この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
ご使用のソフトウェア リリースでは、このモジュールで説明されるすべての機能がサポートされているとは限りません。最新の機能情報および警告については、使用するプラットフォームおよびソフトウェア リリースの Bug Search Tool およびリリース ノートを参照してください。このモジュールに記載されている機能の詳細を検索し、各機能がサポートされているリリースのリストを確認する場合は、このモジュールの最後にある機能情報の表を参照してください。
プラットフォームのサポートおよびシスコ ソフトウェア イメージのサポートに関する情報を検索するには、Cisco Feature Navigator を使用します。Cisco Feature Navigator には、http://www.cisco.com/go/cfn からアクセスします。Cisco.com のアカウントは必要ありません。
この章では、Cisco Catalyst 3850 および 3650 スイッチで Media Access Control Security（MACsec）暗号化を設定する方法について説明します。
MACsec は 2 台の MACsec 対応デバイス間のパケットの認証と暗号化の IEEE 802.1AE 規格です。これらの Catalyst スイッチは、スイッチとホスト デバイス間の暗号化に、ダウンリンク ポートでの MACsec Key Agreement（MKA）による 802.1AE 暗号化をサポートします。また、スイッチは、Cisco TrustSec ネットワーク デバイス アドミッション コントロール（NDAC）、Security Association Protocol（SAP）および MKA ベースのキー交換プロトコルを使用して、スイッチ間（ネットワーク間デバイス）セキュリティの MACsec 暗号化をサポートします。リンク層セキュリティはスイッチ間のパケット認証とスイッチ間の MACsec 暗号化の両方を含みます（暗号化は任意です）。
 （注） |
MACsec は NPE ライセンスまたは LAN Base サービス イメージではサポートされません。 |
|
インターフェイス |
Connections |
MACsec のサポート |
|
ダウンリンク ポート |
スイッチからホストへ |
MACsec MKA の暗号化 |
|
アップリンク ポート |
スイッチからスイッチへ |
MACsec MKA の暗号化 Cisco TrustSec NDAC MACsec |
Cisco TrustSec と Cisco SAP はスイッチ間のリンクにのみ使用され、PC や IP フォンなどのエンド ホストに接続されたスイッチ ポートではサポートされません。MKA は、スイッチからホストへのリンク（ダウンリンク）とスイッチ間リンク（アップリンク）でサポートされます。ホスト側のリンクは、IEEE 802.1x の有無にかかわらず異種デバイスを扱うために、一般に柔軟な認証順序を使用し、オプションで MKA ベースの MACsec 暗号化を使用できます。Cisco NDAC および SAP は、コンパクトなスイッチがワイヤリング クローゼットの外側にセキュリティを拡張するために使用する、ネットワーク エッジ アクセス トポロジ（NEAT）と相互排他的です。
802.1AE で定義された MACsec では、暗号化キー入力のためにアウトオブバンド方式を使用することによって、有線ネットワーク上で MAC レイヤの暗号化を実現します。MACsec Key Agreement（MKA）プロトコルでは、必要なセッション キーを提供し、必要な暗号化キーを管理します。MKA と MACsec は、802.1x 拡張認証プロトコル（EAP-TLS）または事前共有キー（PSK）フレームワークを使用した認証に成功した後に実装されます。
MACsec を使用するスイッチでは、MKA ピアに関連付けられたポリシーに応じて、MACsec フレームまたは非 MACsec フレームを許可します。MACsec フレームは暗号化され、整合性チェック値（ICV）で保護されます。スイッチは MKA ピアからフレームを受信すると、MKA によって提供されたセッション キーを使用してこれらのフレームを暗号化し、正しい ICV を計算します。スイッチはこの ICV をフレーム内の ICV と比較します。一致しない場合は、フレームが破棄されます。また、スイッチは現在のセッション キーを使用して、ICV を暗号化し、セキュアなポート（セキュアな MAC サービスを MKA ピアに提供するために使用されるアクセス ポイント）を介して送信されたフレームに追加します。
MKA プロトコルは、基礎となる MACsec プロトコルで使用される暗号キーを管理します。MKA の基本的な要件は 802.1x-REV で定義されています。MKA プロトコルでは 802.1x を拡張し、相互認証の確認によってピアを検出し、MACsec 秘密キーを共有してピアで交換されるデータを保護できます。
EAP フレームワークでは、新しく定義された EAP-over-LAN（EAPOL）パケットとして MKA を実装します。EAP 認証では、データ交換で両方のパートナーで共有されるマスター セッション キー（MSK）を生成します。EAP セッション ID を入力すると、セキュアな接続アソシエーション キー名（CKN）が生成されます。スイッチは、アップリンクおよびダウンリンクの両方のオーセンティケータとして機能します。また、ダウンリンクのキー サーバとして機能します。これによってランダムなセキュア アソシエーション キー（SAK）が生成され、クライアント パートナーに送信されます。クライアントはキー サーバではなく、単一の MKA エンティティであるキー サーバとだけ対話できます。キーの派生と生成の後で、スイッチは定期的にトランスポートをパートナーに送信します。デフォルトの間隔は 2 秒間です。
EAPOL プロトコル データ ユニット（PDU）のパケット本体は、MACsec Key Agreement PDU（MKPDU）と呼ばれます。MKA セッションと参加者は、MKA ライフタイム（6 秒間）が経過しても参加者から MKPDU を受信していない場合に削除されます。たとえば、MKA ピアが接続を解除した場合、スイッチ上の参加者は MKA ピアから最後の MKPDU を受信した後、6 秒間が経過するまで MKA の動作を継続します。
インターフェイスで MKA を有効にするには、定義された MKA ポリシーをインターフェイスに適用する必要があります。次のオプションを設定可能です。
16 ASCII 文字未満のポリシー名。
物理インターフェイスごとの 0 バイト、30 バイト、または 50 バイトの機密保持（暗号化）オフセット。
仮想ポートは、1 つの物理ポート上の複数のセキュアな接続アソシエーションに使用します。各接続アソシエーション（ペア）は仮想ポートを表します。アップリンクでは、物理ポートごとに 1 つの仮想ポートのみを指定できます。ダウンリンクでは、物理ポートごとに最大 2 つの仮想ポートを指定でき、一方の仮想ポートはデータ VLAN の一部にできます。もう一方は音声 VLAN に対してパケットを外部的にタグ付けする必要があります。同じポートで同じ VLAN 内のセキュアなセッションとセキュアでないセッションを同時にホストすることはできません。この制限のため、802.1x マルチ認証モードはサポートされません。
この制限の例外は、マルチホスト モードで最初の MACsec サプリカントが正常に認証され、スイッチに接続されたハブに接続される場合です。ハブに接続された非 MACsec ホストでは、マルチホスト モードであるため、認証なしでトラフィックを送信できます。最初にクライアントが成功した後、他のクライアントでは認証が必要ないため、マルチホスト モードの使用は推奨しません。
仮想ポートは、接続アソシエーションの任意の ID を表し、MKA プロトコル外では意味を持ちません。仮想ポートは個々の論理ポート ID に対応します。仮想ポートの有効なポート ID は 0x0002 ～ 0xFFFF です。各仮想ポートは、16 ビットのポート ID に連結された物理インターフェイスの MAC アドレスに基づいて、一意のセキュア チャネル ID（SCI）を受け取ります。
MACsec を実行している Catalyst 3850 スイッチ スタック マスターは、MACsec をサポートしているメンバー スイッチ上のポートを示すコンフィギュレーション ファイルを維持します。スタック マスターは、次に示す機能を実行します。
メンバー スイッチは、次の機能を実行します。
スタック マスターからの MACsec 初期化要求を処理します。
スタック マスターから送信された MACsec サービス要求を処理します。
スタック マスターにローカル ポートに関する情報を送信します。
MACsec と MKA プロトコルは、802.1x シングルホスト モード、マルチホスト モード、またはマルチドメイン認証（MDA）モードで使用できます。マルチ認証モードはサポートされません。
次の図に、MKA を使用して、MACsec で 1 つの EAP 認証済みセッションをセキュアにする方法を示します。
標準の（802.1x REV ではない）802.1x マルチホスト モードでは、1 つの認証に基づいてポートが開いているか、閉じられています。1 人のユーザ（プライマリ セキュア クライアント サービスのクライアント ホスト）が認証される場合は、同じポートに接続されているホストに同じレベルのネットワーク アクセスが提供されます。セカンダリ ホストが MACsec サプリカントの場合、認証できず、トラフィック フローは発生しません。非 MACsec ホストであるセカンダリ ホストは、マルチホスト モードであるため、認証なしでネットワークにトラフィックを送信できます。次の図に、標準のマルチホスト非セキュア モードにおける MACsec を示します。
（注） |
マルチホスト モードは推奨されていません。これは最初にクライアントが成功した後、他のクライアントでは認証が必要ないことから、安全性が低いためです。 |
標準の（802.1x REV ではない）802.1x マルチドメイン モードでは、1 つの認証に基づいてポートが開いているか、閉じられています。プライマリ ユーザ（データ ドメインの PC）が認証されると、同じレベルのネットワーク アクセスが同じポートに接続されているドメインに提供されます。セカンダリ ユーザが MACsec サプリカントの場合、認証できず、トラフィック フローは発生しません。非 MACsec ホストであるセカンダリ ユーザ（音声ドメインの IP フォン）は、マルチドメイン モードであるため、認証なしでネットワークにトラフィックを送信できます。
一部の MKA カウンタはグローバルに集約され、その他のカウンタはグローバルとセッション単位の両方で更新されます。また、MKA セッションのステータスに関する情報も取得できます。
次の例では、show mka statistics コマンドの出力を示します。
Switch# show mka sessions
Total MKA Sessions....... 1
Secured Sessions... 1
Pending Sessions... 0
====================================================================================================
Interface Local-TxSCI Policy-Name Inherited Key-Server
Port-ID Peer-RxSCI MACsec-Peers Status CKN
====================================================================================================
Gi1/0/1 204c.9e85.ede4/002b p2 NO YES
43 c800.8459.e764/002a 1 Secured 0100000000000000000000000000000000000000000000000000000000000000
Switch#show mka sessions interface G1/0/1
Summary of All Currently Active MKA Sessions on Interface GigabitEthernet1/0/1...
