Cisco TrustSec ファイバ チャネル リンク暗号化の設定

この章では、Cisco TrustSec ファイバ チャネル（FC）リンクの暗号化機能の概要を示し、スイッチ間にリンクレベルの暗号化を設定する方法について説明します。

この章は、次の項目を取り上げます。

Cisco TrustSec FC リンク暗号化に関する用語

この章は、次の Cisco TrustSec FC リンク暗号化関連の用語を説明します：

  • ガロア カウンタ モード（GCM）：これはブロック暗号の動作モードです。GCM は、機密保持とデータ発信元認証の両方をブロック暗号モードの操作として提供します。

  • Galois メッセージ認証コード （GMAC）：GCM を介して機密性とデータ発信元認証を提供します。GCM の認証限定バリアントです。

  • セキュリティ アソシエーション（SA）：セキュリティ認定証を管理する二つのスイッチの間の契約であり、スイッチ間で伝播する方法をコントロールします。SA には、salt やキーなどのパラメータが含まれます。

  • キー：128 ビットまたは、256 ビットのフレームの暗号化および復号化に使用される 16 進数形式です。デフォルト値は 0 です。

  • Salt：暗号化および復号化の際に使用する 32 ビットの 16 進数字列です。適切な通信を行うには、接続の両側に同じ salt を設定する必要があります。デフォルト値は 0 です。

  • セキュリティ パラメータ インデックス（SPI）番号：ハードウェアに設定される SA を識別する 32 ビットの数字です。

AES 暗号化のサポート

Advanced Encryption Standard（AES）は、ハイレベルなセキュリティを実現する対称暗号アルゴリズムであり、さまざまなキー サイズを受け入れることができます。

Cisco TrustSec FC リンク暗号化機能は、セキュリティ暗号用に 128 ビットの AES をサポートし、インターフェイスに AES-GCM または AES-GMAC のいずれかをイネーブルにします。AES-GCM モードではフレームの暗号化と認証が可能であり、AES-GMAC では 2 つのピア間で送受信されるフレームの認証だけが可能です。

Cisco TrustSec FC リンク暗号化の概要

Cisco TrustSec FC リンク暗号化は、Fibre Channel-Security Protocol（FC-SP）の拡張機能であり、FC-SPトランザクションの整合性と機密保持を実現します。

Advanced Encryption Standard（AES）は、ハイレベルなリンク レベル セキュリティを提供する対称暗号アルゴリズムです。Cisco TrustSec FC リンク暗号化は、128 ビットと 256 ビットの両方のキー サイズをサポートします。また、ピア間のデータフレームの認証と暗号化のためのガロアカウンタモード（GCM）と、ピア間の暗号化されていないデータフレームの認証のためのガロアメッセージ認証モード（GMAC）もサポートします。

Diffie-Hellman（DH）Challenge Handshake Authentication Protocol（DHCHAP）プロトコルを使用したピア認証はサポートされています。各ピアは、チャレンジとハッシュ関数名を他のピアに送信します。他のピアは、これらのパラメータとピアに事前構成された秘密キーを使用して計算された応答を返します。応答で正しいキーが使用されている場合、レスポンダは認証されます。秘密キーがリンク上で送信されることはありません。秘密キーは、方向ごとに一意である必要があります。認証なしのピア接続もサポートされています。

ピアが認証されると、ファイバ チャネル セキュア アソシエーション管理プロトコルを使用してセキュアな通信が確立されます。このプロトコルは、FC SA 管理とファイバ チャンネル トラフィックの両方を暗号化するためにインターネット キー エクスチェンジ（IKE）を使用します。AES は、セキュリティ アソシエーションでサポートされる唯一の暗号化アルゴリズムです。

Cisco MDS NX-OS リリース 9.4（3）以降、デフォルト グローバル最大暗号化キー サイズは、スーパーバイザ Module-4 および 64Gbps ファブリック スイッチで 256 ビットに増加しました。その他のデバイスでは 128 ビットキーのみがサポートされます。次の表に、各プラットフォームおよびモジュール タイプの暗号化サポートを示します。

