MACsec の暗号化

MACsec 暗号化について

MACsec は 2 台の MACsec 対応デバイス間のパケットの認証と暗号化の IEEE 802.1AE 規格です。これらの Catalyst スイッチは、スイッチとホストデバイス間の暗号化に、ダウンリンクポートでの MACsec Key Agreement（MKA）による 802.1AE 暗号化をサポートします。また、スイッチは、Cisco TrustSec ネットワークデバイスアドミッションコントロール（NDAC）、Security Association Protocol（SAP）および MKA ベースのキー交換プロトコルを使用して、スイッチ間（ネットワーク間デバイス）セキュリティの MACsec 暗号化をサポートします。リンク層セキュリティはスイッチ間のパケット認証とスイッチ間の MACsec 暗号化の両方を含みます（暗号化は任意です）。

表 1. スイッチポートの MACsec サポート
インターフェイス	接続	MACsec のサポート
アップリンクポート	スイッチからスイッチへ	MACsec MKA の暗号化 Cisco TrustSec NDAC MACsec

（注）

スイッチからホストへの接続は、Cisco IOS XE Everest 16.5.1a のダウンリンクポートではサポートされていません。

Cisco TrustSec と Cisco SAP はスイッチ間のリンクにのみ使用され、PC や IP フォンなどのエンドホストに接続されたスイッチポートではサポートされません。MKA はスイッチ間リンク（アップリンク）でのみサポートされています。Cisco NDAC および SAP は、コンパクトなスイッチがワイヤリングクローゼットの外側にセキュリティを拡張するために使用する、ネットワークエッジアクセストポロジ（NEAT）と相互排他的です。

Media Access Control Security と MACsec Key Agreement

802.1AE で定義された MACsec では、暗号化キー入力のためにアウトオブバンド方式を使用することによって、有線ネットワーク上で MAC レイヤの暗号化を実現します。MACsec Key Agreement（MKA）プロトコルでは、必要なセッションキーを提供し、必要な暗号化キーを管理します。MKA と MACsec は、802.1x 拡張認証プロトコル（EAP-TLS）または事前共有キー（PSK）フレームワークを使用した認証に成功した後に実装されます。

MACsec を使用するスイッチでは、MKA ピアに関連付けられたポリシーに応じて、MACsec フレームまたは非 MACsec フレームを許可します。MACsec フレームは暗号化され、整合性チェック値（ICV）で保護されます。スイッチは MKA ピアからフレームを受信すると、MKA によって提供されたセッションキーを使用してこれらのフレームを暗号化し、正しい ICV を計算します。スイッチはこの ICV をフレーム内の ICV と比較します。一致しない場合は、フレームが破棄されます。また、スイッチは現在のセッションキーを使用して、ICV を暗号化し、セキュアなポート（セキュアな MAC サービスを MKA ピアに提供するために使用されるアクセスポイント）を介して送信されたフレームに追加します。

MKA プロトコルは、基礎となる MACsec プロトコルで使用される暗号キーを管理します。MKA の基本的な要件は 802.1x-REV で定義されています。MKA プロトコルでは 802.1x を拡張し、相互認証の確認によってピアを検出し、MACsec 秘密キーを共有してピアで交換されるデータを保護できます。

EAP フレームワークでは、新しく定義された EAP-over-LAN（EAPOL）パケットとして MKA を実装します。EAP 認証では、データ交換で両方のパートナーで共有されるマスターセッションキー（MSK）を生成します。EAP セッション ID を入力すると、セキュアな接続アソシエーションキー名（CKN）が生成されます。スイッチは、アップリンク用のオーセンティケータとして機能します。これはクライアントパートナーに送信されるランダムなセキュアアソシエーションキー（SAK）を生成します。クライアントはキーサーバではなく、単一の MKA エンティティであるキーサーバとだけ対話できます。キーの派生と生成の後で、スイッチは定期的にトランスポートをパートナーに送信します。デフォルトの間隔は 2 秒間です。

EAPOL プロトコルデータユニット（PDU）のパケット本体は、MACsec Key Agreement PDU（MKPDU）と呼ばれます。MKA セッションと参加者は、MKA ライフタイム（6 秒間）が経過しても参加者から MKPDU を受信していない場合に削除されます。たとえば、MKA ピアが接続を解除した場合、スイッチ上の参加者は MKA ピアから最後の MKPDU を受信した後、6 秒間が経過するまで MKA の動作を継続します。

MKA ポリシー

インターフェイスで MKA を有効にするには、定義された MKA ポリシーをインターフェイスに適用する必要があります。次のオプションを設定可能です。

16 ASCII 文字未満のポリシー名。
物理インターフェイスごとの 0 バイト、30 バイト、または 50 バイトの機密保持（暗号化）オフセット。

MACsec およびスタッキング

MACsec を実行しているスイッチスタックマスターは、MACsec をサポートしているメンバースイッチ上のポートを示すコンフィギュレーションファイルを維持します。スタックマスターは、次に示す機能を実行します。

セキュアなチャネルとセキュアなアソシエーションの作成および削除を処理します。
スタックメンバーにセキュアなアソシエーションサービス要求を送信します。
ローカルポートまたはリモートポートからのパケット番号とリプレイウィンドウ情報を処理し、キー管理プロトコルを通知します。
オプションがグローバルに設定された MACsec 初期化要求を、スタックに追加される新しいスイッチに送信します。
ポート単位の設定をメンバースイッチに送信します。

メンバースイッチは、次の機能を実行します。

スタックマスターからの MACsec 初期化要求を処理します。
スタックマスターから送信された MACsec サービス要求を処理します。
スタックマスターにローカルポートに関する情報を送信します。

MACsec、MKA、および 802.1x ホストモード

MACsec と MKA プロトコルは、802.1x シングルホストモード、マルチホストモード、またはマルチドメイン認証（MDA）モードで使用できます。マルチ認証モードはサポートされません。

（注）

スイッチからホストへの接続は、Cisco IOS XE Everest 16.5.1a のダウンリンクポートではサポートされていません。将来のリリースでサポートが追加されます。

シングルホストモード

次の図に、MKA を使用して、MACsec で 1 つの EAP 認証済みセッションをセキュアにする方法を示します。

マルチホストモード

標準の（802.1x REV ではない）802.1x マルチホストモードでは、1 つの認証に基づいてポートが開いているか、閉じられています。1 人のユーザ（プライマリセキュアクライアントサービスのクライアントホスト）が認証される場合は、同じポートに接続されているホストに同じレベルのネットワークアクセスが提供されます。セカンダリホストが MACsec サプリカントの場合、認証できず、トラフィックフローは発生しません。非 MACsec ホストであるセカンダリホストは、マルチホストモードであるため、認証なしでネットワークにトラフィックを送信できます。次の図に、標準のマルチホスト非セキュアモードにおける MACsec を示します。