====================================================================================================
Interface Local-TxSCI Policy-Name Inherited Key-Server
Port-ID Peer-RxSCI MACsec-Peers Status CKN
====================================================================================================
Gi1/0/1 204c.9e85.ede4/002b p2 NO YES
43 c800.8459.e764/002a 1 Secured 0100000000000000000000000000000000000000000000000000000000000000
Switch#show mka sessions interface G1/0/1 de
MKA Detailed Status for MKA Session
===================================
Status: SECURED - Secured MKA Session with MACsec
Local Tx-SCI............. 204c.9e85.ede4/002b
Interface MAC Address.... 204c.9e85.ede4
MKA Port Identifier...... 43
Interface Name........... GigabitEthernet1/0/1
Audit Session ID.........
CAK Name (CKN)........... 0100000000000000000000000000000000000000000000000000000000000000
Member Identifier (MI)... D46CBEC05D5D67594543CEAE
Message Number (MN)...... 89567
EAP Role................. NA
Key Server............... YES
MKA Cipher Suite......... AES-128-CMAC
Latest SAK Status........ Rx & Tx
Latest SAK AN............ 0
Latest SAK KI (KN)....... D46CBEC05D5D67594543CEAE00000001 (1)
Old SAK Status........... FIRST-SAK
Old SAK AN............... 0
Old SAK KI (KN).......... FIRST-SAK (0)
SAK Transmit Wait Time... 0s (Not waiting for any peers to respond)
SAK Retire Time.......... 0s (No Old SAK to retire)
MKA Policy Name.......... p2
Key Server Priority...... 2
Delay Protection......... NO
Replay Protection........ YES
Replay Window Size....... 0
Confidentiality Offset... 0
Algorithm Agility........ 80C201
SAK Cipher Suite......... 0080C20001000001 (GCM-AES-128)
MACsec Capability........ 3 (MACsec Integrity, Confidentiality, & Offset)
MACsec Desired........... YES
# of MACsec Capable Live Peers............ 1
# of MACsec Capable Live Peers Responded.. 1
Live Peers List:
MI MN Rx-SCI (Peer) KS Priority
----------------------------------------------------------------------
38046BA37D7DA77E06D006A9 89555 c800.8459.e764/002a 10
Potential Peers List:
MI MN Rx-SCI (Peer) KS Priority
----------------------------------------------------------------------
Dormant Peers List:
MI MN Rx-SCI (Peer) KS Priority
----------------------------------------------------------------------
Switch#show mka sessions de
Switch#show mka sessions detail
MKA Detailed Status for MKA Session
===================================
Status: SECURED - Secured MKA Session with MACsec
Local Tx-SCI............. 204c.9e85.ede4/002b
Interface MAC Address.... 204c.9e85.ede4
MKA Port Identifier...... 43
Interface Name........... GigabitEthernet1/0/1
Audit Session ID.........
CAK Name (CKN)........... 0100000000000000000000000000000000000000000000000000000000000000
Member Identifier (MI)... D46CBEC05D5D67594543CEAE
Message Number (MN)...... 89572
EAP Role................. NA
Key Server............... YES
MKA Cipher Suite......... AES-128-CMAC
Latest SAK Status........ Rx & Tx
Latest SAK AN............ 0
Latest SAK KI (KN)....... D46CBEC05D5D67594543CEAE00000001 (1)
Old SAK Status........... FIRST-SAK
Old SAK AN............... 0
Old SAK KI (KN).......... FIRST-SAK (0)
SAK Transmit Wait Time... 0s (Not waiting for any peers to respond)
SAK Retire Time.......... 0s (No Old SAK to retire)
MKA Policy Name.......... p2
Key Server Priority...... 2
Delay Protection......... NO
Replay Protection........ YES
Replay Window Size....... 0
Confidentiality Offset... 0
Algorithm Agility........ 80C201
SAK Cipher Suite......... 0080C20001000001 (GCM-AES-128)
MACsec Capability........ 3 (MACsec Integrity, Confidentiality, & Offset)
MACsec Desired........... YES
# of MACsec Capable Live Peers............ 1
# of MACsec Capable Live Peers Responded.. 1
Live Peers List:
MI MN Rx-SCI (Peer) KS Priority
----------------------------------------------------------------------
38046BA37D7DA77E06D006A9 89560 c800.8459.e764/002a 10
Potential Peers List:
MI MN Rx-SCI (Peer) KS Priority
----------------------------------------------------------------------
Dormant Peers List:
MI MN Rx-SCI (Peer) KS Priority
----------------------------------------------------------------------
Switch#sh mka pol
MKA Policy Summary...
Policy KS Delay Replay Window Conf Cipher Interfaces
Name Priority Protect Protect Size Offset Suite(s) Applied
======================================================================================================
*DEFAULT POLICY* 0 FALSE TRUE 0 0 GCM-AES-128
p1 1 FALSE TRUE 0 0 GCM-AES-128
p2 2 FALSE TRUE 0 0 GCM-AES-128 Gi1/0/1
Switch#sh mka poli
Switch#sh mka policy p2
Switch#sh mka policy p2 ?
detail Detailed configuration/information for MKA Policy
sessions Summary of all active MKA Sessions with policy applied
| Output modifiers
<cr>
Switch#sh mka policy p2 de
MKA Policy Configuration ("p2")
========================
MKA Policy Name........ p2
Key Server Priority.... 2
Confidentiality Offset. 0
Cipher Suite(s)........ GCM-AES-128
Applied Interfaces...
GigabitEthernet1/0/1
Switch#sh mka policy p2
MKA Policy Summary...
Policy KS Delay Replay Window Conf Cipher Interfaces
Name Priority Protect Protect Size Offset Suite(s) Applied
======================================================================================================
p2 2 FALSE TRUE 0 0 GCM-AES-128 Gi1/0/1
Switch#sh mka se?
sessions
Switch#sh mka ?
default-policy MKA Default Policy details
keychains MKA Pre-Shared-Key Key-Chains
policy MKA Policy configuration information
presharedkeys MKA Preshared Keys
sessions MKA Sessions summary
statistics Global MKA statistics
summary MKA Sessions summary & global statistics
Switch#sh mka statis
Switch#sh mka statistics ?
interface Statistics for a MKA Session on an interface
local-sci Statistics for a MKA Session identified by its Local Tx-SCI
| Output modifiers
<cr>
Switch#sh mka statistics inter
Switch#show mka statistics interface G1/0/1
MKA Statistics for Session
==========================
Reauthentication Attempts.. 0
CA Statistics
Pairwise CAKs Derived... 0
Pairwise CAK Rekeys..... 0
Group CAKs Generated.... 0
Group CAKs Received..... 0
SA Statistics
SAKs Generated.......... 1
SAKs Rekeyed............ 0
SAKs Received........... 0
SAK Responses Received.. 1
MKPDU Statistics
MKPDUs Validated & Rx... 89585
"Distributed SAK".. 0
"Distributed CAK".. 0
MKPDUs Transmitted...... 89596
"Distributed SAK".. 1
"Distributed CAK".. 0
Switch#show mka ?