Cisco MDS NX-OS リリース 9.4(4) 以降、SNMP のデフォルト グローバル最大暗号化キー サイズは 256 ビットに増加しました。ただし、デフォルトのプライバシー暗号化アルゴリズムは AES -128 のままです。DES プライバシー暗号化アルゴリズムは引き続きサポートされます。詳細については、「SNMP の構成」を参照してください。

Table 1. SA 暗号化のサポート

プラットフォーム

AES-128

AES-256

Cisco MDS 9148V 64 Gbps 48 ポート ファイバ チャネル

はい

はい

Cisco MDS 9396V 64-Gbps 96 ポート ファイバ チャネル

はい

はい

Cisco MDS 9124V 64-Gbps 24 ポート ファイバ チャネル

はい

はい

MDS 9700 64 Gbps モジュール

はい

はい

Cisco MDS 9700 シリーズ スーパーバイザ 4 モジュール

はい

はい

Cisco MDS 9148S 16G マルチレイヤ ファブリック スイッチ

はい

非対応

Cisco MDS 9148T 32-Gbps 48 ポート ファイバチャネル スイッチ

はい

非対応

Cisco MDS 9220i 32-Gbps マルチサービス ファブリック スイッチ

はい

非対応

Cisco MDS 9396S 16G マルチレイヤ ファブリック スイッチ

はい

非対応

Cisco MDS 9396T 32 Gbps 96 ポート ファイバチャネル スイッチ

はい

非対応

MDS 9700 16 Gbps モジュール

はい

非対応

MDS 9700 32 Gbps モジュール

はい

非対応

Cisco MDS 9700 シリーズ スーパーバイザ 1 モジュール

はい

非対応

Cisco MDS 9000 24/10 ポート SAN 拡張モジュール

はい

非対応

グローバル最大暗号化キーサイズの 128 ビットから 256 ビットへの増加の詳細については、 「セキュリティ アソシエーション パラメータの作成」を参照してください。


Note
Cisco TrustSec FC リンク暗号化は、Cisco MDS スイッチ間に限りサポートされています。

この機能は、カプセル化セキュリティ ペイロード（ESP）プロトコルをサポートしていないソフトウェア バージョンにダウングレードするとサポートされなくなります。

このセクションは、次のトピックで構成されています。

サポートされているモジュール

Cisco TrustSec FC リンク暗号化のサポートは、次のモジュールおよびスイッチの特定のポートでのみ使用できます。

Table 2. モジュールおよびスイッチによる Cisco TrustSec FC リンク暗号化ポートのサポート
モデル 説明 Cisco TrustSec 対応ポート 暗号化キー長（Encryption Key Length）
DS-X9748- 3072K9 64 Gbps ファイバチャネル スイッチング モジュール 9、11、13、15、25、27、29、31 AES 256 ビット
DS X9648-1536K9 32 Gbps ファイバ チャネル スイッチング モジュール 9-12、25-28、41-44 AES 128 ビット
DS X9448-768K9 16 Gbps ファイバ チャネル スイッチング モジュール すべての FC ポート AES 128 ビット
DS-X9334-K9 24/10 ポート SAN 拡張モジュール すべての FC ポート AES 128 ビット
DS-C9132T-K9 MDS 9132T ファブリック スイッチ 9-12、25-28 AES 128 ビット
DS-C9148T-K9 MDS 9148T ファブリック スイッチ 9-12、25-28、41-44 AES 128 ビット
DS-C9396T-K9 MDS 9396T ファブリック スイッチ

