Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
本页内容
 

机箱群集上的媒体访问控制安全性 （MACsec）

使用 功能浏览器 确认平台和版本对特定功能的支持。

查看 特定于平台的 MACsec 行为 部分，了解与您的平台相关的说明。

媒体访问控制安全 （MACsec） 是一种行业标准安全技术，可为以太网链路上的所有流量提供安全通信。有关更多信息，请参阅以下主题：

了解媒体访问控制安全性 （MACsec）

媒体访问控制安全 （MACsec） 是一种行业标准安全技术，可为以太网链路上的所有流量提供安全通信。MACsec 在直连节点之间的以太网链路上提供点对点安全性，能够识别和阻止大多数安全威胁，包括拒绝服务、入侵、中间人、伪装、被动窃听和重放攻击。

MACsec 允许您为几乎所有流量保护以太网链路，包括来自链路层发现协议 （LLDP）、链路聚合控制协议 （LACP）、动态主机配置协议 （DHCP）、地址解析协议 （ARP） 以及其他由于其他安全解决方案的限制而通常无法在以太网链路上保护的协议的帧。MACsec 可以与 IP 安全 （IPsec） 和安全套接字层 （SSL） 等其他安全协议结合使用，以提供端到端网络安全。

本主题包含以下部分：

MACsec 工作原理

MACsec 通过使用安全的点对点以太网链路来提供行业标准的安全性。点对点链路在匹配安全密钥后得到保护。使用静态连接关联密钥 （CAK） 安全模式启用 MACsec 时，将在点对点以太网链路两端的接口之间交换和验证用户配置的预共享密钥。

在点对点以太网链路上启用 MACsec 后，通过该链路的所有流量都将通过使用数据完整性检查和加密（如果配置了）进行 MACsec 保护。

数据完整性检查可验证数据的完整性。MACsec 为遍历 MACsec 保护的点对点以太网链路的所有以太网帧追加一个 8 字节标头和一个 16 字节尾部，接收接口检查标头和尾部，以确保数据在遍历链路时不受损害。如果数据完整性检查检测到流量有任何异常，则流量将被丢弃。

MACsec 还可用于对以太网链路上的所有流量进行加密。MACsec 使用的加密功能可确保监控链路流量的任何人都无法查看以太网帧中的数据。

默认情况下，当使用静态 CAK 安全模式启用 MACsec 时，会为进出接口的所有流量启用加密。

MACsec 配置在支持 MACsec 的接口之间的点对点以太网链路上。如果要在多个以太网链路上启用 MACsec，则必须在每个点对点以太网链路上单独配置 MACsec。

了解连接关联和安全通道

MACsec 在连接关联中配置。当为接口分配连接关联时，将启用 MACsec。

使用静态 CAK 或动态安全模式启用 MACsec 时，必须创建并配置连接关联。系统会自动创建两个安全通道：一个用于入站流量的安全通道，另一个用于出站流量的安全通道。自动创建的安全通道没有任何用户可配置的参数;所有配置均在安全通道之外的连接关联中完成。

了解静态连接关联密钥安全模式

使用静态连接关联密钥 （CAK） 安全模式启用 MACsec 时，将使用两个安全密钥（一个用于保护控制平面流量的连接关联密钥 （CAK） 和一个用于保护数据平面流量的随机生成的安全关联密钥 （SAK））来确保点对点以太网链路的安全。这两个密钥在点对点以太网链路两端的两台设备之间定期交换，以确保链路安全。

在使用静态 CAK 安全模式启用 MACsec 时，最初将使用预共享密钥建立受 MACsec 保护的链路。预共享密钥包括连接关联名称 （CKN） 及其自己的连接关联密钥 （CAK）。CKN 和 CAK 由用户在连接关联中配置，必须在链路的两端匹配，才能在初始启用 MACsec。