（注）

マルチホストモードは推奨されていません。これは最初にクライアントが成功した後、他のクライアントでは認証が必要ないことから、安全性が低いためです。

標準の（802.1x REV ではない）802.1x マルチドメインモードでは、1 つの認証に基づいてポートが開いているか、閉じられています。プライマリユーザ（データドメインの PC）が認証されると、同じレベルのネットワークアクセスが同じポートに接続されているドメインに提供されます。セカンダリユーザが MACsec サプリカントの場合、認証できず、トラフィックフローは発生しません。非 MACsec ホストであるセカンダリユーザ（音声ドメインの IP フォン）は、マルチドメインモードであるため、認証なしでネットワークにトラフィックを送信できます。

MKA 統計情報

一部の MKA カウンタはグローバルに集約され、その他のカウンタはグローバルとセッション単位の両方で更新されます。また、MKA セッションのステータスに関する情報も取得できます。

次の例では、show mka statistics コマンドの出力を示します。

Switch# show mka sessions  

Total MKA Sessions....... 1
      Secured Sessions... 1
      Pending Sessions... 0

====================================================================================================
Interface      Local-TxSCI         Policy-Name      Inherited         Key-Server
Port-ID        Peer-RxSCI          MACsec-Peers     Status            CKN
====================================================================================================
Gi1/0/1        204c.9e85.ede4/002b p2               NO                YES
43             c800.8459.e764/002a 1                Secured           0100000000000000000000000000000000000000000000000000000000000000

Switch#show mka sessions interface G1/0/1

Summary of All Currently Active MKA Sessions on Interface GigabitEthernet1/0/1...

====================================================================================================
Interface      Local-TxSCI         Policy-Name      Inherited         Key-Server
Port-ID        Peer-RxSCI          MACsec-Peers     Status            CKN
====================================================================================================
Gi1/0/1        204c.9e85.ede4/002b p2               NO                YES
43             c800.8459.e764/002a 1                Secured           0100000000000000000000000000000000000000000000000000000000000000


Switch#show mka sessions interface G1/0/1 de

MKA Detailed Status for MKA Session
===================================
Status: SECURED - Secured MKA Session with MACsec

Local Tx-SCI............. 204c.9e85.ede4/002b
Interface MAC Address.... 204c.9e85.ede4
MKA Port Identifier...... 43
Interface Name........... GigabitEthernet1/0/1
Audit Session ID.........
CAK Name (CKN)........... 0100000000000000000000000000000000000000000000000000000000000000
Member Identifier (MI)... D46CBEC05D5D67594543CEAE
Message Number (MN)...... 89567
EAP Role................. NA
Key Server............... YES
MKA Cipher Suite......... AES-128-CMAC

Latest SAK Status........ Rx & Tx
Latest SAK AN............ 0
Latest SAK KI (KN)....... D46CBEC05D5D67594543CEAE00000001 (1)
Old SAK Status........... FIRST-SAK
Old SAK AN............... 0
Old SAK KI (KN).......... FIRST-SAK (0)

SAK Transmit Wait Time... 0s (Not waiting for any peers to respond)
SAK Retire Time.......... 0s (No Old SAK to retire)

MKA Policy Name.......... p2
Key Server Priority...... 2
Delay Protection......... NO
Replay Protection........ YES
Replay Window Size....... 0
Confidentiality Offset... 0
Algorithm Agility........ 80C201
SAK Cipher Suite......... 0080C20001000001 (GCM-AES-128)
MACsec Capability........ 3 (MACsec Integrity, Confidentiality, & Offset)
MACsec Desired........... YES

# of MACsec Capable Live Peers............ 1
# of MACsec Capable Live Peers Responded.. 1

Live Peers List:
  MI                        MN          Rx-SCI (Peer)        KS Priority
  ----------------------------------------------------------------------
  38046BA37D7DA77E06D006A9  89555       c800.8459.e764/002a   10

Potential Peers List:
  MI                        MN          Rx-SCI (Peer)        KS Priority
  ----------------------------------------------------------------------

Dormant Peers List:
  MI                        MN          Rx-SCI (Peer)        KS Priority
  ----------------------------------------------------------------------

Switch#show mka sessions de
Switch#show mka sessions detail

MKA Detailed Status for MKA Session
===================================
Status: SECURED - Secured MKA Session with MACsec

Local Tx-SCI............. 204c.9e85.ede4/002b
Interface MAC Address.... 204c.9e85.ede4
MKA Port Identifier...... 43
Interface Name........... GigabitEthernet1/0/1
Audit Session ID.........
CAK Name (CKN)........... 0100000000000000000000000000000000000000000000000000000000000000
Member Identifier (MI)... D46CBEC05D5D67594543CEAE
Message Number (MN)...... 89572
EAP Role................. NA
Key Server............... YES
MKA Cipher Suite......... AES-128-CMAC

Latest SAK Status........ Rx & Tx
Latest SAK AN............ 0
Latest SAK KI (KN)....... D46CBEC05D5D67594543CEAE00000001 (1)
Old SAK Status........... FIRST-SAK
Old SAK AN............... 0
Old SAK KI (KN).......... FIRST-SAK (0)

SAK Transmit Wait Time... 0s (Not waiting for any peers to respond)
SAK Retire Time.......... 0s (No Old SAK to retire)

MKA Policy Name.......... p2
Key Server Priority...... 2
Delay Protection......... NO
Replay Protection........ YES
Replay Window Size....... 0
Confidentiality Offset... 0
Algorithm Agility........ 80C201
SAK Cipher Suite......... 0080C20001000001 (GCM-AES-128)
MACsec Capability........ 3 (MACsec Integrity, Confidentiality, & Offset)
MACsec Desired........... YES

# of MACsec Capable Live Peers............ 1
# of MACsec Capable Live Peers Responded.. 1

Live Peers List:
  MI                        MN          Rx-SCI (Peer)        KS Priority
  ----------------------------------------------------------------------
  38046BA37D7DA77E06D006A9  89560       c800.8459.e764/002a   10

Potential Peers List:
  MI                        MN          Rx-SCI (Peer)        KS Priority
  ----------------------------------------------------------------------

Dormant Peers List:
  MI                        MN          Rx-SCI (Peer)        KS Priority
  ----------------------------------------------------------------------

Switch#sh mka pol

MKA Policy Summary...

Policy            KS       Delay   Replay  Window Conf   Cipher          Interfaces
Name              Priority Protect Protect Size   Offset Suite(s)        Applied
======================================================================================================
*DEFAULT POLICY*  0        FALSE   TRUE    0      0      GCM-AES-128

p1                1        FALSE   TRUE    0      0      GCM-AES-128

p2                2        FALSE   TRUE    0      0      GCM-AES-128     Gi1/0/1


Switch#sh mka poli
Switch#sh mka policy p2
Switch#sh mka policy p2 ?
  detail    Detailed configuration/information for MKA Policy
  sessions  Summary of all active MKA Sessions with policy applied
  |         Output modifiers
  <cr>

Switch#sh mka policy p2 de

MKA Policy Configuration ("p2")
========================
MKA Policy Name........ p2
Key Server Priority.... 2
Confidentiality Offset. 0
Cipher Suite(s)........ GCM-AES-128

Applied Interfaces...
  GigabitEthernet1/0/1

Switch#sh mka policy p2

MKA Policy Summary...

