IE 4000、IE 4010、および IE 5000 シリーズ スイッチに関するその他のガイドラインと制限事項

IE 4000、IE 4010、および IE 5000 のデフォルト動作では、MACsec リンクが保護されるとデータトラフィックが暗号化されます。ただし、リモートピアが MACsec リンクを保護していない場合、これらのスイッチは暗号化されていないデータを送信します。

Cisco IOS XE ベースの IE スイッチ（例：IE3x00）や、9300、9200、9500 などの Cisco Catalyst スイッチは、MACsec セッションの状態に関係なく、常に MACsec リンクを保護します。MACsec リンクが設定されると、トラフィックは暗号化されて送信されます。MACsec 保護リンクで受信した非暗号化トラフィックは、すべてドロップされます。

リンクで MACsec が有効になっている場合、暗号化されたデータのみを受け入れます。これは、REP、PTP、ping などの L2 プロトコルデータフレーム、および CDP、LLDP などの制御フレームがすべて入力側でブロックされることを意味します。L2 プロトコルデータフレームは、出力リンクも MACsec 有効になり、セキュアなチャネルが確立された場合にのみ許可されます。

MACsec Must-Secure 機能を導入すると、4000、IE 4010、および IE 5000 のデフォルトの MACsec 動作が、Cisco IOS-XE ベースの IE スイッチの動作と同期します（IE3x00を含む）。

MACsec Must-Secure 機能の導入

MACsec Must-Secure 機能の実装には、モードを Should-Secure または Must-Secure に設定するコマンドオプションは含まれていません。デフォルトでは、スイッチは 15.2(8)E5 およびそれ以前のリリースでは Should-Secure モードで動作していました。Cisco IOS リリース 15.2(8)E6 以降、スイッチはデフォルトで Must-Secure モードで動作します。

サポートされるモードは以下のとおりです。

■IE 4000、IE 4010、および IE 5000 は、リリース 15.2(8)E5 で Should-Secure モードをサポートしています。

■IE 4000、IE 4010、および IE 5000 は、リリース 15.2(8)E6 で Must-Secure モードをサポートしています。

show macsec interface interface-id コマンドを実行して、デバイスが Should-Secure モードに設定されているかどうかを確認します。show コマンド出力に「Access control」フィールドが表示されない場合、デバイスは Should-Secure モードになっています。次に例を示します。

switch# show macsec int gi1/1 | i Access

show コマンドの出力に「Access control: must secure」と表示される場合、デバイスは Must-Secure モードです。

モードを Must-Secure から Should-Secure に変更するには、スイッチを 15.2(8)E5 リリース以前にダウングレードする必要があります。同様に、Should-Secure から Must-Secure に変更するには、スイッチを 15.2(8)E6 リリース以降にアップグレードする必要があります。

暗号スイートのサポート

IOS ベースの IE デバイスは、GCM-AES-128 暗号スイート暗号化アルゴリズムをサポートしていますが、GCM-AES-256 暗号スイートはサポートしていません。

Ping の到達可能性

■Ping はデフォルトのインターフェイス設定（設定なし）で動作します。

■ MACsec ネットワークリンク が Mutual Key Agreement（MKA）なしで設定されている場合、Ping は機能しません。

■Ping は、MKA と MACsec ネットワークリンク がリンクの両側で設定されている場合に機能します。

■インターフェイスの一方の側で MACsec ネットワークリンク または MKA を削除すると、Ping は機能しません。

MKAでの MACsec/MACsec ネットワークリンクの使用

■ macsec network-link コマンドは、スイッチインターフェイスで MKA でのみ使用してください。MKA を指定せずに MACsec を設定すると、MKA セッションは表示されません。

■MACsec を有効にし、スイッチ間のリンクを保護するには、 MACsec ネットワークリンク を設定する必要があります。

MACsec/CTS マニュアルによるレイヤ 2 プロトコル

■PTP、PO、REP などのレイヤ 2 プロトコルは、リリース 15.2(8)E5 以前のバージョンの MACsec と互換性がありました。リリース 15.2(8)E6 以降、レイヤ 2 プロトコルは、ネットワークリンクが保護され、キーチェーンクレデンシャルがデバイスで設定されている場合にのみ機能します。

■レイヤ 2 プロトコルは、ネットワークリンクが MKA または SAP PMK によって保護され、 macsec network-link または cts manual コマンドを使用して設定されている場合にのみ機能します。

