Серверная Админа | Компьютерные сети: “👋 Привет, сетевой друг! Давай расскажу про MACsec (802.1AE)

👋

Привет, сетевой друг!

Давай расскажу про MACsec (802.1AE) - шифрование трафика на уровне L2 которое многие забывают настроить, даже когда оно уже доступно на железе.

🟣Зачем это: IPSec шифрует на L3 и выше, но между свитчами внутри дата-центра или на линках между офисами трафик на L2 часто идёт открытым текстом. Любой, кто получит физический доступ к кабелю или скомпрометирует промежуточное устройство может читать или подменять фреймы. MACsec шифрует каждый Ethernet-фрейм целиком ещё до того как он попадёт в IP-стек, и делает это на скорости линка без задержки которую дал бы IPSec.

🟣Настраиваем MACsec между двумя свитчами через статический ключ (для тестов и небольших окружений):

key chain MACSEC_KEY macsec
 key 1000
  cryptographic-algorithm aes-256-cmac
  key-string 0 1234567890ABCDEF1234567890ABCDEF

interface TenGigabitEthernet1/0/1
 macsec network-link
 mka policy MACSEC_KEY

network-link говорит, что это инфраструктурный линк между свитчами, а не подключение конечного устройства - меняет поведение MKA-протокола.

🟣Для продакшена используем MKA (MACsec Key Agreement) с динамической ротацией ключей через 802.1X вместо статики:

dot1x system-auth-control

interface TenGigabitEthernet1/0/1
 macsec
 mka policy DYNAMIC_MKA
 dot1x pae both
 authentication periodic
 authentication timer reauthenticate 3600

Ключи ротируются автоматически раз в час - компрометация одного ключа не даёт доступа к трафику до и после ротации.

🟣Проверяем что шифрование реально работает, а не просто сконфигурировано:

show macsec summary
show mka session
show mka session interface TenGigabitEthernet1/0/1 detail

mka session должна показывать Secured как статус. Если видите Pending дольше нескольких секунд - проблема в key chain или несовпадении политик на двух концах.

🟣Смотрим реальную статистику шифрования и обнаруживаем атаки replay:

show macsec statistics interface TenGigabitEthernet1/0/1

Счётчик rx-pkts-late или integrity-check-failures растущий ненулевыми значениями - признак, что кто-то пытается инжектировать трафик в канал или физически вмешивается в линк.

🟣А критично это в дата-центрах с распределённой инфраструктурой, где кабели физически проходят через зоны с разным уровнем доступа, межофисные линки на арендованной инфраструктуре провайдера, где нельзя гарантировать, что никто не подключится к L2-сегменту, и любые среды с compliance-требованиями к шифрованию данных in-transit на всех уровнях, а не только на L3.

Серверная Админа | Zeroday | #Macsec