9-12、25-28、41-44

57-60、73-76、89-92

 AES 128 ビット
DS-C9220I-K9 MDS 9396i 32 Gbps 12 ポート ファイバ チャネル ファブリック スイッチ 9 ～ 12 AES 128 ビット
DS-C9124V- 24PEVK9 MDS 9124V 64 Gbps 24 ポート ファイバ チャネル ファイバ スイッチ 9 ～ 12 AES 256 ビット
DS-C9148V- 48PETK9 MDS 9148V 64 Gbps 48 ポート ファイバ チャネル ファイバ スイッチ 9-12、33-36 AES 256 ビット
DS-C9396V-K9 64 Gbps 96 ポート ファイバ チャネル スイッチ 1-4、25-28、57-60、81-84 AES 256 ビット

Cisco TrustSec FC リンク暗号化の構成

この項では、Cisco MDS 9000 シリーズ スイッチ上に TrustSec FC リンク暗号化を構成する作業を示します。

Cisco TrustSec FC リンク暗号化のイネーブル化

Cisco MDS 9000 ファミリのすべてのスイッチの FC-SP 機能と Cisco TrustSec FC リンク暗号化機能は、デフォルトでディセーブルになります。

ファブリック認証および暗号化用のコンフィギュレーション コマンドおよび確認コマンドにアクセスするには、FC-SP 機能をイネーブルにする必要があります。この機能をディセーブルにすると、関連するすべての設定が自動的に廃棄されます。

Cisco TrustSec FC リンク暗号化機能を構成するには、ENTERPRISE_PKG ライセンスが必要です（Advantage または、Premier 階層）。詳細については、『Cisco MDS 9000 Family NX-OS Licensing Guide』を参照してください。

Cisco TrustSec FCリンク暗号化を構成する前に、ピア認証がイネーブルになっていることを確認します。詳細については、「FC-SP および DHCHAP の構成」を参照してください。

Cisco MDS スイッチの FC-SP 暗号をイネーブルにする手順は、次のとおりです：

Procedure

Step 1

switch# configure terminal

構成モードに入ります。

Step 2

switch(config)# feature fcsp

FC-SP 機能をイネーブルにします。

Step 3

switch(config)# no feature fcsp

（オプション）このスイッチの FC-SP 機能を無効にします。

セキュリティ アソシエーションの構成

スイッチ間で暗号化を実行するには、セキュリティ アソシエーション（SA）を構成する必要があります。SA を暗号化が行われる前に手動で構成できます。スイッチには、最大 2000 の SA を構成できます。


Note
Cisco TrustSec FC リンク暗号化は、DHCHAP 認証だけをサポートし、認証モードはサポートしません。

SA を構成する手順は、次のとおりです：

Procedure

Step 1

switch# configure terminal

構成モードに入ります。

Step 2

switch(config)# fcsp esp sa spi_number

SA を構成するための SA サブモードを開始します。spi_number の範囲は 256 ～ 65536 です。

Step 3

switch(config)# no fcsp esp sa spi_number

（オプション）SA を削除します。指定した SA が現在インターフェイスに構成されている場合、このコマンドは SA が使用中であることを伝えるエラーを返します。

セキュリティ アソシエーション パラメータの構成

SA キーと salt パラメータを設定する手順は、次のとおりです：

Procedure

Step 1

switch# configure terminal

構成モードに入ります。

Step 2

switch(config)# fcsp esp sa spi_number

SA を構成するための SA サブモードを開始します。spi_number の範囲は 256 ～ 65536 です。

Step 3

switch(config-sa)# key key

SA のキーを構成します。0xのプレフィックスが付いた 16 進文字列としての暗号化キーを挿入します。encryption AES key コマンドによって制限される最大サイズ。

Step 4

switch(config-sa)# no key key

（オプション）SA からキーを削除します。

Step 5

switch(config-sa)# salt salt

SA の salt を構成します。有効な範囲は 0x0 ～ 0xffffffff です。

Step 6

switch(config-sa)# no salt salt

（オプション）SA の salt が削除されます。

Step 7

switch(config-sa)# encryption aes

（任意）SA の暗号化タイプを構成します。暗号化タイプは aes-128 または aes-256です。

この手順は、Cisco MDS NX-OS リリース 9.4（3）リリースから適用されます。

Note

 