成功交换匹配的预共享密钥后，将启用 MACsec 密钥协议 （MKA） 协议。MKA 协议负责维护链路上的 MACsec，并决定点对点链路上的哪台交换机成为密钥服务器。然后，密钥服务器创建一个 SAK，仅与点对点链路另一端的交换机共享，并且该 SAK 用于保护通过该链路的所有数据流量。只要启用了 MACsec，密钥服务器就会继续通过点对点链路定期创建和共享随机创建的 SAK。

通过在链路的两端配置连接关联，可以使用静态 CAK 安全模式启用 MACsec。所有配置都在连接关联内完成，但在安全通道之外。使用静态 CAK 安全模式时，会自动创建两个安全通道（一个用于入站流量，一个用于出站流量）。自动创建的安全通道没有任何用户可配置的参数，这些参数无法在连接关联中配置。

建议使用静态 CAK 安全模式启用 MACsec。静态 CAK 安全模式通过频繁刷新新的随机安全密钥，以及仅在 MACsec 安全的点对点链路上的两台设备之间共享安全密钥来确保安全性。此外，一些可选的 MACsec 功能（重放保护、SCI 标记和从 MACsec 排除流量的功能）仅在使用静态 CAK 安全模式启用 MACsec 时才可用。

SRX 系列防火墙支持 HA 控制和结构链路上的 MACsec，如果在主节点上运行命令 restart 802.1x-protocol-daemon ，机箱群集控制和交换矩阵链路将发生抖动，导致群集节点进入裂脑模式。

MACsec 注意事项

当前无法使用 MACsec 对所有类型的生成树协议帧进行加密。

可以在任意位置定义连接关联，可以是全局关联、特定于节点的关联，也可以是任何其他配置组，只要它对 MACsec 接口配置可见即可。

对于 MACsec 配置，两端必须存在相同的配置。也就是说，每个节点都应包含与另一个节点相同的配置。如果另一端未配置另一个节点或未正确配置 MACsec，则该端口将被禁用并停止转发流量。

配置媒体访问控制安全 （MACsec）

本主题介绍如何在机箱群集中受支持的 SRX 系列防火墙的控制端口和交换矩阵端口上配置 MACsec，以保护群集中对等设备之间的点对点以太网链路。必须独立配置要使用 MACsec 保护的每个点对点以太网链路。您可以使用静态连接关联密钥 （CAK） 安全模式在设备到设备链路上启用 MACsec 加密。

本文档提供了这两个进程的配置步骤。

在机箱群集设置上配置 MACsec 时的配置注意事项

开始之前，请按照以下步骤在控制端口上配置 MACsec：

  1. 如果机箱群集已启动，请使用set chassis cluster disable命令将其禁用，然后重新启动两个节点。
  2. 在控制端口上配置 MACsec 及其属性，如以下机箱群集控制端口上的配置静态 CAK 部分所述。两个节点必须使用相同的配置进行独立配置。
  3. 在两个节点上使用set chassis cluster cluster-id id启用机箱群集。重新启动两个节点。

控制端口状态会影响机箱群集的完整性。在控制端口上配置 MACsec 时，请考虑以下事项：

  • 任何新的 MACsec 机箱群集端口配置或对现有 MACsec 机箱群集端口配置的修改都需要禁用机箱群集并显示警告消息 Modifying cluster control port CA will break chassis cluster。禁用后，您可以应用上述配置并启用机箱群集。

  • 默认情况下，机箱群集同步所有配置。相应地，您必须监控同步不会导致任何 MACsec 配置丢失。否则，机箱群集将发生故障。例如，对于特定于节点的非对称 MACsec 配置，两端应存在相同的配置。也就是说，每个节点都应包含与另一个节点相同的配置。

对于控制端口的 MACsec 配置的任何更改，必须重复上述步骤。

在交换矩阵端口上配置 MACsec 时，请考虑以下事项：

配置 MACsec 会导致链路状态发生变化，进而影响链路的流量能力。配置交换矩阵端口时，请记住有效链路状态。如果交换矩阵链路两端的 MACsec 配置不正确，可能会将链路移动到不合格状态。有关配置结构链路，请注意以下几个要点：

