次の注意事項と制約事項に従って MACSec を設定します。

• Fex ポートは MACsec ではサポートされていません。

• ポッド レベルでは、必須セキュア モードはサポートされていません。

• 「デフォルト」名の MACsec ポリシーはサポートされていません。

• 自動キー生成はファブリック ポートのポッド レベルでのみサポートされます。

• MACSEC はリモート リーフではサポートされていません。

• そのノードのファブリック ポートが [必須セキュア] モードの MACsec で実行されている場合、ノードの再起動をクリアしないでください。

• MACsec を実行しているポッド内のノードのポッドまたはステートレス再起動に新しいノードを追加することで、ノードがポッドに参加するために [必須セキュア] モードを [should-secure] モードに変更する必要があります。

• ファブリッ のリンクが [should-secure] モードの場合、アップグレー/ダウングレードのみを開始する必要があります。アップグレード/ダウン グレードが完了すると、次にモードを [必須セキュア] に変更できます。[必須セキュア] モードでのアップグレード/ダウングレードは、ノードからファブリックへの接続が失われます。接続の遮断から回復するには、APIC に表示されるノードのファブリック リンクを [should-secure] モードに設定する必要があります。ファブリックが MACsec をサポートしていないバージョンにダウングレードされた場合、ファブリック外のノードが クリーン リブートされる必要があります。

• PC/VPC インターフェイスでは、PC/VPC インターフェイスごとのポリシー グループによって MACsec を展開できます。ポート セレクタは、特定のポートのセットにポリシーを展開するために使用されます。したがって、L3Out インターフェイスに対応する正しいポート セレクタを作成することはユーザの責任です。

• 設定がエクスポートされる前に、MACsec ポリシーを [should-secure] モードに設定することをお勧めします。

• スパイン上のすべてのリンクは、ファブリック リンクと見なされます。ただし、スパイン リンクの IPN 接続を使用するとアクセス リンクとして次のリンクが処理されます。これは、MACsec アクセス ポリシーを次のリンクの MACsec を導入するために使用する必要があることを意味します。

• MACSEC セッションは、フォームに分をかかるまたは空のキーチェーンに新しいキーが追加されるか、アクティブ キーがキーチェーンから削除切断する可能性があります。

must-secure モードの展開

不正な導入手順に設定されているポリシーの 必須 secure モードが接続の消失で発生することができます。そのような問題を避けるため次の手順に従う必要があります。

• MACsec [必須セキュア] モードを有効にする前に、各リンク ペアがそれぞれのキーチェーンを持っていることを確認する必要があります。これを確認するために推奨されることは、[should-secure] モードでポリシーを展開し、MACsec セッションが予想されるリンク上でアクティブになったら、モードを [必須セキュア] に変更することです。

• [必須セキュア] に設定されている MACsec ポリシーでキーチェーンの交換を試行すると、リンクがダウンする原因となる可能性があります。この場合、以下の推奨手順に従う必要があります。

  • 新しいキーチェーンを使用している MACsec ポリシーを [should-secure] モードに変更します。

  • 影響を受けるインターフェイスが [should-secure] モードを使用しているか確認します。

  • 新しいキーチェーンを使用するように MACsec ポリシーを更新します。

  • アクティブな MACsec セッションと関連するインターフェイスが新しいキーチェーンを使用していることを確認します。

  • MACsec ポリシーを [必須セキュア] モードに変更します。

• [必須セキュア] モードに展開されている MACsec ポリシーを無効/削除するには、次の手順に従う必要があります。

  • MACsec ポリシーを [should-secure] に変更します。

  • 影響を受けるインターフェイスが [should-secure] モードを使用しているか確認します。

  • MACsec ポリシーを無効/削除します。

キーチェーンの定義

• 開始時刻が [現在] のキーチェーンに 1 個のキーが存在します。must-secure がすぐにアクティブになるキーを持たないキーチェーンで展開される場合、キーが現在時刻になり MACsec セッションが開始されるまでトラフィックはリンク上でブロックされます。should-secure モードが使用されている場合、キーが現在になり、MACsec セッションが開始されるまでトラフィックが暗号化されます。

• 終了時刻が infinite のキーチェーンに 1 個のキーが存在する必要があります。キーチェーンの期限が切れると、must-secure モードに設定されている影響を受けるインターフェイスでトラフィックがブロックされます。設定されたインターフェイス はセキュア モード暗号化されていないトラフィック送信します。

• 終了時刻のオーバー ラップし、キーの間に移行すると、MACsec セッションを順番に使用されるキーの開始時刻が残っています。

MACsec ファブリック ポリシーをファブリックのすべてのポッドに適用します。

例：

<fabricInst>
	<macsecFabPolCont>
        <macsecFabParamPol name="fabricParam1"  secPolicy="should-secure" replayWindow="120" >
        </macsecFabParamPol>
        <macsecKeyChainPol name="fabricKC1">
            <macsecKeyPol name="Key1" preSharedKey="0102030405060708090A0B0C0D0E0F100102030405060708090A0B0C0D0E0F10"  keyName="A1A2A3A0" startTime="now" endTime="infinite"/>
        </macsecKeyChainPol>    
    </macsecFabPolCont>
    