■MACsec ネットワークリンクがリンクの一方の端でのみ設定されている場合、MACsec トラフィックは通過せず、プロトコルの組み合わせは機能しません。

■MACsec ネットワークリンクが両方のエンドで設定されている場合、MACsec トラフィックと、統合されたプロトコル機能が送信されます（MKA または SAP PMK がネットワークを保護するために使用される場合）。

キーサーバー優先順位に関する観測

デフォルトのキーサーバー優先順位は 0 に設定されています。明示的に設定されていない場合、デフォルトは 0 になります。

たとえば、Device1 はキーサーバー優先順位 9 に設定され、Device2 はキーサーバー優先順位 10 に設定されます。優先順位値が小さいほど、スイッチがキーサーバーになる優先順位が高くなります。この例では、キーサーバーは show mka session コマンドの出力で Device1 と正しく表示されます（キーサーバーフィールドに「yes」が表示される）。Device1 がキーサーバー優先順位 9 として設定され、Device2 に優先順位が設定されていない場合、優先順位のない Device2（デフォルトは 0）のキーサーバー優先順位が高いと見なされるため、キーサーバーが正しく表示されません。

MACSEC+ MKA 単方向/双方向トラフィックスループット

IE 4000、IE 4010、および IE 5000 の MACSec にはオーバーヘッドがあり、暗号化されていない Layer2 フレームと比較してスループットが低下します。オーバーヘッドは、小さなフレーム（64 バイト）で約 28%、大きなフレーム（1472 バイト）で 2% です。

64 バイトフレームの最大レート 100% で 28% のトラフィック低下が予想されます。したがって、最大レートが 72% の場合、トラフィック損失は発生しません。次の表に、トラフィックのフレームレート損失を示します。

MKA-PSK：CKN 動作の変更

IOS XE を実行している Cisco スイッチと相互運用するには、CKN 設定にゼロが付加されている必要があります。Cisco IOS XE Everest リリース 16.6.1 以降では、MKA-PSK セッションで、固定 32 バイトの代わりに、接続アソシエーション キー名（CKN）は、このキーの 16 進文字列として設定されている文字列とまったく同じ文字列を CKN として使用します。

設定例：

上記の例で、 show mka session コマンドの出力を次に示します。

CKN キー文字列は、16 進数文字列としてキーに設定されたものとまったく同じであることに注意してください。

一方で CKN 動作が変更され、もう一方で CKN 動作が変更されていない 2 つのイメージ間の相互運用性の場合、キーの 16 進数文字列は 64 文字の 16 進数文字列である必要があります。この文字列は、CKN 動作が変更されたイメージを持つデバイスで動作するようにゼロパディングされている必要があります。次の例を参照してください。

CKN キー文字列の動作が変更されていない設定：

出力：

CKN キー文字列の動作が変更された設定：

出力：

PSK ベース MKA に関する情報

IE スイッチは、スイッチ間のリンクを相互接続するために、ペアワイズマスターキー（PMK）セキュリティ アソシエーション プロトコル（SAP）ベースの MACsec サポートをサポートしています。PMK キーは、スイッチ コンフィギュレーションから静的に取得するか（手動モード）、または dot1X ネゴシエーション中に RADIUS サーバから取得する（動的モード）ことができます。SAP はシスコの独自プロトコルであるため、手動モードではスイッチからホストへの MACsec 接続はサポートされません。

IE スイッチは、スイッチからホストへのリンク上の MACSec で MKA をサポートしています。ここでは、dot1x 認証後に RADIUS サーバからキーが取得されます。ただし、Cisco IOS リリース 15.2(7)E1a より前の IE スイッチプラットフォーム（Cisco IOS を実行）では、手動で設定した PSK キーがサポートされていませんでした。Catalyst IE 3x00 プラットフォーム（Cisco IOS XE を実行）では、スイッチ間接続の場合はスイッチ設定から静的に導出されたキー、およびスイッチからホストへのリンクの場合は RADIUS サーバから動的に導出されたキーの MACsec に対して、PSK ベース MKA のサポートがあります。

Catalyst IE 3x00 プラットフォームには、MACsec の PMK SAP ベースのサポートはありません。したがって、Catalyst IE 3x00 プラットフォームとの相互運用性を確保するために、Cisco IOS ベースの IE スイッチでは MACsec に PSK 機能が追加されます。

