内容

概要

前提条件

要件

使用するコンポーネント

設定

ネットワーク図とトラフィック フロー

設定

ISE

最大 300 のアクセス ポイント グループ

AnyConnect NAM

確認

トラブルシュート

作業シナリオのデバッグ

失敗シナリオのデバッグ

パケット キャプチャ

MACsec と 802.1x モード

関連情報

概要

このドキュメントでは、802.1x サプリカント（Cisco AnyConnect Mobile Security）とオーセンティケータ（スイッチ）の間での Media Access Control Security（MACsec）暗号化の設定例について説明します。 Cisco Identity Services Engine（ISE）が認証およびポリシー サーバとして使用されます。

MACsec は 802.1AE で標準化され、Cisco 3750X、3560X、および 4500 SUP7E のスイッチでサポートされます。802.1AE は、アウトオブバンド キーを使用する有線ネットワーク上のリンク暗号化を定義します。これらの暗号化キーは、802.1X 認証が成功した後に使用される MACsec Key Agreement（MKA）プロトコルとネゴシエートされます。MKA は、IEEE 802.1X-2010 で標準化されています。

PC とスイッチ（ポイントツーポイントの暗号化）間のリンク上のパケットのみが暗号化されます。 スイッチで受信されたパケットは復号化され、暗号化されたアップリンクを介して送信されます。スイッチ間の伝送を暗号化するには、スイッチ間暗号化が推奨されています。この暗号化では、キーをネゴシエートし、再生成するために、Security Association Protocol（SAP）が使用されます。SAP は、シスコによって開発された先行標準のキー アグリーメント プロトコルです。

前提条件

要件

次の項目に関する知識があることが推奨されます。

- 802.1x の設定に関する基本的な知識

- Catalyst スイッチの CLI 設定に関する基本的な知識

- ISE 設定の経験

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

- Microsoft Windows 7 および Microsoft Windows XP オペレーティング システム

- Cisco 3750X ソフトウェア バージョン 15.0 以降

- Cisco ISE ソフトウェア バージョン 1.1.4 以降

- Network Access Manager（NAM）バージョン 3.1 以降を備えた Cisco AnyConnect Mobile Security

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

設定

ネットワーク図とトラフィック フロー

ステップ1：サプリカント(AnyConnect NAM)が802.1xセッションを開始します。スイッチはオーセンティケータになり、ISE は認証サーバになります。Extensible Authentication Protocol over LAN（EAPOL）プロトコルは、サプリカントとスイッチ間の EAP の転送として使用されます。RADIUS は、スイッチと ISE 間の EAP の転送プロトコルとして使用されます。EAPOL キーを ISE から返し、MACsec Key Agreement（MKA）セッションに使用する必要があるため、MAC 認証バイパス（MAB）は使用できません。

ステップ2: 802.1xセッションが完了すると、スイッチはトランスポートプロトコルとしてEAPOLを使用してMKAセッションを開始します。サプリカントが正しく設定されている場合は、対称 128 ビット AES-GCM（ガロア/カウンタ モード）暗号化のキーが一致します。

ステップ3：サプリカントとスイッチ間の後続のパケットはすべて暗号化されます（802.1AEカプセル化）。

設定

ISE

ISE 設定には、暗号化ポリシーが含まれることのある認可プロファイルの例外を除き、一般的な 802.1X シナリオが含まれます。

[Administration] > [Network Resources] > [Network Devices] の順に選択して、スイッチをネットワーク デバイスとして追加します。RADIUS の事前共有鍵（共有秘密）を入力します。

デフォルトの認証ルールを使用できます（ISE のローカルで定義されているユーザの場合）。

[Administration] > [Identity Management] > [Users] の順に選択し、ユーザ「cisco」をローカルで定義します。

認可プロファイルに暗号化ポリシーが含まれる場合があります。次の例に示すように、[Policy] > [Results] > [Authorization Profiles] の順に選択し、リンクの暗号化が必須になるスイッチに ISE が返す情報を表示します。また、VLAN 番号（10）が設定されています。

認可ルールの認可プロファイルを使用するために、[Policy] > [Authorization] の順に選択します。この例では、ユーザ「cisco」に設定されているプロファイルを返します。 802.1x が成功した場合、ISE は Radius-Accept を Cisco AVPair linksec-policy=must-secure でスイッチに返します。この属性によって、スイッチは MKA セッションを開始します。そのセッションが失敗すると、スイッチでの 802.1x 認証も失敗します。

