목차

소개

사전 요구 사항

요구 사항

사용되는 구성 요소

배경 정보

구성

네트워크 다이어그램

설정

1단계: 기본 디바이스 컨피그레이션

2단계: MACsec 키 체인 구성

3단계: MKA 정책 구성

4단계: 인터페이스 및 하위 인터페이스 레벨에서 MACsec 구성

물리적 인터페이스 레벨에서 적용된 명령

하위 인터페이스 레벨에서 적용된 명령

다음을 확인합니다.

관련 정보

소개

이 문서에서는 하위 인터페이스를 사용하여 Cisco Catalyst 8500 플랫폼에서 WAN MACsec(Media Access Control Security)을 구성하는 프로세스에 대해 설명합니다.

사전 요구 사항

요구 사항

다음 주제에 대한 지식을 보유하고 있으면 유용합니다.

- WAN, VLAN, 암호화를 비롯한 고급 네트워킹 개념

- MACsec(IEEE 802.1AE) 및 키 관리(IEEE 802.1X-2010) 이해

- Cisco IOS® XE 명령줄 인터페이스(CLI) 숙지

사용되는 구성 요소

이 문서의 정보는 다음 소프트웨어 및 하드웨어 버전을 기반으로 합니다.

- Cisco Catalyst 8500 Series Edge Platform

- Cisco IOS XE 버전 17.14.01a

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우 모든 명령의 잠재적인 영향을 미리 숙지하시기 바랍니다.

배경 정보

WAN MACsec은 MACsec의 기능을 활용하여 WAN 네트워크 전체에서 네트워크 트래픽을 보호하도록 설계된 보안 솔루션입니다. 통신 사업자 네트워크를 사용하여 데이터를 교환할 때 변조 방지를 위해 전송 중인 데이터를 암호화하는 것이 중요합니다. WAN MACsec은 구축 및 관리가 용이하여 도청 및 중간자(man-in-the-middle) 공격과 같은 데이터 조작으로부터 네트워크 트래픽을 보호해야 하는 조직에 적합합니다. 또한 끊김 없는 회선 속도(line-rate) 암호화를 제공하여 데이터가 통신 사업자 네트워크, 클라우드 환경, 엔터프라이즈 네트워크 등 다양한 네트워크 인프라를 통과할 때 안전하게 보호되고 손상되지 않도록 보장합니다.

WAN MACsec 솔루션

IEEE 802.1AE 표준에 의해 정의된 MACsec은 약간의 기록을 공유하기 위해 이더넷 프레임에 대한 데이터 기밀성, 무결성 및 원본 신뢰성을 보장함으로써 이더넷 네트워크에서 안전한 통신을 제공합니다. MACsec은 OSI(Open Systems Interconnection) 모델의 데이터 링크 레이어(레이어 2)에서 작동하여 이더넷 프레임을 암호화하고 인증하여 노드 간 통신을 보호합니다. 원래 LAN용으로 설계된 MACsec은 WAN 구축도 지원하도록 발전했습니다. 고속 네트워크에 중요한 라인 레이트 암호화를 통해 지연 시간과 오버헤드를 최소화합니다.

IEEE 802.1X-2010은 포트 기반 네트워크 액세스 제어를 정의하는 원래 IEEE 802.1X 표준의 개정판입니다. 2010 개정판에는 MACsec 구현에서 암호화 키를 관리하는 데 필수적인 MKA(MACsec Key Agreement) 프로토콜이 도입되었습니다. MKA는 MACsec에서 데이터를 암호화 및 암호 해독하는 데 사용하는 암호화 키의 배포 및 관리를 처리합니다. MKA는 MACsec 구축을 위한 멀티벤더 상호운용성에 기여하는 표준으로, 동적 WAN 환경에서 지속적인 보안을 유지하는 데 필수적인 안전한 키 교환 및 키 재설정 메커니즘을 지원합니다.

WAN MACsec 구축에서 IEEE 802.1AE(MACsec)는 데이터 링크 계층에서 기본 암호화 및 보안 메커니즘을 제공하여 모든 이더넷 프레임이 네트워크를 통과할 때 보호되도록 합니다. MKA 프로토콜을 사용하는 IEEE 802.1X-2010은 MACsec이 작동하는 데 필요한 암호화 키를 배포하고 관리하는 중요한 작업을 처리합니다. 이러한 표준은 WAN MACsec이 WAN 네트워크 전반에 걸쳐 강력한 고속 암호화를 제공하여 전송 중인 데이터를 포괄적으로 보호하면서 상호운용성과 관리 용이성을 유지할 수 있도록 합니다.

WAN 환경의 고유한 과제를 해결하기 위해 기존 MACsec 구축에서 몇 가지 기능이 개선되었습니다.

- 지우기의 802.1Q 태그: 이 기능을 사용하면 802.1Q VLAN 태그를 암호화된 MACsec 헤더 외부에 노출할 수 있으므로, 특히 공용 이더넷 전송 환경에서 더욱 유연한 네트워크 설계를 촉진할 수 있습니다. 이 기능은 MACsec을 캐리어 이더넷 서비스와 통합하는 데 필수적입니다. 동일한 네트워크에서 암호화 트래픽과 비암호화 트래픽을 공존시켜 네트워크 아키텍처를 간소화하고 비용을 절감할 수 있기 때문입니다.

- PMC(Public Carrier Ethernet)를 통한 적응력: 최신 WAN MACsec 구현은 공용 캐리어 이더넷 서비스에 적응할 수 있습니다. 이러한 적응성에는 EAPoL(Ethernet Authentication Protocol over LAN) 대상 주소 및 이더 타입 수정이 포함되며, 이를 통해 MACsec이 캐리어 이더넷 네트워크에서 원활하게 작동하여 이러한 프레임을 사용하거나 차단할 수 있습니다.

WAN MACsec은 이더넷 암호화의 상당한 진보를 나타내며, 고속 보안 WAN 연결에 대한 증가하는 요구를 해결합니다. 또한 유선 속도 암호화, 유연한 네트워크 설계 지원, 공용 캐리어 서비스에 대한 적응성을 제공할 수 있어 최신 네트워크 보안 아키텍처의 중요한 구성 요소가 됩니다. 조직은 WAN MACsec을 활용하여 고속 WAN 링크의 강력한 보안을 달성하는 동시에 네트워크 아키텍처를 간소화하고 운영 복잡성을 줄일 수 있습니다.