default-policy MKA Default Policy details
keychains MKA Pre-Shared-Key Key-Chains
policy MKA Policy configuration information
presharedkeys MKA Preshared Keys
sessions MKA Sessions summary
statistics Global MKA statistics
summary MKA Sessions summary & global statistics
Switch#show mka summ
Switch#show mka summary
Total MKA Sessions....... 1
Secured Sessions... 1
Pending Sessions... 0
====================================================================================================
Interface Local-TxSCI Policy-Name Inherited Key-Server
Port-ID Peer-RxSCI MACsec-Peers Status CKN
====================================================================================================
Gi1/0/1 204c.9e85.ede4/002b p2 NO YES
43 c800.8459.e764/002a 1 Secured 0100000000000000000000000000000000000000000000000000000000000000
MKA Global Statistics
=====================
MKA Session Totals
Secured.................... 1
Reauthentication Attempts.. 0
Deleted (Secured).......... 0
Keepalive Timeouts......... 0
CA Statistics
Pairwise CAKs Derived...... 0
Pairwise CAK Rekeys........ 0
Group CAKs Generated....... 0
Group CAKs Received........ 0
SA Statistics
SAKs Generated............. 1
SAKs Rekeyed............... 0
SAKs Received.............. 0
SAK Responses Received..... 1
MKPDU Statistics
MKPDUs Validated & Rx...... 89589
"Distributed SAK"..... 0
"Distributed CAK"..... 0
MKPDUs Transmitted......... 89600
"Distributed SAK"..... 1
"Distributed CAK"..... 0
MKA Error Counter Totals
========================
Session Failures
Bring-up Failures................ 0
Reauthentication Failures........ 0
Duplicate Auth-Mgr Handle........ 0
SAK Failures
SAK Generation................... 0
Hash Key Generation.............. 0
SAK Encryption/Wrap.............. 0
SAK Decryption/Unwrap............ 0
SAK Cipher Mismatch.............. 0
CA Failures
Group CAK Generation............. 0
Group CAK Encryption/Wrap........ 0
Group CAK Decryption/Unwrap...... 0
Pairwise CAK Derivation.......... 0
CKN Derivation................... 0
ICK Derivation................... 0
KEK Derivation................... 0
Invalid Peer MACsec Capability... 0
MACsec Failures
Rx SC Creation................... 0
Tx SC Creation................... 0
Rx SA Installation............... 0
Tx SA Installation............... 0
MKPDU Failures
MKPDU Tx......................... 0
MKPDU Rx Validation.............. 0
MKPDU Rx Bad Peer MN............. 0
MKPDU Rx Non-recent Peerlist MN.. 0
Switch#
MKA および MACsec の設定
MACsec はディセーブルです。MKA ポリシーは設定されていません。
| コマンドまたはアクション | 目的 | |||
|---|---|---|---|---|
| ステップ 1 |
configure terminal |
グローバル コンフィギュレーション モードを開始します。 |
||
| ステップ 2 |
mka policy policy name |
MKA ポリシーを指定し、MKA ポリシー コンフィギュレーション モードを開始します。ポリシー名の長さは最大で 16 文字です。
|
||
| ステップ 3 |
key-server priority |
MKA キー サーバ オプションを設定し、プライオリティを設定します（0 ～ 255 の間）。
|
||
| ステップ 4 |
macsec-cipher-suite gcm-aes-128 |
128 ビット暗号により SAK を取得するための暗号スイートを設定します。 |
||
| ステップ 5 |
confidentiality-offset Offset value |
各物理インターフェイスに機密性（暗号化）オフセットを設定します。
|
||
| ステップ 6 |
end |
|
||
| ステップ 7 |
show mka policy |
|
次に、MKA ポリシーを設定する例を示します。
Switch(config)# mka policy mka_policy
Switch(config-mka-policy)# key-server priority 200
Switch(config-mka-policy)# macsec-cipher-suite gcm-aes-128
Switch(config-mka-policy)# confidentiality-offset 30
Switch(config-mka-policy)# end | コマンドまたはアクション | 目的 | |
|---|---|---|
| ステップ 1 |
enable 例: |
特権 EXEC モードをイネーブルにします。プロンプトが表示されたら、パスワードを入力します。 |
| ステップ 2 |
configure terminal 例: |
グローバル コンフィギュレーション モードを開始します。 |
| ステップ 3 |
interface interface-id |
MACsec インターフェイスを指定し、インターフェイス コンフィギュレーション モードを開始します。インターフェイスは物理インターフェイスでなければなりません。 |
| ステップ 4 |
switchport access vlan vlan-id |
このポートのアクセス VLAN を設定します。 |
| ステップ 5 |
switchport mode access |
インターフェイスをアクセス ポートとして設定します。 |
| ステップ 6 |
macsec |
インターフェイスで 802.1ae MACsec をイネーブルにします。macsec コマンドを使用すると、スイッチからホストへのリンク（ダウンリンク ポート）でのみ MKA MACsec が有効になります。 |
| ステップ 7 |
authentication event linksec fail action authorize vlan vlan-id |
（任意）認証の試行に失敗した後で、ポート上の制限付き VLAN を許可することによって、ユーザ証明書が認識されない認証リンク セキュリティの問題をスイッチが処理することを指定します。 |
| ステップ 8 |
authentication host-mode multi-domain |
ホストと音声デバイスの両方が、802.1x で許可されたポート上で認証されるように、ポート上の認証マネージャ モードを設定します。設定されていない場合、デフォルトのホスト モードはシングルです。 |
| ステップ 9 |
authentication linksec policy must-secure |
LinkSec セキュリティ ポリシーを設定して、ピアを利用できる場合に、MACsec でセッションをセキュアにします。設定されていない場合、デフォルト値は should secure です。 |
| ステップ 10 |
authentication port-control auto |
ポート上で 802.1x 認証をイネーブルにします。スイッチとクライアント間の認証交換に基づいてポートが許可ステートまたは無許可ステートに変わります。 |
| ステップ 11 |
authentication periodic |
このポートの再認証を有効または無効にします。 |
| ステップ 12 |
authentication timer reauthenticate |
1 から 65535 までの値（秒）を入力します。サーバから再認証タイムアウト値を取得します。デフォルトの再認証時間は 3600 秒です。 |
| ステップ 13 |
authentication violation protect |
新しいデバイスがポートに接続された場合、または最大数のデバイスがポートに接続されたあとに新しいデバイスがそのポートに接続された場合に、予期しない着信 MAC アドレスを破棄するようポートを設定します。設定されていない場合、デフォルトではポートをシャット ダウンします。 |
| ステップ 14 |
mka policy policy name |
既存の MKA プロトコル ポリシーをインターフェイスに適用し、インターフェイス上で MKA をイネーブルにします。MKA ポリシーを設定しなかった場合（mka policy グローバル コンフィギュレーション コマンドを入力して）。 |
| ステップ 15 |
dot1x pae authenticator |
|
| ステップ 16 |
spanning-tree portfast |
関連するすべての VLAN 内の特定のインターフェイスで、スパニングツリー Port Fast をイネーブルにします。Port Fast 機能がイネーブルの場合、インターフェイスはブロッキング ステートからフォワーディング ステートに直接移行します。その際に、中間のスパニングツリー ステートは変わりません。 |
| ステップ 17 |
end 例: |
特権 EXEC モードに戻ります。 |
| ステップ 18 |
show authentication session interface interface-id |
|
| ステップ 19 |
show authentication session interface interface-id details |
|
| ステップ 20 |
show macsec interface interface-id |
インターフェイスの MacSec ステータスを確認します。 |
| ステップ 21 |
show mka sessions |
確立された mka セッションを確認します。 |
| ステップ 22 |
copy running-config startup-config 例: |