最大 300 のアクセス ポイント グループ

一般的な 802.1X ポート設定には以下が含まれます（先頭の一部が示されています）。

aaa new-model

aaa authentication dot1x default group radius

aaa authorization network default group radius

aaa group server radius ISE

server name ISE

dot1x system-auth-control

interface GigabitEthernet1/0/2

description windows7

switchport mode access

authentication order dot1x

authentication port-control auto

dot1x pae authenticator

radius server ISE

address ipv4 10.48.66.74 auth-port 1645 acct-port 1646

timeout 5

retransmit 2

key cisco

ローカル MKA ポリシーが作成され、インターフェイスに適用されます。また、MACsec がインターフェイスで有効にされます。

mka policy mka-policy

replay-protection window-size 5000

interface GigabitEthernet1/0/2

macsec

mka policy mka-policy

ローカル MKA ポリシーでは、ISE からプッシュできない詳細設定を設定することができます。ローカル MKA ポリシーは、オプションです。

AnyConnect NAM

802.1X サプリカントのプロファイルは、手動で設定するか、Cisco ASA を介してプッシュできます。次の手順には、手動設定が示されています。

NAM プロファイルを管理するには、以下の手順を実行します。

MACsec で新しい 802.1x プロファイルを追加します。802.1x の場合、Protected Extensible Authentication Protocol（PEAP）が使用されます（ISE で設定済みのユーザ「cisco」）。

確認

ここでは、設定が正常に機能しているかどうかを確認します。

EAP-PEAP に設定された AnyConnect NAM には、正しいクレデンシャルが必要です。

スイッチのセッションは、認証および許可する必要があります。セキュリティ ステータスが「Secured」である必要があります。

bsns-3750-5#show authentication sessions interface g1/0/2

Interface:  GigabitEthernet1/0/2

MAC Address:  0050.5699.36ce

IP Address:  192.168.1.201

User-Name:  cisco

Status:  Authz Success

Domain:  DATA

Security Policy:  Must Secure

Security Status:  Secured

Oper host mode:  single-host

Oper control dir:  both

Authorized By:  Authentication Server

Vlan Policy:  10

Session timeout:  N/A

Idle timeout:  N/A

Common Session ID:  C0A8000100000D56FD55B3BF

Acct Session ID:  0x00011CB4

Handle:  0x97000D57

Runnable methods list:

Method   State

dot1x    Authc Success

スイッチの MACsec 統計情報には、ローカル ポリシー設定、送受信トラフィックのセキュア チャネル ID（SCI）、ポートの統計やエラーに関する詳細が示されます。

bsns-3750-5#show macsec interface g1/0/2

MACsec is enabled

Replay protect : enabled

Replay window : 5000

Include SCI : yes

Cipher : GCM-AES-128

Confidentiality Offset : 0

Capabilities

Max. Rx SA : 16

Max. Tx SA : 16

Validate Frames : strict

PN threshold notification support : Yes

Ciphers supported : GCM-AES-128

Transmit Secure Channels

SCI : BC166525A5020002

Elapsed time : 00:00:35

Current AN: 0   Previous AN: -

SC Statistics

Auth-only (0 / 0)

Encrypt (2788 / 0)

Receive Secure Channels

SCI : 0050569936CE0000

Elapsed time : 00:00:35

Current AN: 0   Previous AN: -

SC Statistics

Notvalid pkts 0      Invalid pkts 0

Valid pkts 76         Late pkts 0

Uncheck pkts 0       Delay pkts 0

Port Statistics

Ingress untag pkts  0        Ingress notag pkts 2441

Ingress badtag pkts 0        Ingress unknownSCI pkts 0

Ingress noSCI pkts 0         Unused pkts 0

Notusing pkts 0              Decrypt bytes 176153

Ingress miss pkts 2437

AnyConnect では、統計情報に暗号化の使用率およびパケットの統計が示されます。

トラブルシュート

ここでは、設定のトラブルシューティングに使用できる情報を示します。

作業シナリオのデバッグ

スイッチ上でのデバッグを有効にします（一部の出力は、わかりやすくするために省略されています）。

debug macsec event

debug macsec error

debug epm all

debug dot1x all

debug radius

debug radius verbose

802.1x セッションが確立されると、複数の EAP パケットが EAPOL 上で交換されます。Radius-Acccept 内で伝達される ISE からの最後の成功応答（EAP 成功）にも、複数の RADIUS 属性が含まれています。

RADIUS: Received from id 1645/40 10.48.66.74:1645, Access-Accept, len 376

RADIUS:  EAP-Key-Name        [102] 67  *

RADIUS:  Vendor, Cisco       [26]  34

RADIUS:   Cisco AVpair       [1]   28  "linksec-policy=must-secure"

RADIUS:  Vendor, Microsoft   [26]  58

RADIUS:   MS-MPPE-Send-Key   [16]  52  *

RADIUS:  Vendor, Microsoft   [26]  58

RADIUS:   MS-MPPE-Recv-Key   [17]  52  *

MKA セッションでは EAP キー名が使用されます。linksec ポリシーによって、スイッチでは MACsec が使用されます（MACsec が完全でない場合、認証は失敗します）。 これらの属性は、パケット キャプチャでも確認できます。

Authentication is successful.