Policy            KS       Delay   Replay  Window Conf   Cipher          Interfaces
Name              Priority Protect Protect Size   Offset Suite(s)        Applied
======================================================================================================
p2                2        FALSE   TRUE    0      0      GCM-AES-128     Gi1/0/1


Switch#sh mka se?
sessions

Switch#sh mka ?
  default-policy  MKA Default Policy details
  keychains       MKA Pre-Shared-Key Key-Chains
  policy          MKA Policy configuration information
  presharedkeys   MKA Preshared Keys
  sessions        MKA Sessions summary
  statistics      Global MKA statistics
  summary         MKA Sessions summary & global statistics

Switch#sh mka statis
Switch#sh mka statistics ?
  interface  Statistics for a MKA Session on an interface
  local-sci  Statistics for a MKA Session identified by its Local Tx-SCI
  |          Output modifiers
  <cr>

Switch#sh mka statistics inter
Switch#show mka statistics interface G1/0/1

MKA Statistics for Session
==========================
Reauthentication Attempts.. 0

CA Statistics
   Pairwise CAKs Derived... 0
   Pairwise CAK Rekeys..... 0
   Group CAKs Generated.... 0
   Group CAKs Received..... 0

SA Statistics
   SAKs Generated.......... 1
   SAKs Rekeyed............ 0
   SAKs Received........... 0
   SAK Responses Received.. 1

MKPDU Statistics
   MKPDUs Validated & Rx... 89585
      "Distributed SAK".. 0
      "Distributed CAK".. 0
   MKPDUs Transmitted...... 89596
      "Distributed SAK".. 1
      "Distributed CAK".. 0


Switch#show mka ?
  default-policy  MKA Default Policy details
  keychains       MKA Pre-Shared-Key Key-Chains
  policy          MKA Policy configuration information
  presharedkeys   MKA Preshared Keys
  sessions        MKA Sessions summary
  statistics      Global MKA statistics
  summary         MKA Sessions summary & global statistics

Switch#show mka summ
Switch#show mka summary

Total MKA Sessions....... 1
      Secured Sessions... 1
      Pending Sessions... 0

====================================================================================================
Interface      Local-TxSCI         Policy-Name      Inherited         Key-Server
Port-ID        Peer-RxSCI          MACsec-Peers     Status            CKN
====================================================================================================
Gi1/0/1        204c.9e85.ede4/002b p2               NO                YES
43             c800.8459.e764/002a 1                Secured           0100000000000000000000000000000000000000000000000000000000000000



MKA Global Statistics
=====================
MKA Session Totals
   Secured.................... 1
   Reauthentication Attempts.. 0

   Deleted (Secured).......... 0
   Keepalive Timeouts......... 0

CA Statistics
   Pairwise CAKs Derived...... 0
   Pairwise CAK Rekeys........ 0
   Group CAKs Generated....... 0
   Group CAKs Received........ 0

SA Statistics
   SAKs Generated............. 1
   SAKs Rekeyed............... 0
   SAKs Received.............. 0
   SAK Responses Received..... 1

MKPDU Statistics
   MKPDUs Validated & Rx...... 89589
      "Distributed SAK"..... 0
      "Distributed CAK"..... 0
   MKPDUs Transmitted......... 89600
      "Distributed SAK"..... 1
      "Distributed CAK"..... 0

MKA Error Counter Totals
========================
Session Failures
   Bring-up Failures................ 0
   Reauthentication Failures........ 0
   Duplicate Auth-Mgr Handle........ 0

SAK Failures
   SAK Generation................... 0
   Hash Key Generation.............. 0
   SAK Encryption/Wrap.............. 0
   SAK Decryption/Unwrap............ 0
   SAK Cipher Mismatch.............. 0

CA Failures
   Group CAK Generation............. 0
   Group CAK Encryption/Wrap........ 0
   Group CAK Decryption/Unwrap...... 0
   Pairwise CAK Derivation.......... 0
   CKN Derivation................... 0
   ICK Derivation................... 0
   KEK Derivation................... 0
   Invalid Peer MACsec Capability... 0
MACsec Failures
   Rx SC Creation................... 0
   Tx SC Creation................... 0
   Rx SA Installation............... 0
   Tx SA Installation............... 0

MKPDU Failures
   MKPDU Tx......................... 0
   MKPDU Rx Validation.............. 0
   MKPDU Rx Bad Peer MN............. 0
   MKPDU Rx Non-recent Peerlist MN.. 0

Switch#

EAP-TLS を使用した MACsec MKA の理解

MACsec MKA はスイッチ間リンクでサポートされます。Extensible Authentication Protocol（EAP-TLS）による IEE 802.1X ポートベース認証を使用して、デバイスのアップリンクポート間で MACsec MKA を設定できます。EAP-TLS は相互認証を許可し、MSK（マスターセッションキー）を取得します。そのキーから、MKA 操作用の接続アソシエーションキー（CAK）が取得されます。デバイスの証明書は、AAA サーバへの認証用に、EAP-TLS を使用して伝送されます。

EAP-TLS を使用した MACsec MKA の前提条件

認証局（CA）サーバがネットワークに設定されていることを確認します。
CA 証明書を生成します。
Cisco Identity Services Engine（ISE）リリース 2.0 が設定されていることを確認します。
両方の参加デバイス（CA サーバと Cisco Identity Services Engine（ISE））が Network Time Protocol（NTP）を使用して同期されていることを確認します。時間がすべてのデバイスで同期されていないと、証明書は検証されません。
802.1x 認証と AAA がデバイスに設定されていることを確認します。

EAP-TLS を使用した MACsec MKA の制限事項

MKA は、ポートチャネルではサポートされていません。
MKA は、高可用性とローカル認証ではサポートされていません。

Cisco TrustSec の概要

次の表に、TrustSec がイネーブルになった Cisco スイッチで実装される TrustSec 機能を示します。継続的な TrustSec の General Availability リリースによって、サポートされるスイッチの数および各スイッチでサポートされる TrustSec 機能の数は増加しています。


