Rotierende CAKs für Direct Link Dedicated mit MACsec

Regelmäßiges Rotieren der Schlüssel hilft Ihnen, Industriestandards und kryptografische Best Practices zu erfüllen.

Wenn Ihr CAK-Material in HPCS gespeichert ist, schließen Sie Ihre Migration zu Secrets Manager bis zum 31. Dezember 2026 ab – zu diesem Zeitpunkt wird die Erstellung neuer HPCS-basierter Schlüssel unter Direct Link eingestellt. Da die Umstellung einen kurzen, geplanten Neustart der Sitzung pro Verbindung beinhaltet, können Sie durch frühzeitige Planung jede Änderung in ein normales Wartungsfenster einplanen, anstatt die Verschlüsselung und die Routing-Authentifizierung unter Termindruck vor Ablauf der Löschfrist am 28. März 2027 nachbessern zu müssen.

Zentrale Konzepte

  • Primärer CAK – Der Schlüssel, den beide Seiten zum Aufbau der MACsec-Sitzung verwenden.
  • Fallback-CAK (optional) – Ein Sicherheitsnetz, das nur dann zum Einsatz kommt, wenn mit dem primären CAK keine Sitzung hergestellt werden kann.
  • SAK – Der kurzlebige Secure Association Key, der vom CAK abgeleitet wird und Ihren Datenverkehr verschlüsselt. Es verlängert sich automatisch.
  • Secrets Manager oder HPCS – Wo Ihr CAK-Material in IBM Cloud gespeichert ist. Direct Link ruft diese sicher ab und programmiert sie auf der IBM-Seite; Schlüsselmaterial wird niemals unverschlüsselt übertragen.

Vorbereitende Schritte

  • Erstellen Sie das neue CAK-Material sicher vor Ort.
  • Halten Sie eine Secrets Manager- oder HPCS-Instanz bereit, um die Daten zu speichern.
  • Falls Ihr Gerät einen SAK-Ablauf-Timer verwendet, sollten Sie diesen während der Rotation anhalten.

Wenn Ihre MACsec-Sicherheitsrichtlinie auf eingestellt ist must secure, planen Sie ein Wartungsfenster für die Rotation ein. Ein unerwarteter Fehler beim Aufbau einer Sitzung während der Rotation kann zu Frame-Verlusten führen.

Rotieren des primären CAK für Direct Link Dedicated mit MACsec

Wenn Sie Direct Link Dedicated mit MACsec verwenden, gehen Sie wie folgt vor, um den primären Connectivity Association Key (CAK) zu drehen. Wenn dieses Verfahren ordnungsgemäß durchgeführt wird, kommt es nicht zu Paketverlusten. Sie können jedoch einen optionalen Fallback-CAK konfigurieren, der übernimmt, wenn der Aufbau einer Sitzung mit dem primären CAK unerwartet fehlschlägt.

  1. Deaktivieren Sie vorübergehend den Ablauftimer für den sicheren Assoziationsschlüssel (SAK) auf Ihrem Gerät, falls dieser eingestellt ist. Dies trägt dazu bei, SAK-Erneuerungsfehler aufgrund einer Fehlanpassung des Primärschlüssels bei Peers während der Rotation zu vermeiden.

    Möglicherweise müssen Sie einige Minuten warten, bevor Sie mit dem nächsten Schritt fortfahren können. Einzelheiten finden Sie im Handbuch Ihres Geräts.

  2. Konfigurieren Sie den neuen primären CAK-Namen und das Material auf Ihrem Gerät. Ihr Gerät versucht, eine neue MACsec-Sitzung mit dem neuen primären CAK aufzubauen. Da die Gegenstelle ( IBM device) jedoch noch nicht aktualisiert wurde, bleibt die Sitzung im Zustand init.

    Die bestehende MACsec-Sitzung wird nicht unterbrochen und bleibt mit dem alten primären CAK gesichert.

  3. Speichern Sie das in Schritt 2 verwendete primäre CAK-Material in der Instanz Secrets Manager oder HPCS.

  4. Aktualisieren Sie den primären CAK unter Direct Link, indem Sie den CAK-Namen und die CRN-Nummer des Secrets Manager- oder HPCS-Schlüssels angeben, die das Material enthält. IBM Direct Link Ruft das aktualisierte CAK-Material sicher ab und konfiguriert es unter dem angegebenen Namen auf dem Cross-Connect-Switch (XCS) IBM, der mit Ihrem Gerät verbunden ist.

    Sie können diesen Schritt über die Konsole, die CLI oder die API ausführen:

    • Konsole: Öffnen Sie Ihre dedizierte Instanz von Direct Link, wählen Sie die Registerkarte MACsec aus, suchen Sie den Schlüssel in der Tabelle Connectivity Association Key (CAK) und wählen Sie im Menü Aktionen die Option Rotieren aus.

    Beispiel: Rotation des CAK in der IBM Cloud-KonsoleBeispiel
    : Rotation des CAK in der IBM Cloud-Konsole

    • CLI: Aktualisieren Sie den CAK des Gateways mit dem Befehl ibmcloud dl und übergeben Sie dabei den neuen CAK-Namen sowie die CRN des Secrets Manager- oder HPCS-Schlüssels.
    • API: Senden Sie eine PATCH-Anfrage an die MACsec-CAK-Ressource des Gateways mit dem CAK-Namen und der Schlüssel-CRN.

  5. Warten Sie, bis die neue MACsec-Sitzung mit dem neuen Schlüssel aufgebaut ist.

    Möglicherweise müssen Sie nach dem Aufbau einer Sitzung einige Minuten warten, bevor Sie mit dem nächsten Schritt fortfahren können. Einzelheiten finden Sie im Handbuch Ihres Geräts.

  6. Löschen Sie den alten primären CAK von Ihrem Gerät. Wenn Sie den SAK-Ablauftimer verwenden, aktivieren Sie ihn wieder auf Ihrem Gerät.

    IBM macht dasselbe auf dem XCS.

IBM aktionen, die den Schritten in diesem Verfahren entsprechen, werden ausgelöst, wenn Sie den primären CAK aktualisieren.

Rotieren des Fallback-CAK für Direct Link Dedicated mit MACsec

Die Verwendung eines Fallback-CAK ist optional. Wenn Sie einen Ausweich-CAK konfigurieren, müssen Sie ihn möglicherweise auch regelmäßig rotieren. Um verworfene Frames zu vermeiden, wird empfohlen, den Fallback-CAK nur zu wechseln, wenn eine MACsec-Sitzung mit dem primären CAK aufgebaut wird. Da der Fallback-CAK nur dann verwendet wird, wenn eine Sitzung mit dem primären CAK nicht aufgebaut werden kann, ist der Prozess der Rotation des Fallback-CAK einfacher.

Bei diesem Verfahren wird davon ausgegangen, dass ein neues Fallback-CAK-Material sicher vor Ort generiert wird.

  1. Löschen Sie den alten Fallback-CAK und konfigurieren Sie den neuen Fallback-CAK-Namen und das Material auf Ihrem Gerät.
  2. Speichern Sie das in Schritt 1 verwendete CAK-Material für den Fall eines Ausfalls in der Secrets Manager- oder HPCS-Instanz.
  3. Wechseln Sie den Fallback-CAK in Direct Link über die Konsole, die CLI oder die API aus, indem Sie den CAK-Namen und die Schlüssel-CRN angeben. IBM Direct Link Ruft den neuen CAK sicher ab und konfiguriert ihn auf dem XCS, der mit Ihrem Gerät gekoppelt ist.