（任意）コンフィギュレーション ファイルに設定を保存します。 |
| コマンドまたはアクション | 目的 | |||
|---|---|---|---|---|
| ステップ 1 |
configure terminal |
グローバル コンフィギュレーション モードを開始します。 |
||
| ステップ 2 |
key chain key-chain-name macsec |
キー チェーンを設定して、キー チェーン コンフィギュレーション モードを開始します。 |
||
| ステップ 3 |
key hex-string |
キーチェーン内の各キーの固有識別子を設定し、キーチェーンのキー コンフィギュレーション モードを開始します。
|
||
| ステップ 4 |
cryptographic-algorithm {gcm-aes-128 | gcm-aes-256} |
128 ビットまたは 256 ビット暗号による暗号化認証アルゴリズムを設定します。 |
||
| ステップ 5 |
key-string { [0|6|7] pwd-string | pwd-string} |
キー文字列のパスワードを設定します。16 進数の文字のみを入力する必要があります。 |
||
| ステップ 6 |
lifetime local [start timestamp {hh::mm::ss | day | month | year}] [duration seconds | end timestamp {hh::mm::ss | day | month | year}] |
|
||
| ステップ 7 |
end |
|
Switch(config)# Key chain keychain1 macsec
Switch(config-key-chain)# key 1000
Switch(config-keychain-key)# cryptographic-algorithm gcm-aes-128
Switch(config-keychain-key)# key-string 12345678901234567890123456789012
Switch(config-keychain-key)# lifetime local 12:12:00 July 28 2016 12:19:00 July 28 2016
Switch(config-keychain-key)# end | コマンドまたはアクション | 目的 | |||
|---|---|---|---|---|
| ステップ 1 |
configure terminal |
グローバル コンフィギュレーション モードを開始します。 |
||
| ステップ 2 |
interface interface-id |
インターフェイス コンフィギュレーション モードを開始します。 |
||
| ステップ 3 |
mka policy policy-name |
MKA ポリシーを設定します。 |
||
| ステップ 4 |
mka pre-shared-key key-chain key-chain name |
MKA 事前共有キーのキー チェーン名を設定します。
|
||
| ステップ 5 |
macsec replay-protection window-size frame number |
リプレイ保護の MACsec ウィンドウ サイズを設定します。 |
||
| ステップ 6 |
end |
|
Switch(config)# interface GigabitEthernet 0/0/0
Switch(config-if)# mka policy mka_policy
Switch(config-if)# mka pre-shared-key key-chain key-chain-name
Switch(config-if)# macsec replay-protection window-size 10
Switch(config-if)# end Cisco IOS リリース 15.2(5)E 以降、MACsec MKA は、Cisco Catalyst 3850 および 3650 シリーズ スイッチのスイッチ間リンクでサポートされています。
Extensible Authentication Protocol（EAP-TLS）による IEE 802.1X ポートベース認証を使用して、デバイスのアップリンク ポート間で MACsec MKA を設定できます。EAP-TLS は相互認証を許可し、MSK（マスター セッション キー）を取得します。そのキーから、MKA 操作用の接続アソシエーション キー（CAK）が取得されます。デバイスの証明書は、AAA サーバへの認証用に、EAP-TLS を使用して伝送されます。
認証局（CA）サーバがネットワークに設定されていることを確認します。
CA 証明書を生成します。
Cisco Identity Services Engine（ISE）リリース 2.0 が設定されていることを確認します。
両方の参加デバイス（CA サーバと Cisco Identity Services Engine（ISE））が Network Time Protocol（NTP）を使用して同期されていることを確認します。時間がすべてのデバイスで同期されていないと、証明書は検証されません。
802.1x 認証と AAA がデバイスに設定されていることを確認します。
MKA は、ポート チャネルではサポートされていません。
MKA は、高可用性とローカル認証ではサポートされていません。
ポイントツーポイント リンクで MKA による MACsec を設定するには、次のタスクを実行します。
証明書登録の設定
キー ペアの生成
SCEP 登録の設定
証明書の手動設定
認証ポリシーの設定
EAP-TLS プロファイルおよび IEEE 802.1x クレデンシャルの設定
インターフェイスでの EAP-TLS を使用した MACsec MKA の設定
リモート認証
| コマンドまたはアクション | 目的 | |
|---|---|---|
| ステップ 1 |
configure terminal |
グローバル コンフィギュレーション モードを開始します。 |
| ステップ 2 |
crypto key generate rsa label label name general-keys modulus size |
署名および暗号化用に RSA キー ペアを作成します。 label キーワードを使用すると、各キー ペアにラベルを割り当てることもできます。このラベルは、キー ペアを使用するトラストポイントによって参照されます。ラベルを割り当てなかった場合、キー ペアには <Default-RSA-Key> というラベルが自動的に付けられます。 追加のキーワードを使用しない場合、このコマンドは汎用 RSA キー ペアを 1 つ生成します。係数が指定されていない場合は、デフォルトのキー係数である 1024 が使用されます。その他の係数サイズを指定するには、modulus キーワードを使用します。 |
| ステップ 3 |
end |
|
| ステップ 4 |
show authentication session interface interface-id |
許可されたセッションのセキュリティ ステータスを確認します。 |
| ステップ 5 |
copy running-config startup-config |
（任意）コンフィギュレーション ファイルに設定を保存します。 |
Simple Certificate Enrollment Protocol（SCEP）は、HTTP を使用して認証局（CA）または登録局（RA）と通信する、シスコが開発した登録プロトコルです。SCEP は、要求および証明書の送受信用に最も一般的に使用される方式です。
| コマンドまたはアクション | 目的 | |||
|---|---|---|---|---|
| ステップ 1 |
configure terminal |
グローバル コンフィギュレーション モードを開始します。 |
||
| ステップ 2 |
crypto pki trustpoint server name |
トラストポイントおよび設定された名前を宣言して、CA トラストポイント コンフィギュレーション モードを開始します。 |
||
| ステップ 3 |
enrollment url url name pem |
デバイスが証明書要求を送信する CA の URL を指定します。 URL 内の IPv6 アドレスは括弧で囲む必要があります。たとえば、http:// [2001:DB8:1:1::1]:80 です。 pem キーワードは、証明書要求に Privacy Enhanced Mail（PEM）の境界を追加します。 |
||
| ステップ 4 |
rsakeypair label |
証明書に関連付けるキー ペアを指定します。
|
||
| ステップ 5 |
serial-number none |
none キーワードは、証明書要求にシリアル番号が含まれないことを指定します。 |
||
| ステップ 6 |
ip-address none |
none キーワードは、証明書要求に IP アドレスが含まれないことを指定します。 |
||
| ステップ 7 |
revocation-check crl |
ピアの証明書が取り消されていないことを確認する方法として CRL を指定します。 |
||
| ステップ 8 |
auto-enroll percent regenerate |
自動登録をイネーブルにします。これにより、クライアントは CA から自動的にロールオーバー証明書を要求できます。 自動登録がイネーブルでない場合、証明書の失効時にクライアントを手動で PKI に再登録する必要があります。 デフォルトでは、デバイスのドメイン ネーム システム（DNS）名だけが証明書に含められます。 現行の証明書の有効期間が指定のパーセンテージに達したときに、新しい証明書が要求されるように指定するには、percent 引数を使用します。 名前付きのキーがすでに存在する場合でも、証明書の新しいキーを生成するには、regenerate キーワードを使用します。 ロールオーバー中のキー ペアがエクスポート可能な場合、新しいキー ペアもエクスポート可能です。次のコメントがトラストポイント コンフィギュレーションに表示され、キー ペアがエクスポート可能かどうかが示されます。「! RSA key pair associated with trustpoint is exportable.」 新しいキー ペアは、セキュリティ上の問題に対処するために生成することを推奨します。 |
||
| ステップ 9 |
crypto pki authenticate name |
CA 証明書を取得して、認証します。 |
||
| ステップ 10 |
exit |
グローバル コンフィギュレーション モードから抜けます。 |
||
| ステップ 11 |
show crypto pki certificate trustpoint name |
信頼ポイントの証明書に関する情報を表示します。 |
CA が SCEP をサポートしない場合、またはルータと CA 間のネットワーク接続が不可能な場合。手動での証明書登録を設定するには、次の作業を実行します。
| コマンドまたはアクション | 目的 | |||
|---|---|---|---|---|
| ステップ 1 |
configure terminal |
グローバル コンフィギュレーション モードを開始します。 |
||
| ステップ 2 |
crypto pki trustpoint server name |
トラストポイントおよび設定された名前を宣言して、CA トラストポイント コンフィギュレーション モードを開始します。 |
||
| ステップ 3 |
enrollment url url name pem |
デバイスが証明書要求を送信する CA の URL を指定します。 URL 内の IPv6 アドレスは括弧で囲む必要があります。たとえば、http:// [2001:DB8:1:1::1]:80 です。 pem キーワードは、証明書要求に Privacy Enhanced Mail（PEM）の境界を追加します。 |
||
| ステップ 4 |
rsakeypair label |
証明書に関連付けるキー ペアを指定します。 |
||
| ステップ 5 |
serial-number none |
none キーワードは、証明書要求にシリアル番号が含まれないことを指定します。 |
||
| ステップ 6 |
ip-address none |
none キーワードは、証明書要求に IP アドレスが含まれないことを指定します。 |