PSK ベース MKA の設定

IE 4000、IE 4010、および IE 5000 スイッチで PSK ベース MKA を設定するには、このセクションの手順に従ってください。

MKA の設定

MACsec Key Agreement（MKA）は、キー管理パラメータの設定と制御を可能にします。MKA を設定するには、次のタスクを実行します。

例

show mka policy コマンドを使用して、設定を確認できます。次に、 show コマンドの出力例を示します。

インターフェイスでの MACsec および MKA の設定

インターフェイスで MACsec と MKA を設定するには、次のタスクを実行します。

MKA 事前共有キーの設定

MACsec Key Agreement（MKA）事前共有キーを設定するには、次のタスクを実行します。

証明書ベース MACsec 暗号化の前提条件

■証明書ベースの MACsec 暗号化は、IE4000、IE4010、および IE5000 でサポートされています。

■認証局（CA）サーバーがネットワークに設定されていることを確認します。

■CA 証明書を生成します。

■Cisco Identity Services Engine（ISE）リリース 2.0 が設定されていることを確認します。『Cisco Identity Services Engine リリース 2.3 管理者ガイド』を参照してください。

■両方の参加デバイス（CA サーバーと Cisco Identity Services Engine（ISE））が Network Time Protocol（NTP）を使用して同期されていることを確認します。時間がすべてのデバイスで同期されていないと、証明書は検証されません。

■802.1x 認証と AAA がデバイスに設定されていることを確認します。

証明書ベース MACsec 暗号化の制約事項

■MKA は、ポート チャネルではサポートされていません。

■MKA のハイ アベイラビリティはサポートされません。

■インターフェイスから dot1x pae both を削除すると、dot1x に関連するすべての設定がインターフェイスから削除されます。

■証明書ベースの MACsec は、access-session host-mode が multiple-host モードで設定されている場合にのみサポートされます。その他のコンフィギュレーション モード（multi-auth、multi-domain、または single-host）はサポートされていません。

証明書ベース MACsec 暗号化に関する情報

MKA MACsec はスイッチ間リンクでサポートされます。Extensible Authentication Protocol（EAP-TLS）による IEE 802.1X ポートベース認証を使用して、デバイスのポート間の MKA MACsec を設定できます。EAP-TLS は相互認証を許可し、MSK（マスター セッション キー）を取得します。そのキーから、MKA プロトコル用の接続アソシエーション キー（CAK）が取得されます。デバイスの証明書は、AAA サーバーへの認証用に、EAP-TLS を使用して伝送されます。

リモート認証を使用して証明書ベースの MACsec 暗号化を設定する方法を含む、証明書ベースの MACsec 暗号化の詳細については、「 Certificate-based MACsec Encryption 」を参照してください。

リモート認証を使用した証明書ベース MACsec 暗号化の設定

リモート認証を使用して MACsec 暗号化を設定するには、次の手順に従います。

■手動での証明書登録の設定

■認証ポリシーの設定

■EAP-TLS プロファイルおよび IEEE 802.1x クレデンシャルの設定

■インターフェイスでの EAP-TLS を使用した MKA MACsec の設定

手動での証明書登録の設定

ルータと CA 間のネットワーク接続が不可能な場合は、次のタスクを実行して手動で証明書登録を設定します。

802.1x 認証の有効化と AAA の設定

EAP-TLS プロファイルと 802.1x クレデンシャルの設定

インターフェイスでの 802.1x MKA MACsec 設定の適用

EAP-TLS を使用して MKA MACsec をインターフェイスに適用するには、次のタスクを実行します。

証明書ベース MACsec 暗号化の確認

証明書ベースの MACsec 暗号化の設定を確認するには、次の show コマンドを使用します。次に、出力例を示します。

show access-session interface interface-id details は、指定されたインターフェイスのアクセスセッションに関する詳細情報を表示します。

証明書ベース MACsec 暗号化の設定例

例： 証明書の登録

暗号 PKI トラストポイントの設定：

ルート CA 証明書の手動インストール：

例：802.1x 認証の有効化と AAA の設定

例：EAP-TLS プロファイルと 802.1x クレデンシャルの設定

例：インターフェイスでの 802.1 X、PKI、および MACsec の設定の適用