Cisco TrustSec の機能	説明
802.1AE タギング（MACSec）	IEEE 802.1AE に基づくワイヤレートホップ単位レイヤ 2 暗号化のプロトコル。 MACSec 対応デバイス間において、パケットは送信デバイスからの出力で暗号化され、受信デバイスへの入力で復号化されます。デバイス内では平文です。この機能は、TrustSec ハードウェア対応デバイス間だけで利用できます。
エンドポイントアドミッションコントロール（EAC）	EAC は、TrustSec ドメインに接続しているエンドポイントユーザまたはデバイスの認証プロセスです。通常、EAC はアクセスレベルスイッチで実行されます。EAC プロセスの認証および許可に成功すると、ユーザまたはデバイスに対してセキュリティグループタグが割り当てられます。現在、EAC は 802.1X、MAC 認証バイパス（MAB）、および Web 認証プロキシ（WebAuth）とすることができます。
ネットワークデバイスアドミッションコントロール（NDAC）	NDAC は、TrustSec ドメイン内の各ネットワークデバイスがピアデバイスのクレデンシャルおよび信頼性を確認できる認証プロセスです。NDAC は、IEEE 802.1X ポートベースの認証に基づく認証フレームワークを利用し、EAP 方式として EAP-FAST を使用します。NDAC プロセスの認証および許可に成功すると、IEEE 802.1AE 暗号化のセキュリティアソシエーションプロトコルネゴシエーションとなります。
セキュリティアソシエーションプロトコル（SAP）	NDAC 認証のあと、セキュリティアソシエーションプロトコル（SAP）は、その後の TrustSec ピア間の MACSec リンク暗号化のキーおよび暗号スイートについて、自動的にネゴシエーションを行います。SAP は IEEE 802.11i で定義されます。
セキュリティグループタグ（SGT）（Security Group Tag (SGT)）	SGT は、TrustSec ドメイン内の送信元のセキュリティ分類を示す 16 ビットの単一ラベルです。イーサネットフレームまたは IP パケットに追加されます。
SGT 交換プロトコル（SXP）	Security Group Tag Exchange Protocol（SXP）。SXP を使用すると、TrustSec にハードウェアで対応していないデバイスが Cisco Identity Services Engine（ISE）または Cisco Secure アクセスコントロールシステム（ACS）から認証されたユーザとデバイスの SGT 属性を受信できます。デバイスは、次にセキュリティグループアクセスコントロールリスト（SGACL）強制のために、送信元トラフィックをタグ付けする TrustSec にハードウェアで対応しているデバイスに、sourceIP-to-SGT バインディングを転送できます。

リンクの両端で 802.1AE MACsec をサポートしている場合、SAP ネゴシエーションが実行されます。サプリカントとオーセンティケータの間で EAPOL-Key が交換され、暗号スイートのネゴシエーション、セキュリティパラメータの交換、およびキーの管理が実行されます。これらの作業が正常に完了すると、セキュリティアソシエーション（SA）が確立します。

ソフトウェアバージョンとライセンスおよびリンクハードウェアサポートに応じて、SAP ネゴシエーションは次の動作モードの 1 つを使用できます。

Galois Counter Mode（GCM）：認証と暗号化
GCM authentication（GMAC）：GCM 認証、暗号化なし
No Encapsulation：カプセル化なし（クリアテキスト）
null：カプセル化、認証または暗号化なし

MACsec 暗号化の設定方法

MKA および MACsec の設定

MACsec MKA のデフォルト設定

MACsec はディセーブルです。MKA ポリシーは設定されていません。

MKA ポリシーの設定

手順

コマンドまたはアクション

目的

ステップ 1

configure terminal

グローバルコンフィギュレーションモードを開始します。

ステップ 2

mka policy policy name

MKA ポリシーを指定し、MKA ポリシーコンフィギュレーションモードを開始します。ポリシー名の長さは最大で 16 文字です。

ステップ 3

key-server [プライオリティ（priority）]

MKA キーサーバオプションを設定し、プライオリティを設定します（0 ～ 255 の間）。

（注）

キーサーバプライオリティの値を 255 に設定した場合、ピアはキーサーバになることはできません。

ステップ 4

macsec-cipher-suite gcm-aes-128

128 ビット暗号により SAK を取得するための暗号スイートを設定します。

ステップ 5

confidentiality-offset Offset value

各物理インターフェイスに機密性（暗号化）オフセットを設定します。

（注）

オフセット値は、0、30、または 50 を指定できます。クライアントで Anyconnect を使用している場合は、オフセット 0 を使用することをお勧めします。

ステップ 6

end

特権 EXEC モードに戻ります。

ステップ 7

show mka policy

入力内容を確認します。

例

次に、MKA ポリシーを設定する例を示します。

Switch(config)# mka policy mka_policy  
Switch(config-mka-policy)# key-server priority 200  
Switch(config-mka-policy)# macsec-cipher-suite gcm-aes-128  
Switch(config-mka-policy)# confidentiality-offset 30  
Switch(config-mka-policy)# end

インターフェイスでの MACsec の設定

音声用に 1 つの MACsec セッションとデータ用に 1 つの MACsec セッションが存在するインターフェイスで MACsec を設定するには、次の手順を実行します。

手順

	コマンドまたはアクション	目的
ステップ 1	enable 例: `Switch>enable`	特権 EXEC モードをイネーブルにします。プロンプトが表示されたら、パスワードを入力します。
ステップ 2	configure terminal 例: `Switch>configure terminal`	グローバルコンフィギュレーションモードを開始します。
ステップ 3	interface interface-id	MACsec インターフェイスを指定し、インターフェイスコンフィギュレーションモードを開始します。インターフェイスは物理インターフェイスでなければなりません。
ステップ 4	switchport access vlan vlan-id	このポートのアクセス VLAN を設定します。
ステップ 5	switchport mode access	インターフェイスをアクセスポートとして設定します。
ステップ 6	authentication event linksec fail action authorize vlan vlan-id	（任意）認証の試行に失敗した後で、ポート上の制限付き VLAN を許可することによって、ユーザ証明書が認識されない認証リンクセキュリティの問題をスイッチが処理することを指定します。
ステップ 7	authentication host-mode multi-domain	ホストと音声デバイスの両方が、802.1x で許可されたポート上で認証されるように、ポート上の認証マネージャモードを設定します。設定されていない場合、デフォルトのホストモードはシングルです。
ステップ 8	authentication linksec policy must-secure	LinkSec セキュリティポリシーを設定して、ピアを利用できる場合に、MACsec でセッションをセキュアにします。設定されていない場合、デフォルト値は should secure です。
ステップ 9	authentication port-control auto	ポート上で 802.1x 認証をイネーブルにします。スイッチとクライアント間の認証交換に基づいてポートが許可ステートまたは無許可ステートに変わります。
ステップ 10	authentication periodic	このポートの再認証を有効または無効にします。
ステップ 11	authentication timer reauthenticate	1 から 65535 までの値（秒）を入力します。サーバから再認証タイムアウト値を取得します。デフォルトの再認証時間は 3600 秒です。
ステップ 12	authentication violation protect	新しいデバイスがポートに接続された場合、または最大数のデバイスがポートに接続されたあとに新しいデバイスがそのポートに接続された場合に、予期しない着信 MAC アドレスを破棄するようポートを設定します。設定されていない場合、デフォルトではポートをシャットダウンします。
ステップ 13	mka policy policy name	既存の MKA プロトコルポリシーをインターフェイスに適用し、インターフェイス上で MKA をイネーブルにします。MKA ポリシーを設定しなかった場合（mka policy グローバルコンフィギュレーションコマンドを入力して）。
ステップ 14	dot1x pae authenticator	ポートを 802.1x ポートアクセスエンティティ（PAE）オーセンティケータとして設定します。
ステップ 15	spanning-tree portfast	関連するすべての VLAN 内の特定のインターフェイスで、スパニングツリー Port Fast をイネーブルにします。Port Fast 機能がイネーブルの場合、インターフェイスはブロッキングステートからフォワーディングステートに直接移行します。その際に、中間のスパニングツリーステートは変わりません。
ステップ 16	end 例: `Switch(config)#end`	特権 EXEC モードに戻ります。
ステップ 17	show authentication session interface interface-id	許可されたセッションのセキュリティステータスを確認します。
ステップ 18	show authentication session interface interface-id details	承認されたセッションのセキュリティステータスの詳細を確認します。
ステップ 19	show macsec interface interface-id	インターフェイスの MacSec ステータスを確認します。
ステップ 20	show mka sessions	確立された mka セッションを確認します。
ステップ 21	copy running-config startup-config 例: `Switch#copy running-config startup-config`	（任意）コンフィギュレーションファイルに設定を保存します。

