Richtlinien und Einschränkungen für Direct Link Dedicated mit MACsec

Für MACsec for Direct Link Dedicated gelten die folgenden Richtlinien und Einschränkungen:

  • Die MACsec-Funktion wird nur auf dem Direct Link Dedicated-Angebot unterstützt
  • Direct Link unterstützt das MACsec Key Agreement (MKA) Protokoll
  • Mehrere MACsec-Peers (unterschiedliche SCI-Werte) für dieselbe Schnittstelle werden nicht unterstützt

Wichtige Einschränkungen

Ein Connectivity Association Key (CAK) besteht sowohl aus einem Namen als auch aus einem Material. Sowohl Name als auch Material müssen auf Ihrem MACsec-Gerät und dem IBM MACsec-Gerät übereinstimmen. Der CAK-Name wird dem Dienst direkt zur Verfügung gestellt, während das Material als importierter Schlüssel in einer Secrets Manager oder Hyper Protect Crypto Services (HPCS) Instanz gesichert werden muss. Sie müssen eine IAM-Dienst-zu-Dienst-Autorisierung konfigurieren, um dem Direct Link-Dienst den Zugriff auf Ihre Secrets Manager- oder HPCS-Instanz zu ermöglichen.

CAK-Namen müssen bestimmten MACsec-Namenskonventionen folgen. Der Name muss aus einer geraden Anzahl von hexadezimalen Zeichen (0-9, a-f, A-F) mit einer maximalen Länge von 64 Zeichen bestehen.

Sie müssen eindeutige CAK-Namen für jeden CAK, ob primär oder fallback, verwenden.

Das CAK-Material muss 64 hexadezimale Zeichen lang sein. Wenn Ihr generiertes Material weniger als 64 Zeichen hat, muss es mit Nullen aufgefüllt werden, bis es die erforderliche Länge erreicht. Das Material muss dann als Schlüssel in Ihre Secrets Manager oder HPCS-Instanz importiert werden.

Sie müssen base64-encode das Material, um es in Ihre Secrets Manager oder HPCS-Instanz zu importieren. Das unverschlüsselte Material wird auf dem MACsec-Gerät IBM konfiguriert.

Stellen Sie sicher, dass Sie die Option Schlüssel hinzufügen > Schlüssel importieren verwenden. Wenn Sie die Option Schlüssel erstellen verwenden, bricht die generierte Schlüsselkette die Prüfung der Schlüssellänge auf 64 Zeichen.

Fallback-Beschränkungen

  • Eine Fallback-MACsec-Sitzung wird nur initiiert, wenn die Peer-Geräte aufgrund einer CAK-Namens- oder Materialinkongruenz keine primäre Sitzung aufbauen können.

  • Während der Rotation des primären CAK wird die MACsec-Sitzung mit dem vorherigen primären CAK gesichert, bis sie mit dem neueren primären CAK gesichert werden kann. Wenn der neuere primäre CAK nicht übereinstimmt, bleiben die Geräte mit dem vorherigen primären CAK gesichert und leiten keine Ausweichsitzung ein.

  • Es wird nur ein einziger Fallback-CAK mit einer unbegrenzten Lebensdauer unterstützt. Mehrere Fallback-CAKs werden nicht unterstützt.

  • Sie können die Fallback-Konfiguration auf einer Schnittstelle nur dann entfernen, wenn Sie auch die gesamte MACsec-Konfiguration auf der Schnittstelle entfernen.

Einschränkung der MACsec-Richtlinie

  • Sie können eine bestehende MACsec-Richtlinie nicht ändern. Stattdessen müssen Sie eine neue MACsec-Richtlinie erstellen und sie der Schnittstelle zuordnen oder Sie können die MACsec-Richtlinie von der Schnittstelle entfernen, sie bearbeiten und sie dann erneut zuordnen. Jede Änderung der Richtlinie kann zu Störungen des Netzes führen.

  • BPDU-Pakete können übertragen werden, bevor eine MACsec-Sitzung sicher wird.

Einschränkung der Interoperabilität:

  • Peer-MACsec-Geräte müssen die XPN-Cipher-Suite unterstützen.