섀시 클러스터의 MACsec(Media Access Control Security)

예를 들어, 라는 ca1연결 연결을 만들려면 를 입력합니다.

예를 들어, 연결 연결 ca1에서 MACsec 보안 모드를 static-cak 구성하려면 다음을 수행합니다.

MACsec 보안 링크를 설정하기 위해 직접 연결된 링크 간에 사전 공유 키가 교환됩니다. 사전 공유 키에는 CKN 및 CAK가 포함됩니다. CKN은 64자리 16진수이고 CAK는 64자리 16진수입니다. CKN과 CAK는 MACsec 보안 링크를 생성하기 위해 링크의 양쪽 끝에서 일치해야 합니다.

보안을 최대화하려면 CKN의 64자리와 CAK의 64자리를 모두 구성하는 것이 좋습니다.

링크의 양쪽 끝에서 사전 공유 키가 성공적으로 교환되고 확인되면 MACsec 키 계약(MKA) 프로토콜이 활성화되고 보안 링크를 관리합니다. 그런 다음 MKA 프로토콜은 직접 연결된 두 디바이스 중 하나를 키 서버로 선택합니다. 그런 다음 키 서버는 MACsec 보안 지점 간 링크를 통해 다른 디바이스와 임의 보안을 공유합니다. MACsec이 활성화되어 있는 한 키 서버는 계속해서 주기적으로 임의의 보안 키를 생성하고 MACsec 보안 포인트-투-포인트 링크를 통해 다른 디바이스와 공유합니다.

연결 연결 ca1에서 의 CKN 11c1c1c11xxx012xx5xx8ef284aa23ff6729xx2e4xxx66e91fe34ba2cd9fe311 및 의 228xx255aa23xx6729xx664xxx66e91f CAK를 구성하려면:

MACsec은 연결 연결이 인터페이스에 연결될 때까지 활성화되지 않습니다. 이 절차의 마지막 단계를 참조하여 인터페이스에 연결 연결을 연결합니다.

키 서버를 선택하기 위해 MKA 프로토콜에서 사용하는 키 서버 우선 순위를 지정합니다. 하단 priority-number 에 있는 디바이스가 키 서버로 선택됩니다.

기본값은 priority-number 16입니다.

포인트 투 포인트 링크의 양쪽에서 이( key-server-priority 가) 동일한 경우, MKA 프로토콜은 MAC 주소가 낮은 인터페이스를 키 서버로 선택합니다. 따라서 MACsec 보안 점대점 링크의 각 끝에 있는 연결 연결에 이 문이 구성되지 않으면 MAC 주소가 낮은 인터페이스가 키 서버가 됩니다.

연결 연결을 ca1사용하여 인터페이스에서 MACsec이 활성화될 때 현재 디바이스가 키 서버로 선택될 가능성을 높이기 위해 키 서버 우선 순위를 0으로 변경하려면:

키 서버 우선 순위를 255로 변경하여 현재 디바이스가 연결 연결 ca1의 키 서버로 선택될 가능성을 줄이려면 다음을 수행합니다.

MKA 전송 간격 설정은 링크에서 MACsec 연결을 유지하기 위해 MKA PDU(Protocol Data Unit)가 직접 연결된 디바이스로 전송되는 빈도를 설정합니다. 낮을 interval 수록 링크의 대역폭 오버헤드가 증가하고, 높을 interval 수록 MKA 프로토콜 통신이 최적화됩니다.

기본값은 interval 2000ms입니다. 트래픽 부하가 많은 환경에서는 간격을 6000ms로 늘리는 것이 좋습니다. 정적 CAK 보안 모드를 사용하는 MACsec이 활성화된 경우 전송 간격 설정은 링크의 양쪽 끝에서 동일해야 합니다.

Junos OS 릴리스 17.4부터 SRX340, SRX345 및 SRX4600의 경우 기본 MKA 전송 간격은 HA 링크에서 10000ms입니다.

예를 들어, 연결 연결 ca1이 인터페이스에 연결되어 있을 때 MKA 전송 간격을 6000밀리초로 늘리려면 다음을 수행합니다.

기본적으로 정적 CAK 보안 모드를 사용하여 MACsec이 활성화되면 인터페이스에 들어오거나 나가는 모든 트래픽에 대해 암호화가 활성화됩니다.

