La configurazione di MACSec (Media Access Control Security) tra switch Nexus 9000 consente di visualizzare la sessione MACsec Key Agreement (MKA) come "protetta", ma genera messaggi di errore ripetuti circa ogni due secondi. Il seguente modello sovraccarica i log di sistema:
device# %CTS-5-CTS_MKPDU_ICV_SUCCESS: MACSec: MKPDU verified. Primary keys match for Interface device# %CTS-4-CTS_MKPDU_ICV_FAILURE: MACSec: MKA PDU integrity check failed for Interface
Questi messaggi alternati di esito positivo e negativo creano un numero eccessivo di voci di registro che devono essere corrette mantenendo la funzionalità MACSec.
Prodotto: switch Cisco Nexus
Tecnologia: MACSec (Link Encryption)
Per risolvere il problema, modificare la configurazione del portachiavi di fallback in modo da utilizzare ID di chiave diversi da quelli configurati nel portachiavi primario:
1. Esaminare le configurazioni dei portachiavi MACSec esistenti per identificare gli ID di chiave corrispondenti tra le catene di chiavi primaria e di fallback con questo comando.
device# show running-configuration ... key chain primary macsec key 01 key-octet-string 7 <key> cryptographic-algorithm AES_256_CMAC key chain fallback macsec key 01 key-octet-string 7 <key> cryptographic-algorithm AES_256_CMAC ...
2. Modificare la catena di chiavi di fallback in modo da utilizzare un ID chiave diverso con questi comandi. Ad esempio, se la catena di chiavi primaria utilizza l'ID chiave 01, configurare la catena di chiavi di fallback in modo che utilizzi invece l'ID chiave 10.
device# configure terminal device(config)# key chain fallback macsec device(config)# no key 01 device(config)# key 10 device(config)# key-octet-string 7 <key> cryptographic-algorithm AES_256_CMAC
3. Controllare i registri di sistema per verificare che i messaggi CTS_MKPDU_ICV_SUCCESS e CTS_MKPDU_ICV_FAILURE alternati non siano più visualizzati.
La causa principale è un conflitto di configurazione in cui il portachiavi di fallback utilizza lo stesso ID di chiave del portachiavi primario. Ciò crea ambiguità nel protocollo MKA, causando l'esito negativo del controllo di integrità e la conseguente commutazione del sistema tra la valutazione delle chiavi primarie e di fallback. Per evitare questo conflitto, nella guida alla configurazione di Nexus MACSec viene indicato che "l'ID della chiave di fallback non deve corrispondere ad alcun ID di chiave proveniente da una catena di chiavi primaria".
| Revisione | Data di pubblicazione | Commenti |
|---|---|---|
1.0 |
28-Apr-2026
|
Versione iniziale |