PSK を使用した MACsec MKA の設定

手順

コマンドまたはアクション

目的

ステップ 1

configure terminal

グローバルコンフィギュレーションモードを開始します。

ステップ 2

key chain key-chain-name macsec

キーチェーンを設定して、キーチェーンコンフィギュレーションモードを開始します。

ステップ 3

key hex-string

キーチェーン内の各キーの固有識別子を設定し、キーチェーンのキーコンフィギュレーションモードを開始します。

（注）

128 ビット暗号の場合は、32 文字の 16 進数キー文字列を使用します。

ステップ 4

cryptographic-algorithm {gcm-aes-128}

128 ビット暗号による暗号化認証アルゴリズムを設定します。

ステップ 5

key-string { [0|6|7] pwd-string | pwd-string}

キー文字列のパスワードを設定します。16 進数の文字のみを入力する必要があります。

ステップ 6

lifetime local [start timestamp {hh::mm::ss | day | month | year}] [duration seconds | end timestamp {hh::mm::ss | day | month | year}]

事前共有キーの有効期間を設定します。

ステップ 7

end

特権 EXEC モードに戻ります。

例

次に例を示します。

Switch(config)# Key chain keychain1 macsec  
Switch(config-key-chain)# key 1000  
Switch(config-keychain-key)# cryptographic-algorithm gcm-aes-128  
Switch(config-keychain-key)# key-string 12345678901234567890123456789012  
Switch(config-keychain-key)# lifetime local 12:12:00 July 28 2016 12:19:00 July 28 2016  
Switch(config-keychain-key)# end

PSK を使用した、インターフェイスでの MACsec MKA の設定

手順

コマンドまたはアクション

目的

ステップ 1

configure terminal

グローバルコンフィギュレーションモードを開始します。

ステップ 2

interface interface-id

インターフェイスコンフィギュレーションモードを開始します。

ステップ 3

macsec network-link

インターフェイス上で MACsec をイネーブルにします。

ステップ 4

mka policy policy-name

MKA ポリシーを設定します。

ステップ 5

mka pre-shared-key key-chain key-chain name

MKA 事前共有キーのキーチェーン名を設定します。

（注）

MKA 事前共有キーは、物理インターフェイスまたはサブインターフェイスで設定できますが、両方で設定することはできません。

ステップ 6

macsec replay-protection window-size frame number

リプレイ保護の MACsec ウィンドウサイズを設定します。

ステップ 7

end

特権 EXEC モードに戻ります。

例

次に例を示します。

Switch(config)# interface GigabitEthernet 0/0/0  
Switch(config-if)# mka policy mka_policy  
Switch(config-if)# mka pre-shared-key key-chain key-chain-name  
Switch(config-if)# macsec replay-protection window-size 10  
Switch(config-if)# end

EAP-TLS を使用した MACsec MKA の設定

ポイントツーポイントリンクで MKA による MACsec を設定するには、次のタスクを実行します。

証明書登録の設定
- キーペアの生成
- SCEP 登録の設定
- 証明書の手動設定
認証ポリシーの設定
EAP-TLS プロファイルおよび IEEE 802.1x クレデンシャルの設定
インターフェイスでの EAP-TLS を使用した MKA MACsec の設定

キーペアの生成

手順

	コマンドまたはアクション	目的
ステップ 1	configure terminal	グローバルコンフィギュレーションモードを開始します。
ステップ 2	crypto key generate rsa label label-name general-keys modulus size	署名および暗号化用に RSA キーペアを作成します。 label キーワードを使用すると、各キーペアにラベルを割り当てることもできます。このラベルは、キーペアを使用するトラストポイントによって参照されます。ラベルを割り当てなかった場合、キーペアには <Default-RSA-Key> というラベルが自動的に付けられます。追加のキーワードを使用しない場合、このコマンドは汎用 RSA キーペアを 1 つ生成します。係数が指定されていない場合は、デフォルトのキー係数である 1024 が使用されます。その他の係数サイズを指定するには、modulus キーワードを使用します。
ステップ 3	end	特権 EXEC モードに戻ります。
ステップ 4	show authentication session interface interface-id	許可されたセッションのセキュリティステータスを確認します。
ステップ 5	copy running-config startup-config	（任意）コンフィギュレーションファイルに設定を保存します。

SCEP による登録の設定

Simple Certificate Enrollment Protocol（SCEP）は、HTTP を使用して認証局（CA）または登録局（RA）と通信する、シスコが開発した登録プロトコルです。SCEP は、要求および証明書の送受信用に最も一般的に使用される方式です。

