고급 MACsec 기능 구성

암호화 옵션 구성

암호화 알고리즘 할당
암호화 비활성화
오프셋 구성

암호화 알고리즘 할당

다음 MACsec 암호화 알고리즘 중 하나를 사용하여 인터페이스에 들어오고 나가는 모든 트래픽을 암호화할 수 있습니다.

gcm-aes-128—확장 패킷 번호 지정(XPN) 모드가 없는 GCM-AES-128 암호 제품군
gcm-aes-256—XPN이 없는 GCM-AES-256 암호 제품군
gcm-aes-xpn-128—XPN 모드의 GCM-AES-XPN_128 암호 제품군
gcm-aes-xpn-256—XPN 모드의 GCM-AES-XPN_256 암호 제품군

MACsec 암호화가 활성화되고 암호화 알고리즘이 지정되지 않은 경우 XPN 모드 없이 기본(gcm-aes-128) 암호화 알고리즘이 사용됩니다.

메모:

40G 및 100G 링크에서 MACsec을 사용할 때는 XPN을 사용하는 것이 좋습니다.

메모:

XPN 모드의 암호화 알고리즘은 MX 시리즈 MPC7E-10G 라우터에서 지원되지 않습니다.
MIC-3D-20GE-SFP-E 및 MIC-3D-20GE-SFP-EH에서는 GCM-AES-128만 지원됩니다.

예를 들어, 다음과 같은 ca1연결 연결에서 GCM-AES-XPN-128 알고리즘을 사용하여 암호화하려는 경우:

암호화 비활성화

MACsec의 기본 동작은 링크를 통과하는 트래픽을 암호화하는 것입니다. 엔드포인트를 인증하고 링크의 무결성을 보장하기 위해서만 MACsec을 사용하려는 경우 암호화를 비활성화할 수 있습니다. 이를 무결성 전용 모드라고 합니다. 무결성 전용 모드는 여러 홉을 통해 MACsec을 전송할 때 암호화되지 않은 페이로드를 표시해야 하는 경우에 유용합니다.

암호화를 비활성화하면 트래픽이 이더넷 링크를 통해 일반 텍스트로 전달됩니다. 링크를 모니터링할 때 링크를 트래버스하는 이더넷 프레임에서 암호화되지 않은 데이터를 볼 수 있습니다. 그러나 MACsec 헤더는 여전히 프레임에 적용되며, 모든 MACsec 데이터 무결성 검사는 링크의 양쪽 끝에서 실행되어 링크에서 송수신된 트래픽이 변조되지 않았으며 보안 위협을 나타내지 않는지 확인합니다.

암호화를 비활성화하려면 다음 명령을 사용합니다.

오프셋 구성

Offset은 전체 암호화와 암호화되지 않음 사이의 옵션을 제공합니다. 오프셋을 구성하여 페이로드의 설정된 바이트 수를 노출하고 나머지를 암호화합니다. 이는 중간 로드 밸런싱 또는 호스트에서의 부하 분산(스위치-호스트 링크의 경우)에 사용될 수 있습니다.

기본 오프셋은 0입니다. 암호화가 활성화되고 이 offset 설정되지 않으면 연결 연결의 모든 트래픽이 암호화됩니다.

오프셋을 30으로 설정하면 IPv4 헤더와 TCP/UDP 헤더는 암호화되지 않고 나머지 트래픽은 암호화됩니다. 오프셋을 50으로 설정하면 IPv6 헤더와 TCP/UDP 헤더는 암호화되지 않고 나머지 트래픽은 암호화됩니다.

기능이 기능을 수행하기 위해 옥텟의 데이터를 확인해야 하는 경우 일반적으로 처음 30 또는 50 옥텟을 암호화하지 않은 상태로 트래픽을 전달하지만, 그렇지 않은 경우에는 링크를 통과하는 프레임의 나머지 데이터를 암호화하는 것이 좋습니다. 특히 로드 밸런싱 기능은 일반적으로 트래픽 로드 밸런싱을 제대로 위해 처음 30 또는 50 옥텟에서 IP 및 TCP/UDP 헤더를 확인해야 합니다.

오프셋을 구성하려면 다음 명령을 사용합니다.