||
| ステップ 7 |
revocation-check crl |
ピアの証明書が取り消されていないことを確認する方法として CRL を指定します。 |
||
| ステップ 8 |
exit |
グローバル コンフィギュレーション モードから抜けます。 |
||
| ステップ 9 |
crypto pki authenticate name |
CA 証明書を取得して、認証します。 |
||
| ステップ 10 |
crypto pki enroll name |
証明書要求を生成し、証明書サーバにコピーおよびペーストするために要求を表示します。 プロンプトが表示されたら、登録情報を入力します。たとえば、証明書要求にデバイスの FQDN および IP アドレスを含めるかどうかを指定します。 コンソール端末に対して証明書要求を表示するかについても選択できます。 必要に応じて、Base 64 符号化証明書を PEM ヘッダーを付けて、または付けずに表示します。 |
||
| ステップ 11 |
crypto pki import name certificate |
許可された証明書を取得するコンソール端末で、TFTP によって証明書をインポートします。 デバイスは、拡張子が「.req」から「.crt」に変更されたことを除いて、要求の送信に使用した同じファイル名を使用して、許可された証明書を TFTP によって取得しようと試みます。用途キー証明書の場合、拡張子「-sign.crt」および「-encr.crt」が使用されます。 デバイスは、受信したファイルを解析して証明書を検証し、証明書をスイッチの内部証明書データベースに挿入します。
|
||
| ステップ 12 |
exit |
グローバル コンフィギュレーション モードから抜けます。 |
||
| ステップ 13 |
show crypto pki certificate trustpoint name |
信頼ポイントの証明書に関する情報を表示します。 |
||
| ステップ 14 |
copy running-config startup-config |
（任意）コンフィギュレーション ファイルに設定を保存します。 |
| コマンドまたはアクション | 目的 | |
|---|---|---|
| ステップ 1 |
enable |
特権 EXEC モードをイネーブルにします。
|
| ステップ 2 |
configure terminal |
グローバル コンフィギュレーション モードを開始します。 |
| ステップ 3 |
aaa new-model |
AAA をイネーブルにします。 |
| ステップ 4 |
dot1x system-auth-control |
デバイス上で 802.1X を有効にします。 |
| ステップ 5 |
radius server name |
RADIUS サーバの設定の名前を Protected Access Credential（PAC）のプロビジョニング用に指定し、RADIUS サーバ設定モードを開始します。 |
| ステップ 6 |
address ip-address auth-port port-number acct-port port-number |
RADIUS サーバのアカウンティングおよび認証パラメータの IPv4 アドレスを設定します。 |
| ステップ 7 |
automate-tester username username |
RADIUS サーバの自動テスト機能を有効にします。 このようにすると、デバイスは RADIUS サーバにテスト認証メッセージを定期的に送信し、サーバからの RADIUS 応答を待機します。成功メッセージは必須ではありません。認証失敗であっても、サーバが稼働していることを示しているため問題ありません。 |
| ステップ 8 |
key string |
デバイスと RADIUS サーバとの間におけるすべての RADIUS 通信用の認証および暗号キーを指定します。 |
| ステップ 9 |
radius-server deadtime 分 |
いくつかのサーバが使用不能になったときの RADIUS サーバの応答時間を短くし、使用不能になったサーバがすぐにスキップされるようにします。 |
| ステップ 10 |
exit |
グローバル コンフィギュレーション モードに戻ります。 |
| ステップ 11 |
aaa group server radius group-name |
異なる RADIUS サーバ ホストを別々のリストと方式にグループ化し、サーバ グループ コンフィギュレーション モードを開始します。 |
| ステップ 12 |
server name |
RADIUS サーバ名を割り当てます。 |
| ステップ 13 |
exit |
グローバル コンフィギュレーション モードに戻ります。 |
| ステップ 14 |
aaa authentication dot1x default group group-name |
IEEE 802.1x 用にデフォルトの認証サーバ グループを設定します。 |
| ステップ 15 |
aaa authorization network default group group-name |
ネットワーク認証のデフォルト グループを設定します。 |
| コマンドまたはアクション | 目的 | |
|---|---|---|
| ステップ 1 |
enable |
特権 EXEC モードをイネーブルにします。
|
| ステップ 2 |
configure terminal |
グローバル コンフィギュレーション モードを開始します。 |
| ステップ 3 |
eap profile profile-name |
EAP プロファイルを設定し、EAP プロファイル コンフィギュレーション モードを開始します。 |
| ステップ 4 |
method tls |
デバイスで EAP-TLS 方式を有効にします。 |
| ステップ 5 |
pki-trustpoint name |
デフォルトの PKI トラストポイントを設定します。 |
| ステップ 6 |
exit |
グローバル コンフィギュレーション モードに戻ります。 |
| ステップ 7 |
dot1x credentials profile-name |
802.1x クレデンシャル プロファイルを設定し、dot1x クレデンシャル コンフィギュレーション モードを開始します。 |
| ステップ 8 |
username username |
認証ユーザ ID を設定します。 |
| ステップ 9 |
pki-trustpoint name |
デフォルトの PKI トラストポイントを設定します。 |
| ステップ 10 |
end |
特権 EXEC モードに戻ります。 |
EAP-TLS を使用して MACsec MKA をインターフェイスに適用するには、次のタスクを実行します。
| コマンドまたはアクション | 目的 | |
|---|---|---|
| ステップ 1 |
configure terminal |
グローバル コンフィギュレーション モードを開始します。 |
| ステップ 2 |
interface interface-id |
MACsec インターフェイスを指定し、インターフェイス コンフィギュレーション モードを開始します。インターフェイスは物理インターフェイスでなければなりません。 |
| ステップ 3 |
macsec network-link |
インターフェイス上で MACsec をイネーブルにします。 |
| ステップ 4 |
authentication periodic |
このポートの再認証をイネーブルにします。 |
| ステップ 5 |
authentication timer reauthenticate interval |
再認証間隔を設定します。 |
| ステップ 6 |
access-session host-mode multi-domain |
ホストにインターフェイスへのアクセスを許可します。 |
| ステップ 7 |
access-session closed |
インターフェイスへの事前認証アクセスを防止します。 |
| ステップ 8 |
access-session port-control auto |
ポートの認可状態を設定します。 |
| ステップ 9 |
dot1x pae both |
ポートを 802.1X ポート アクセス エンティティ（PAE）のサプリカントおよびオーセンティケータとして設定します。 |
| ステップ 10 |
dot1x credentials profile |
802.1x クレデンシャル プロファイルをインターフェイスに割り当てます。 |
| ステップ 11 |
dot1x supplicant eap profile name |
EAP-TLS プロファイルをインターフェイスに割り当てます。 |
| ステップ 12 |
service-policy type control subscriber control-policy name |
インターフェイスに加入者制御ポリシーを適用します。 |
| ステップ 13 |
exit |
特権 EXEC モードに戻ります。 |
| ステップ 14 |
show macsec interface |
インターフェイスの MACsec の詳細を表示します。 |
| ステップ 15 |
copy running-config startup-config |
（任意）コンフィギュレーション ファイルに設定を保存します。 |
ローカル認証
| コマンドまたはアクション | 目的 | |
|---|---|---|
| ステップ 1 |
enable |
特権 EXEC モードをイネーブルにします。
|
| ステップ 2 |
configure terminal |
グローバル コンフィギュレーション モードを開始します。 |
| ステップ 3 |
aaa new-model |
AAA をイネーブルにします。 |
| ステップ 4 |
aaa local authentication default authorization default |
デフォルトのローカル認証およびデフォルトのローカル認証方法を設定します。 |
| ステップ 5 |
aaa authentication dot1x default local |
IEEE 802.1x 用にデフォルトのローカル ユーザ名認証リストを設定します。 |
| ステップ 6 |
aaa authorization network default local |
ローカル ユーザの認可方式リストを設定します。 |
| ステップ 7 |
aaa authorization credential-download default local |
ローカル クレデンシャルの使用に関する認可方式リストを設定します。 |
| ステップ 8 |
exit |
特権 EXEC モードに戻ります。 |
| コマンドまたはアクション | 目的 | |
|---|---|---|
| ステップ 1 |
enable |
特権 EXEC モードをイネーブルにします。
|
| ステップ 2 |
configure terminal |
グローバル コンフィギュレーション モードを開始します。 |
| ステップ 3 |
aaa new-model |
AAA をイネーブルにします。 |
| ステップ 4 |
dot1x credentials profile-name |
dot1x クレデンシャル プロファイルを設定し、dot1x クレデンシャル コンフィギュレーション モードを開始します。 |
| ステップ 5 |
username namepassword password |
認証のユーザ ID およびパスワードを設定します。 |
| ステップ 6 |
exit |
グローバル コンフィギュレーション モードに戻ります。 |
| ステップ 7 |
aaa attribute list list-name |
（任意）AAA 属性リスト定義を設定し、属性リスト コンフィギュレーション モードを開始します。 |
| ステップ 8 |
aaa attribute type linksec-policy must-secure |
（任意）AAA 属性タイプを指定します。 |
| ステップ 9 |
exit |
グローバル コンフィギュレーション モードに戻ります。 |
| ステップ 10 |
username nameaaa attribute list name |
（任意）ユーザ ID に AAA 属性リストを指定します。 |
| ステップ 11 |
end |
特権 EXEC モードに戻ります。 |
