Überprüfung der Bereitschaft von MACsec-Geräten

Vergewissern Sie sich, dass Ihr MACsec-fähiges Gerät richtig konfiguriert ist und die erforderlichen Verschlüsselungsstandards (z. B. AES) für Ihr Netzwerk-Setup unterstützt. Vergewissern Sie sich, dass das Gerät über die erforderliche Hardware- und Softwareunterstützung für MACsec verfügt, und stellen Sie sicher, dass seine Ports oder Schnittstellen für die Verschlüsselung konfiguriert sind.

Arbeiten Sie mit Ihrem Netzwerkanbieter zusammen, um ein geeignetes Rechenzentrum oder einen Point of Presence ( PoP ) auszuwählen, und stellen Sie sicher, dass die notwendige Infrastruktur und die Netzwerkverbindungen vorhanden sind, um MACsec zu unterstützen. Stellen Sie außerdem sicher, dass ein Schlüsselverwaltungssystem für den sicheren Schlüsselaustausch vorhanden ist, und prüfen Sie die Auswirkungen auf die Leistung, um sicherzustellen, dass das Gerät die Verschlüsselung ohne Beeinträchtigung der Netzwerkgeschwindigkeit verarbeiten kann.

Vorbereitung auf den Schlüsselaustausch mit Secrets Manager

Konfigurieren Sie eine Secrets Manager-Instanz auf IBM Cloud, um die Verschlüsselungsschlüssel zu verwalten und sicherzustellen, dass Ihr Gerät für den sicheren Schlüsselaustausch bereit ist. Führen Sie hierzu die folgenden Schritte aus:

Stellen Sie sicher, dass Sie die folgenden Voraussetzungen erfüllt haben:

• Sie haben eine aktive Direct Link Dedicated-Verbindung mit aktiviertem MACsec.
• Sie haben Zugang zu einer Instanz von IBM Cloud Secrets Manager. Anweisungen dazu finden Sie unter Erstellen einer Secrets Manager Service-Instanz.
• Sie haben die notwendigen IAM-Berechtigungen, um Geheimnisse in Secrets Manager zu verwalten und Direct Link zu konfigurieren.
• CAK-Material muss die MACsec-Anforderungen an Länge und Format erfüllen, wie in den MACsec-Voraussetzungen und -Beschränkungen angegeben.

Führen Sie die folgenden Schritte aus, um den Schlüsselaustausch mit Secrets Manager vorzubereiten:

1. Erstellen Sie ein neues Geheimnis in Secrets Manager:

   1. Öffnen Sie Ihre Secrets Manager Instanz in der IBM Cloud Konsole und klicken Sie auf Geheimnis hinzufügen.
   2. Wählen Sie als Geheimnistyp Beliebiges Geheimnis.
   3. Geben Sie einen beschreibenden Namen für Ihren MACsec-Schlüssel ein (z. B. directlink-macsec-cak).
   4. Fügen Sie das CAK-Material in das Feld Geheimniswert ein oder laden Sie es hoch, und klicken Sie dann auf Hinzufügen, um das Geheimnis zu speichern.

2. Konfigurieren Sie den IAM-Zugang für Direct Link:

   1. Stellen Sie sicher, dass der Dienst Direct Link über die erforderliche IAM-Rolle verfügt, um Geheimnisse von Secrets Manager zu lesen.
   2. Weisen Sie der Direct Link Service-ID eine Leser- oder benutzerdefinierte Rolle zu, die auf die Secrets Manager Instanz, die den CAK enthält, beschränkt ist.

3. Bereiten Sie Direct Link für den MACsec-Schlüsselaustausch vor:

   1. Navigieren Sie zu Ihrer Direct Link Dedicated-Verbindung in der IBM Cloud Konsole und wählen Sie MACsec-Konfiguration.