구성

네트워크 다이어그램

WAN MACsec 토폴로지

설정

1단계: 기본 디바이스 컨피그레이션

컨피그레이션을 시작하려면 먼저 트래픽 세그멘테이션 및 서비스 공급자와의 연결에 사용할 하위 인터페이스를 정의해야 합니다. 이 시나리오에서는 서브넷 172.16.1.0/24에 연결된 VLAN 100 및 서브넷 172.16.2.0/24에 연결된 VLAN 200에 대해 두 개의 하위 인터페이스가 정의됩니다(나중에 하나의 하위 인터페이스만 MACsec으로 구성됩니다).

CE 8500-1

CE 8500-2

interface FortyGigabitEthernet0/2/4.100

encapsulation dot1Q 100

ip address 172.16.1.1 255.255.255.0

!

interface FortyGigabitEthernet0/2/4.200

encapsulation dot1Q 200

ip address 172.16.2.1 255.255.255.0

interface FortyGigabitEthernet0/2/0.100

encapsulation dot1Q 100

ip address 172.16.1.2 255.255.255.0

!

interface FortyGigabitEthernet0/2/0.200

encapsulation dot1Q 200

ip address 172.16.2.2 255.255.255.0

2단계: MACsec 키 체인 구성

IEEE 802.1X-2010 표준에서는 MACsec 암호화 키를 PSK(Pre-Shared Key)에서 802.1X EAP(Extensible Authentication Protocol)로 파생하거나 MKA 키 서버에서 선택 및 배포할 수 있음을 명시합니다. 이 예에서는 PSK가 사용되고 MACsec 키 체인을 통해 수동으로 구성되며, 이는 MACsec에서 사용되는 다른 모든 암호화 키를 파생시키는 데 사용되는 기본 키인 CAK(Connectivity Association Key)와 동일합니다.

CE 8500-1

CE 8500-2

8500-1#configure terminal

8500-1(config)#key chain keychain_vlan100 macsec

8500-1(config-keychain-macsec)#key 01

8500-1(config-keychain-macsec-key)#cryptographic-algorithm aes-256-cmac

8500-1(config-keychain-macsec-key)#key-string a5b2df4657bd8c02fcdaaf1212fe27ccc54626ad12d7c3b64c7a93e0113011e1

8500-1(config-keychain-macsec-key)#lifetime 00:00:00 Jun 1 2024 duration 864000

8500-1(config-keychain-macsec-key)#key 02

8500-1(config-keychain-macsec-key)#cryptographic-algorithm aes-256-cmac

8500-1(config-keychain-macsec-key)#key-string b5b2df4657bd8c02fcdaaf1212fe27ccc54626ad12d7c3b64c7a93e0113011e2

8500-1(config-keychain-macsec-key)#lifetime 23:00:00 Jun 1 2024 infinite

8500-1(config-keychain-macsec-key)#exit

8500-1(config-keychain-macsec)#exit

8500-2#configure terminal

8500-2(config)#key chain keychain_vlan100 macsec

8500-2(config-keychain-macsec)#key 01

8500-2(config-keychain-macsec-key)#cryptographic-algorithm aes-256-cmac

8500-2(config-keychain-macsec-key)#key-string a5b2df4657bd8c02fcdaaf1212fe27ccc54626ad12d7c3b64c7a93e0113011e1

8500-2(config-keychain-macsec-key)#lifetime 00:00:00 Jun 1 2024 duration 864000

8500-2(config-keychain-macsec-key)#key 02

8500-2(config-keychain-macsec-key)#cryptographic-algorithm aes-256-cmac

8500-2(config-keychain-macsec-key)#key-string b5b2df4657bd8c02fcdaaf1212fe27ccc54626ad12d7c3b64c7a93e0113011e2

8500-2(config-keychain-macsec-key)#lifetime 23:00:00 Jun 1 2024 infinite

8500-2(config-keychain-macsec-key)#exit

8500-2(config-keychain-macsec)#exit

참고: MACsec 키 체인을 구성하는 동안 키 문자열은 16진수로만 구성되어야 하며, aes-128-cmac 암호화 알고리즘에는 32개의 16진수 키가 필요하고, aes-256-cmac 암호화 알고리즘에는 64개의 16진수 키가 필요합니다.

참고: 여러 키를 사용하는 경우 지정된 키 수명이 만료된 후 히트리스 키 롤오버를 수행하려면 키 간에 겹치는 기간이 필요합니다.

경고: 두 라우터의 시계가 동기화되도록 하는 것이 중요합니다. 따라서 NTP(Network Time Protocol)를 사용하는 것이 좋습니다. 이렇게 하지 않으면 MKA 세션 설정을 방해하거나 향후 실패할 수 있습니다.

3단계: MKA 정책 구성

기본 MKA 정책은 초기 설정 및 단순 네트워크에 유용할 수 있지만, 일반적으로 특정 보안, 규정준수 및 성능 요구 사항을 충족하기 위해 WAN MACsec에 대한 사용자 지정 MKA 정책을 구성하는 것이 좋습니다. 맞춤형 정책을 통해 유연성과 제어력이 향상되어 네트워크 보안이 견고해지고 요구 사항에 맞게 맞춤화됩니다.

MKA 정책을 구성할 때 키 서버 우선순위, MACsec MKPDU(Key Agreement Packet Data Unit) 지연 보호, 암호 그룹 등 선택할 수 있는 여러 가지 요소가 있습니다. 이 플랫폼 및 소프트웨어 버전에서는 다음 암호를 사용할 수 있습니다.