手順

コマンドまたはアクション

目的

ステップ 1

configure terminal

グローバルコンフィギュレーションモードを開始します。

ステップ 2

crypto pki trustpoint server name

トラストポイントおよび設定された名前を宣言して、CA トラストポイントコンフィギュレーションモードを開始します。

ステップ 3

enrollment url url name pem

デバイスが証明書要求を送信する CA の URL を指定します。

URL 内の IPv6 アドレスは括弧で囲む必要があります。たとえば、http:// [2001:DB8:1:1::1]:80 です。

pem キーワードは、証明書要求に Privacy Enhanced Mail（PEM）の境界を追加します。

ステップ 4

rsakeypair label

証明書に関連付けるキーペアを指定します。

（注）

rsakeypair 名は、信頼ポイント名と一致している必要があります。

ステップ 5

serial-number none

none キーワードは、証明書要求にシリアル番号が含まれないことを指定します。

ステップ 6

ip-address none

none キーワードは、証明書要求に IP アドレスが含まれないことを指定します。

ステップ 7

revocation-check crl

ピアの証明書が取り消されていないことを確認する方法として CRL を指定します。

ステップ 8

auto-enroll パーセント regenerate

自動登録をイネーブルにします。これにより、クライアントは CA から自動的にロールオーバー証明書を要求できます。

自動登録がイネーブルでない場合、証明書の失効時にクライアントを手動で PKI に再登録する必要があります。

デフォルトでは、デバイスのドメインネームシステム（DNS）名だけが証明書に含められます。

現行の証明書の有効期間が指定のパーセンテージに達したときに、新しい証明書が要求されるように指定するには、percent 引数を使用します。

名前付きのキーがすでに存在する場合でも、証明書の新しいキーを生成するには、regenerate キーワードを使用します。

ロールオーバー中のキーペアがエクスポート可能な場合、新しいキーペアもエクスポート可能です。次のコメントがトラストポイントコンフィギュレーションに表示され、キーペアがエクスポート可能かどうかが示されます。「! RSA key pair associated with trustpoint is exportable.」

新しいキーペアは、セキュリティ上の問題に対処するために生成することを推奨します。

ステップ 9

crypto pki authenticate 名前

CA 証明書を取得して、認証します。

ステップ 10

exit

グローバルコンフィギュレーションモードを終了します。

ステップ 11

show crypto pki certificate trustpoint name

信頼ポイントの証明書に関する情報を表示します。

登録の手動設定

CA が SCEP をサポートしない場合、またはルータと CA 間のネットワーク接続が不可能な場合。手動での証明書登録を設定するには、次の作業を実行します。

手順

コマンドまたはアクション

目的

ステップ 1

configure terminal

グローバルコンフィギュレーションモードを開始します。

ステップ 2

crypto pki trustpoint server name

トラストポイントおよび設定された名前を宣言して、CA トラストポイントコンフィギュレーションモードを開始します。

ステップ 3

enrollment url url name pem

デバイスが証明書要求を送信する CA の URL を指定します。

URL 内の IPv6 アドレスは括弧で囲む必要があります。たとえば、http:// [2001:DB8:1:1::1]:80 です。

pem キーワードは、証明書要求に Privacy Enhanced Mail（PEM）の境界を追加します。

ステップ 4

rsakeypair label

証明書に関連付けるキーペアを指定します。

ステップ 5

serial-number none

none キーワードは、証明書要求にシリアル番号が含まれないことを指定します。

ステップ 6

ip-address none

none キーワードは、証明書要求に IP アドレスが含まれないことを指定します。

ステップ 7

revocation-check crl

ピアの証明書が取り消されていないことを確認する方法として CRL を指定します。

ステップ 8

exit

グローバルコンフィギュレーションモードから抜けます。

ステップ 9

crypto pki authenticate 名前

CA 証明書を取得して、認証します。

ステップ 10

crypto pki enroll 名前

証明書要求を生成し、証明書サーバにコピーおよびペーストするために要求を表示します。

プロンプトが表示されたら、登録情報を入力します。たとえば、証明書要求にデバイスの FQDN および IP アドレスを含めるかどうかを指定します。

コンソール端末に対して証明書要求を表示するかについても選択できます。

必要に応じて、Base 64 符号化証明書を PEM ヘッダーを付けて、または付けずに表示します。

ステップ 11

crypto pki import 名前 certificate

許可された証明書を取得するコンソール端末で、TFTP によって証明書をインポートします。

デバイスは、拡張子が「.req」から「.crt」に変更されたことを除いて、要求の送信に使用した同じファイル名を使用して、許可された証明書を TFTP によって取得しようと試みます。用途キー証明書の場合、拡張子「-sign.crt」および「-encr.crt」が使用されます。

デバイスは、受信したファイルを解析して証明書を検証し、証明書をスイッチの内部証明書データベースに挿入します。

（注）

一部の CA は、証明書要求の用途キー情報を無視し、汎用目的の証明書を発行します。ご使用の CA が証明書要求の用途キー情報を無視する場合は、汎用目的の証明書だけをインポートしてください。ルータは、生成される 2 つのキーペアのいずれも使用しません。

ステップ 12

exit

グローバルコンフィギュレーションモードを終了します。

ステップ 13

show crypto pki certificate trustpoint name

信頼ポイントの証明書に関する情報を表示します。

ステップ 14

copy running-config startup-config

（任意）コンフィギュレーションファイルに設定を保存します。

インターフェイスでの 802.1x MACsec MKA 設定の適用

EAP-TLS を使用して MACsec MKA をインターフェイスに適用するには、次のタスクを実行します。

手順

	コマンドまたはアクション	目的
ステップ 1	configure terminal	グローバルコンフィギュレーションモードを開始します。
ステップ 2	interface interface-id	MACsec インターフェイスを指定し、インターフェイスコンフィギュレーションモードを開始します。インターフェイスは物理インターフェイスでなければなりません。
ステップ 3	macsec network-link	インターフェイス上で MACsec をイネーブルにします。
ステップ 4	authentication periodic	このポートの再認証をイネーブルにします。
ステップ 5	authentication timer reauthenticate interval	再認証間隔を設定します。
ステップ 6	access-session host-mode multi-domain	ホストにインターフェイスへのアクセスを許可します。
ステップ 7	access-session closed	インターフェイスへの事前認証アクセスを防止します。
ステップ 8	access-session port-control auto	ポートの認可状態を設定します。
ステップ 9	dot1x pae both	ポートを 802.1X ポートアクセスエンティティ（PAE）のサプリカントおよびオーセンティケータとして設定します。
ステップ 10	dot1x credentials profile	802.1x クレデンシャルプロファイルをインターフェイスに割り当てます。
ステップ 11	dot1x supplicant eap profile 名前	EAP-TLS プロファイルをインターフェイスに割り当てます。
ステップ 12	service-policy type control subscriber control-policy name	インターフェイスに加入者制御ポリシーを適用します。
ステップ 13	exit	特権 EXEC モードに戻ります。
ステップ 14	show macsec interface	インターフェイスの MACsec の詳細を表示します。
ステップ 15	copy running-config startup-config	（任意）コンフィギュレーションファイルに設定を保存します。

Cisco TrustSec MACsec の設定

手動モードでの Cisco TrustSec スイッチ間リンクセキュリティの設定

始める前に

インターフェイスの Cisco TrustSec を手動で設定する場合は、次のような使用上の注意事項、および制約事項を考慮してください。

SAP パラメータが定義されていない場合、Cisco TrustSec カプセル化または暗号化は行われません。
SAP 動作モードとして GCM を選択すると、シスコの MACsec 暗号化ソフトウェアライセンスが必要です。必要なライセンスなしで GCM を選択した場合、インターフェイスはリンクダウン状態になります。
これらの保護レベルは、SAP の Pairwise Master Key（sap pmk）を設定する場合にサポートされます。
- SAP が設定されていない：保護は行われません。
- sap mode-list gcm-encrypt gmac no-encap ：保護が望ましいが必須ではない。
- sap mode-list gcm-encrypt gmac ：機密性が推奨され、整合性が必須。保護はサプリカントの設定に応じてサプリカントによって選択されます。
- sap mode-list gmac ：整合性のみ。
- sap mode-list gcm-encrypt ：機密性が必須。
- sap mode-list gmac gcm-encrypt ：整合性が必須であり推奨される。機密性は任意。