%DOT1X-5-SUCCESS: Authentication successful for client (0050.5699.36ce) on

Interface Gi1/0/2 AuditSessionID C0A8000100000D56FD55B3BF

%AUTHMGR-7-RESULT: Authentication result 'success' from 'dot1x' for client

(0050.5699.36ce) on Interface Gi1/0/2 AuditSessionID C0A8000100000D56FD55B3BF

スイッチは属性を適用します（これには送信されたオプションの VLAN 番号も含まれます）。

%AUTHMGR-5-VLANASSIGN: VLAN 10 assigned to Interface Gi1/0/2 AuditSessionID

C0A8000100000D56FD55B3BF

スイッチは、EAPOL パケットを送受信すると MKA セッションを開始します。

%MKA-5-SESSION_START: (Gi1/0/2 : 2) MKA Session started for RxSCI 0050.5699.36ce/0000,

AuditSessionID C0A8000100000D56FD55B3BF, AuthMgr-Handle 97000D57

dot1x-ev(Gi1/0/2): Sending out EAPOL packet

EAPOL pak dump Tx

EAPOL pak dump rx

dot1x-packet(Gi1/0/2): Received an EAPOL frame

dot1x-packet(Gi1/0/2): Received an MKA packet

その後、4 個のパケット交換セキュア ID が受信（RX）セキュリティ アソシエーションとともに作成されます。

HULC-MACsec: MAC: 0050.5699.36ce, Vlan: 10, Domain: DATA

HULC-MACsec: Process create TxSC i/f GigabitEthernet1/0/2 SCI BC166525A5020002

HULC-MACsec: Process create RxSC i/f GigabitEthernet1/0/2 SCI 50569936CE0000

HULC-MACsec: Process install RxSA request79F6630 for interface GigabitEthernet1/0/2

セッションは終了し、送信（TX）セキュリティ アソシエーションが追加されます。

%MKA-5-SESSION_SECURED: (Gi1/0/2 : 2) MKA Session was secured for

RxSCI 0050.5699.36ce/0000, AuditSessionID C0A8000100000D56FD55B3BF,

CKN A2BDC3BE967584515298F3F1B8A9CC13

HULC-MACsec: Process install TxSA request66B4EEC for interface GigabitEthernet1/0/

ポリシー「must-secure」が一致すると、認証が成功します。

%AUTHMGR-5-SUCCESS: Authorization succeeded for client (0050.5699.36ce) on

Interface Gi1/0/2 AuditSessionID C0A8000100000D56FD55B3BF

2 秒 ごとに MKA Hello パケットが交換され、すべての対象が動作していることが確認されます。

dot1x-ev(Gi1/0/2): Received TX PDU (5) for the client 0x6E0001EC (0050.5699.36ce)

dot1x-packet(Gi1/0/2): MKA length: 0x0084 data&colon; ^A

dot1x-ev(Gi1/0/2): Sending EAPOL packet to group PAE address

EAPOL pak dump Tx

失敗シナリオのデバッグ

サプリカントが MKA に対して設定されていないときに、正常な 802.1X 認証の後で ISE が暗号化を要求する場合：

RADIUS: Received from id 1645/224 10.48.66.74:1645, Access-Accept, len 342

%DOT1X-5-SUCCESS: Authentication successful for client (0050.5699.36ce) on

Interface Gi1/0/2 AuditSessionID C0A8000100000D55FD4D7529

%AUTHMGR-7-RESULT: Authentication result 'success' from 'dot1x' for client

(0050.5699.36ce) on Interface Gi1/0/2 AuditSessionID C0A8000100000D55FD4D7529

スイッチは 5 個の EAPOL パケットを送信するときに MKA セッションを開始しようとします。

%MKA-5-SESSION_START: (Gi1/0/2 : 2) MKA Session started for RxSCI 0050.5699.36ce/0000,

AuditSessionID C0A8000100000D55FD4D7529, AuthMgr-Handle A4000D56

dot1x-ev(Gi1/0/2): Sending out EAPOL packet

EAPOL pak dump Tx

dot1x-ev(Gi1/0/2): Sending out EAPOL packet

EAPOL pak dump Tx

dot1x-ev(Gi1/0/2): Sending out EAPOL packet

EAPOL pak dump Tx

dot1x-ev(Gi1/0/2): Sending out EAPOL packet

EAPOL pak dump Tx

dot1x-ev(Gi1/0/2): Sending out EAPOL packet

EAPOL pak dump Tx

最終的にタイムアウトになり、認証は失敗します。

%MKA-4-KEEPALIVE_TIMEOUT: (Gi1/0/2 : 2) Peer has stopped sending MKPDUs for RxSCI

