本ページの製品は2024年4月1日より、エフサステクノロジーズ株式会社に統合となり、順次、切り替えを実施してまいります。一部、富士通表記が混在することがありますので、ご了承ください。
MetroCluster マニュアル ( CA08871-401 )
Cisco 9336CスイッチでのMACsec暗号化の設定
必要に応じて、サイト間で使用するWAN ISLポートにMACsec暗号化を設定できます。正しいRCFファイルを適用してから、MACsecを設定する必要があります。
|
Note
|
MACsec暗号化を適用できるのは、WAN ISLポートのみです。 |
Cisco 9336CスイッチでのMACsec暗号化の設定
MACsec暗号化は、サイト間で使用するWAN ISLポートのみに設定する必要があります。正しいRCFファイルを適用してから、MACsecを設定する必要があります。
MACsecのライセンス要件
MACsecにはセキュリティ ライセンスが必要です。Cisco NX-OSのライセンス体系の詳細や、ライセンスの取得方法と申請方法については、『Cisco NX-OS Licensing Guide』を参照してください。
MetroCluster IP構成でのCisco MACsec暗号化WAN ISLの有効化
MetroCluster IP構成のWAN ISLで、Cisco 9336CスイッチのMACsec暗号化を有効にできます。
-
グローバル設定モードに切り替えます。
configure terminalIP_switch_A_1# configure terminal IP_switch_A_1(config)#
-
デバイスでMACsecとMKAを有効にします。
feature macsecIP_switch_A_1(config)# feature macsec
-
実行中の設定をスタートアップ設定にコピーします。
copy running-config startup-configIP_switch_A_1(config)# copy running-config startup-config
MACsecキー チェーンとキーの設定
構成上にMACsecキー チェーンやキーを作成できます。
キーの有効期間とヒットレス キー ロールオーバー
MACsecキー チェーンには、それぞれのキーIDと有効期間（オプション）を設定した、複数の事前共有キー（PSK）を含めることができます。キーの有効期間によって、キーがいつアクティブになり、いつ期限切れになるかが指定されます。有効期間が設定されていない場合の、デフォルトの有効期間は無期限です。有効期間が設定されている場合、有効期限になると、MKAによりキー チェーン内で次に設定されている事前共有キーへのロールオーバーが行われます。キーのタイムゾーンは、ローカルにもUTCにもできます。デフォルトのタイムゾーンはUTCです。キー チェーンに2番目のキーを設定し、最初のキーに有効期間を設定していると、同じキー チェーン内の2番目のキーにキーをロールオーバーできます。最初のキーの有効期限になると、自動的にリスト内の次のキーにロールオーバーされます。リンクの両側で同じキーが同時に設定されている場合、ヒットレス キー ロールオーバーが行われます（トラフィックの中断なしでキーがロールオーバーされます）。
-
グローバル設定モードに切り替えます。
configure terminalIP_switch_A_1# configure terminal IP_switch_A_1(config)#
-
暗号化されたキーのオクテット文字列を非表示にするには、
show running-configコマンドとshow startup-configコマンドで出力される文字列をワイルドカード文字に置き換えます。IP_switch_A_1(config)# key-chain macsec-psk no-show
Noteオクテット文字列は、設定をファイルに保存する際にも非表示になります。 デフォルトでは、PSKキーは暗号化された形式で表示され、簡単に復号化できます。このコマンドは、MACsecキー チェーンにのみ適用されます。
-
一連のMACsecキーを格納するためのMACsecキー チェーンを作成し、MACsecキー チェーンの設定モードを開始します。
key chain name macsecIP_switch_A_1(config)# key chain 1 macsec IP_switch_A_1(config-macseckeychain)#
-
MACsecキーを作成し、MACsecキーの設定モードを開始します。
key key-idキー文字列の範囲は1～32桁の16進数で、最大は64文字です。
IP_switch_A_1 switch(config-macseckeychain)# key 1000 IP_switch_A_1 (config-macseckeychain-macseckey)#
-
キーのオクテット文字列を設定します。
key-octet-string octet-string cryptographic-algorithm AES_128_CMAC | AES_256_CMACIP_switch_A_1(config-macseckeychain-macseckey)# key-octet-string abcdef0123456789abcdef0123456789abcdef0123456789abcdef0123456789 cryptographic-algorithm AES_256_CMAC
Noteオクテット文字列の引数には、最大64文字の16進文字を使用できます。オクテット キーは内部的にエンコードされるため、 show running-config macsecコマンドの出力にクリアテキストのキーが表示されることはありません。 -
キーの送信有効期間（秒単位）を設定します。
send-lifetime start-time duration durationIP_switch_A_1(config-macseckeychain-macseckey)# send-lifetime 00:00:00 Oct 04 2020 duration 100000
デフォルトでは、デバイスは開始時間をUTCとして扱います。start-time引数は、キーがアクティブになる日時です。duration引数は、有効期間の長さ（秒単位）です。指定できる最大の期間は2147483646秒（約68年）です。
-
実行中の設定をスタートアップ設定にコピーします。
copy running-config startup-configIP_switch_A_1(config)# copy running-config startup-config
-
キー チェーンの設定を表示します。
show key chain nameIP_switch_A_1(config-macseckeychain-macseckey)# show key chain 1
MACsecポリシーの設定
-
グローバル設定モードに切り替えます。
configure terminalIP_switch_A_1# configure terminal IP_switch_A_1(config)#
-
MACsecポリシーを作成します。
macsec policy nameIP_switch_A_1(config)# macsec policy abc IP_switch_A_1(config-macsec-policy)#
-