暗号化タイプを 256 ビットから 128 ビットに変更すると、キーは 0 にリセットされます。暗号化タイプの更新後、キーの値を再入力する必要があります。

ESP の構成

このセクションは、次のトピックで構成されています。

インターフェイスの ESP の構成

SA が作成されると、インターフェイスにカプセル化セキュリティ プロトコル（ESP）を構成する必要があります。これにより、ネットワーク ピア間でパケットを暗号化および復号化する出力 SA と入力 SA を指定できます。出力 SA はどのキーまたはパラメータがインターフェイスを通してピアに送信されるパケットの暗号化に使用されるかを指定します。入力 SA はどのキーまたはパラメータがインターフェイスを通してピアから受信されるパケットの復号化に使用されるかを指定します。

セキュリティを最大限に高めるには、入力トラフィックと出力トラフィックにそれぞれ一意のキーを持つ異なる SA を使用します。この方法により、攻撃者が一方向でキーを破損し、送信されたすべてのフレームにアクセスした場合、もう一方の方向のトラフィックは引き続きセキュアです。

インターフェイスが ESP をサポートしているかどうかを確認するには、 slot module number show hardware internal fcmac drv-info コマンドを使用します。

次の例では、ASICINTF はESPサポートを示すハードウェア ポート番号を表しています。値が 0、1、2、または 3 の場合、対応するポートでは ESP がサポートされています。

