라우터에서 MACsec(Media Access Control Security) 구성

예를 들어, 라는 연결 연결을 만들려면 다음을 ca1입력합니다.

예를 들어 연결 연결 ca1에 MACsec 보안 모드를 구성하려면 static-cak 다음을 수행합니다.

사전 공유 키는 직접 연결된 링크 간에 교환되어 MACsec-secure 링크를 구축합니다. 사전 공유 키에는 CKN과 CAK가 포함됩니다. CKN은 64자리 16진수이며 CAK는 32자리 1진수입니다. CKN 및 CAK는 링크 양쪽 끝에 일치하여 MACsec 보안 링크를 생성해야 합니다.

사전 공유된 키가 링크의 양 끝에서 성공적으로 교환되고 검증되면 MACsec 키 계약(MKA) 프로토콜이 활성화되고 보안 링크를 관리합니다. 그런 다음 MKA 프로토콜은 바로 연결된 두 개의 스위치 중 하나를 키 서버로 선택합니다. 그런 다음 키 서버는 MACsec 보안 포인트 투 포인트 링크를 통해 다른 장치와 임의의 보안을 공유합니다. 키 서버는 MACsec이 활성화된 한 MACsec 보안 포인트 투 포인트 링크상에서 다른 장비와 무작위 보안 키를 정기적으로 생성하고 공유합니다.

연결 연결 ca1에서 CKN 37c9c2c45ddd012aa5bc8ef284aa23ff6729ee2e4acb66e91fe34ba2cd9fe311 및 CAK를 228ef255aa23ff6729ee664acb66e91f 구성하려면 다음을 수행합니다.

MKA 프로토콜이 키 서버를 선택하기 위해 사용하는 주요 서버 우선 순위를 지정합니다. 아래 priority-number 의 스위치가 키 서버로 선택됩니다.

기본값 priority-number 은 16입니다.

key-server-priority 점대점(point-to-point) 링크의 양쪽에서 동일한 경우, MKA 프로토콜은 하부 MAC 주소가 있는 인터페이스를 키 서버로 선택합니다. 따라서 이 명령문이 MACsec 보안 P2P 링크의 각 끝에 있는 연결 연결 연결에서 구성되지 않으면 하위 MAC 주소가 있는 인터페이스가 핵심 서버가 됩니다.

연결 연결을 사용하여 인터페이스에서 MACsec을 활성화할 때 현재 장비가 키 서버로 선택될 가능성을 높이기 위해 키 서버 우선 순위를 0으로 변경하려면 다음을 수행합니다 ca1.

주요 서버 우선 순위를 255로 변경하여 현재 디바이스가 연결 연결 ca1의 핵심 서버로 선택될 가능성을 줄이려면 다음을 수행합니다.

MKA 전송 간격 설정은 링크에서 MACsec 연결을 유지하기 위해 MKA 프로토콜 데이터 유닛(PDU)이 직접 연결된 디바이스로 전송되는 빈도를 설정합니다. 링크의 대역폭 오버헤드가 낮 interval 아질수록 MKA 프로토콜 통신을 interval 최적화할 수 있습니다.

기본값 interval 은 2,000ms입니다. 트래픽이 많은 로드 환경에서 간격을 6,000ms로 늘리는 것이 좋습니다. 정적 CAK 보안 모드를 사용하여 MACsec을 사용할 때 전송 간격 설정은 링크의 양 끝에서 동일해야 합니다.

예를 들어, 연결 연결 연결 ca1이 인터페이스에 연결될 때 MKA 전송 간격을 6000밀리초로 늘리려면 다음을 수행합니다.

기본적으로 정적 CAK 보안 모드를 사용하여 MACsec을 활성화할 때 인터페이스에 들어오거나 나가는 모든 트래픽에 대해 암호화가 활성화됩니다.

암호화가 비활성화되면 트래픽은 지우는 텍스트로 이더넷 링크로 전달됩니다. 모니터링할 때 링크를 통과하는 이더넷 프레임에서 암호화되지 않은 데이터를 볼 수 있습니다. 그러나 MACsec 헤더는 여전히 프레임에 적용되며 링크에서 송수신된 트래픽이 변조되지 않고 보안 위협이 되지 않도록 모든 MACsec 데이터 무결성 검사가 링크의 양 끝에서 실행됩니다.

다음과 같은 MACsec 암호화 알고리즘을 사용하여 인터페이스에 들어오거나 나가는 모든 트래픽을 암호화할 수 있습니다.