0050.5699.36ce/0000, AuditSessionID C0A8000100000D55FD4D7529, CKN

F8288CDF7FA56386524DD17F1B62F3BA

%MKA-4-SESSION_UNSECURED: (Gi1/0/2 : 2) MKA Session was stopped by MKA and not

secured for RxSCI 0050.5699.36ce/0000, AuditSessionID C0A8000100000D55FD4D7529,

CKN F8288CDF7FA56386524DD17F1B62F3BA

%AUTHMGR-5-FAIL: Authorization failed or unapplied for client (0050.5699.36ce)

on Interface Gi1/0/2 AuditSessionID C0A8000100000D55FD4D7529

802.1x セッションは正常な認証を報告しますが、認証は失敗します。

bsns-3750-5#show authentication sessions int g1/0/2

Interface:  GigabitEthernet1/0/2

MAC Address:  0050.5699.36ce

IP Address:  192.168.1.201

User-Name:  cisco

Status:  Authz Failed

Domain:  DATA

Security Policy:  Must Secure

Security Status:  Unsecure

Oper host mode:  single-host

Oper control dir:  both

Session timeout:  N/A

Idle timeout:  N/A

Common Session ID:  C0A8000100000D55FD4D7529

Acct Session ID:  0x00011CA0

Handle:  0xA4000D56

Runnable methods list:

Method   State

dot1x    Authc Success

データ トラフィックはブロックされます。

パケット キャプチャ

サプリカント サイトでトラフィックがキャプチャされると、4 個の Internet Control Message Protocol（ICMP）エコー要求/応答が送受信され、以下が実行されます。

- 4 個の暗号化 ICMP エコー要求をスイッチに送信（802.1AE のために 88e5 が予約されています）

- 4 個の復号化 ICMP エコー応答を受信

これは AnyConnect が Windows API にフックされる方法のためです（パケットが送信されるときの libpcap の前、およびパケットが受信されるときの libpcap の前）。

注：スイッチド ポート アナライザ（SPAN）または組み込みパケット キャプチャ（EPC）などの機能を持つスイッチで MKA または 802.1AE トラフィックをスニフィングする機能はサポートされていません。

MACsec と 802.1x モード

MACsec では、すべての 802.1x モードがサポートされているわけではありません。

『Cisco TrustSec 3.0 How-To Guide:Introduction to MACsec and NDAC』では、以下のように説明されています。

- Single-Host モード：Single-Host モードでは、MACsec は完全にサポートされます。このモードでは、単一の MAC アドレスまたは IP アドレスだけが認証され、MACsec で保護されます。エンドポイントが認証した後に別の MAC アドレスがポートで検出されると、セキュリティ違反がポートでトリガーされます。

- Multi-Domain Authentication（MDA）モード：このモードでは、1 つのエンドポイントをデータ ドメイン上に配置し、別のエンドポイントを音声ドメイン上に配置することができます。MDA モードでは、MACsec は 完全にサポートされます。両方のエンドポイントが MACsec 可能であれば、それぞれの独立した MACsec セッションによってそれぞれが保護されます。一方のエンドポイントだけが MACsec 可能である場合、そのエンドポイントは保護できますが、もう一方のエンドポイントでは暗号化されずにパケットが送信されます。

- Multi-Authentication モード：このモードでは、単一のスイッチ ポートに対して事実上無制限の数のエンドポイントを認証できます。このモードでは MACsec はサポートされていません。

- Multi-Host モード：このモードで MACsec を使用することは技術上可能ですが、推奨されていません。Multi-Host モードでは、ポートの最初のエンドポイントが認証され、追加のエンドポイントはすべて、最初の認証を介してネットワークで許可されます。MACsecは最初に接続されたホストで動作しますが、他のエンドポイントのトラフィックは暗号化されたトラフィックではないため、実際には通過しません。

関連情報

- 3750 用 Cisco TrustSec 設定ガイド

- ASA 9.1 用 Cisco TrustSec 設定ガイド

- Identity-Based Networking Services：MAC セキュリティ

- Catalyst 3750X シリーズ スイッチでの TrustSec Cloud と 802.1x MACsec の設定例

- ASA と Catalyst 3750X シリーズ スイッチ TrustSec の設定例とトラブルシューティング ガイド

- Cisco TrustSec の展開およびロードマップ

- テクニカル サポートとドキュメント – Cisco Systems