switch# slot 1 show hardware internal fcmac drv-info
.
.
.
+-----+-----+----------+--------+--------------+----+-----+----+-------+------+
| PORT| ASIC| ASICINTF|BASE(0x)|DEV-OFFSET(0x)|LoPG|PhyPG|Port|SER(0x)|MLD(0x)|
+-----+-----+----------+--------+--------------+----+-----+----+-------+------+
|  1  | 0   |11        |f8818000  | 20ce8c0000   |  2 |  0  | 11 | 2e | 2f |
|  2  | 0   |10        |f8810000  | 20ce880000   |  2 |  0  | 10 | 2d | 2f |
|  3  | 0   | 9        |f8808000  | 20ce840000   |  2 |  0  |  9 | 2c | 2f |
|  4  | 0   | 8        |f8800000  | 20ce800000   |  2 |  0  |  8 | 2b | 2f |
|  5  | 0   |15        |f8838000  | 20ce9c0000   |  3 |  0  | 15 | 33 | 34 |
|  6  | 0   |14        |f8830000  | 20ce980000   |  3 |  0  | 14 | 32 | 34 |
|  7  | 0   |13        |f8828000  | 20ce940000   |  3 |  0  | 13 | 31 | 34 |
|  8  | 0   |12        |f8820000  | 20ce900000   |  3 |  0  | 12 | 30 | 34 |
|  9  | 0   | 3        |f87d8000  | 20ce4c0000   |  0 |  0  |  3 | 38 | 39 |
| 10  | 0   | 2        |f87d0000  | 20ce480000   |  0 |  0  |  2 | 37 | 39 |
| 11  | 0   | 1        |f87c8000  | 20ce440000   |  0 |  0  |  1 | 36 | 39 |
| 12  | 0   | 0        |f87c0000  | 20ce400000   |  0 |  0  |  0 | 35 | 39 |
| 13  | 0   | 7        |f87f8000  | 20ce5c0000   |  1 |  0  |  7 | 3d | 3e |
| 14  | 0   | 6        |f87f0000  | 20ce580000   |  1 |  0  |  6 | 3c | 3e |
| 15  | 0   | 5        |f87e8000  | 20ce540000   |  1 |  0  |  5 | 3b | 3e |
| 16  | 0   | 4        |f87e0000  | 20ce500000   |  1 |  0  |  4 | 3a | 3e |
| 17  | 1   |11        |f88d0000  | 20d48c0000   |  2 |  0  | 11 | 2e | 2f |
| 18  | 1   |10        |f88c8000  | 20d4880000   |  2 |  0  | 10 | 2d | 2f |
| 19  | 1   | 9        |f88c0000  | 20d4840000   |  2 |  0  |  9 | 2c | 2f |
| 20  | 1   | 8        |f88b8000  | 20d4800000   |  2 |  0  |  8 | 2b | 2f |
| 21  | 1   |15        |f88f0000  | 20d49c0000   |  3 |  0  | 15 | 33 | 34 |
| 22  | 1   |14        |f88e8000  | 20d4980000   |  3 |  0  | 14 | 32 | 34 |
| 23  | 1   |13        |f88e0000  | 20d4940000   |  3 |  0  | 13 | 31 | 34 |
| 24  | 1   |12        |f88d8000  | 20d4900000   |  3 |  0  | 12 | 30 | 34 |
| 25  | 1   | 3        |f8890000  | 20d44c0000   |  0 |  0  |  3 | 38 | 39 |
| 26  | 1   | 2        |f8888000  | 20d4480000   |  0 |  0  |  2 | 37 | 39 |
| 27  | 1   | 1        |f8880000  | 20d4440000   |  0 |  0  |  1 | 36 | 39 |
| 28  | 1   | 0        |f8878000  | 20d4400000   |  0 |  0  |  0 | 35 | 39 |
| 29  | 1   | 7        |f88b0000  | 20d45c0000   |  1 |  0  |  7 | 3d | 3e |
| 30  | 1   | 6        |f88a8000  | 20d4580000   |  1 |  0  |  6 | 3c | 3e |
| 31  | 1   | 5        |f88a0000  | 20d4540000   |  1 |  0  |  5 | 3b | 3e |
| 32  | 1   | 4        |f8898000  | 20d4500000   |  1 |  0  |  4 | 3a | 3e |
| 33  | 2   |11        |f8988000  | 20d68c0000   |  2 |  0  | 11 | 2e | 2f |
| 34  | 2   |10        |f8980000  | 20d6880000   |  2 |  0  | 10 | 2d | 2f |
| 35  | 2   | 9        |f8978000  | 20d6840000   |  2 |  0  |  9 | 2c | 2f |
| 36  | 2   | 8        |f8970000  | 20d6800000   |  2 |  0  |  8 | 2b | 2f |
| 37  | 2   |15        |f89a8000  | 20d69c0000   |  3 |  0  | 15 | 33 | 34 |
| 38  | 2   |14        |f89a0000  | 20d6980000   |  3 |  0  | 14 | 32 | 34 |
| 39  | 2   |13        |f8998000  | 20d6940000   |  3 |  0  | 13 | 31 | 34 |
| 40  | 2   |12        |f8990000  | 20d6900000   |  3 |  0  | 12 | 30 | 34 |
| 41  | 2   | 3        |f8948000  | 20d64c0000   |  0 |  0  |  3 | 38 | 39 |
| 42  | 2   | 2        |f8940000  | 20d6480000   |  0 |  0  |  2 | 37 | 39 |
| 43  | 2   | 1        |f8938000  | 20d6440000   |  0 |  0  |  1 | 36 | 39 |
| 44  | 2   | 0        |f8930000  | 20d6400000   |  0 |  0  |  0 | 35 | 39 |
| 45  | 2   | 7        |f8968000  | 20d65c0000   |  1 |  0  |  7 | 3d | 3e |
| 46  | 2   | 6        |f8960000  | 20d6580000   |  1 |  0  |  6 | 3c | 3e |
| 47  | 2   | 5        |f8958000  | 20d6540000   |  1 |  0  |  5 | 3b | 3e |
| 48  | 2   | 4        |f8950000  | 20d6500000   |  1 |  0  |  4 | 3a | 3e |
+-----+-----+----------+--------+--------------+----+-----+----+-------+------+
.
.
.