別の Cisco TrustSec デバイスへのインターフェイスで Cisco TrustSec を手動で設定するには、特権 EXEC モードで次の手順を実行します。

手順

コマンドまたはアクション目的

ステップ 1

configure terminal

例:

Switch# configure terminal

グローバルコンフィギュレーションモードを開始します。

ステップ 2

interface interface-id

例:

Switch(config)# interface tengigabitethernet 1/1/2

（注）

インターフェイスコンフィギュレーションモードを開始します。

ステップ 3

cts manual

例:

Switch(config-if)# cts manual

Cisco TrustSec 手動コンフィギュレーションモードを開始します。

ステップ 4

sap pmk key[ mode-list mode1[ mode2[ mode3[ mode4] ] ] ]

例:

Switch(config-if-cts-manual)# sap pmk 1234abcdef mode-list gcm-encrypt null no-encap

（任意）SAP の Pairwise Master Key（PMK）と動作モードを設定します。Cisco TrustSec の手動モードでは、SAP はデフォルトでディセーブルになっています。

key ：文字数が偶数個で最大 32 文字の 16 進値。

SAP 動作モードのオプションは次のとおりです。

gcm-encrypt ：認証および暗号化

（注）

ソフトウェアライセンスが MACsec 暗号化をサポートする場合、MACsec の認証と暗号化にこのモードを選択します。

gmac ：認証、暗号化なし
no-encap ：カプセル化なし

null ：カプセル化、認証または暗号化なし

（注）

インターフェイスでデータリンク暗号化を使用できない場合は、デフォルトおよび唯一使用可能な SAP 動作モードは no-encap です。SGT はサポートされません。

ステップ 5

no propagate sgt

例:

Switch(config-if-cts-manual)# no propagate sgt

ピアが SGT を処理できない場合、このコマンドの no 形式を使用します。no propagate sgt コマンドを使用すると、インターフェイスからピアに SGT が送信されなくなります。

ステップ 6

exit

例:

Switch(config-if-cts-manual)# exit

Cisco TrustSec 802.1x インターフェイスコンフィギュレーションモードを終了します。

ステップ 7

end

例:

Switch(config-if)# end

特権 EXEC モードに戻ります。

ステップ 8

show cts interface [ interface-id| brief | summary ]

（任意）TrustSec 関連のインターフェイス特性を表示して、設定を確認します。

例

次に、インターフェイスに Cisco TrustSec 認証を手動モードで設定する例を示します。

Switch# configure terminal
Switch(config)# interface tengigabitethernet 1/1/2
Switch(config-if)# cts manual
Switch(config-if-cts-manual)# sap pmk 1234abcdef mode-list gcm-encrypt null no-encap
Switch(config-if-cts-manual)# no propagate sgt
Switch(config-if-cts-manual)# exit
Switch(config-if)# end

MACsec 暗号化の設定例

インターフェイスでの MACsec の設定

手順

	コマンドまたはアクション	目的
ステップ 1	enable 例: `Switch>enable`	特権 EXEC モードをイネーブルにします。プロンプトが表示されたら、パスワードを入力します。
ステップ 2	configure terminal 例: `Switch>configure terminal`	グローバルコンフィギュレーションモードを開始します。
ステップ 3	interface interface-id	MACsec インターフェイスを指定し、インターフェイスコンフィギュレーションモードを開始します。インターフェイスは物理インターフェイスでなければなりません。
ステップ 4	switchport access vlan vlan-id	このポートのアクセス VLAN を設定します。
ステップ 5	switchport mode access	インターフェイスをアクセスポートとして設定します。
ステップ 6	authentication event linksec fail action authorize vlan vlan-id	（任意）認証の試行に失敗した後で、ポート上の制限付き VLAN を許可することによって、ユーザ証明書が認識されない認証リンクセキュリティの問題をスイッチが処理することを指定します。
ステップ 7	authentication host-mode multi-domain	ホストと音声デバイスの両方が、802.1x で許可されたポート上で認証されるように、ポート上の認証マネージャモードを設定します。設定されていない場合、デフォルトのホストモードはシングルです。
ステップ 8	authentication linksec policy must-secure	LinkSec セキュリティポリシーを設定して、ピアを利用できる場合に、MACsec でセッションをセキュアにします。設定されていない場合、デフォルト値は should secure です。
ステップ 9	authentication port-control auto	ポート上で 802.1x 認証をイネーブルにします。スイッチとクライアント間の認証交換に基づいてポートが許可ステートまたは無許可ステートに変わります。
ステップ 10	authentication periodic	このポートの再認証を有効または無効にします。
ステップ 11	authentication timer reauthenticate	1 から 65535 までの値（秒）を入力します。サーバから再認証タイムアウト値を取得します。デフォルトの再認証時間は 3600 秒です。
ステップ 12	authentication violation protect	新しいデバイスがポートに接続された場合、または最大数のデバイスがポートに接続されたあとに新しいデバイスがそのポートに接続された場合に、予期しない着信 MAC アドレスを破棄するようポートを設定します。設定されていない場合、デフォルトではポートをシャットダウンします。
ステップ 13	mka policy policy name	既存の MKA プロトコルポリシーをインターフェイスに適用し、インターフェイス上で MKA をイネーブルにします。MKA ポリシーを設定しなかった場合（mka policy グローバルコンフィギュレーションコマンドを入力して）。
ステップ 14	dot1x pae authenticator	ポートを 802.1x ポートアクセスエンティティ（PAE）オーセンティケータとして設定します。
ステップ 15	spanning-tree portfast	関連するすべての VLAN 内の特定のインターフェイスで、スパニングツリー Port Fast をイネーブルにします。Port Fast 機能がイネーブルの場合、インターフェイスはブロッキングステートからフォワーディングステートに直接移行します。その際に、中間のスパニングツリーステートは変わりません。
ステップ 16	end 例: `Switch(config)#end`	特権 EXEC モードに戻ります。
ステップ 17	show authentication session interface interface-id	許可されたセッションのセキュリティステータスを確認します。
ステップ 18	show authentication session interface interface-id details	承認されたセッションのセキュリティステータスの詳細を確認します。
ステップ 19	show macsec interface interface-id	インターフェイスの MacSec ステータスを確認します。
ステップ 20	show mka sessions	確立された mka セッションを確認します。
ステップ 21	copy running-config startup-config 例: `Switch#copy running-config startup-config`	（任意）コンフィギュレーションファイルに設定を保存します。