Simple Certificate Enrollment Protocol（SCEP）は、HTTP を使用して認証局（CA）または登録局（RA）と通信する、シスコが開発した登録プロトコルです。SCEP は、要求および証明書の送受信用に最も一般的に使用される方式です。
| コマンドまたはアクション | 目的 | |||
|---|---|---|---|---|
| ステップ 1 |
enable |
特権 EXEC モードをイネーブルにします。
|
||
| ステップ 2 |
configure terminal |
グローバル コンフィギュレーション モードを開始します。 |
||
| ステップ 3 |
crypto pki trustpoint server name |
トラストポイントおよび設定された名前を宣言して、CA トラストポイント コンフィギュレーション モードを開始します。 |
||
| ステップ 4 |
enrollment url url name pem |
デバイスが証明書要求を送信する CA の URL を指定します。 URL 内の IPv6 アドレスは括弧で囲む必要があります。たとえば、http:// [2001:DB8:1:1::1]:80 です。 pem キーワードは、証明書要求に Privacy Enhanced Mail（PEM）の境界を追加します。 |
||
| ステップ 5 |
rsakeypair label |
証明書に関連付けるキー ペアを指定します。
|
||
| ステップ 6 |
serial-number none |
none キーワードは、証明書要求にシリアル番号が含まれないことを指定します。 |
||
| ステップ 7 |
ip-address none |
none キーワードは、証明書要求に IP アドレスが含まれないことを指定します。 |
||
| ステップ 8 |
revocation-check crl |
ピアの証明書が取り消されていないことを確認する方法として CRL を指定します。 |
||
| ステップ 9 |
auto-enroll percent regenerate |
自動登録をイネーブルにします。これにより、クライアントは CA から自動的にロールオーバー証明書を要求できます。 自動登録がイネーブルでない場合、証明書の失効時にクライアントを手動で PKI に再登録する必要があります。 デフォルトでは、デバイスのドメイン ネーム システム（DNS）名だけが証明書に含められます。 現行の証明書の有効期間が指定のパーセンテージに達したときに、新しい証明書が要求されるように指定するには、percent 引数を使用します。 名前付きのキーがすでに存在する場合でも、証明書の新しいキーを生成するには、regenerate キーワードを使用します。 ロールオーバー中のキー ペアがエクスポート可能な場合、新しいキー ペアもエクスポート可能です。次のコメントがトラストポイント コンフィギュレーションに表示され、キー ペアがエクスポート可能かどうかが示されます。「! RSA key pair associated with trustpoint is exportable.」 新しいキー ペアは、セキュリティ上の問題に対処するために生成することを推奨します。 |
||
| ステップ 10 |
crypto pki authenticate name |
CA 証明書を取得して、認証します。 |
||
| ステップ 11 |
exit |
グローバル コンフィギュレーション モードを終了します。 |
||
| ステップ 12 |
show crypto pki certificate trustpoint name |
信頼ポイントの証明書に関する情報を表示します。 |
CA が SCEP をサポートしない場合、またはルータと CA 間のネットワーク接続が不可能な場合。手動での証明書登録を設定するには、次の作業を実行します。
| コマンドまたはアクション | 目的 | |||
|---|---|---|---|---|
| ステップ 1 |
enable |
特権 EXEC モードをイネーブルにします。
|
||
| ステップ 2 |
configure terminal |
グローバル コンフィギュレーション モードを開始します。 |
||
| ステップ 3 |
crypto pki trustpoint server name |
トラストポイントおよび設定された名前を宣言して、CA トラストポイント コンフィギュレーション モードを開始します。 |
||
| ステップ 4 |
enrollment url url name pem |
デバイスが証明書要求を送信する CA の URL を指定します。 URL 内の IPv6 アドレスは括弧で囲む必要があります。たとえば、http:// [2001:DB8:1:1::1]:80 です。 pem キーワードは、証明書要求に Privacy Enhanced Mail（PEM）の境界を追加します。 |
||
| ステップ 5 |
rsakeypair label |
証明書に関連付けるキー ペアを指定します。 |
||
| ステップ 6 |
serial-number none |
none キーワードは、証明書要求にシリアル番号が含まれないことを指定します。 |
||
| ステップ 7 |
ip-address none |
none キーワードは、証明書要求に IP アドレスが含まれないことを指定します。 |
||
| ステップ 8 |
revocation-check crl |
ピアの証明書が取り消されていないことを確認する方法として CRL を指定します。 |
||
| ステップ 9 |
exit |
グローバル コンフィギュレーション モードから抜けます。 |
||
| ステップ 10 |
crypto pki authenticate name |
CA 証明書を取得して、認証します。 |
||
| ステップ 11 |
crypto pki enroll name |
証明書要求を生成し、証明書サーバにコピーおよびペーストするために要求を表示します。 プロンプトが表示されたら、登録情報を入力します。たとえば、証明書要求にデバイスの FQDN および IP アドレスを含めるかどうかを指定します。 コンソール端末に対して証明書要求を表示するかについても選択できます。 必要に応じて、Base 64 符号化証明書を PEM ヘッダーを付けて、または付けずに表示します。 |
||
| ステップ 12 |
crypto pki import name certificate |
許可された証明書を取得するコンソール端末で、TFTP によって証明書をインポートします。 デバイスは、拡張子が「.req」から「.crt」に変更されたことを除いて、要求の送信に使用した同じファイル名を使用して、許可された証明書を TFTP によって取得しようと試みます。用途キー証明書の場合、拡張子「-sign.crt」および「-encr.crt」が使用されます。 デバイスは、受信したファイルを解析して証明書を検証し、証明書をスイッチの内部証明書データベースに挿入します。
|
||
| ステップ 13 |
exit |
グローバル コンフィギュレーション モードから抜けます。 |
||
| ステップ 14 |
show crypto pki certificate trustpoint name |
信頼ポイントの証明書に関する情報を表示します。 |
||
| ステップ 15 |
copy running-config startup-config |
（任意）コンフィギュレーション ファイルに設定を保存します。 |
| コマンドまたはアクション | 目的 | |
|---|---|---|
| ステップ 1 |
enable |
特権 EXEC モードをイネーブルにします。
|
| ステップ 2 |
configure terminal |
グローバル コンフィギュレーション モードを開始します。 |
| ステップ 3 |
eap profile profile-name |
EAP プロファイルを設定し、EAP プロファイル コンフィギュレーション モードを開始します。 |
| ステップ 4 |
method tls |
デバイスで EAP-TLS 方式を有効にします。 |
| ステップ 5 |
pki-trustpoint name |
デフォルトの PKI トラストポイントを設定します。 |
| ステップ 6 |
exit |
グローバル コンフィギュレーション モードに戻ります。 |
| ステップ 7 |
dot1x credentials profile-name |
802.1x クレデンシャル プロファイルを設定し、dot1x クレデンシャル コンフィギュレーション モードを開始します。 |
| ステップ 8 |
username username |
認証ユーザ ID を設定します。 |
| ステップ 9 |
pki-trustpoint name |
デフォルトの PKI トラストポイントを設定します。 |
| ステップ 10 |
end |
特権 EXEC モードに戻ります。 |
EAP-TLS を使用して MKA MACsec をインターフェイスに適用するには、次のタスクを実行します。
| コマンドまたはアクション | 目的 | |
|---|---|---|
| ステップ 1 |
enable |
特権 EXEC モードをイネーブルにします。
|
| ステップ 2 |
configure terminal |
グローバル コンフィギュレーション モードを開始します。 |
| ステップ 3 |
interface interface-id |
MACsec インターフェイスを指定し、インターフェイス コンフィギュレーション モードを開始します。インターフェイスは物理インターフェイスでなければなりません。 |
| ステップ 4 |
macsec |
インターフェイス上で MACsec をイネーブルにします。 |
| ステップ 5 |
authentication periodic |
このポートの再認証をイネーブルにします。 |
| ステップ 6 |
authentication timer reauthenticate interval |
再認証間隔を設定します。 |
| ステップ 7 |
access-session host-mode multi-domain |
ホストにインターフェイスへのアクセスを許可します。 |
| ステップ 8 |
access-session closed |
インターフェイスへの事前認証アクセスを防止します。 |
| ステップ 9 |
access-session port-control auto |
ポートの認可状態を設定します。 |
| ステップ 10 |
dot1x pae both |
ポートを 802.1X ポート アクセス エンティティ（PAE）のサプリカントおよびオーセンティケータとして設定します。 |
| ステップ 11 |
dot1x credentials profile |
802.1x クレデンシャル プロファイルをインターフェイスに割り当てます。 |
| ステップ 12 |
dot1x authenticator eap profile name |
EAP-TLS オーセンティケータ プロファイルをインターフェイスに割り当てます。 |
| ステップ 13 |
dot1x supplicant eap profile name |
EAP-TLS サプリカント プロファイルをインターフェイスに割り当てます。 |
| ステップ 14 |
service-policy type control subscriber control-policy name |
インターフェイスに加入者制御ポリシーを適用します。 |
| ステップ 15 |
exit |
特権 EXEC モードに戻ります。 |
| ステップ 16 |
show macsec interface |
インターフェイスの MACsec の詳細を表示します。 |
| ステップ 17 |
copy running-config startup-config |
（任意）コンフィギュレーション ファイルに設定を保存します。 |
show mka sessions コマンドは、アクティブな MACsec Key Agreement（MKA）プロトコルのセッションの概要を表示します。
Device# show mka sessions
Total MKA Sessions....... 1
Secured Sessions... 1
Pending Sessions... 0
====================================================================================================