この項では、次のトピックについて取り上げます。

入力トラフィックの ESP の構成

ESPは、E または、自動ポートモード内のインターフェイスでのみ構成することができます。

インターフェイスで入力 SA を構成するには、次の手順に従ってください：

Procedure

Step 1

switch# configure terminal

コンフィギュレーション モードを開始します。

Step 2

switch(config)# interface fc x/y

スロット x のポート y に FC インターフェイスを構成します。

Note

 
ポート チャネルを選択すると、ポート チャネルのすべてのメンバの構成が適用されます。

Step 3

switch(config-if)# shutdown

シャットダウンするインターフェイスを設定します。インターフェイスは、SA を適用するには、このモードにする必要があります。

Step 4

switch(config-if)# switchport mode auto

自動検出または、E ポートにインターフェイス タイプを設定します。ESP は、この二つのモードでのみサポートされています。

Step 5

switch(config-if)# fcsp on

インターフェイス FC-SP モードをいつも On に設定します。手動 SA 構成は、インターフェイス FC-SP モードがいつも On の場合にのみ許可されています。

Step 6

switch(config-if)# fcsp esp manual

ESP 構成サブモードを開始します。

Step 7

switch(config-if-esp)# ingress-sa spi_number

入力インターフェイスに SA を構成します。SA キー サイズがインターフェイス ハードウェアにサポートされていない場合、SA は、承認されません。

Step 8

switch (config-if-esp)# no ingress-sa spi_number

（オプション）入力インターフェイスから SA を削除します。SA が入力ポートで構成されていない場合、このコマンドを実行すると、エラー メッセージが返されます。

Step 9

switch(config)# no shutdown

（任意）インターフェイスを有効にします。
出力トラフィックの ESP の構成

ESPは、E または、自動ポートモード内のインターフェイスでのみ構成することができます。

インターフェイスで出力 SA を構成するには、次の手順に従ってください：

Procedure

Step 1

switch# configure terminal

コンフィギュレーション モードを開始します。

Step 2

switch(config)# interface fc x/y

スロット x のポート y に FC インターフェイスを設定します。

Note

 
ポート チャネルを選択すると、ポート チャネルのすべてのメンバーに構成が適用されます。

Step 3

switch(config-if)# shutdown

シャットダウンするインターフェイスを設定します。インターフェイスは、SA を適用するには、このモードにする必要があります。

Step 4

switch(config-if)# switchport mode auto

自動検出または、E ポートにインターフェイス タイプを設定します。ESP は、この二つのモードでのみサポートされています。

Step 5

switch(config-if)# fcsp on

インターフェイス FC-SP モードをいつも On に設定します。手動 SA 構成は、インターフェイス FC-SP モードがいつも On の場合にのみ許可されています。

Step 6

switch(config-if)# fcsp esp manual

ESP コンフィギュレーション サブモードを開始します。

Step 7

switch(config-if-esp)# egress-sa spi_number

出力のインターフェイスに SA を構成します。SA キー サイズがインターフェイス ハードウェアにサポートされていない場合、SA は、承認されません。

Step 8

switch(config-if)# no fcsp esp manual

（オプション）入力と出力のインターフェイスから SA を削除します。SA が出力ポートで設定されていない場合、このコマンドを実行すると、エラー メッセージが返されます。

Step 9

switch(config)# no shutdown

（任意）インターフェイスを有効にします。

ESP モードの構成

GCM としてポートがメッセージ認証と暗号化を有効にする、または GMAC としてポートがメッセージ認証のみを有効にするように、ESP を構成します。

デフォルトの ESP モードは AES-GCM です。SA が入力インターフェイスまたは出力インターフェイスに接続された後にのみ、ESP モードを設定します。SA がインターフェイスに接続されているが、ESP がオフになっている場合、カプセル化は行われません。