예를 들어, 라는 ca1연결 연결에서 오프셋을 30으로 설정하려는 경우:

사전 공유 키 무중단 롤오버 키체인 구성(라우터 간 링크에서 MACsec을 활성화하는 데 권장됨)

릴리스 17.4R1 이전의 정적 연결 연결 키(CAK)를 사용하는 MACsec 구현에서 사용자는 모든 연결 연결에 대해 하나의 정적 CAK를 구성할 수 있습니다. CAK 구성이 변경될 때마다 MACsec 세션이 손실되어 피어 세션이 재설정되거나 라우팅 프로토콜이 중단됩니다.

보안을 강화하고 CAK 구성이 변경될 때 세션이 삭제되는 것을 방지하기 위해 무중단 롤오버 키체인 기능이 구현되었습니다. 이 구현에서는 여러 보안 키, 키 이름 및 시작 시간이 있는 키 체인이 사용됩니다. 키체인의 각 키에는 고유한 시작 시간이 있습니다. 다음 키의 시작 시간에 현재 키에서 다음 키로 롤오버가 발생하고 다음 키가 현재 키가 됩니다. 무중단 롤오버 키체인 기능을 구현하면 MKA(MACsec Key Agreement) 프로토콜이 CAK 구성이 변경될 때 세션 손실 없이 MACsec 세션을 성공적으로 설정합니다.

PSK(사전 공유 키) 무중단 롤오버 키체인을 사용한 성공적인 MACsec 구성의 경우:

각 키의 키체인 이름, 키 및 시작 시간은 두 참여 노드에서 동일해야 합니다.
키체인 이름, 키 및 시작 시간의 순서는 두 참여 노드에서 동일해야 합니다.
참여 노드에서 시간이 동기화되어야 합니다.

기존 authentication-key-chains 및 macsec connectivity-association 명령은 두 가지 새로운 속성을 추가하여 무중단 롤오버 키체인을 구현하는 데 사용됩니다.

key-name- 인증 키 이름이며 key-name , MACsec의 CKN으로 사용됩니다.
pre-shared-key-chain- 사전 공유된 연결 연결 키체인 이름입니다.

PSK 무중단 롤오버 키체인 구성과 함께 MACsec을 사용하여 라우터 간 이더넷 링크 보안 방법:

메모:

참여하는 두 노드에서 동일한 순서로 다음 단계를 실행해야 합니다.

참여 노드의 시간을 동일한 NTP 서버에 동기화합니다.
예를 들어 NTP 서버 192.168.40.1에 따라 날짜 및 시간을 설정하려면 다음을 입력합니다.
키체인에서 PSK 세트를 구성합니다. 키체인은 보안 키, 키 이름 및 시작 시간으로 구성됩니다.

키체인을 구성하려면,
1. 사용할 비밀 암호를 만듭니다. 최대 64자 길이의 16진수 문자열입니다. 패스워드는 문자열이 따옴표로 둘러싸인 경우 공백을 포함할 수 있습니다. 키 체인의 비밀 데이터는 CAK로 사용됩니다.
  예를 들어, 키체인 macsec_key_chain 및 키 1에 대한 비밀 암호 01112233445566778899aabbccddeeff 생성하려면 다음을 입력합니다.
2. 인증 키 이름을 구성합니다. 최대 32자 길이의 16진수 문자열입니다.
  예를 들어 키 이름 01112233445566778899aabbccddeefe 생성하려면 다음과 같이 입력합니다.
3. 사전 공유 롤오버 키체인이 시작되는 시간을 구성합니다.
  예를 들어 01112233445566778899aabbccddeefe가 있는 키 이름이 2017-12-18.20:55:00 +0000에서 롤오버를 시작하도록 하려면 다음을 입력합니다.

새로 생성된 키체인을 MACsec 연결 연결과 연결합니다.

연결 연결을 위해 MACsec 보안 모드를 구성합니다.

예를 들어, 보안 모드 static-cak를 사용하여 연결 연결 ca1을 구성하려면 다음과 같이 입력합니다.

사전 공유된 키체인 이름을 연결 연결과 연결합니다.

예를 들어, 키체인 이름 macsec_key_chain 연결 연결 ca1과 연관시키려면 다음을 입력하십시오.

지정된 MACsec 인터페이스와 구성된 연결 연결을 할당합니다.

예를 들어, 인터페이스 ge-0/0/1에 연결 연결 ca1을 할당하려면 다음을 수행합니다.

