섀시 클러스터의 MACsec(Media Access Control Security)

예를 들어, 이름에 있는 연결 연결을 생성하고 ca1 다음을 입력합니다.

예를 들어, 연결 연결 ca1에서 MACsec 보안 모드를 static-cak 구성합니다.

사전 공유 키는 직접 연결된 링크 간에 교환하여 MACsec 보안 링크를 구축합니다. 사전 공유 키에는 CKN 및 CAK가 포함됩니다. CKN은 64자리 숫자, CAK는 64자리 숫자입니다. CKN과 CAK는 링크 양단에 일치해야 MACsec 보안 링크를 생성합니다.

보안을 극대화하기 위해 CKN의 모든 64자리와 CAK의 64자리 모두를 구성하는 것이 좋습니다.

사전 공유 키가 링크 양쪽 끝에 의해 성공적으로 교환 및 검증되면 MACsec MKA(Key Agreement) 프로토콜을 활성화하고 보안 링크를 관리합니다. 그런 다음 MKA 프로토콜은 두 대의 직접 연결된 장비 중 하나를 핵심 서버로 선택합니다. 그런 다음 키 서버는 MACsec 보안 점대점(point-to-point) 링크를 통해 다른 장비와 임의 보안을 공유합니다. 키 서버는 MACsec을 활성화하는 한 MACsec 보안 점대점(point-to-point) 링크를 통해 다른 장비와 임의 보안 키를 정기적으로 생성 및 공유합니다.

connectivity association ca1에 대한 CKN 및 11c1c1c11xxx012xx5xx8ef284aa23ff6729xx2e4xxx66e91fe34ba2cd9fe311 CAK 228xx255aa23xx6729xx664xxx66e91f 구성:

MACsec은 연결 연결(connectivity association)이 인터페이스에 연결될 때까지 활성화되지 않습니다. 인터페이스에 연결 연결을 연결하기 위한 이 절차의 마지막 단계를 참조합니다.

주요 서버를 선택하는 데 MKA 프로토콜이 사용하는 주요 서버 우선 순위를 지정합니다. 하단의 디바이스가 키 priority-number 서버로 선택됩니다.

기본 priority-number 설정은 16입니다.

점대점(point-to-point) 링크의 양측에서 동일할 경우, MKA 프로토콜은 하위 MAC 주소가 있는 인터페이스를 키 서버로 key-server-priority 선택합니다. 따라서 MACsec 보안 포인트 대 점(point-to-point) 링크의 각 끝에 있는 연결 연결에서 이 명령문이 구성되지 않을 경우, 낮은 MAC 주소가 있는 인터페이스가 주요 서버가 됩니다.

연결 연결(connectivity association)을 사용하여 인터페이스에서 MACsec을 활성화할 때 현재 장비가 키 서버로 선택될 가능성을 높이기 위해 주요 서버 우선 순위를 0으로 변경하려면 ca1 다음을 제공합니다.

키 서버 우선 순위를 255로 변경하여 현재 디바이스가 연결 ca1의 키 서버로 선택될 가능성을 줄이면

MKA는 간격 설정이 MKA PDU(Protocol Data Unit)가 링크에서 MACsec 연결을 유지하기 위해 직접 연결된 장비로 전송되는 빈도를 설정합니다. 링크의 대역폭 오버헤드가 낮을수록 MKA 프로토콜 interval interval 통신을 최적화할 수 있습니다.

기본 interval 설정은 2000 ms입니다. 트래픽 부하가 많은 환경에서 간격을 6000 ms로 늘리는 것이 좋습니다. 정적 CAK 보안 모드를 사용하는 MACsec이 활성화되면 전송 간격 설정은 링크의 양 끝에서 동일해야 합니다.

SRX340, SRX345 및 SRX4600의 경우 릴리스 17.Junos OS 릴리스 17.4에서 시작하여 기본 MKA 전송 간격은 링크에서 10000 ms 고가용성(HA) 있습니다.

예를 들어, 연결 연결 ca1이 인터페이스에 연결된 경우, MKA 전송 간격을 6000밀리초로 높이고자 할 경우

기본적으로 정적 CAK 보안 모드를 사용하여 MACsec을 활성화하면 인터페이스로 들어오거나 나가는 모든 트래픽에 대한 암호화가 활성화됩니다.