この項では、次のトピックについて取り上げます。

AES-GCM の設定

AES-GCM モードを構成するには、次の手順を実行します：

Procedure

Step 1

switch# configure terminal

コンフィギュレーション モードを開始します。

Step 2

switch(config)# interface fc x/y

スロット x のポート y に FC インターフェイスを構成します。

Note

 
ポート チャネルを選択すると、ポート チャネルのすべてのメンバの構成が適用されます。

Step 3

switch(config-if)# fcsp on

インターフェイス FC-SP モードをいつも On に設定します。手動 SA 構成は、インターフェイス FC-SP モードがいつも On の場合にのみ許可されています。

Step 4

switch(config-if)# fcsp esp manual

インターフェイスの ESP を構成するために ESP 構成サブモードを開始します。

Step 5

switch(config-if-esp)# mode gcm

インターフェイスの GCM モードを設定します。

AES-GMAC の構成

AES-GMAC モードを構成するには、次の手順を実行します：


Note

選択した ISL がイネーブルであれば、既存の ESP 設定を変更できます。ただし、ESP モードを変更するには、インターフェイスの構成後に変更を適用するとシームレスではないため、常にインターフェイス フラップが必要です。
Procedure

Step 1

switch# configure terminal

コンフィギュレーション モードを開始します。

Step 2

switch(config)# interface fc x/y

スロット x のポート y に FC インターフェイスを設定します。

Note

 
ポート チャネルを選択すると、ポート チャネルのすべてのメンバーに構成が適用されます。

Step 3

switch(config-if)# fcsp on

インターフェイス FC-SP モードをいつも On に設定します。手動 SA 構成は、インターフェイス FC-SP モードがいつも On の場合にのみ許可されています。

Step 4

switch(config-if)# fcsp esp manual

インターフェイスの ESP を構成するために ESP 構成サブモードを開始します。

Step 5

switch(config-if-esp)# mode gmac

インターフェイスの GMAC モードを設定します。

Step 6

switch(config-if-esp)# no mode gmac

（オプション）GMAC モードをインターフェイスから削除し、デフォルトの AES-GCM モードを適用します。

Cisco TrustSec FC リンク暗号化情報の表示

この項では、次のトピックについて取り上げます。

インターフェイス FC-SP の情報の表示

show fcsp interface コマンドを使用して、特定のインターフェイスのすべての FC-SP 関連情報を表示します。 

switch# show fcsp interface fc7/41

fc7/41:
  fcsp authentication mode:SEC_MODE_OFF  // FC-SP authentication is turned off for this interface.
  ESP is enabled                        // Encapsulating Security Payload (ESP) is active, providing data integrity and confidentiality.
  configured mode is: GCM              // The mode configured for ESP is Galois/Counter Mode (GCM), which is a mode of operation for cryptographic algorithms.
  programmed ingress SA:303            // Security Association (SA) for incoming traffic is set to 303, defining the parameters for secure communication.
  programmed egress SA: 300            // Security Association for outgoing traffic is set to 300.
  Status:FC-SP protocol in progress    // The FC-SP protocol is currently active, indicating ongoing security processes.

FC-SP 構成の表示

すべての FC-SP 構成を表示するには、 show running-config fcsp コマンドを使用します。ESP および構成されたインターフェイスに関するすべての詳細が表示されます。このコマンドを使用して、FC-SP を使用しているインターフェイスと、使用している SA を特定します。 

switch# show running-config fcsp

version 9.4(3)
feature fcsp
fcsp dhchap password 7 fewhg@123
fcsp esp sa 257
  encryption aes-128
  key 0x59D80A0EF24E0B7B886A7AE26AE368E1
  salt 0xE3417D89
fcsp esp sa 258
  encryption aes-128
  key 0x8DB0AEC6A5B0CA31C8798E33696101CB
  salt 0x73C2
fcsp esp sa 335
  encryption aes-256
  key 0x59D80A0EF24E0B7B886A7AE26AE368E059D80A0EF24E0B7B886A7AE26AE368E1
  salt 0xE3417D89
interface port-channel241
  fcsp on
  fcsp esp manual
    ingress-sa 257
    egress-sa 258

interface fc1/1
  fcsp on

interface fc1/4
  fcsp on

interface fc1/26
  fcsp on

interface fc1/60
  fcsp on
  fcsp esp manual
    ingress-sa 257
    egress-sa 258