• gcm-aes-128—GCM-AES-128 XPN(Extended Packet Numbering) 모드가 없는 암호 제품군

• Gcm-aes-256—XPN이 없는 GCM-AES-256 암호문 스위트

• gcm-aes-xpn-128—XPN 모드가 포함된 GCM-AES-XPN_128 암호 세트

• gcm-aes-xpn-256—XPN 모드가 포함된 GCM-AES-XPN_256 암호 세트

MACsec 암호화가 활성화되고 암호화 알고리즘이 지정되지 않은 경우 XPN 모드 없이 기본(gcm-aes-128) 암호화 알고리즘이 사용됩니다.

예를 들어, 다음과 같은 이름의 ca1연결 연결에서 gcm-aes-xpn-128 알고리즘을 사용하여 암호화하려는 경우

예를 들어, 다음 이름의 ca1연결 연결에서 오프셋을 30으로 설정하려는 경우

기본 오프셋은 0입니다. 암호화가 활성화되고 설정되지 않을 때 연결 연결의 모든 트래픽이 암호화됩니다 offset .

오프셋이 30으로 설정되면 IPv4 헤더와 TCP/UDP 헤더가 암호화되지 않고 나머지 트래픽을 암호화합니다. 오프셋이 50으로 설정되면 IPv6 헤더와 TCP/UDP 헤더가 암호화되지 않고 나머지 트래픽을 암호화합니다.

기능을 수행하기 위해 옥텟에서 데이터를 볼 필요가 있는 경우 일반적으로 처음 30 또는 50 옥텟으로 트래픽을 전송하지만, 그렇지 않으면 링크를 통과하는 프레임의 나머지 데이터를 암호화하는 것을 선호합니다. 특히 로드 밸런싱 기능은 트래픽 밸런싱을 적절히 하려면 일반적으로 처음 30 또는 50 옥텟에서 IP 및 TCP/UDP 헤더를 볼 수 있어야 합니다.

링크에서 MACsec이 활성화되면 MACsec 보안 링크의 각 패킷에 ID 번호가 할당됩니다.

다시 재생 보호가 활성화되면 수신 인터페이스는 MACsec 보안 링크를 통과한 모든 패킷의 ID 번호를 확인합니다. 패킷이 순서대로 도착하고 패킷 번호 간의 차이가 replay 보호 창 크기를 초과하는 경우 패킷은 수신 인터페이스에 의해 삭제됩니다. 예를 들어, 다시보기 보호 창 크기가 5로 설정되고 1006의 ID가 할당된 패킷이 1000 ID를 할당한 직후 수신 링크에 도착하면 1006의 ID가 할당된 패킷은 다시 재생 보호 창의 매개 변수를 벗어나기 때문에 삭제됩니다.

리플레이 보호는 특히 중간자 공격에 맞서는 데 유용합니다. 이더넷 링크의 MAN-in-the-Middle 공격자가 재생한 패킷이 시퀀스 아웃(receiving link)에 도착하므로, 다시 재생 보호는 네트워크를 통해 전달되는 대신 재생된 패킷이 드롭되도록 보장합니다.

패킷이 순서를 벗어나게 될 것으로 예상되는 경우 재생 보호가 활성화되어서는 안 됩니다.

재생 창 크기를 0으로 설정하여 모든 패킷이 순서대로 도착하도록 요구할 수 있습니다.

연결 연결 ca1시 5개의 창 크기로 리플레이 보호를 구현하려면 다음을 수행합니다.

예를 들어, LLDP(Link Level Discovery Protocol)를 MACsec을 사용하여 보호하는 것을 원치 않으셨을 것입니다.

이 옵션이 활성화되면 링크에서 송수신되는 지정된 프로토콜(이 경우 LLDP)의 모든 패킷에 대해 MACsec이 비활성화됩니다.

CA를 물리적 인터페이스에 할당하려면 다음을 수행합니다.

예를 들어 인터페이스에 할당 ca1 하려면 다음을 수행합니다.ge-0/0/1

또한 CA를 논리적 인터페이스에 할당할 수 있습니다.

예를 들어, NTP 서버 192.168.40.1에 따라 날짜와 시간을 설정하려면 다음을 입력합니다.

키체인을 구성하려면 다음을 수행합니다.

예를 들어, 연결 연결 ca1을 인터페이스 ge-0/0/1에 할당합니다.