MACsec 암호

설명

gcm-aes-128

128비트 키를 사용하는 AES(Advanced Encryption Standard)를 사용하는 GCM(Galois/Counter Mode)

gcm-aes-256

256비트 키를 사용하는 AES가 포함된 GCM(Galois/Counter Mode)(높은 암호화 강도)

gcm-aes-xpn-128

128비트 키를 사용하는 AES와 XPN(Extended Packet Numbering)을 사용하는 GCM(Galois/Counter Mode)

gcm-aes-xpn-256

256비트 키를 사용하는 AES가 포함된 GCM(Galois/Counter Mode), XPN(높은 암호화 강도)

참고: XPN은 더 긴 패킷 번호 지정을 지원하여 GCM-AES 암호를 개선하며, 이는 매우 오래 지속되는 세션 또는 높은 처리량의 환경에 대한 보안을 향상시킵니다. 고속 링크(예: 40Gb/s 또는 100Gb/s)를 사용하면 키 롤오버 시간이 매우 짧을 수 있습니다. 일반적으로 전송되는 패킷 수를 기반으로 하는 MACsec 프레임 내의 PN(Packet Number)이 이러한 속도로 빠르게 소진될 수 있기 때문입니다. XPN은 패킷 번호 지정 시퀀스를 확장하므로 대용량 링크에서 발생할 수 있는 SAK(Security Association Key) rekey가 필요하지 않습니다.

이 예에서 MKA 정책에 대해 선택한 암호는 gcm-aes-xpn-256이며, 다른 요소는 기본값을 갖습니다.

CE 8500-1

CE 8500-2

8500-1#configure terminal

Enter configuration commands, one per line.  End with CNTL/Z.

8500-1(config)#mka policy subint100

8500-1(config-mka-policy)#macsec-cipher-suite gcm-aes-xpn-256

8500-1(config-mka-policy)#end

8500-2#configure terminal

Enter configuration commands, one per line.  End with CNTL/Z.

8500-2(config)#mka policy subint100

8500-2(config-mka-policy)#macsec-cipher-suite gcm-aes-xpn-256

8500-2(config-mka-policy)#end

4단계: 인터페이스 및 하위 인터페이스 레벨에서 MACsec 구성

이 시나리오에서는 물리적 인터페이스가 IP 주소로 구성되지 않더라도 일부 macsec 명령을 이 수준에서 적용하여 솔루션이 작동해야 합니다. MACsec 정책 및 키 체인은 하위 인터페이스 레벨에서 적용됩니다(컨피그레이션 예 참조).

CE 8500-1

CE 8500-2

8500-1#configure terminal

8500-1(config)#interface FortyGigabitEthernet0/2/4

8500-1(config-if)#mtu 9216

8500-1(config-if)#cdp enable

8500-1(config-if)#macsec dot1q-in-clear 1

8500-1(config-if)#macsec access-control should-secure

8500-1(config-if)#exit

8500-1(config)#interface FortyGigabitEthernet0/2/4.100

8500-1(config-if)#eapol destination-address broadcast-address

8500-1(config-if)#eapol eth-type 876F

8500-1(config-if)#mka policy subint100

8500-1(config-if)#mka pre-shared-key key-chain keychain_vlan100

8500-1(config-if)#macsec

8500-2(config-if)#end

8500-2#configure terminal

8500-2(config)#interface FortyGigabitEthernet0/2/0

8500-2(config-if)#mtu 9216

8500-2(config-if)#cdp enable

8500-2(config-if)#macsec dot1q-in-clear 1

8500-2(config-if)#macsec access-control should-secure

8500-2(config-if)#exit

8500-1(config)#interface FortyGigabitEthernet0/2/0.100

8500-2(config-if)#eapol destination-address broadcast-address

8500-2(config-if)#eapol eth-type 876F

8500-2(config-if)#mka policy subint100

8500-2(config-if)#mka pre-shared-key key-chain keychain_vlan100

8500-2(config-if)#macsec

8500-2(config-if)#end

물리적 인터페이스 레벨에서 적용된 명령

a. 토폴로지에 사용된 통신 사업자가 점보 프레임을 허용하므로 MTU가 9216으로 설정되지만, 이는 요구 사항이 아닙니다

b. macsec dot1q-in-clear 명령을 사용하면 VLAN(dot1q) 태그를 암호화되지 않은 암호화되지 않은 암호화로 사용할 수 있습니다

c. macsec access-control should-secure 명령은 물리적 인터페이스 또는 하위 인터페이스에서 암호화되지 않은 패킷을 보내거나 받을 수 있게 합니다(일부 하위 인터페이스에서는 암호화가 필요하고 다른 인터페이스에서는 필요하지 않은 경우 이 명령은 MACsec이 활성화된 동일한 물리적 인터페이스에서 암호화되지 않은 패킷을 보내거나 받을 수 없도록 하는 기본 MACsec 동작 때문입니다)

하위 인터페이스 레벨에서 적용된 명령

a. 이제 eapol destination-address broadcast-address 명령은 EAPoL 프레임의 대상 MAC 주소(기본적으로 멀티캐스트 MAC 주소 01:80:C2:00:00:03)를 브로드캐스트 MAC 주소로 변경하여 서비스 공급자가 플러딩하고 삭제하거나 소비하지 않도록 해야 합니다.

b. eapol eth-type 876F 명령을 사용하여 EAPoL 프레임의 기본 이더넷 유형(기본적으로 0x888E)을 변경하고 이를 0x876F로 변경합니다. 이는 통신 사업자가 이러한 프레임을 삭제하거나 사용하지 못하도록 하기 위해 다시 필요합니다.

c. mka policy <policy name> 및 mka pre-shared-key key-chain <key chain name> 명령은 사용자 지정 정책 및 키 체인을 하위 인터페이스에 적용하는 데 사용됩니다.

d. 마지막으로 macsec 명령은 하위 인터페이스 수준에서 MACsec을 활성화합니다.

현재 설정에서는 이전 EAPoL 변경 없이 통신 사업자 측의 9500 스위치가 EAPoL 프레임을 전달하지 않았습니다.

참고: dot1q-in-clear 및 should-secure와 같은 MACsec 명령은 하위 인터페이스에서 상속됩니다. 또한 EAPoL 명령은 물리적 인터페이스 레벨에서 설정할 수 있으며 이러한 경우 하위 인터페이스에서도 상속됩니다. 그러나 하위 인터페이스에서 EAPoL 명령을 명시적으로 구성하면 해당 하위 인터페이스에 대해 상속된 값 또는 정책을 재정의합니다.

다음을 확인합니다.

컨피그레이션이 적용되면 다음 출력에서는 각 CE(Customer Edge) C8500 라우터의 관련 실행 중인 컨피그레이션을 보여줍니다(일부 컨피그레이션은 생략됨).