Interface Local-TxSCI Policy-Name Inherited Key-Server
Port-ID Peer-RxSCI MACsec-Peers Status CKN
====================================================================================================
Te0/1/3 74a2.e625.4413/0013 *DEFAULT POLICY* NO YES
19 74a2.e625.4c22/0012 1 Secured 1000000000000000000000000000000000000000000000000000000000000000
Device# show macsec status interface te0/1/2
Capabilities:
Ciphers Supported: GCM-AES-128 GCM-AES-256
Cipher: GCM-AES-128
Confidentiality Offset: 0
Replay Window: 64
Delay Protect Enable: FALSE
Access Control: must-secure
Transmit SC:
SCI: 74A2E6254C220012
Transmitting: TRUE
Transmit SA:
Next PN: 412
Delay Protect AN/nextPN: 99/0
Receive SC:
SCI: 74A2E62544130013
Receiving: TRUE
Receive SA:
Next PN: 64
AN: 0
Delay Protect AN/LPN: 0/0
Device# show access-session interface te1/0/1 details
Interface: TenGigabitEthernet1/0/1
IIF-ID: 0x17298FCD
MAC Address: f8a5.c592.13e4
IPv6 Address: Unknown
IPv4 Address: Unknown
User-Name: DOT1XCRED
Status: Authorized
Domain: DATA
Oper host mode: multi-host
Oper control dir: both
Session timeout: N/A
Common Session ID: 000000000000000BB72E8AFA
Acct Session ID: Unknown
Handle: 0xc3000001
Current Policy: MUSTS_1
Local Policies:
Security Policy: Must Secure
Security Status: Link Secured
Server Policies:
Method status list:
Method State
dot1xSup Authc Success
dot1x Authc Success
次の表に、TrustSec がイネーブルになった Cisco スイッチで実装される TrustSec 機能を示します。継続的な TrustSec の General Availability リリースによって、サポートされるスイッチの数および各スイッチでサポートされる TrustSec 機能の数は増加しています。
| Cisco TrustSec の機能 | 説明 | ||
|---|---|---|---|
| 802.1AE タギング（MACSec） |
IEEE 802.1AE に基づくワイヤレート ホップ単位レイヤ 2 暗号化のプロトコル。 MACSec 対応デバイス間において、パケットは送信デバイスからの出力で暗号化され、受信デバイスへの入力で復号化されます。デバイス内では平文です。 この機能は、TrustSec ハードウェア対応デバイス間だけで利用できます。
|
||
| エンドポイント アドミッション コントロール（EAC） |
EAC は、TrustSec ドメインに接続しているエンドポイント ユーザまたはデバイスの認証プロセスです。通常、EAC はアクセス レベル スイッチで実行されます。EAC プロセスの認証および許可に成功すると、ユーザまたはデバイスに対してセキュリティ グループ タグが割り当てられます。現在、EAC は 802.1X、MAC 認証バイパス（MAB）、および Web 認証プロキシ（WebAuth）とすることができます。 |
||
| ネットワーク デバイス アドミッション コントロール（NDAC） |
NDAC は、TrustSec ドメイン内の各ネットワーク デバイスがピア デバイスのクレデンシャルおよび信頼性を確認できる認証プロセスです。NDAC は、IEEE 802.1X ポート ベースの認証に基づく認証フレームワークを利用し、EAP 方式として EAP-FAST を使用します。NDAC プロセスの認証および許可に成功すると、IEEE 802.1AE 暗号化のセキュリティ アソシエーション プロトコル ネゴシエーションとなります。
|
||
| セキュリティ アソシエーション プロトコル（SAP） |
NDAC 認証のあと、セキュリティ アソシエーション プロトコル（SAP）は、その後の TrustSec ピア間の MACSec リンク暗号化のキーおよび暗号スイートについて、自動的にネゴシエーションを行います。SAP は IEEE 802.11i で定義されます。 |
||
| セキュリティ グループ タグ（SGT） |
SGT は、TrustSec ドメイン内の送信元のセキュリティ分類を示す 16 ビットの単一ラベルです。イーサネット フレームまたは IP パケットに追加されます。 |
||
|
SGT 交換プロトコル（SXP） |
Security Group Tag Exchange Protocol（SXP）。SXP を使用すると、TrustSec にハードウェアで対応していないデバイスが Cisco Identity Services Engine（ISE）または Cisco Secure アクセス コントロール システム（ACS）から認証されたユーザとデバイスの SGT 属性を受信できます。デバイスは、次にセキュリティ グループ アクセス コントロール リスト（SGACL）強制のために、送信元トラフィックをタグ付けする TrustSec にハードウェアで対応しているデバイスに、sourceIP-to-SGT バインディングを転送できます。 |
リンクの両端で 802.1AE MACsec をサポートしている場合、SAP ネゴシエーションが実行されます。サプリカントとオーセンティケータの間で EAPOL-Key が交換され、暗号スイートのネゴシエーション、セキュリティ パラメータの交換、およびキーの管理が実行されます。これらの作業が正常に完了すると、セキュリティ アソシエーション（SA）が確立します。
インターフェイスの Cisco TrustSec を手動で設定する場合は、次のような使用上の注意事項、および制約事項を考慮してください。
SAP パラメータが定義されていない場合、Cisco TrustSec カプセル化または暗号化は行われません。
SAP 動作モードとして GCM を選択すると、シスコの MACsec 暗号化ソフトウェア ライセンスが必要です。必要なライセンスなしで GCM を選択した場合、インターフェイスはリンク ダウン状態になります。
これらの保護レベルは、SAP の Pairwise Master Key（sap pmk）を設定する場合にサポートされます。
SAP が設定されていない：保護は行われません。
sap mode-list gcm-encrypt gmac no-encap ：保護が望ましいが必須ではない。
sap mode-list gcm-encrypt gmac ：機密性が推奨され、整合性が必須。保護はサプリカントの設定に応じてサプリカントによって選択されます。
sap mode-list gmac ：整合性のみ。
sap mode-list gcm-encrypt ：機密性が必須。
sap mode-list gmac gcm-encrypt ：整合性が必須であり推奨される。機密性は任意。
別の Cisco TrustSec デバイスへのインターフェイスで Cisco TrustSec を手動で設定するには、特権 EXEC モードで次の手順を実行します。
| コマンドまたはアクション | 目的 | |||||
|---|---|---|---|---|---|---|
| ステップ 1 |
configure terminal 例: |
グローバル コンフィギュレーション モードを開始します。 |
||||
| ステップ 2 |
interface interface-id 例: |
|
||||
| ステップ 3 |
cts manual 例: |
Cisco TrustSec 手動コンフィギュレーション モードを開始します。 |
||||
| ステップ 4 |
sap pmk key[ mode-list mode1[ mode2[ mode3[ mode4] ] ] ] 例: |
SAP 動作モードのオプションは次のとおりです。
|
||||
| ステップ 5 |
no propagate sgt 例: |
ピアが SGT を処理できない場合、このコマンドの no 形式を使用します。no propagate sgt コマンドを使用すると、インターフェイスからピアに SGT が送信されなくなります。 |
||||
| ステップ 6 |
exit 例: |
Cisco TrustSec 802.1x インターフェイス コンフィギュレーション モードを終了します。 |
||||
| ステップ 7 |
end 例: |
特権 EXEC モードに戻ります。 |
||||
| ステップ 8 |
show cts interface [ interface-id| brief | summary ] |
（任意）TrustSec 関連のインターフェイス特性を表示して、設定を確認します。 |
次に、インターフェイスに Cisco TrustSec 認証を手動モードで設定する例を示します。
Switch# configure terminal
Switch(config)# interface tengigabitethernet 1/1/2
Switch(config-if)# cts manual
Switch(config-if-cts-manual)# sap pmk 1234abcdef mode-list gcm-encrypt null no-encap
Switch(config-if-cts-manual)# no propagate sgt
Switch(config-if-cts-manual)# exit
Switch(config-if)# end設定例
| コマンドまたはアクション | 目的 | |
|---|---|---|
| ステップ 1 |
enable 例: |
特権 EXEC モードをイネーブルにします。プロンプトが表示されたら、パスワードを入力します。 |
| ステップ 2 |
configure terminal 例: |
グローバル コンフィギュレーション モードを開始します。 |
| ステップ 3 |
interface interface-id |
MACsec インターフェイスを指定し、インターフェイス コンフィギュレーション モードを開始します。インターフェイスは物理インターフェイスでなければなりません。 |
| ステップ 4 |
switchport access vlan vlan-id |
このポートのアクセス VLAN を設定します。 |
| ステップ 5 |
switchport mode access |
インターフェイスをアクセス ポートとして設定します。 |
| ステップ 6 |
macsec |
インターフェイスで 802.1ae MACsec をイネーブルにします。macsec コマンドを使用すると、スイッチからホストへのリンク（ダウンリンク ポート）でのみ MKA MACsec が有効になります。 |
| ステップ 7 |
authentication event linksec fail action authorize vlan vlan-id |
（任意）認証の試行に失敗した後で、ポート上の制限付き VLAN を許可することによって、ユーザ証明書が認識されない認証リンク セキュリティの問題をスイッチが処理することを指定します。 |
| ステップ 8 |