암호화가 비활성화되면 트래픽이 이더넷 링크를 통해 일반 텍스트로 전달됩니다. 모니터링 시 링크를 통과하는 이더넷 프레임에서 암호화되지 않은 데이터를 볼 수 있습니다. 그러나 MACsec 헤더는 여전히 프레임에 적용되며, 링크에서 송수신된 트래픽이 변조되지 않았으며 보안 위협이 되지 않도록 하기 위해 링크의 양쪽 끝에서 모든 MACsec 데이터 무결성 검사가 실행됩니다.

예를 들어, 라는 ca1연결 연결에서 오프셋을 30으로 설정하려는 경우 :

기본 오프셋은 0입니다. 암호화가 활성화되고 이(가 offset ) 설정되지 않은 경우 연결 연결의 모든 트래픽이 암호화됩니다.

오프셋이 30으로 설정되면 나머지 트래픽을 암호화하는 동안 IPv4 헤더와 TCP/UDP 헤더가 암호화되지 않습니다. 오프셋이 50으로 설정되면 나머지 트래픽을 암호화하는 동안 IPv6 헤더와 TCP/UDP 헤더가 암호화되지 않습니다.

기능이 기능을 수행하기 위해 옥텟의 데이터를 확인해야 하는 경우 일반적으로 처음 30 또는 50 옥텟이 암호화되지 않은 트래픽을 전달하지만, 그렇지 않으면 링크를 통과하는 프레임의 나머지 데이터를 암호화하는 것을 선호합니다. 특히 로드 밸런싱 기능은 일반적으로 트래픽을 적절하게 로드 밸런싱하기 위해 처음 30 또는 50 옥텟에서 IP 및 TCP/UDP 헤더를 확인해야 합니다.

링크에서 MACsec이 활성화되면 MACsec 보안 링크의 각 패킷에 ID 번호가 할당됩니다.

재생 보호가 활성화되면 수신 인터페이스는 MACsec 보안 링크를 통과한 모든 패킷의 ID 번호를 확인합니다. 패킷이 순서 없이 도착하고 패킷 번호 간의 차이가 재생 보호 창 크기를 초과하면 수신 인터페이스에 의해 패킷이 삭제됩니다. 예를 들어 재생 보호 창 크기가 5로 설정되고 ID 1006이 할당된 패킷이 ID 1000이 할당된 패킷 직후 수신 링크에 도착하는 경우 ID 1006이 할당된 패킷은 재생 보호 창의 매개 변수를 벗어나기 때문에 삭제됩니다.

재생 보호는 메시지 가로채기(man-in-the-middle) 공격에 대처하는 데 특히 유용합니다. 메시지 가로채기(man-in-the-middle) 공격자가 이더넷 링크에서 재생하는 패킷은 순서 없이 수신 링크에 도착하므로 재생 보호는 재생된 패킷이 네트워크를 통해 전달되지 않고 삭제되도록 하는 데 도움이 됩니다.

패킷이 잘못된 순서로 도착할 것으로 예상되는 경우 재생 보호를 사용하도록 설정해서는 안 됩니다.

재생 창 크기를 0으로 설정하여 모든 패킷이 순서대로 도착하도록 요구할 수 있습니다.

연결 연결 ca1시 창 크기가 5인 재생 보호를 사용하도록 설정하려면:

예를 들어, MACsec을 사용하여 LLDP(Link Level Discovery Protocol)의 보안을 유지하지 않으려는 경우:

이 옵션이 활성화되면 링크에서 송수신되는 지정된 프로토콜(이 경우 LLDP)의 모든 패킷에 대해 MACsec이 비활성화됩니다.

인터페이스에 연결 연결을 할당하는 것은 인터페이스에서 MACsec을 활성화하기 위한 마지막 구성 단계입니다.

예를 들어, 인터페이스 ge-0/0/1에 연결 연결 ca1을 할당하려면(SRX340/SRX345/SRX380의 경우):

CKN은 최대 64자의 16진수 문자(0-9, a-f, A-F)의 짝수 길이 문자열이어야 합니다.

CAK는 64자의 16진수 문자(0-9, a-f, A-F)를 포함해야 합니다.

CKN은 최대 64자의 16진수 문자(0-9, a-f, A-F)의 짝수 길이 문자열이어야 합니다.

CAK는 64자의 16진수 문자(0-9, a-f, A-F)를 포함해야 합니다.

CKN은 최대 64자의 16진수 문자(0-9, a-f, A-F)의 짝수 길이 문자열이어야 합니다.

CAK는 64자의 16진수 문자(0-9, a-f, A-F)를 포함해야 합니다.