什么是MACsec？
MACsec(Media Access Control Security)是基于802.1AE和802.1X协议的局域网上的安全通信方法。它通过身份认证、数据加密、完整性校验、重播保护等功能保证以太网数据帧的安全性，防止设备处理有安全威胁的报文。
为什么需要MACsec？
MACsec(Media Access Control Security)是基于802.1AE和802.1X协议的局域网上的安全通信方法。它通过身份认证、数据加密、完整性校验、重播保护等功能保证以太网数据帧的安全性，防止设备处理有安全威胁的报文。
一般情况下，绝大部分数据在局域网链路中都是以明文形式传输的，这样就会存在许多安全隐患，比如：银行帐户的信息被窃取、篡改，遭受恶意网络攻击等。网络中部署MACsec后，可对传输的以太网数据帧进行保护，降低信息泄露和遭受恶意网络攻击的风险。
- 数据加密：MACsec使用AES-CMAC算法加密。发送方对数据进行加密，数据以密文的形式在局域网链路上传输，接收方对接收的加密数据解密后再进行其他处理。
- 完整性校验：接收方对接收的数据进行完整性校验，以判定数据是否被篡改。发送方根据整个数据报文和加密算法计算出完整性校验值ICV(Integrity Check Value)，附加在报文后，接收方收到报文后根据除去ICV部分的数据报文和相同的加密算法计算出ICV，同报文中的ICV比较。若二者相同，则认为报文完整，校验通过；否则，丢弃报文。
- 重播保护：为防止恶意用户通过重复发送捕获到的数据报文进行网络攻击，缺省情况下，接收方会丢弃重复或乱序的数据报文。数据报文在网络中传输时，可能出现报文顺序的重排。重播保护机制允许数据帧有一定的乱序，这些乱序的报文在用户指定的窗口范围内可以被合法接收，超出窗口的报文会被丢弃。假设配置的重播保护窗口大小为a，如果接收到了一个报文序号为x的报文，则下一个允许被接收的报文的序号必须大于或等于x+1-a。
MACsec应用场景有哪些？
场景一：点到点传输数据
SwitchA和SwitchB之间传输重要数据，通过部署点到点的MACsec对数据进行安全保护。
配置点到点的MACsec功能实现安全通信
场景二：中间含透传设备的点到点传输数据
SwitchA和SwitchB之间存在透传交换机SwitchC、SwitchD和SwitchE，SwitchA和SwitchB之间部署点到点的MACsec对数据进行安全保护。为保证SwitchA和SwitchB能够进行MACsec会话协商，需要透传交换机支持二层协议透明传输功能。
配置点到点的MACsec功能实现安全通信（中间有透传设备）
MACsec是如何工作的？
MACsec安全通道的建立和管理以及MACsec所使用密钥的协商由MKA（MACsec Key Agreement）协议负责。下面介绍MKA协议工作过程中涉及的基本概念：
- CA（Secure Connectivity Association）是由密钥协商协议负责建立和维护的安全关联，是局域网上支持MACsec的两个或两个以上使用相同密钥和密钥算法套件的成员的集合。CA成员使用的密钥称为CAK（Secure Connectivity Association Key）。MACsec主要应用在点对点组网的环境中，即从一台设备的接口到另一台设备的接口的组网，所以主要使用成对CAK。两个相连的设备组成一个CA，它们使用相同的CAK。
- SA（Secure Association）是保证CA成员之间数据帧安全传输的安全关系。每个SA都有一个或一组加密数据帧的密钥，称为SAK（Secure Association Key）。SAK由算法根据CAK生成，用于数据报文的加密和解密。
运行机制
点到点的MACsec交互过程主要分为三个阶段：会话协商、安全通信和会话保活。
MACsec的交互过程
点到点的MACsec交互过程：
会话协商
两端设备的接口开启MACsec功能后，根据优先级选举出密钥服务器（Key Server）。用户可以配置接口的优先级数值，数值越小优先级越高，优先级高的设备接口将被选举为密钥服务器。当双方优先级相同时，则比较接口的SCI（Secure Channel Identifier）值，SCI由接口MAC地址和接口索引（Interface Index）的最后两个字节组成，SCI值小的接口将被选举为密钥服务器。
两端设备静态配置相同的CAK，密钥服务器根据静态配置的CAK生成用于加密数据报文的SAK，分发给对端设备。
安全通信
发送方使用SAK加密数据报文，接收方使用SAK解密数据报文。两端设备既可以作为发送方，也可以作为接收方，通信过程都受到MACsec保护。
用户还可以配置SAK的超时时间，当SAK的使用时间达到超时时间或SAK加密报文达到一定数量，则更换SAK，确保密钥的安全性。
会话保活
MKA协议定义了一个MKA会话保活定时器，用来规定MKA会话的超时时间。MKA会话协商成功后，两端设备会通过交互MKA协议报文确认连接的存在。设备收到对端MKA协议报文后，启动定时器。- 如果在该超时时间内收到对端的MKA协议报文，则重启定时器。
- 如果在该超时时间内未收到对端的MKA协议报文，则认为该连接已不安全，删除对端设备，重新进行MKA协商。
- 作者： 付丽
- 最近更新： 2022-11-09
- 浏览次数： 14955
- 平均得分：