페일 개방 모드에서 MACsec 키 계약 프로토콜 구성

MKA 세션이 비활성 상태일 때 트래픽이 삭제되는 것을 방지하기 위해 MACsec에 페일 오픈 모드를 구성할 수 있습니다. 이는 정보 보안보다 네트워크 가용성을 우선시하는 서비스 프로바이더에 적합합니다.

MACsec은 MACsec 보안 링크에서 전송되는 이더넷 프레임에 MACsec 헤더를 추가하여 데이터 무결성을 유지합니다. MKA 세션이 활성화되면 MACsec 헤더가 있는 프레임에 대해서만 링크에서 트래픽이 허용됩니다. MKA 세션이 비활성 상태이면 프레임은 MACsec 헤더를 수신하지 않습니다. 모든 트래픽(수신 및 송신)이 삭제됩니다. 유일한 예외는 EAPoL 트래픽입니다.

CLI 문을 사용하여 should-secure 페일 오픈 모드를 구성할 수 있습니다. 이를 통해 MKA 세션이 비활성 상태인 경우에도 MACsec 보안 링크에서 트래픽을 허용합니다. 트래픽은 MACsec 헤더 없이 일반 텍스트로 전송됩니다.

페일 오픈 모드에서 MKA 프로토콜을 구성하려면 다음을 수행합니다.

재생 보호 구성

MACsec은 MACsec 보안 링크의 각 패킷에 ID 번호를 할당합니다. 재생 보호가 활성화되면 수신 인터페이스는 MACsec 보안 링크를 통과하는 모든 패킷의 ID 번호를 확인합니다. 패킷이 순서에 맞지 않게 도착하고 패킷 번호 간의 차이가 재생 보호 창 크기를 초과하는 경우 수신 인터페이스는 패킷을 삭제합니다.

예를 들어 재생 보호 창 크기가 5로 설정되어 있고 ID 1006이 할당된 패킷이 ID 1000이 할당된 패킷 직후 수신 링크에 도착하는 경우 ID가 1006인 패킷은 재생 보호 창을 벗어나기 때문에 삭제됩니다.

재생 보호는 메시지 가로채기(man-in-the-middle) 공격에 대처하는 데 유용합니다. 이더넷 링크에서 메시지 가로채기(man-in-the-middle) 공격자가 재생하는 패킷은 순서에 맞지 않게 수신 링크에 도착하므로 재생 보호를 통해 재생된 패킷이 네트워크를 통해 전달되지 않고 드롭되도록 할 수 있습니다.

메모:

재생 창 크기를 0으로 설정하여 모든 패킷이 순서대로 도착하도록 요구할 수 있습니다. 패킷이 잘못된 순서로 도착할 것으로 예상되는 경우 재생 보호를 사용하도록 설정하면 안 됩니다.

재생 보호를 활성화하려면 다음 명령을 사용합니다.

예를 들어 연결 연결 ca1에서 창 크기가 5인 재생 보호를 사용하도록 설정하려면 다음을 수행합니다.

제한된 지연 보호 구성

2초 이상 지연된 후 MACsec(Media Access Control Security) 프레임이 전달되지 않도록 제한된 지연 보호를 구성할 수 있습니다. 이렇게 하면 메시지 가로채기(man-in-the-middle) 공격으로 인한 MACsec 프레임 지연이 감지되지 않습니다.

제한된 지연 보호를 구성할 때 재생 보호도 구성해야 합니다. 이 기간은 패킷의 복제 및 재생이 허용되는 기간입니다. 제한된 지연은 재생 보호보다 우선합니다. 창 크기에 대해 더 낮은 값을 구성하여 제한된 지연 보호의 효율성을 높일 수 있습니다.

제한된 지연 보호를 구성하기 전에 재생 보호를 구성해야 합니다. 재생 보호 구성을 참조하십시오.

제한된 지연 보호를 구성하려면 다음 명령을 사용합니다.

메모:

제한된 지연은 CPU 사용률에 영향을 주어 성능을 저하시킬 수 있습니다. 반드시 필요한 인터페이스에서만 제한된 지연을 구성하는 것이 좋습니다.