FC-SP インターフェイス統計情報の表示

インターフェイスに対し DHCHAP と ESP に関連するすべての統計情報を表示するには、show fcsp interface statistics コマンドを使用します。表示される ESP 統計情報は、インターフェイス ハードウェアの機能によって異なります。 

switch# show fcsp interface fc3/31 statistics
 
fc7/41:
fcsp authentication mode:SEC_MODE_ON
ESP is enabled
configured mode is: GMAC
programmed ingress SA: 256, 257
programmed egress SA: 256
Status:Successfully authenticated
Authenticated using local password database
Statistics:
FC-SP Authentication Succeeded:17
FC-SP Authentication Failed:3
FC-SP Authentication Bypassed:0
FC-SP ESP SPI Mismatched frames:0
FC-SP ESP Auth failed frames:0

Cisco TrustSec FC リンク暗号化のベスト プラクティス

ベスト プラクティスとは、Cisco TrustSec FC リンク暗号化を適切に動作させるための推奨手順です。

この項では、次のトピックについて取り上げます。

一般的なベスト プラクティス

ここでは、Cisco TrustSec FC リンク暗号化に関する一般的なベスト プラクティスを示します。

  • Cisco TrustSec FC リンク暗号化が MDS スイッチ間だけでイネーブルであることを確認します。この機能は、E ポートまたは ISL だけでサポートされており、MDS 以外のスイッチを使用している場合はエラーが発生します。

  • 接続にかかわるピアの設定が同一であることを確認します。構成に相違があると、「port re-init limit exceeded」というエラー メッセージが表示されます。

  • スイッチ インターフェイスの入力および出力ハードウェアに SA を適用する前に、インターフェイスが管理上シャットダウンしてあることを確認します。

キーの変更に関するベスト プラクティス

入力および出力ポートに SA を適用した後は、キーの設定を定期的に変更してください。暗号化キーの使用期間を制限することで、不正アクセスや潜在的なセキュリティ侵害から保護します。トラフィックの中断を避けるには、キーを順番に変更する必要があります。

例として、2 つのスイッチ、Switch1 と Switch2 の間に作成されたセキュリティ アソシエーションについて考えます。SA は、次の例に示すように、入力および出力ポートに設定されます。 

switch# configure terminal
switch(config)# interface fc1/1
switch(config-if)# fcsp esp manual
switch(config-if)# ingress-sa 256
switch(config-if)# egress-sa 256

これらのスイッチのキーを変更するには、次の手順を実行します。

Procedure

Step 1

Switch1 と Switch2 に新しい SA を追加します。 

switch# configure terminal
switch(config)# fcsp esp sa 257
switch(config-sa)# key 0xAC9EF8BC8DB2DBD2008D184F794E0C38
switch(config-sa)# salt 0x1234

Step 2

Switch1 に入力 SA を設定します。 

switch# configure terminal
switch(config)# interface fc1/1
switch(config-if)# fcsp esp manual
switch(config-if)# ingress-sa 257

Step 3

Switch2 に入出力 SA を設定します。 

switch# configure terminal
switch(config)# interface fc1/1
switch(config-if)# fcsp esp manual
switch(config-if)# ingress-sa 257
switch(config-if)# egress-sa 257

Step 4

Switch1 に出力 SA を設定します。 

switch# configure terminal
switch(config)# interface fc1/1
switch(config-if)# fcsp esp manual
switch(config-if)# egress-sa 257

Step 5

両方のスイッチから以前に設定された入力 SA を削除します。 

switch# configure terminal
switch(config)# interface fc1/1
switch(config-if)# fcsp esp manual
switch(config-if)# no ingress-sa 256