    <macsecFabIfPol name="fabricPodPol1" useAutoKeys="0">
        <macsecRsToParamPol tDn="uni/fabric/macsecpcontfab/fabparamp-fabricParam1"/>
        <macsecRsToKeyChainPol tDn="uni/fabric/macsecpcontfab/keychainp-fabricKC1"/>
    </macsecFabIfPol>      
	
    <fabricFuncP>
		<fabricPodPGrp name = "PodPG1">
			<fabricRsMacsecPol tnMacsecFabIfPolName="fabricPodPol1"/>
    	</fabricPodPGrp>
	</fabricFuncP>	
	
    <fabricPodP name="PodP1">
		<fabricPodS name="pod1" type="ALL">
			<fabricRsPodPGrp tDn="uni/fabric/funcprof/podpgrp-PodPG1"/>
    	</fabricPodS>
	</fabricPodP>	

</fabricInst>

リーフ 101 の eth1/4 上で MACsec アクセス ポリシーを適用します。

例：

<infraInfra>
	<macsecPolCont>
        <macsecParamPol name="accessParam1"  secPolicy="should-secure" replayWindow="120" >
        </macsecParamPol>
        <macsecKeyChainPol name="accessKC1">
            <macsecKeyPol name="Key1" preSharedKey="0102030405060708090A0B0C0D0E0F100102030405060708090A0B0C0D0E0F10"  keyName="A1A2A3A0" startTime="now" endTime="infinite"/>
        </macsecKeyChainPol>    
    </macsecPolCont>
    
    <macsecIfPol name="accessPol1">
        <macsecRsToParamPol tDn="uni/infra/macsecpcont/paramp-accessParam1"/>
        <macsecRsToKeyChainPol tDn="uni/infra/macsecpcont/keychainp-accessKC1"/>
    </macsecIfPol>      

    <infraFuncP>
		<infraAccPortGrp name = "LeTestPGrp">
			<infraRsMacsecIfPol tnMacsecIfPolName="accessPol1"/>
    	</infraAccPortGrp>
	</infraFuncP>
	
	<infraHPathS name="leaf">
		<infraRsHPathAtt tDn="topology/pod-1/paths-101/pathep-[eth1/4]" />
		<infraRsPathToAccBaseGrp tDn="uni/infra/funcprof/accportgrp-LeTestPGrp" />
	</infraHPathS>

</infraInfra>

リーフ 101 の Eth1/49 およびスパイン 102 の eth 5/1 上で MACsec ファブリック ポリシーを適用します。

<fabricInst>
	<macsecFabPolCont>
        <macsecFabParamPol name="fabricParam1"  secPolicy="should-secure" replayWindow="120" >
        </macsecFabParamPol>
        <macsecKeyChainPol name="fabricKC1">
            <macsecKeyPol name="Key1" preSharedKey="0102030405060708090A0B0C0D0E0F100102030405060708090A0B0C0D0E0F10"  keyName="A1A2A3A0" startTime="now" endTime="infinite"/>
        </macsecKeyChainPol>    
    </macsecFabPolCont>
    
    <macsecFabIfPol name="fabricPol1" useAutoKeys="0">
        <macsecRsToParamPol tDn="uni/fabric/macsecpcontfab/fabparamp-fabricParam1"/>
        <macsecRsToKeyChainPol tDn="uni/fabric/macsecpcontfab/keychainp-fabricKC1"/>
    </macsecFabIfPol>      

    <fabricFuncP>
		<fabricLePortPGrp name = "LeTestPGrp">
			<fabricRsMacsecFabIfPol tnMacsecFabIfPolName="fabricPol1"/>
    	</fabricLePortPGrp>
	
		<fabricSpPortPGrp name = "SpTestPGrp">
			<fabricRsMacsecFabIfPol tnMacsecFabIfPolName="fabricPol1"/>        
    	</fabricSpPortPGrp>
	</fabricFuncP>
	
	<fabricLFPathS name="leaf">
		<fabricRsLFPathAtt tDn="topology/pod-1/paths-101/pathep-[eth1/49]" />
		<fabricRsPathToLePortPGrp tDn="uni/fabric/funcprof/leportgrp-LeTestPGrp" />
	</fabricLFPathS>
	
	<fabricSpPortP name="spine_profile">
		<fabricSFPortS name="spineIf" type="range">
			<fabricPortBlk name="spBlk" fromCard="5" fromPort="1" toCard="5" toPort="1" />
			<fabricRsSpPortPGrp tDn="uni/fabric/funcprof/spportgrp-SpTestPGrp" />
		</fabricSFPortS>
	</fabricSpPortP>
	
	<fabricSpineP name="SpNode" >
		<fabricRsSpPortP tDn="uni/fabric/spportp-spine_profile" />
		<fabricSpineS name="spsw" type="range">
			<fabricNodeBlk name="node102" to_="102" from_="102" />
		</fabricSpineS>
	</fabricSpineP>
</fabricInst>