폴백 PSK로 MACsec 구성

정적 CAK 보안 모드를 사용하여 MACsec을 활성화하면 포인트 투 포인트 이더넷 링크의 각 끝에 있는 디바이스 간에 사전 공유 키(PSK)가 교환됩니다. PSK에는 CKN(연결 연결 이름) 및 CAK(연결 연결 키)가 포함됩니다. MACsec 세션이 설정되려면 PSK가 디바이스 간에 일치해야 합니다. 불일치가 있는 경우 세션이 설정되지 않고 모든 패킷이 삭제됩니다.

기본 PSK가 연결 설정에 실패할 경우 트래픽 손실을 방지하기 위해 대체 PSK를 구성할 수 있습니다. 폴백 PSK는 초기 MACsec 협상에서 기본 키가 일치하지 않을 때 사용됩니다.

MACsec 세션이 이미 설정되었고 한 디바이스에서 기본 PSK가 변경되었지만 다른 디바이스에서는 변경되지 않은 경우, 이전 기본 PSK를 사용하여 결과 불일치가 해결됩니다. 이전 기본 PSK는 이전 PSK로 알려진 임시 키입니다.

폴백 PSK를 구성하면 다음 키 중 하나로 MACsec 세션을 보호할 수 있습니다.

기본 PSK(구성 가능) - 기본 키입니다.
Fallback PSK (configurable)(대체 PSK(구성 가능)) - 기본 PSK가 MACsec 세션을 설정하지 못할 때 사용됩니다.
이전 PSK(구성 불가) - 새로운 기본 PSK가 구성되면 이전의 기본 PSK가 이전 PSK가 됩니다.

각 키에 대한 CAK의 상태는 라이브, 활성 또는 진행 중일 수 있습니다. 각 상태에 대한 설명은 표 1 을 참조하십시오.

표 1: CAK 상태 설명
CAK 상태	설명
살다	CAK는 MKA에 의해 검증되었습니다. MACsec 세션이 라이브 중입니다. 이 키를 사용하여 SAK가 성공적으로 생성됩니다. CAK는 MACsec 세션의 암호화 및 복호화에 사용됩니다. MKA Hello 패킷은 구성된 간격으로 이 키에 대해 송수신됩니다.
활동적인	CAK는 MKA에 의해 검증되었습니다. MACsec 세션이 라이브 중입니다. SAK는 이 키를 사용하여 생성되지 않습니다. CAK는 MACsec 세션의 암호화 및 암호 해독에 사용되지 않습니다. MKA Hello 패킷은 구성된 간격으로 이 키에 대해 송수신됩니다.
진행 중	유효한 라이브 또는 잠재적 피어를 찾을 수 없습니다. 피어를 찾기 위해 MACsec 세션이 진행 중입니다. MKA Hello 패킷은 구성된 간격으로 이 키에 대해 전송됩니다.

MACsec 링크의 한 쪽에 새 PSK가 구성되고 다른 쪽이 잘못 구성되었거나 새 키로 구성되지 않은 경우 키 불일치가 발생합니다. 폴백 동작은 변경되는 PSK 구성 요소(CAK, CKN 또는 둘 다)에 따라 달라집니다. 각 불일치 시나리오는 아래에 설명되어 있습니다.

CAK가 변경되고 CKN이 동일하게 유지되면 기존 MACsec 세션의 연결이 끊어집니다. 이전 CKN 및 새 CAK 값으로 새 세션이 시작됩니다.
CKN이 변경되고 CAK가 동일하게 유지되면 기존 CAK와 쌍을 이루는 이전 CKN이 이전 PSK가 되고 세션은 이전 PSK와 함께 라이브가 됩니다. 새로 생성된 CKN 및 CAK를 사용하여 새 세션이 시작되며, 피어 노드도 동일한 CKN으로 구성될 때까지 진행됩니다.
CAK와 CKN이 모두 변경되면 이전 CAK+CKN 쌍이 이전 PSK가 되고 세션은 이전 PSK와 함께 라이브가 됩니다. 새 CAK+CKN 쌍으로 새 세션이 시작되며, 피어 노드도 동일한 CAK+CKN으로 구성될 때까지 진행됩니다.

메모:

이전 PSK가 대체 PSK보다 우선하므로 세션이 이전 PSK와 함께 라이브 상태인 경우 대체 PSK가 적용되지 않습니다. 폴백 PSK와 함께 세션을 라이브로 유지하려면 문을 구성해야 disable-preceding-key 합니다.