CE 8500-1

CE 8500-2

8500-1#show running-config

Building configuration...

Current configuration : 8792 bytes

!

!

version 17.14

service timestamps debug datetime msec

service timestamps log datetime msec

service call-home

platform qfp utilization monitor load 80

!

hostname 8500-1

!

boot-start-marker

boot system flash bootflash:c8000aep-universalk9.17.14.01a.SPA.bin

boot-end-marker

!

!

no logging console

no aaa new-model

!

!

key chain keychain_vlan100 macsec

key 01

cryptographic-algorithm aes-256-cmac

key-string a5b2df4657bd8c02fcdaaf1212fe27ccc54626ad12d7c3b64c7a93e0113011e1

lifetime 00:00:00 Jun 1 2024 duration 864000

key 02

cryptographic-algorithm aes-256-cmac

key-string b5b2df4657bd8c02fcdaaf1212fe27ccc54626ad12d7c3b64c7a93e0113011e2

lifetime 23:00:00 Jun 1 2024 infinite

!

!

!

!

!

!

license boot level network-premier addon dna-premier

!

!

spanning-tree extend system-id

!

mka policy subint100

macsec-cipher-suite gcm-aes-xpn-256

!

!

!

!

!

!

cdp run

!

!

!

!

interface Loopback100

ip address 192.168.100.10 255.255.255.0

!

interface Loopback200

ip address 192.168.200.10 255.255.255.0

!

!

interface FortyGigabitEthernet0/2/4

mtu 9216

no ip address

no negotiation auto

cdp enable

macsec dot1q-in-clear 1

macsec access-control should-secure

!

interface FortyGigabitEthernet0/2/4.100

encapsulation dot1Q 100

ip address 172.16.1.1 255.255.255.0

ip mtu 9184

eapol destination-address broadcast-address

eapol eth-type 876F

mka policy subint100

mka pre-shared-key key-chain keychain_vlan100

macsec

!

interface FortyGigabitEthernet0/2/4.200

encapsulation dot1Q 200

ip address 172.16.2.1 255.255.255.0

!

!

router eigrp 100

network 172.16.1.0 0.0.0.255

network 192.168.0.0 0.0.255.255

!

ip forward-protocol nd

!

!

!

control-plane

!

!

!

!

!

!

line con 0

exec-timeout 0 0

logging synchronous

stopbits 1

line aux 0

line vty 0 4

login

transport input ssh

!

!

!

!

!

!

end

8500-1#

8500-2#show running-config

Building configuration...

Current configuration : 8525 bytes

!

!

version 17.14

service timestamps debug datetime msec

service timestamps log datetime msec

service call-home

platform qfp utilization monitor load 80

!

hostname 8500-2

!

boot-start-marker

boot system flash bootflash:c8000aep-universalk9.17.14.01a.SPA.bin

boot-end-marker

!

!

no logging console

no aaa new-model

!

!

key chain keychain_vlan100 macsec

key 01

cryptographic-algorithm aes-256-cmac

key-string a5b2df4657bd8c02fcdaaf1212fe27ccc54626ad12d7c3b64c7a93e0113011e1

lifetime 00:00:00 Jun 1 2024 duration 864000

key 02

cryptographic-algorithm aes-256-cmac

key-string b5b2df4657bd8c02fcdaaf1212fe27ccc54626ad12d7c3b64c7a93e0113011e2

lifetime 23:00:00 Jun 1 2024 infinite

!

!

!

!

!

!

license boot level network-premier addon dna-premier

!

!

spanning-tree extend system-id

!

mka policy subint100

macsec-cipher-suite gcm-aes-xpn-256

!

!

!

!

!

!

cdp run

!

!

!

!

interface Loopback101

ip address 192.168.101.10 255.255.255.0

!

interface Loopback201

ip address 192.168.201.10 255.255.255.0

!

!

interface FortyGigabitEthernet0/2/0

mtu 9216

no ip address

no negotiation auto

cdp enable

macsec dot1q-in-clear 1

macsec access-control should-secure

!

interface FortyGigabitEthernet0/2/0.100

encapsulation dot1Q 100

ip address 172.16.1.2 255.255.255.0

ip mtu 9184

eapol destination-address broadcast-address

eapol eth-type 876F

mka policy subint100

mka pre-shared-key key-chain keychain_vlan100

macsec

!

interface FortyGigabitEthernet0/2/0.200

encapsulation dot1Q 200

ip address 172.16.2.2 255.255.255.0

!

!

router eigrp 100

network 172.16.1.0 0.0.0.255

network 192.168.0.0 0.0.255.255

!

ip forward-protocol nd

!

!

!

control-plane

!

!

!

!

!

!

line con 0

exec-timeout 0 0

logging synchronous

stopbits 1

line aux 0

line vty 0 4

login

transport input ssh

!

!

!

!

!

!

end

8500-2#

참고: MACsec을 활성화한 후 macsec 명령을 적용하면 해당 인터페이스의 MTU가 자동으로 조정되고 MACsec 오버헤드를 감안하기 위해 32바이트 감소됩니다.

다음으로 피어 간의 MACsec 상태를 확인하고 확인하는 데 사용할 수 있는 필수 명령 목록을 찾을 수 있습니다. 이 명령은 현재 MACsec 세션, 키 체인, 정책 및 통계에 대한 자세한 정보를 제공합니다.

- show mka sessions - 이 명령은 현재 MKA 세션 상태를 표시합니다.

- show mka sessions detail - 이 명령은 각 MKA 세션에 대한 자세한 정보를 제공합니다.

- show mka keychains - 이 명령은 MACsec 및 할당된 인터페이스에 사용되는 키 체인을 표시합니다.

- show mka policy - 이 명령은 적용된 정책, 사용된 인터페이스 및 암호 그룹을 표시합니다.

- show mka summary - 이 명령은 MKA 세션 및 통계의 요약을 제공합니다.

- show macsec statistics interface <interface name> - 이 명령은 지정된 인터페이스에 대한 MACsec 통계를 보여주며, 암호화된 트래픽이 송수신되고 있는지를 식별하는 데 도움이 됩니다.

