MACsec (Media Access Control Security), fiziksel bağlantılarda düşük gecikme süreli ve donanım tabanlı veri şifrelemesi sağlayan bir IEEE 802.1AE Katman 2 şifreleme protokolüdür. Fiziksel bir bağlantı noktasında MACsec etkinleştirildiyse, anahtarlarını bağlantı noktası ayrıntıları sayfasındaki MACsec sekmesinden yönetin.
Genel Bakış
MACsec ile ilgili kavramlar aşağıdadır:
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Desteklenen şifreleme algoritmaları:
GCM-AES-128
GCM-AES-XPN-128
GCM-AES-256
GCM-AES-XPN-256
Yüksek bant genişliğine sahip bağlantılarda, kontrol düzlemi aşırı yüklenmesinden kaynaklanan paket kayıplarını önlemek için GCM-AES-XPN-256 algoritmasını kullanın.
Anahtarları İlişkilendirme
Fiziksel bağlantı noktasını oluştururken MACsec'i etkinleştirdiğinizden emin olun.
-
Hedef fiziksel bağlantı noktasının kimliğine tıklayarak ayrıntılar sayfasını açın ve ardından MACsec sekmesine tıklayın.
Bu sekme yalnızca MACsec şifrelemesini destekleyen fiziksel bağlantı noktalarında görünür. Sekme yoksa bağlantı noktası oluşturulurken MACsec etkinleştirilmemiştir.
-
Associate MACsec Keys seçeneğine tıklayın, bir Encryption Algorithm seçin ve ardından Connectivity Association Key Name (CKN) ile Connectivity Association Key (CAK) değerlerini girin. Hem CKN hem de CAK, onaltılık karakterlerden (0-9, A-F) oluşan dizeler olmalıdır:
GCM-AES-128 ve GCM-AES-XPN-128 algoritmaları için CKN ve CAK 32 onaltılık karakter (128 bit) uzunluğunda olmalıdır.
GCM-AES-256 ve GCM-AES-XPN-256 algoritmaları için CKN ve CAK 64 onaltılık karakter (256 bit) uzunluğunda olmalıdır.
-
OK seçeneğine tıklayın. Anahtar eklendikten sonra sistem, MKA anlaşmasını başlatmak için en son eklenen anahtarı kullanır.
Associating: Anahtar doğrulanıyor ve anlaşma süreci devam ediyor.
Associated: Anahtar doğrulandı ve ilişkilendirildi.
Failed: Anahtar doğrulaması başarısız oldu. Anlaşmayı tekrar başlatmak için Re-associate seçeneğine tıklayabilirsiniz.
Disassociated: Anahtarın ilişkisi kesildi.
Anahtar Döndürme
MACsec anahtar döndürmeyi destekler. En fazla üç çift CKN/CAK anahtarı saklayabilir ve anahtarları manuel olarak döndürebilirsiniz.
Anahtarlar eklenme zamanına göre sıralanır; en yeni anahtar ilk sırada yer alır.
Yeni bir CKN/CAK çifti ilişkilendirdiğinizde sistem anlaşmayı başlatmak için en yeni anahtarı kullanır. Aynı anahtar çiftini CPE cihazınızda da yapılandırın.
İlişkilendirilmiş veya İlişkilendirme Başarısız durumundaki bir anahtarı Disassociate seçeneğiyle kaldırdığınızda sistem listedeki sonraki anahtarla otomatik olarak anlaşma yapmaya çalışır.
Yalnızca Disassociated durumundaki anahtarları silebilirsiniz.
Şirket İçi Yönlendirici Yapılandırması
Alibaba Cloud üzerinde bir MACsec anahtarı yapılandırdıktan sonra eşleşen ayarları şirket içi yönlendiricinizde yapılandırın. Aşağıdaki parametreler için yönlendirici satıcınızın belgelerine başvurun:
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Trafik kesintilerini önlemek için Alibaba Cloud konsolunda anlaşmayı başlatmak üzere bir anahtar eklemeden önce şirket içi yönlendiricinizdeki MACsec yapılandırmasını tamamlayın.
Sınırlamalar
MACsec şu anda yalnızca zorunlu şifreleme modunu destekler. Alibaba Cloud ile müşteri CPE'niz arasındaki anahtar anlaşması başarısız olursa bağlantı kesilir ve tüm trafik engellenir.
MACsec yalnızca yeni bir fiziksel bağlantı noktası oluşturulurken etkinleştirilebilir; mevcut bağlantı noktalarında etkinleştirilemez.
Her fiziksel bağlantı noktası en fazla üç MACsec anahtar çiftini destekler.
Anahtarlar onaltılık (0-9, A-F) karakterlerden oluşmalıdır. CKN ve CAK uzunluğu: 128 bitlik algoritmalar için 32 karakter, 256 bitlik algoritmalar için 64 karakter.
Güvenli Kanal Tanımlayıcısı (SCI) gereklidir ve devre dışı bırakılamaz.
IEEE 802.1Q (Dot1q/VLAN) etiketlerinin şifrelenmiş yükün dışına taşınması desteklenmez.
MACsec fiziksel bir bağlantı noktası özniteliğidir. VBR üzerinde MACsec'i ayrı olarak sorgulayamaz veya devre dışı bırakamazsınız.