예비 PSK는 사전 공유된 키체인에 대해 지원됩니다. 사전 공유 키 또는 사전 공유 키체인과 함께 대체 PSK를 구성할 수 있습니다. 사전 공유 키와 사전 공유 키체인은 상호 배타적입니다.

폴백 PSK만 구성되고 기본 PSK가 없는 경우, 두 디바이스 모두 폴백 PSK로 세션 설정을 시도합니다. 세션이 실행되면 폴백 PSK에서 파생된 SAK가 데이터 트래픽 암호화에 사용됩니다. 설정된 세션이 끊어지면 디바이스는 세션 재설정을 계속 시도하고 세션이 재설정될 때까지 트래픽은 손실됩니다.

폴백 PSK는 연결 연결(CA)의 일부로 구성됩니다. CA는 모든 인터페이스에 대해 또는 인터페이스별로 전역적으로 구성할 수 있으므로 인터페이스마다 다른 대체 키를 사용할 수 있습니다.

폴백 PSK를 구성하려면 CAK와 CKN을 CA의 일부로 구성합니다.

폴백 PSK 구성에는 다음과 같은 제한 사항이 적용됩니다.

대체 CAK 및 CKN은 사전 공유 키 CKN 및 CAK 또는 동일한 CA의 키체인에 구성된 키와 일치하지 않아야 합니다.
대체 키를 구성하려면 보안 모드 구성이 있어야 합니다.
구성된 암호 그룹에 대한 키 길이 제한은 폴백 CAK 및 CKN에 적용됩니다.

GRES로 MACsec 구성

GRES(Graceful Switchover) 기능을 사용하면 하나의 라우팅 엔진(RE)에 장애가 발생하더라도 중복 라우팅 엔진이 있는 스위치나 라우터가 패킷을 계속 전달할 수 있습니다. RE 전환 중 중단 없는 서비스를 제공하도록 MACsec을 구성할 수 있습니다.

MKA(MACsec Key Agreement) 프로토콜은 포인트 투 포인트 MACsec 링크에서 두 노드 간의 MACsec 세션을 유지합니다. MKA 프로토콜은 두 노드 사이의 컨트롤 플레인 수준에서 작동합니다. 한 노드는 키 서버 역할을 하며 SAK(보안 연결 키)를 생성하여 링크를 보호합니다.

로컬 노드가 RE 전환을 시작하면 원격 피어 노드에 요청을 보내 컨트롤 플레인에서 MACsec 세션을 일시 중단합니다. 데이터 플레인에서 트래픽은 일시 중단 중에도 포인트 투 포인트 링크를 계속 트래버스합니다. 일시 중단 전에 프로그래밍된 SAK는 전환이 완료될 때까지 계속 사용됩니다. 전환 후 키 서버는 링크를 보호하기 위해 새 SAK를 생성합니다. 키 서버는 MACsec이 활성화되어 있는 한 링크를 통해 주기적으로 SAK를 생성하고 공유합니다.

MACsec에 대해 GRES를 활성화하려면 RE 전환 시 일시 중단 요청을 보내도록 로컬 노드에서 문을 구성해야 suspend-for 합니다. 또한 문을 사용하여 suspend-on-request 일시 중단 요청을 수락하도록 키 서버 역할을 하는 노드를 구성해야 합니다. 그렇지 않으면 키 서버가 일시 중단 요청을 거부하여 MACsec 세션이 종료됩니다.

및 suspend-on-request 문을 구성할 suspend-for 때 GRES 및 무중단 라우팅도 구성해야 합니다.

기능 탐색기를 사용하여 특정 기능에 대한 플랫폼 및 릴리스 지원을 확인할 수 있습니다.

메모:

GRES가 진행되는 동안 다음의 MACsec 기능이 비활성화됩니다.

기본, 대체 또는 이전 키 스위치.
키체인 키 스위치.
SAK 키 재입력 타이머.

MACsec에 GRES를 사용하도록 설정하려면 로컬 노드에서 다음 구성을 사용합니다.

Graceful Switchover를 구성합니다.

논스톱 라우팅을 구성합니다.

RE 전환을 시작할 때 일시중단 요청을 보내도록 노드를 구성합니다.

(키 서버만 해당) 일시 중단 요청을 수락하도록 노드를 구성합니다.

이 페이지 내용