CE 8500-1

CE 8500-2

8500-1#show mka sessions

Total MKA Sessions....... 1

Secured Sessions... 1

Pending Sessions... 0

====================================================================================================

Interface       Local-TxSCI          Policy-Name       Inherited          Key-Server

Port-ID         Peer-RxSCI           MACsec-Peers      Status             CKN

====================================================================================================

Fo0/2/4.100     78bc.1aac.1521/001a  subint100         NO                 NO

26              78bc.1aac.1420/001a  1                 Secured            02

8500-1#show mka sessions detail

MKA Detailed Status for MKA Session

===================================

Status: SECURED - Secured MKA Session with MACsec

TX-SSCI.................. 2

Local Tx-SCI............. 78bc.1aac.1521/001a

Interface MAC Address.... 78bc.1aac.1521

MKA Port Identifier...... 26

Interface Name........... FortyGigabitEthernet0/2/4.100

Audit Session ID.........

CAK Name (CKN)........... 02

Member Identifier (MI)... 8387013B6C4D6106D4443285

Message Number (MN)...... 439243

EAP Role................. NA

Key Server............... NO

MKA Cipher Suite......... AES-256-CMAC

Latest SAK Status........ Rx & Tx

Latest SAK AN............ 0

Latest SAK KI (KN)....... F5720CC2E83183F1E673DACD00000001 (1)

Old SAK Status........... FIRST-SAK

Old SAK AN............... 0

Old SAK KI (KN).......... FIRST-SAK (0)

SAK Transmit Wait Time... 0s (Not waiting for any peers to respond)

SAK Retire Time.......... 0s (No Old SAK to retire)

SAK Rekey Time........... 0s (SAK Rekey interval not applicable)

MKA Policy Name.......... subint100

Key Server Priority...... 0

Delay Protection......... NO

Delay Protection Timer.......... 0s (Not enabled)

Confidentiality Offset... 0

Algorithm Agility........ 80C201

SAK Rekey On Live Peer Loss........ NO

Send Secure Announcement.. DISABLED

SCI Based SSCI Computation.... NO

SAK Cipher Suite......... 0080C20001000004 (GCM-AES-XPN-256)

MACsec Capability........ 3 (MACsec Integrity, Confidentiality, & Offset)

MACsec Desired........... YES

# of MACsec Capable Live Peers............ 1

# of MACsec Capable Live Peers Responded.. 0

Live Peers List:

MI                        MN          Rx-SCI (Peer)        KS        RxSA          SSCI

Priority  Installed

---------------------------------------------------------------------------------------

F5720CC2E83183F1E673DACD  439222      78bc.1aac.1420/001a  0         YES            1

Potential Peers List:

MI                        MN          Rx-SCI (Peer)        KS        RxSA          SSCI

Priority  Installed

---------------------------------------------------------------------------------------

8500-1#show mka keychains

MKA PSK Keychain(s) Summary...

Keychain         Latest CKN                                                       Interface(s)

Name             Latest CAK                                                       Applied

===============================================================================================

keychain_vlan100 02                                                               Fo0/2/4.100

8500-1#

show mka policy

MKA Policy defaults :

Send-Secure-Announcements: DISABLED

MKA Policy Summary...

Codes : CO - Confidentiality Offset, ICVIND - Include ICV-Indicator,

SAKR OLPL - SAK-Rekey On-Live-Peer-Loss,

DP - Delay Protect, KS Prio - Key Server Priority

Policy            KS   DP    CO SAKR  ICVIND Cipher          Interfaces

Name              Prio          OLPL         Suite(s)        Applied

===============================================================================

*DEFAULT POLICY*  0    FALSE 0  FALSE TRUE   GCM-AES-128

GCM-AES-256

subint100         0    FALSE 0  FALSE TRUE   GCM-AES-XPN-256 Fo0/2/4.100

8500-1#

show mka summary

Total MKA Sessions....... 1

Secured Sessions... 1

Pending Sessions... 0

====================================================================================================

Interface       Local-TxSCI          Policy-Name       Inherited          Key-Server

Port-ID         Peer-RxSCI           MACsec-Peers      Status             CKN

====================================================================================================

Fo0/2/4.100     78bc.1aac.1521/001a  subint100         NO                 NO

26              78bc.1aac.1420/001a  1                 Secured            02

MKA Global Statistics

=====================

MKA Session Totals

Secured.................... 14

Fallback Secured........... 0

Reauthentication Attempts.. 0

Deleted (Secured).......... 13

Keepalive Timeouts......... 0

CA Statistics

Pairwise CAKs Derived...... 0

Pairwise CAK Rekeys........ 0

Group CAKs Generated....... 0

Group CAKs Received........ 0

SA Statistics

SAKs Generated.............. 0

SAKs Rekeyed................ 2

SAKs Received............... 18

SAK Responses Received...... 0

SAK Rekeyed as KN Mismatch.. 0

MKPDU Statistics

MKPDUs Validated & Rx...... 737255

"Distributed SAK"..... 18

"Distributed CAK"..... 0

MKPDUs Transmitted......... 738485

"Distributed SAK"..... 0

"Distributed CAK"..... 0

MKA Error Counter Totals

========================

Session Failures

Bring-up Failures................ 0

Reauthentication Failures........ 0

Duplicate Auth-Mgr Handle........ 0

SAK Failures

SAK Generation................... 0

Hash Key Generation.............. 0

SAK Encryption/Wrap.............. 0

SAK Decryption/Unwrap............ 0

SAK Cipher Mismatch.............. 0

CA Failures

Group CAK Generation............. 0

Group CAK Encryption/Wrap........ 0

Group CAK Decryption/Unwrap...... 0

Pairwise CAK Derivation.......... 0

CKN Derivation................... 0

ICK Derivation................... 0

KEK Derivation................... 0

Invalid Peer MACsec Capability... 0

MACsec Failures

Rx SC Creation................... 0

Tx SC Creation................... 0

Rx SA Installation............... 0

Tx SA Installation............... 0

MKPDU Failures

MKPDU Tx............................... 0

MKPDU Rx ICV Verification.............. 0

MKPDU Rx Fallback ICV Verification..... 0

MKPDU Rx Validation.................... 0

MKPDU Rx Bad Peer MN................... 0

MKPDU Rx Non-recent Peerlist MN........ 0

SAK USE Failures

SAK USE Latest KN Mismatch............. 0

SAK USE Latest AN not in USE........... 0

8500-1#

show macsec statistics interface Fo0/2/4.100

MACsec Statistics for FortyGigabitEthernet0/2/4.100

SecY Counters

Ingress Untag Pkts:       0

Ingress No Tag Pkts:      0

Ingress Bad Tag Pkts:     0

Ingress Unknown SCI Pkts: 0

Ingress No SCI Pkts:      0

Ingress Overrun Pkts:     0

Ingress Validated Octets: 0

Ingress Decrypted Octets: 11853398

Egress Untag Pkts:        0

Egress Too Long Pkts:     0

Egress Protected Octets:  0

Egress Encrypted Octets:  11782598

Controlled Port Counters

IF In Octets:             14146226

IF In Packets:            191065

IF In Discard:            0

IF In Errors:             0

IF Out Octets:            14063174

IF Out Packets:           190042

IF Out Errors:            0

Transmit SC Counters (SCI: 78BC1AAC1521001A)