  • 形成机箱群集时，链路的两端必须同时配置。

  • 不正确的配置可能导致结构故障和结构恢复逻辑错误。

    由于可能存在链路故障情况，我们建议在机箱群集的形成过程中配置交换矩阵链路。

使用静态连接关联密钥配置 MACsec 安全模式

您可以通过在点对点以太网链路连接设备上使用静态连接关联密钥 （CAK） 安全模式来启用 MACsec 加密。此过程说明如何使用静态 CAK 安全模式配置 MACsec。

双控制链路上的 MACsec 配置在控制端口 0 [em0] 和控制端口 1 [em1] 上。在收入接口上配置的 MACsec 用于形成结构链路。结构链路配置在结构端口（mge-0/0/1 和 mge-7/0/1）上。

要使用静态 CAK 安全模式配置 MACsec 以保护设备到设备的以太网链路，请执行以下作：

  1. 创建连接关联。如果要配置现有连接关联，则可以跳过此步骤。

    例如，要创建名为 ca1的连接关联，请输入：

  2. 将 MACsec 安全模式配置为 static-cak 连接关联。

    例如，要将 MACsec 安全模式配置为 static-cak on connectivity association ca1：

  3. 通过配置连接关联密钥名称 （CKN） 和连接关联密钥 （CAK） 创建预共享密钥。

    在直连链路之间交换预共享密钥，以建立 MACsec 安全链路。预共享密钥包括 CKN 和 CAK。CKN 是 64 位十六进制数字，CAK 是 64 位十六进制数字。CKN 和 CAK 必须在链路的两端匹配，才能创建受 MACsec 保护的链路。

    为了最大限度地提高安全性，我们建议配置 CKN 的所有 64 位数字和 CAK 的所有 64 位数字。

    预共享密钥经过链路两端的成功交换和验证后，MACsec 密钥协议 （MKA） 协议将会启用并管理安全链路。然后，MKA 协议选择两个直接连接的设备中的一个作为密钥服务器。然后，密钥服务器通过 MACsec 安全点对点链路与其他设备共享随机安全性。只要启用了 MACsec，密钥服务器就会继续通过受 MACsec 保护的点对点链路定期创建随机安全密钥并与其他设备共享。

    要配置连接关联 ca1 的 11c1c1c11xxx012xx5xx8ef284aa23ff6729xx2e4xxx66e91fe34ba2cd9fe311 CKN 和 CAK 228xx255aa23xx6729xx664xxx66e91f ，请执行以下作：

    在将连接关联连接到接口之前，不会启用 MACsec。请参阅此过程的最后一步，将连接关联附加到接口。

  4. （可选）设置 MKA 密钥服务器优先级。

    指定 MKA 协议用于选择密钥服务器的密钥服务器优先级。下部 priority-number 的设备被选为密钥服务器。

    默认 priority-number 值为 16。

    key-server-priority如果点对点链路两端的 相同，则 MKA 协议会选择 MAC 地址较低的接口作为密钥服务器。因此，如果未在受 MACsec 保护的点对点链路两端的连接关联中配置此语句，则 MAC 地址较低的接口将成为密钥服务器。

    要将密钥服务器优先级更改为 0，以增加在接口上使用连接关联 ca1启用 MACsec 时选择当前设备作为密钥服务器的可能性：

    要将密钥服务器优先级更改为 255，以降低在连接关联 ca1 中选择当前设备作为密钥服务器的可能性，请执行以下作：

  5. （可选）设置 MKA 传输间隔。

    MKA 传输间隔设置用于设置将 MKA 协议数据单元 （PDU） 发送到直连设备以保持链路上的 MACsec 连接的频率。链路上的带宽开销越低 interval ;越高 interval 越优化 MKA 协议通信。

    默认 interval 值为 2000 毫秒。建议在高流量负载环境中将间隔增加到 6000 毫秒。启用使用静态 CAK 安全模式的 MACsec 时，链路两端的传输间隔设置必须相同。

