic diblokir.
MACsec hanya dapat diaktifkan saat membuat port fisik baru, tidak pada port yang sudah ada.
Tiap port fisik mendukung maksimal tiga pasang kunci MACsec.
Kunci harus berupa karakter heksadesimal (0–9, A–F). Panjang CKN dan CAK: 32 karakter untuk algoritma 128-bit, 64 karakter untuk algoritma 256-bit.
Secure Channel Identifier (SCI) wajib digunakan dan tidak dapat dinonaktifkan.
Memindahkan tag IEEE 802.1Q (Dot1q/VLAN) keluar dari muatan terenkripsi tidak didukung.
MACsec merupakan atribut port fisik. Anda tidak dapat melakukan kueri atau menonaktifkan MACsec secara terpisah pada VBR.