GCM-AES-128、GCM-AES-256、GCM-AES-XPN-128、GCM-AES-XPN-256のうち、いずれかの暗号を設定します。
cipher-suite nameIP_switch_A_1(config-macsec-policy)# cipher-suite GCM-AES-256
-
キー交換中にピア間の関係が解除されるように、キー サーバーの優先度を設定します。
key-server-priority numberswitch(config-macsec-policy)# key-server-priority 0
-
セキュリティ ポリシーを設定して、データと制御パケットの処理を定義します。
security-policy security policy次のオプションからセキュリティ ポリシーを選択します。
-
must-secure — MACsecヘッダーが含まれないパケットが廃棄されます。
-
should-secure — MACsecヘッダーが含まれないパケットが許可されます（デフォルト値）。
IP_switch_A_1(config-macsec-policy)# security-policy should-secure
-
-
リプレイ保護ウィンドウを設定して、セキュリティ保護されているインターフェイスが、設定されたウィンドウ サイズ未満のパケットを受け入れないようにします。
window-size numberNoteリプレイ保護ウィンドウ サイズは、MACsecが受け入れ、破棄しない非連続フレーム数の最大値を表します。指定できる範囲は0～596000000です。 IP_switch_A_1(config-macsec-policy)# window-size 512
-
SAKキーの変更を強制する時間を秒単位で設定します。
sak-expiry-time timeこのコマンドを使用すると、予測可能な間隔でセッション キーを変更できます。デフォルトは0です。
IP_switch_A_1(config-macsec-policy)# sak-expiry-time 100
-
暗号化が開始されるレイヤー2フレームに、次のいずれかの機密性オフセットを設定します。
conf-offsetconfidentiality offset次のいずれかのオプションを選択します。
-
CONF-OFFSET-0
-
CONF-OFFSET-30
-
CONF-OFFSET-50
IP_switch_A_1(config-macsec-policy)# conf-offset CONF-OFFSET-0
Noteこのコマンドは、MPLSタグのようなパケット ヘッダー（DMAC、smac、etype）を使用するために中間スイッチで必要になる場合があります。
-
-
実行中の設定をスタートアップ設定にコピーします。
copy running-config startup-configIP_switch_A_1(config)# copy running-config startup-config
-
MACsecポリシーの設定を表示します。
show macsec policyIP_switch_A_1(config-macsec-policy)# show macsec policy
インターフェイスでのCisco MACsec暗号化の有効化
-
グローバル設定モードに切り替えます。
configure terminalIP_switch_A_1# configure terminal IP_switch_A_1(config)#
-
MACsec暗号化を設定したインターフェイスを選択します。
インターフェイスの種類とIDを指定できます。イーサネット ポートには、イーサネット スロット / ポートを使用します。
IP_switch_A_1(config)# interface ethernet 1/15 switch(config-if)#
-
インターフェイスに設定するキー チェーンとポリシーを追加し、MACsecの設定に追加します。
macsec keychain keychain-name policy policy-nameIP_switch_A_1(config-if)# macsec keychain 1 policy abc
-
MACsec暗号化を設定するすべてのインターフェイスについて、手順1と2を繰り返します。
-
実行中の設定をスタートアップ設定にコピーします。
copy running-config startup-configIP_switch_A_1(config)# copy running-config startup-config
MetroCluster IP構成でのCisco MACsec暗号化WAN ISLの無効化
MetroCluster IP構成のWAN ISLで、Cisco 9336CスイッチのMACsec暗号化を無効にする必要が生じる場合があります。
-
グローバル設定モードに切り替えます。
configure terminalIP_switch_A_1# configure terminal IP_switch_A_1(config)#
-
デバイスのMACsec設定を無効にします。
macsec shutdownIP_switch_A_1(config)# macsec shutdown
Note「 no」のオプションを選択すると、MACsecの機能が再開されます。 -
MACsecをすでに設定しているインターフェイスを選択します。
インターフェイスの種類とIDを指定できます。イーサネット ポートには、イーサネット スロット / ポートを使用します。
IP_switch_A_1(config)# interface ethernet 1/15 switch(config-if)#
-
インターフェイスに設定されているキー チェーンとポリシーを削除し、MACsecの設定を削除します。
no macsec keychain keychain-name policy policy-nameIP_switch_A_1(config-if)# no macsec keychain 1 policy abc
-
MACsecが設定されているすべてのインターフェイスについて、手順3と4を繰り返します。
-
実行中の設定をスタートアップ設定にコピーします。
copy running-config startup-configIP_switch_A_1(config)# copy running-config startup-config
MACsec構成の確認
-
構成内の2つ目のスイッチで上記の手順をすべて繰り返して、MACsecセッションを確立します。
-
次のコマンドを実行して、両方のスイッチで正常に暗号化が行われていることを確認します。
-
次のコマンドを実行します：
show macsec mka summary -
次のコマンドを実行します：
show macsec mka session -
次のコマンドを実行します：
show macsec mka statistics以下のコマンドを使用して、MACsecの設定を確認できます。
コマンド
表示される情報
show macsec mka session interface typeslot/port number特定のインターフェイスかすべてのインターフェイスのMACsec MKAセッション
show key chain nameキー チェーンの設定
show macsec mka summaryMACsec MKA構成
show macsec policy policy-name特定またはすべてのMACsecポリシーの設定
-