    对于 SRX340、SRX345 SRX4600、防火墙，高可用性链路上的默认 MKA 传输间隔为 10000 毫秒。

    例如，如果您想在连接关联 ca1 连接到接口时将 MKA 传输间隔增加到 6000 毫秒：

  6. （可选）禁用 MACsec 加密。

    默认情况下，当使用静态 CAK 安全模式启用 MACsec 时，会为进出接口的所有流量启用加密。

    禁用加密后，流量将以明文形式通过以太网链路进行转发。在监控链路时，您可以查看遍历链路的以太网帧中的未加密数据。但是，MACsec 标头仍会应用于帧，并且所有 MACsec 数据完整性检查都在链路的两端运行，以确保链路上发送或接收的流量未被篡改，且不构成安全威胁。

  7. （可选）为通过链路的所有数据包设置偏移量。

    例如，如果要在名为 ca1的连接关联中将偏移量设置为 30：

    默认偏移量为 0。启用加密且 offset 未设置时，将对连接关联中的所有流量进行加密。

    当偏移量设置为 30 时，IPv4 报头和 TCP/UDP 报头未加密，同时对其余流量进行加密。当偏移量设置为 50 时，IPv6 报头和 TCP/UDP 报头在加密其余流量时未加密。

    如果要素需要查看八位位组中的数据才能执行功能，您通常会使用未加密的前 30 或 50 个八位位组转发流量，但除此之外，您更愿意对遍历链路的帧中的剩余数据进行加密。特别是负载平衡功能，通常需要查看前 30 或 50 个八位位组中的 IP 和 TCP/UDP 标头，才能正确对流量进行负载平衡。

  8. （可选）启用重放保护。

    在链路上启用 MACsec 时，系统会为受 MACsec 保护的链路上的每个数据包分配一个 ID 号。

    启用重放保护后，接收接口将检查已通过 MACsec 安全链路的所有数据包的 ID 号。如果数据包以错误顺序到达，且数据包编号之间的差异超过重放保护窗口大小，则接收接口会丢弃数据包。例如，如果重放保护窗口大小设置为 5，并且分配了 ID 为 1006 的数据包在分配了 ID 1000 的数据包之后立即到达接收链路，则分配了 ID 为 1006 的数据包将被丢弃，因为它超出了重放保护窗口的参数。