Out Pkts Protected:       0

Out Pkts Encrypted:       190048

Transmit SA Counters (AN 0)

Out Pkts Protected:       0

Out Pkts Encrypted:       190048

Receive SA Counters (SCI: 78BC1AAC1420001A  AN 0)

In Pkts Unchecked:        0

In Pkts Delayed:          0

In Pkts OK:               191069

In Pkts Invalid:          0

In Pkts Not Valid:        0

In Pkts Not using SA:     0

In Pkts Unused SA:        0

In Pkts Late:             0

8500-2#show mka sessions

Total MKA Sessions....... 1

Secured Sessions... 1

Pending Sessions... 0

====================================================================================================

Interface       Local-TxSCI          Policy-Name       Inherited          Key-Server

Port-ID         Peer-RxSCI           MACsec-Peers      Status             CKN

====================================================================================================

Fo0/2/0.100     78bc.1aac.1420/001a  subint100         NO                 YES

26              78bc.1aac.1521/001a  1                 Secured            02

8500-2#show mka sessions detail

MKA Detailed Status for MKA Session

===================================

Status: SECURED - Secured MKA Session with MACsec

TX-SSCI.................. 1

Local Tx-SCI............. 78bc.1aac.1420/001a

Interface MAC Address.... 78bc.1aac.1420

MKA Port Identifier...... 26

Interface Name........... FortyGigabitEthernet0/2/0.100

Audit Session ID.........

CAK Name (CKN)........... 02

Member Identifier (MI)... F5720CC2E83183F1E673DACD

Message Number (MN)...... 438678

EAP Role................. NA

Key Server............... YES

MKA Cipher Suite......... AES-256-CMAC

Latest SAK Status........ Rx & Tx

Latest SAK AN............ 0

Latest SAK KI (KN)....... F5720CC2E83183F1E673DACD00000001 (1)

Old SAK Status........... FIRST-SAK

Old SAK AN............... 0

Old SAK KI (KN).......... FIRST-SAK (0)

SAK Transmit Wait Time... 0s (Not waiting for any peers to respond)

SAK Retire Time.......... 0s (No Old SAK to retire)

SAK Rekey Time........... 0s (SAK Rekey interval not applicable)

MKA Policy Name.......... subint100

Key Server Priority...... 0

Delay Protection......... NO

Delay Protection Timer.......... 0s (Not enabled)

Confidentiality Offset... 0

Algorithm Agility........ 80C201

SAK Rekey On Live Peer Loss........ NO

Send Secure Announcement.. DISABLED

SCI Based SSCI Computation.... NO

SAK Cipher Suite......... 0080C20001000004 (GCM-AES-XPN-256)

MACsec Capability........ 3 (MACsec Integrity, Confidentiality, & Offset)

MACsec Desired........... YES

# of MACsec Capable Live Peers............ 1

# of MACsec Capable Live Peers Responded.. 1

Live Peers List:

MI                        MN          Rx-SCI (Peer)        KS        RxSA          SSCI

Priority  Installed

---------------------------------------------------------------------------------------

8387013B6C4D6106D4443285  438697      78bc.1aac.1521/001a  0         YES            2

Potential Peers List:

MI                        MN          Rx-SCI (Peer)        KS        RxSA          SSCI

Priority  Installed

---------------------------------------------------------------------------------------

8500-2#show mka keychains

MKA PSK Keychain(s) Summary...

Keychain         Latest CKN                                                       Interface(s)

Name             Latest CAK                                                       Applied

===============================================================================================

keychain_vlan100 02                                                               Fo0/2/0.100

8500-2#

show mka policy

MKA Policy defaults :

Send-Secure-Announcements: DISABLED

MKA Policy Summary...

Codes : CO - Confidentiality Offset, ICVIND - Include ICV-Indicator,

SAKR OLPL - SAK-Rekey On-Live-Peer-Loss,

DP - Delay Protect, KS Prio - Key Server Priority

Policy            KS   DP    CO SAKR  ICVIND Cipher          Interfaces

Name              Prio          OLPL         Suite(s)        Applied

===============================================================================

*DEFAULT POLICY*  0    FALSE 0  FALSE TRUE   GCM-AES-128

GCM-AES-256

subint100         0    FALSE 0  FALSE TRUE   GCM-AES-XPN-256 Fo0/2/0.100

8500-2#

show mka summary

Total MKA Sessions....... 1

Secured Sessions... 1

Pending Sessions... 0

====================================================================================================

Interface       Local-TxSCI          Policy-Name       Inherited          Key-Server

Port-ID         Peer-RxSCI           MACsec-Peers      Status             CKN

====================================================================================================