authentication host-mode multi-domain |
ホストと音声デバイスの両方が、802.1x で許可されたポート上で認証されるように、ポート上の認証マネージャ モードを設定します。設定されていない場合、デフォルトのホスト モードはシングルです。 |
| ステップ 9 |
authentication linksec policy must-secure |
LinkSec セキュリティ ポリシーを設定して、ピアを利用できる場合に、MACsec でセッションをセキュアにします。設定されていない場合、デフォルト値は should secure です。 |
| ステップ 10 |
authentication port-control auto |
ポート上で 802.1x 認証をイネーブルにします。スイッチとクライアント間の認証交換に基づいてポートが許可ステートまたは無許可ステートに変わります。 |
| ステップ 11 |
authentication periodic |
このポートの再認証を有効または無効にします。 |
| ステップ 12 |
authentication timer reauthenticate |
1 から 65535 までの値（秒）を入力します。サーバから再認証タイムアウト値を取得します。デフォルトの再認証時間は 3600 秒です。 |
| ステップ 13 |
authentication violation protect |
新しいデバイスがポートに接続された場合、または最大数のデバイスがポートに接続されたあとに新しいデバイスがそのポートに接続された場合に、予期しない着信 MAC アドレスを破棄するようポートを設定します。設定されていない場合、デフォルトではポートをシャット ダウンします。 |
| ステップ 14 |
mka policy policy name |
既存の MKA プロトコル ポリシーをインターフェイスに適用し、インターフェイス上で MKA をイネーブルにします。MKA ポリシーを設定しなかった場合（mka policy グローバル コンフィギュレーション コマンドを入力して）。 |
| ステップ 15 |
dot1x pae authenticator |
|
| ステップ 16 |
spanning-tree portfast |
関連するすべての VLAN 内の特定のインターフェイスで、スパニングツリー Port Fast をイネーブルにします。Port Fast 機能がイネーブルの場合、インターフェイスはブロッキング ステートからフォワーディング ステートに直接移行します。その際に、中間のスパニングツリー ステートは変わりません。 |
| ステップ 17 |
end 例: |
特権 EXEC モードに戻ります。 |
| ステップ 18 |
show authentication session interface interface-id |
|
| ステップ 19 |
show authentication session interface interface-id details |
|
| ステップ 20 |
show macsec interface interface-id |
インターフェイスの MacSec ステータスを確認します。 |
| ステップ 21 |
show mka sessions |
確立された mka セッションを確認します。 |
| ステップ 22 |
copy running-config startup-config 例: |
（任意）コンフィギュレーション ファイルに設定を保存します。 |
EAP-TLS を使用した MACsec MKA の設定例
Configure Crypto PKI Trustpoint:
crypto pki trustpoint POLESTAR-IOS-CA
enrollment terminal
subject-name CN=ASR1000x1@polestar.com, C=IN, ST=KA, OU=ENG,O=Polestar
revocation-check none
rsakeypair mkaioscarsa
storage nvram:
!
Manual Installation of Root CA certificate:
crypto pki authenticate POLESTAR-IOS-CA
aaa new-model
dot1x system-auth-control
radius server ISE
address ipv4 <ISE ipv4 address> auth-port 1645 acct-port 1646
automate-tester username dummy
key dummy123
radius-server deadtime 2
!
aaa group server radius ISEGRP
server name ISE
!
aaa authentication dot1x default group ISEGRP
aaa authorization network default group ISEGRP
eap profile EAPTLS-PROF-IOSCA
method tls
pki-trustpoint POLESTAR-IOS-CA
!
dot1x credentials EAPTLSCRED-IOSCA
username asr1000@polestar.company.com
pki-trustpoint POLESTAR-IOS-CA
!
interface TenGigabitEthernet0/1
macsec network-link
authentication periodic
authentication timer reauthenticate <reauthentication interval>
access-session host-mode multi-host
access-session closed
access-session port-control auto
dot1x pae both
dot1x credentials EAPTLSCRED-IOSCA
dot1x supplicant eap profile EAPTLS-PROF-IOSCA
service-policy type control subscriber DOT1X_POLICY_RADIUS
次に、Cisco TrustSec スイッチ間のセキュリティのためにシードおよび非シード デバイスに必要な設定を示します。リンク セキュリティ用に AAA および RADIUS を設定する必要があります。この例では、ACS-1 から ACS-3 は任意のサーバ名、cts-radius は Cisco TrustSec サーバです。
シード デバイスの設定
Switch(config)#aaa new-model
Switch(config)#radius server ACS-1
Switch(config-radius-server)#address ipv4 10.5.120.12 auth-port 1812 acct-port 1813
Switch(config-radius-server)#pac key cisco123
Switch(config-radius-server)#exit
Switch(config)#radius server ACS-2
Switch(config-radius-server)#address ipv4 10.5.120.14 auth-port 1812 acct-port 1813
Switch(config-radius-server)#pac key cisco123
Switch(config-radius-server)#exit
Switch(config)#radius server ACS-3
Switch(config-radius-server)#address ipv4 10.5.120.15 auth-port 1812 acct-port 1813
Switch(config-radius-server)#pac key cisco123
Switch(config-radius-server)#exit
Switch(config)#aaa group server radius cts-radius
Switch(config-sg-radius)#server name ACS-1
Switch(config-sg-radius)#server name ACS-2
Switch(config-sg-radius)#server name ACS-3
Switch(config-sg-radius)#exit
Switch(config)#aaa authentication login default none
Switch(config)#aaa authentication dot1x default group cts-radius
Switch(config)#aaa authorization network cts-radius group cts-radius
Switch(config)#aaa session-id common
Switch(config)#cts authorization list cts-radius
Switch(config)#dot1x system-auth-control Switch(config)#interface gi1/1/2
Switch(config-if)#switchport mode trunk
Switch(config-if)#cts dot1x
Switch(config-if-cts-dot1x)#sap mode-list gcm-encrypt gmac
Switch(config-if-cts-dot1x)#exit
Switch(config-if)#exit Switch(config)#interface gi1/1/4
Switch(config-if)#switchport mode trunk
Switch(config-if)#cts manual
Switch(config-if-cts-dot1x)#sap pmk 033445AABBCCDDEEFF mode-list gcm-encrypt gmac
Switch(config-if-cts-dot1x)#no propagate sgt
Switch(config-if-cts-dot1x)#exit
Switch(config-if)#exit Switch(config)#radius-server vsa send authentication
Switch(config)#end
Switch#cts credentials id cts-36 password trustsec123 非シード デバイス
Switch(config)#aaa new-model
Switch(config)#aaa session-id common
Switch(config)#dot1x system-auth-control Switch(config)#interface gi1/1/2
Switch(config-if)#switchport mode trunk
Switch(config-if)#shutdown
Switch(config-if)#cts dot1x
Switch(config-if-cts-dot1x)#sap mode-list gcm-encrypt gmac
Switch(config-if-cts-dot1x)#exit
Switch(config-if)#exit Switch(config)#interface gi1/1/4
Switch(config-if)#switchport mode trunk
Switch(config-if)#shutdown
Switch(config-if)#cts manual
Switch(config-if-cts-dot1x)#sap pmk 033445AABBCCDDEEFF mode-list gcm-encrypt gmac
Switch(config-if-cts-dot1x)#no propagate sgt
Switch(config-if-cts-dot1x)#exit
Switch(config-if)#exit Switch(config)#radius-server vsa send authentication
Switch(config)#end
Switch(config)#cts credentials id cts-72 password trustsec123 
フィードバック