    重放保护对于抵御中间人攻击特别有用。中间人攻击者在以太网链路上重放的数据包将会乱序到达接收链路，因此重放保护有助于确保重放的数据包被丢弃，而不是通过网络转发。

    如果预计数据包会无序到达，则不应启用重放保护。

    您可以通过将重播窗口大小设置为 0 来要求所有数据包按顺序到达。

    要在连接关联 ca1上启用窗口大小为 5 的重放保护：

  9. （可选）从 MACsec 中排除协议。

    例如，如果您不希望使用 MACsec 保护链路级别发现协议 （LLDP）：

    启用此选项后，将对链路上发送或接收的指定协议（在本例中为 LLDP）的所有数据包禁用 MACsec。

  10. 将连接关联分配给机箱群集控制接口。

    将连接关联分配给接口是在接口上启用 MACsec 的最后一个配置步骤。

    例如，要将连接关联 ca1 分配给接口 ge-0/0/1（对于 SRX340/SRX345）：

    例如，要将连接关联 ca1 分配给接口 ge-0/0/0（对于 SRX380）：

  11. 分配用于在机箱群集交换矩阵接口上启用 MACsec 的连接关联。

在配置链路另一端的连接关联并包含链路两端匹配的预共享密钥之前，不会启用使用静态 CAK 安全模式的 MACsec。

在机箱群集控制端口上配置静态 CAK

在两台 SRX345 设备上通过机箱群集控制链路建立 CA。

  1. 为连接关联配置 MACsec 安全模式 static-cak ：
  2. 通过配置连接关联密钥名称 （CKN） 创建预共享密钥。

    CKN 必须是偶数长度字符串，最多 64 个十六进制字符（0-9、a-f、A-F）。

  3. 通过配置连接关联密钥 （CAK） 创建预共享密钥。

    CAK 必须包含 64 个十六进制字符（0-9、a-f、A-F）。

  4. 为连接关联指定机箱群集控制端口。

在机箱群集交换矩阵端口上配置静态 CAK

要通过两台 SRX345 设备上的机箱群集交换矩阵链路建立连接关联：

  1. 将 MACsec 安全模式配置为 static-cak 连接关联。
  2. 通过配置连接关联密钥名称 （CKN） 创建预共享密钥。

    CKN 必须是偶数长度字符串，最多 64 个十六进制字符（0-9、a-f、A-F）。

  3. 通过配置连接关联密钥 （CAK） 创建预共享密钥。

    CAK 必须包含 64 个十六进制字符（0-9、a-f、A-F）。

  4. 将机箱群集交换矩阵端口指定到连接关联。

在控制端口上为 SRX1600、SRX2300、SRX4120 和 SRX4300 设备配置静态 CAK

要通过两台SRX1600设备或两台SRX2300、SRX4120设备或SRX4300设备上的机箱群集控制链路配置连接关联。

  1. 将 MACsec 安全模式配置为 static-cak 连接关联。
  2. 通过配置连接关联密钥名称 （CKN） 创建预共享密钥。

    CKN 必须是偶数长度字符串，最多 64 个十六进制字符（0-9、a-f、A-F）。

  3. 通过配置连接关联密钥 （CAK） 创建预共享密钥。

    CAK 必须包含 64 个十六进制字符（0-9、a-f、A-F）。

  4. 为连接关联指定机箱群集控制端口。

要查看活动 MACsec 连接的状态，请运行命令 show security macsec connections 。

要查看 MACsec 密钥协议会话信息，请运行命令 show security mka sessions 。

查看控制端口和交换矩阵端口的安全状态。控制端口 0 和控制端口 1 都启用了 MACsec，运行命令 show chassis cluster interfaces 。

在控制端口上配置静态 CAK

使用此过程可在两个 SRX4600 防火墙上的机箱群集控制链路上建立 CA。

  1. 为连接关联配置 MACsec 安全模式 static-cak ：
  2. 通过配置连接关联密钥名称 （CKN） 创建预共享密钥。

    CKN 必须是偶数长度字符串，最多 64 个十六进制字符（0-9、a-f、A-F）。

  3. 通过配置连接关联密钥 （CAK） 创建预共享密钥。

    CAK 必须包含 64 个十六进制字符（0-9、a-f、A-F）。

  4. 为连接关联指定机箱群集控制端口。

验证 MACSEC 配置

要确认 在控制端口上配置静态 CAK 中提供的配置工作正常，请执行以下任务：

显示设备上活动 MACsec 连接的状态

目的

验证 MACsec 是否在机箱群集设置上正常运行。

行动

在作模式下，在机箱群集设置的一个或两个节点上输入 show security macsec connections interface interface-name 命令。

意义

Interface name和 CA name 输出显示 MACsec 连接关联在接口 em0 上可作。当连接关联在接口上不起作用时，不会显示输出。

显示 MACsec 密钥协议 （MKA） 会话信息

目的

显示所有接口的 MACsec 密钥协议 （MKA） 会话信息。

行动

在作模式下，输入 show security mka sessions 命令。

意义

输出显示 MKA 会话的状态。

验证受 MACsec 保护的流量是否通过接口

目的

验证通过接口传输的流量是否受 MACsec 保护。

行动

在作模式下，输入 show security macsec statistics 命令。

意义

字段下方Secure Channel transmitted的Encrypted packets行是每次从受 MACsec 保护和加密的接口发送数据包时递增的值。

Accepted packets字段下方Secure Association received的行是每次在接口上接收到通过 MACsec 完整性检查的数据包时递增的值。Decrypted bytes每次接收和解密加密数据包时，Secure Association received输出下的行都会递增。