Fo0/2/0.100     78bc.1aac.1420/001a  subint100         NO                 YES

26              78bc.1aac.1521/001a  1                 Secured            02

MKA Global Statistics

=====================

MKA Session Totals

Secured.................... 8

Fallback Secured........... 0

Reauthentication Attempts.. 0

Deleted (Secured).......... 7

Keepalive Timeouts......... 0

CA Statistics

Pairwise CAKs Derived...... 0

Pairwise CAK Rekeys........ 0

Group CAKs Generated....... 0

Group CAKs Received........ 0

SA Statistics

SAKs Generated.............. 13

SAKs Rekeyed................ 4

SAKs Received............... 0

SAK Responses Received...... 12

SAK Rekeyed as KN Mismatch.. 0

MKPDU Statistics

MKPDUs Validated & Rx...... 524753

"Distributed SAK"..... 0

"Distributed CAK"..... 0

MKPDUs Transmitted......... 524796

"Distributed SAK"..... 12

"Distributed CAK"..... 0

MKA Error Counter Totals

========================

Session Failures

Bring-up Failures................ 0

Reauthentication Failures........ 0

Duplicate Auth-Mgr Handle........ 0

SAK Failures

SAK Generation................... 0

Hash Key Generation.............. 0

SAK Encryption/Wrap.............. 0

SAK Decryption/Unwrap............ 0

SAK Cipher Mismatch.............. 0

CA Failures

Group CAK Generation............. 0

Group CAK Encryption/Wrap........ 0

Group CAK Decryption/Unwrap...... 0

Pairwise CAK Derivation.......... 0

CKN Derivation................... 0

ICK Derivation................... 0

KEK Derivation................... 0

Invalid Peer MACsec Capability... 0

MACsec Failures

Rx SC Creation................... 0

Tx SC Creation................... 0

Rx SA Installation............... 1

Tx SA Installation............... 0

MKPDU Failures

MKPDU Tx............................... 0

MKPDU Rx ICV Verification.............. 0

MKPDU Rx Fallback ICV Verification..... 0

MKPDU Rx Validation.................... 0

MKPDU Rx Bad Peer MN................... 0

MKPDU Rx Non-recent Peerlist MN........ 0

SAK USE Failures

SAK USE Latest KN Mismatch............. 0

SAK USE Latest AN not in USE........... 0

8500-2#

show macsec statistics interface Fo0/2/0.100

MACsec Statistics for FortyGigabitEthernet0/2/0.100

SecY Counters

Ingress Untag Pkts:       0

Ingress No Tag Pkts:      0

Ingress Bad Tag Pkts:     0

Ingress Unknown SCI Pkts: 0

Ingress No SCI Pkts:      0

Ingress Overrun Pkts:     0

Ingress Validated Octets: 0

Ingress Decrypted Octets: 11767966

Egress Untag Pkts:        0

Egress Too Long Pkts:     0

Egress Protected Octets:  0

Egress Encrypted Octets:  11838828

Controlled Port Counters

IF In Octets:             14045710

IF In Packets:            189805

IF In Discard:            0

IF In Errors:             0

IF Out Octets:            14128836

IF Out Packets:           190832

IF Out Errors:            0

Transmit SC Counters (SCI: 78BC1AAC1420001A)

Out Pkts Protected:       0

Out Pkts Encrypted:       190834

Transmit SA Counters (AN 0)

Out Pkts Protected:       0

Out Pkts Encrypted:       190834

Receive SA Counters (SCI: 78BC1AAC1521001A  AN 0)

In Pkts Unchecked:        0

In Pkts Delayed:          0

In Pkts OK:               189812

In Pkts Invalid:          0

In Pkts Not Valid:        0

In Pkts Not using SA:     0

In Pkts Unused SA:        0

In Pkts Late:             0

서로 다른 하위 인터페이스에서 성공적으로 연결하고 192.168.0.0/16 서브넷 간의 연결도 성공했습니다. 다음 ping 테스트에서는 성공적인 연결을 보여줍니다.

8500-1#ping 172.16.1.2

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 172.16.1.2, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

8500-1#ping 172.16.2.2

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 172.16.2.2, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

8500-1#ping 192.168.101.10 source 192.168.100.10

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.101.10, timeout is 2 seconds:

Packet sent with a source address of 192.168.100.10

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

8500-1#

PE(Provider Edge) 디바이스의 ICMP 테스트에서 패킷을 캡처한 후 암호화된 프레임과 암호화되지 않은 프레임을 비교할 수 있습니다. 이더넷 외부 MAC 헤더는 두 프레임에서 동일하며 dot1q 태그가 표시됩니다. 그러나 암호화된 프레임에는 0x88E5(MACsec)의 EtherType이 표시되고, 암호화되지 않은 프레임에는 ICMP 프로토콜 정보와 함께 0x0800(IPv4)의 EtherType이 표시됩니다.

암호화된 프레임 VLAN 100

암호화되지 않은 프레임 VLAN 200

F241.03.03-9500-1#show monitor capture cap buffer detail | begin Frame 80

Frame 80: 150 bytes on wire (1200 bits), 150 bytes captured (1200 bits) on interface /tmp/epc_ws/wif_to_ts_pipe, id 0

Interface id: 0 (/tmp/epc_ws/wif_to_ts_pipe)

Interface name: /tmp/epc_ws/wif_to_ts_pipe

Encapsulation type: Ethernet (1)

Arrival Time: Jul 29, 2024 23:50:16.528191000 UTC

[Time shift for this packet: 0.000000000 seconds]

Epoch Time: 1722297016.528191000 seconds

[Time delta from previous captured frame: 0.224363000 seconds]

[Time delta from previous displayed frame: 0.224363000 seconds]

[Time since reference or first frame: 21.989269000 seconds]

Frame Number: 80

Frame Length: 150 bytes (1200 bits)

Capture Length: 150 bytes (1200 bits)

[Frame is marked: False]

[Frame is ignored: False]

[Protocols in frame: eth:ethertype:vlan:ethertype:macsec:data]

Ethernet II, Src: 78:bc:1a:ac:15:21 (78:bc:1a:ac:15:21), Dst: 78:bc:1a:ac:14:20 (78:bc:1a:ac:14:20)

Destination: 78:bc:1a:ac:14:20 (78:bc:1a:ac:14:20)

Address: 78:bc:1a:ac:14:20 (78:bc:1a:ac:14:20)

.... ..0. .... .... .... .... = LG bit: Globally unique address (factory default)

.... ...0 .... .... .... .... = IG bit: Individual address (unicast)

Source: 78:bc:1a:ac:15:21 (78:bc:1a:ac:15:21)

Address: 78:bc:1a:ac:15:21 (78:bc:1a:ac:15:21)

.... ..0. .... .... .... .... = LG bit: Globally unique address (factory default)

.... ...0 .... .... .... .... = IG bit: Individual address (unicast)

Type: 802.1Q Virtual LAN (0x8100)