Cisco TrustSec スイッチ間リンクセキュリティの設定例

次に、Cisco TrustSec スイッチ間のセキュリティのためにシードおよび非シードデバイスに必要な設定を示します。リンクセキュリティ用に AAA および RADIUS を設定する必要があります。この例では、ACS-1 から ACS-3 は任意のサーバ名、cts-radius は Cisco TrustSec サーバです。

シードデバイスの設定

Switch(config)#aaa new-model  
Switch(config)#radius server ACS-1  
Switch(config-radius-server)#address ipv4 10.5.120.12 auth-port 1812 acct-port 1813  
Switch(config-radius-server)#pac key cisco123  
Switch(config-radius-server)#exit  
Switch(config)#radius server ACS-2  
Switch(config-radius-server)#address ipv4 10.5.120.14 auth-port 1812 acct-port 1813  
Switch(config-radius-server)#pac key cisco123  
Switch(config-radius-server)#exit  
Switch(config)#radius server ACS-3  
Switch(config-radius-server)#address ipv4 10.5.120.15 auth-port 1812 acct-port 1813  
Switch(config-radius-server)#pac key cisco123  
Switch(config-radius-server)#exit  
Switch(config)#aaa group server radius cts-radius  
Switch(config-sg-radius)#server name ACS-1  
Switch(config-sg-radius)#server name ACS-2  
Switch(config-sg-radius)#server name ACS-3  
Switch(config-sg-radius)#exit  
Switch(config)#aaa authentication login default none  
Switch(config)#aaa authentication dot1x default group cts-radius  
Switch(config)#aaa authorization network cts-radius group cts-radius  
Switch(config)#aaa session-id common  
Switch(config)#cts authorization list cts-radius  
Switch(config)#dot1x system-auth-control

Switch(config)#interface gi1/1/2  
Switch(config-if)#switchport mode trunk  
Switch(config-if)#cts dot1x  
Switch(config-if-cts-dot1x)#sap mode-list gcm-encrypt gmac  

Switch(config-if-cts-dot1x)#exit  
Switch(config-if)#exit

Switch(config)#interface gi1/1/4  
Switch(config-if)#switchport mode trunk  
Switch(config-if)#cts manual  
Switch(config-if-cts-dot1x)#sap pmk 033445AABBCCDDEEFF mode-list gcm-encrypt gmac  
Switch(config-if-cts-dot1x)#no propagate sgt  
Switch(config-if-cts-dot1x)#exit  
Switch(config-if)#exit

Switch(config)#radius-server vsa send authentication  
Switch(config)#end  
Switch#cts credentials id cts-36 password trustsec123

非シードデバイス

Switch(config)#aaa new-model  
Switch(config)#aaa session-id common  
Switch(config)#dot1x system-auth-control

Switch(config)#interface gi1/1/2  
Switch(config-if)#switchport mode trunk  
Switch(config-if)#shutdown  
Switch(config-if)#cts dot1x  
Switch(config-if-cts-dot1x)#sap mode-list gcm-encrypt gmac  
Switch(config-if-cts-dot1x)#exit  
Switch(config-if)#exit

Switch(config)#interface gi1/1/4  
Switch(config-if)#switchport mode trunk  
Switch(config-if)#shutdown  
Switch(config-if)#cts manual  
Switch(config-if-cts-dot1x)#sap pmk 033445AABBCCDDEEFF mode-list gcm-encrypt gmac  
Switch(config-if-cts-dot1x)#no propagate sgt  
Switch(config-if-cts-dot1x)#exit  
Switch(config-if)#exit

Switch(config)#radius-server vsa send authentication  
Switch(config)#end  
Switch(config)#cts credentials id cts-72 password trustsec123

MACsec 暗号化の機能情報

次の表に、このモジュールで説明した機能に関するリリース情報を示します。この表は、ソフトウェアリリーストレインで各機能のサポートが導入されたときのソフトウェアリリースのみを示しています。その機能は、特に断りがない限り、それ以降の一連のソフトウェアリリースでもサポートされます。

プラットフォームのサポートおよび Cisco ソフトウェアイメージのサポートに関する情報を検索するには、Cisco Feature Navigator を使用します。Cisco Feature Navigator にアクセスするには、www.cisco.com/go/cfn に移動します。Cisco.com のアカウントは必要ありません。

表 2. MACsec 暗号化の機能情報
機能名	リリース	機能情報
MACsec の暗号化	Cisco IOS XE Everest 16.6.1	MACsec は 2 台の MACsec 対応デバイス間のパケットの認証と暗号化の IEEE 802.1AE 規格です。この機能は Cisco Catalyst 9300 シリーズスイッチおよび Cisco Catalyst 9500 シリーズスイッチに実装されました。

Cisco IOS XE Everest 16.6.x（Catalyst 9500 スイッチ）セキュリティ コンフィギュレーション ガイド

偏向のない言語

翻訳について

検索結果

章のタイトル： MACsec の暗号化

MACsec の暗号化

MACsec 暗号化について

Media Access Control Security と MACsec Key Agreement

MKA ポリシー

MACsec およびスタッキング

MACsec、MKA、および 802.1x ホスト モード

シングルホスト モード

マルチ ホスト モード

MKA 統計情報

EAP-TLS を使用した MACsec MKA の理解

EAP-TLS を使用した MACsec MKA の前提条件

EAP-TLS を使用した MACsec MKA の制限事項

Cisco TrustSec の概要

MACsec MKA のデフォルト設定

MKA ポリシーの設定

手順

例

インターフェイスでの MACsec の設定

手順

例:

例:

例:

例:

PSK を使用した MACsec MKA の設定

手順

例

PSK を使用した、インターフェイスでの MACsec MKA の設定

手順

例

EAP-TLS を使用した MACsec MKA の設定

キー ペアの生成

手順

SCEP による登録の設定

手順

登録の手動設定

手順

インターフェイスでの 802.1x MACsec MKA 設定の適用

手順

Cisco TrustSec MACsec の設定

手動モードでの Cisco TrustSec スイッチ間リンク セキュリティの設定

始める前に

手順

例:

例:

例:

例:

例:

例:

例:

例

インターフェイスでの MACsec の設定

手順

例:

例:

例:

例:

Cisco TrustSec スイッチ間リンク セキュリティの設定例

MACsec 暗号化の機能情報

このドキュメントは役に立ちましたか?

シスコに問い合わせ

Cisco IOS XE Everest 16.6.x（Catalyst 9500 スイッチ）セキュリティコンフィギュレーションガイド

MACsec、MKA、および 802.1x ホストモード

シングルホストモード

マルチホストモード

キーペアの生成

手動モードでの Cisco TrustSec スイッチ間リンクセキュリティの設定

Cisco TrustSec スイッチ間リンクセキュリティの設定例