验证机箱群集端口是否已通过 MACsec 配置进行保护

目的

验证机箱群集端口上是否配置了 MACsec。

行动

在作模式下，输入 show chassis cluster interfaces 命令。

意义

Security em0 接口输出下的Control interfaces行显示Secured为，表示从 em0 接口发送的流量由 MACsec 保护和加密。

您也可以使用 show chassis cluster status 命令显示机箱群集的当前状态。

另见

特定于平台的 MACsec 行为

使用 功能浏览器 确认平台和版本对特定功能的支持。

使用下表查看您的平台特定于平台的行为。

平台

差异

SRX 系列

  • 在机箱群集控制端口上启用 MACsec 时，支持 MACsec 的 SRX340、SRX345 和 SRX380 防火墙的计时器有 300 秒不合格。如果两个控制链路都出现故障，Junos OS 会在 180 秒内将辅助节点的运行状态更改为不合格。

  • SRX4600控制端口上支持 MACsec 的防火墙，则不符合条件的持续时间为 200 秒。

  • 支持 MACsec 的 SRX340、SRX345 和 SRX380 防火墙将初始保持计时器设置为 120 秒，而不是 30 秒。

  • 支持 MACsec 的 SRX340 和 SRX345 防火墙使用以下端口：

    • ge-0/0/0 是交换矩阵端口

    • ge-0/0/1 是机箱群集的控制端口。

      机箱群集将 ge-0/0/1 分配为 cluster-control-port 0。

  • SRX380 防火墙支持 MACsec。先将每个节点置于独立模式，然后在和 cluster-control-port cluster-data-port上配置 MACsec。在两个节点上应用 MACsec，然后将它们重新启动为机箱群集模式。

  • 支持 MACsec 的 SRX380 防火墙使用 ge-0/0/0 作为交换矩阵端口。接口 ge-0/0/15 用作机箱群集的控制端口。

  • 支持 MACsec 的SRX4600防火墙包括专用控制端口和交换矩阵端口。在具有专用控制端口 0 [em0] 和端口 1 [em1] 的控制链路上配置 MACsec。在专用交换矩阵端口上的交换矩阵链路上配置 MACsec：

    • fpc0 pic0 的端口 2 和端口 3（例如 xe-0/0/2 和 xe-0/0/3）

    • FPC7 PIC0 的端口 2 和端口 3

  • 支持 MACsec 的SRX1600防火墙包括专用双控制端口 （em0/em1），并提供双交换矩阵端口。

  • SRX2300，支持 MACsec 的SRX4120防火墙包括双控制端口 （em0/em1），并提供双交换矩阵端口。

  • SRX340 和 SRX345 防火墙在机箱群集模式下的控制端口和交换矩阵端口上支持 MACsec。

  • SRX340、SRX345 和 SRX380 防火墙支持主机到主机或交换机到主机 MACsec。

  • SRX4600 防火墙不支持使用 MACsec 进行主机到主机连接。只有专用晶圆厂端口支持 MACsec。如果任何其他流量端口用作晶圆厂，防火墙不允许 MACsec。

  • 支持 MACsec 的 SRX340、SRX345 和 SRX380 防火墙要求每个节点上都有本地 MACsec 配置。否则，这些防火墙将无法访问交换矩阵链路。

  • 支持 MACsec 的 SRX1600、SRX2300、SRX4120 和 SRX4300 防火墙可以在 MACsec 配置下使用双控制端口。

相关主题

变更历史表

是否支持某项功能取决于您使用的平台和版本。使用 功能浏览器 查看您使用的平台是否支持某项功能。

释放
描述
20.1
从 Junos OS 20.1R1 版开始，机箱群集模式下 SRX380 设备的控制端口、交换矩阵端口和收入端口支持 MACsec，以确保流量安全。16 个 1 千兆以太网端口（ge-0/0/0 到 ge-0/0/15）和 4 个 10 千兆以太网端口（xe-0/0/16 到 xe-0/0/19）支持 MACsec。