802.1Q Virtual LAN, PRI: 0, DEI: 0, ID: 100

000. .... .... .... = Priority: Best Effort (default) (0)

...0 .... .... .... = DEI: Ineligible

.... 0000 0110 0100 = ID: 100

Type: 802.1AE (MACsec) (0x88e5)

802.1AE Security tag

0010 11.. = TCI: 0x0b, VER: 0x0, SC, E, C

0... .... = VER: 0x0

.0.. .... = ES: Not set

..1. .... = SC: Set

...0 .... = SCB: Not set

.... 1... = E: Set

.... .1.. = C: Set

.... ..00 = AN: 0x0

Short length: 0

Packet number: 147

System Identifier: 78:bc:1a:ac:15:21 (78:bc:1a:ac:15:21)

Port Identifier: 26

ICV: 2b80cff435c7ef5a8d21b473b998cfb4

Data (102 bytes)

0000  99 53 71 3e f6 c7 9b bb 00 21 68 48 d6 ca 26 af   .Sq>.....!hH..&.

0010  80 a5 76 40 19 c9 45 97 b3 5a 48 d3 2d 30 72 a6   ..v@..E..ZH.-0r.

0020  96 47 6e a7 4c 30 90 e5 70 10 80 e8 68 00 5f ad   .Gn.L0..p...h._.

0030  7f dd 4a 70 a8 46 00 ef 7d 56 fe e2 66 ba 6c 1b   ..Jp.F..}V..f.l.

0040  3a 07 44 4e 5e e7 04 cb cb f4 03 71 8d 40 da 55   :.DN^......q.@.U

0050  9f 1b ef a6 3a 1e 42 c7 05 e6 9e d0 39 6e b7 3f   ....:.B.....9n.?

0060  f2 82 cf 66 f2 5b                                 ...f.[

Data: 9953713ef6c79bbb00216848d6ca26af80a5764019c94597b^@&

[Length: 102]

F241.03.03-9500-1#show monitor capture cap buff detail | begin Frame 126

Frame 126: 118 bytes on wire (944 bits), 118 bytes captured (944 bits) on interface /tmp/epc_ws/wif_to_ts_pipe, id 0

Interface id: 0 (/tmp/epc_ws/wif_to_ts_pipe)

Interface name: /tmp/epc_ws/wif_to_ts_pipe

Encapsulation type: Ethernet (1)

Arrival Time: Jul 29, 2024 23:50:26.198492000 UTC

[Time shift for this packet: 0.000000000 seconds]

Epoch Time: 1722297026.198492000 seconds

[Time delta from previous captured frame: 0.280042000 seconds]

[Time delta from previous displayed frame: 0.280042000 seconds]

[Time since reference or first frame: 31.659570000 seconds]

Frame Number: 126

Frame Length: 118 bytes (944 bits)

Capture Length: 118 bytes (944 bits)

[Frame is marked: False]

[Frame is ignored: False]

[Protocols in frame: eth:ethertype:vlan:ethertype:ip:icmp:data]

Ethernet II, Src: 78:bc:1a:ac:15:21 (78:bc:1a:ac:15:21), Dst: 78:bc:1a:ac:14:20 (78:bc:1a:ac:14:20)

Destination: 78:bc:1a:ac:14:20 (78:bc:1a:ac:14:20)

Address: 78:bc:1a:ac:14:20 (78:bc:1a:ac:14:20)

.... ..0. .... .... .... .... = LG bit: Globally unique address (factory default)

.... ...0 .... .... .... .... = IG bit: Individual address (unicast)

Source: 78:bc:1a:ac:15:21 (78:bc:1a:ac:15:21)

Address: 78:bc:1a:ac:15:21 (78:bc:1a:ac:15:21)

.... ..0. .... .... .... .... = LG bit: Globally unique address (factory default)

.... ...0 .... .... .... .... = IG bit: Individual address (unicast)

Type: 802.1Q Virtual LAN (0x8100)

802.1Q Virtual LAN, PRI: 0, DEI: 0, ID: 200

000. .... .... .... = Priority: Best Effort (default) (0)

...0 .... .... .... = DEI: Ineligible

.... 0000 1100 1000 = ID: 200

Type: IPv4 (0x0800)

Internet Protocol Version 4, Src: 172.16.2.1, Dst: 172.16.2.2

0100 .... = Version: 4

.... 0101 = Header Length: 20 bytes (5)

Differentiated Services Field: 0x00 (DSCP: CS0, ECN: Not-ECT)

0000 00.. = Differentiated Services Codepoint: Default (0)

.... ..00 = Explicit Congestion Notification: Not ECN-Capable Transport (0)

Total Length: 100

Identification: 0x0055 (85)

Flags: 0x0000

0... .... .... .... = Reserved bit: Not set

.0.. .... .... .... = Don't fragment: Not set

..0. .... .... .... = More fragments: Not set

Fragment offset: 0

Time to live: 255

Protocol: ICMP (1)

Header checksum: 0x5f20 [validation disabled]

[Header checksum status: Unverified]

Source: 172.16.2.1

Destination: 172.16.2.2

Internet Control Message Protocol

Type: 8 (Echo (ping) request)

Code: 0

Checksum: 0x6a4e [correct]

[Checksum Status: Good]

Identifier (BE): 17 (0x0011)

Identifier (LE): 4352 (0x1100)

Sequence number (BE): 0 (0x0000)

Sequence number (LE): 0 (0x0000)

Data (72 bytes)

0000  00 00 00 00 00 25 13 c6 ab cd ab cd ab cd ab cd   .....%..........

0010  ab cd ab cd ab cd ab cd ab cd ab cd ab cd ab cd   ................

0020  ab cd ab cd ab cd ab cd ab cd ab cd ab cd ab cd   ................

0030  ab cd ab cd ab cd ab cd ab cd ab cd ab cd ab cd   ................

0040  ab cd ab cd ab cd ab cd                           ........

Data: 00000000002513c6abcdabcdabcdabcdabcdabcdabcdabcdb^@&

[Length: 72]

관련 정보

- WAN MACSEC 및 MKA 지원 개선 사항

- 고속(1-100GE) WAN 구축을 보호하는 혁신적인 이더넷 암호화(802.1AE - MACsec)

- 라우터에서 WAN MACSEC 문제 해결