암호화가 비활성화된 경우, 트래픽은 투명한 텍스트로 이더넷 링크 전반으로 전달됩니다. 모니터링할 때 링크를 통해 전달되는 이더넷 프레임에서 암호화되지 않은 데이터를 볼 수 있습니다. MACsec 헤더는 여전히 프레임에 적용되고 있으며, 모든 MACsec 데이터 무결성 검사는 링크의 양 끝에서 실행하여 링크에서 전송되거나 수신된 트래픽이 변조되지 않도록 보장하며 보안 위협을 나타내지 않습니다.

예를 들어, 다음 이름의 연결 연결에서 오프셋을 30으로 설정하기를 원할 경우 ca1

기본 오프셋은 0입니다. 암호화를 활성화하고 설정되지 않은 경우 연결 연결의 모든 트래픽이 offset 암호화됩니다.

상계가 30으로 설정된 경우 IPv4 헤더 및 TCP/UDP 헤더는 암호화되지 않은 반면 나머지 트래픽은 암호화됩니다. 상계가 50으로 설정되어 있는 경우 IPv6 헤더와 TCP/UDP 헤더는 암호화되지 않은 반면 나머지 트래픽은 암호화됩니다.

일반적으로 기능을 수행하기 위해 기능을 수행하기 위해 기능이 필요한 경우 암호화되지 않은 첫 번째 30개 또는 50 옥트(octets)로 트래픽을 전달하지만 그렇지 않은 경우 링크를 통해 전송되는 프레임의 나머지 데이터를 암호화하는 것을 선호합니다. 특히 로드 밸런싱 기능은 일반적으로 처음 30개 또는 50개 옥켓에서 IP 및 TCP/UDP 헤더를 확인하여 트래픽을 적절하게 로드 밸런싱해야 합니다.

MACsec이 링크에서 활성화되면 MACsec 보안 링크의 각 패킷에 ID 번호가 할당됩니다.

리플레이 보호가 활성화되면 수신 인터페이스는 MACsec 보안 링크를 통과한 모든 패킷의 ID 번호를 확인합니다. 패킷이 순서대로 도착하고 패킷 번호 간의 차이가 재생 보호 창 크기를 초과하면 패킷은 수신 인터페이스에 의해 드롭됩니다. 예를 들어, 재생 보호 윈도우 크기가 5개로 설정되어 1006 ID가 할당된 패킷이 1000개가 할당된 직후 수신 링크에 도착하면, 1006 ID가 할당된 패킷은 리플레이 보호 창의 매개 변수를 밖에 터뜨리기 때문에 드롭됩니다.

리플레이 보호는 특히 MAN-in-the-Middle 공격에 유용합니다. 이더넷 링크상의 MAN-in-the-middle 공격자가 재생하는 패킷은 시퀀스에서 수신 링크에 도착하기 때문에, 재생 보호는 네트워크를 통해 전송되는 대신, 재생된 패킷이 드롭되도록 하는 데 도움이 됩니다.

패킷이 순서대로 도착할 것으로 예상되는 경우, 재생 보호를 사용할 수 없습니다.

재생 창 크기를 0으로 설정하여 모든 패킷이 도착해야 할 수 있습니다.

연결 연결에 대해 5개의 창 크기로 재생 보호를 ca1 사용하려면:

예를 들어, MACsec을 사용하여 LLDP(Link Level Discovery Protocol)를 보호하지 원치 않는 경우:

이 옵션이 활성화되면 링크에서 전송 또는 수신되는 LLDP인 지정된 프로토콜의 모든 패킷에 대해 MACsec이 비활성화됩니다.

인터페이스에 연결 연결을 할당하는 것은 인터페이스에서 MACsec을 활성화하기 위한 최종 구성 단계입니다.

예를 들어 인터페이스 ge-0/0/1에 연결 ca1을 할당(SRX340/SRX345의 경우):

CKN은 최대 64자(0-9, a-f, A-F)의 등한 길이의 문자열이 되어야 합니다.

CAK에는 64 hexadecimal 문자(0-9, a-f, A-F)가 포함되어야 합니다.

CKN은 최대 64자(0-9, a-f, A-F)의 등한 길이의 문자열이 되어야 합니다.

CAK에는 64 hexadecimal 문자(0-9, a-f, A-F)가 포함되어야 합니다.

CKN은 최대 64자(0-9, a-f, A-F)의 등한 길이의 문자열이 되어야 합니다.

CAK에는 64 hexadecimal 문자(0-9, a-f, A-F)가 포함되어야 합니다.