以太网安全依赖于高效的介质访问控制安全 (MACsec)

简介

为什么要对以太网流量进行加密

什么是 MACsec

OSI 堆栈安全协议和 MACsec 适用的情况

• TLS 于 1999 年制定，作为对 SSL 的增强，在 TCP/IP 的传输层（OSI 的第 4 层）实现。DTLS 最初于 2006 年 4 月通过 RFC 4347 提出，适用于数据报协议，例如 UDP/IP（也是第 4 层）。因此，它不仅局限于以太网，但一次只能保护单个数据流或一个通信通道。TLS 保护网络浏览器、客户端应用程序以及所有应用程序与云服务的通信。HTTPS 和 SSH 是可以利用 TLS 的其中两个协议，它们的实现完全在软件的控制范围内。
• IPsec：如果需要加密来保护网络（以及遍历 IP 协议的任何其他内容），则 IPsec 是理想之选。IPsec 在 OSI 堆栈的网络层（第 3 层）实现，通常作为 VPN 连接。IPsec 通常作为软件堆栈实现，由用户自愿使用。
• MACsec：当需要对所有以太网流量，无论涉及的上层协议如何，都进行加密时，则需要在硬件级别（链路或媒体访问层 2）执行加密。好消息是，这正是 MACsec（也称为 IEEE 802.1AE）的作用所在。MACsec 用于保护网络到网络或设备到网络的连接。如果在更高层对加密施加控制，则以太网网络上的每个连接（主机到主机、主机到交换机或交换机到交换机）将遍历已加密和未加密的流量，但是，一旦链路启用了 MACsec，该连接上的所有流量都将受到保护，免遭窥探。与上层协议一样，MACsec 通过向以太网帧添加两个额外字段来提供加密和身份验证服务：| 安全标签，是 EtherType 字段的扩展，也用于 VLAN 标记

  | 消息身份验证代码 (ICV) 用于定义完整性检查值算法

• 第 1 步：使用预共享密钥 (PSK) 建立相互对等身份验证。
• 第 2 步：身份验证成功后，交换安全连接关联密钥名称 (CKN)，以在对等设备之间形成连接关联。MKA ICV 使用连接关联密钥 (CAK) 进行验证（该密钥实际上是私钥）。
• 第 3 步：两个端点的优先级值用于选择哪个设备成为密钥服务器，另一个设备则充当密钥客户端。
• 第 4 步：然后，密钥服务器生成安全关联密钥 (SAK) 并将其分发给密钥客户端（对等设备），以形成安全关联。

• 第 5 步：现在可以在对等设备之间交换加密数据了。

具有 MACsec 安全功能的新思科技以太网解决方案

• 符合 IEEE 802.1AE 标准
• 每帧安全处理，包括封装/解封装和帧验证
• 基于流水线 AES-GCM 加密的可扩展吞吐量，高达 100 Gbps 以上，而且延迟更低
• 模式| 加密/解密和身份验证| 仅身份验证
• 128 位和 256 位密钥大小
• 固定入口/出口延迟
• 符合 IEEE 802.1AEbn 标准的扩展数据包编号
• 巨型帧支持
• 安全标签插入和移除
• 可配置的安全通道和关联数量
• 可配置的重放保护窗口大小
• 可配置的偏移
• 可编程的机密性补偿
• 明确支持的 VLAN 标签

• 可选旁路模式

结语