   2. Wählen Sie im Abschnitt Connectivity Association Key (CAK) die Option Retrieve from Secrets Manager.

   3. Wählen Sie das zuvor erstellte Geheimnis, das Ihre CAK enthält.

      Bestätigen Sie, dass der geheime Wert den Anforderungen des MACsec-Formats entspricht, wie in MACsec-Voraussetzungen und -Einschränkungen angegeben.

   4. Klicken Sie auf Speichern oder Konfiguration übernehmen, um die Vorbereitung des Schlüsselaustauschs abzuschließen.

      Direct Link ruft das CAK-Material von Secrets Manager ab und verwendet es zur Konfiguration von MACsec für Ihre Verbindung.

4. Nachdem Sie das CAK-Geheimnis gespeichert haben, überprüfen Sie die MACsec-Konfiguration:

   1. Vergewissern Sie sich, dass der MACsec-Status im Direct Link Dashboard Active anzeigt.
   2. Überprüfen Sie, ob der Verbindungsstatus und die Verschlüsselungsstatistiken einen erfolgreichen Schlüsselaustausch anzeigen.

Sie sollten den Zugriff auf alle Schlüssel in der Instanz Secrets Manager gewähren; andernfalls müssen Sie jedes Mal eine neue Dienst-zu-Dienst-Autorisierung gewähren, wenn Sie einen anderen Schlüssel für Direct Link Dedicated mit MACsec verwenden möchten. Solange ein Schlüssel von Ihrem Gateway verwendet wird, sollte er nicht gelöscht werden, und die Dienst-zu-Dienst-Autorisierung darf nicht widerrufen werden.

Vorbereitung für den Schlüsselaustausch mit HPCS

Konfigurieren Sie eine HPCS-Instanz auf IBM Cloud, um die Verschlüsselungsschlüssel zu verwalten und sicherzustellen, dass Ihr Gerät für den sicheren Schlüsselaustausch bereit ist. Führen Sie hierzu die folgenden Schritte aus:

1. Erstellen Sie eine Hyper Protect Crypto Services (HPCS) Instanz auf dem Standardplan mit der Fähigkeit, Ihren eigenen Schlüssel zu behalten. Weitere Informationen finden Sie unter Bereitstellung von Service-Instanzen.

2. Initialisieren Sie die HPCS-Instanz und laden Sie die HauptschlüsselEin Verschlüsselungsschlüssel, der zum Schutz einer Verschlüsselungseinheit verwendet wird. Der Masterschlüssel bietet die volle Kontrolle über das Hardwaresicherheitsmodul und das Eigentumsrecht für die Vertrauens-Root (Root of Trust), die die Kettenschlüssel verschlüsselt, einschließlich des Rootschlüssels und des Standardschlüssels..

   Wenn Sie zum Beispiel die IBM Cloud Trusted Key Entry (TKE) CLI verwenden möchten, sind hier einige grundlegende Schritte beschrieben:

   • Stellen Sie die HPCS-Instanz über die CLI bereit.

   • Schlüsselschutz CLI einrichten.

   • Initialisieren Sie die HPCS-Instanz und laden Sie die Hauptschlüssel.

   • Nach der Einrichtung der HPCS-Instanz führen Sie die folgenden Befehle aus:

     export CLOUDTKEFILES=~/tke-files
     ibmcloud target -r us-south -g Default
     

   • Initialisieren Sie dann die HPCS-Instanz mit der folgenden Befehlsfolge:

     ibmcloud tke cryptounit-add
     ibmcloud tke sigkey-add
     ibmcloud tke sigkey-sel
     ibmcloud tke cryptounit-admin-add
     ibmcloud tke cryptounit-thrhld-set
     ibmcloud tke mk-add --random
     ibmcloud tke mk-add --random
     ibmcloud tke cryptounit-mk-load
     ibmcloud tke cryptounit-mk-load
     ibmcloud tke cryptounit-mk-commit
     ibmcloud tke cryptounit-mk-setimm
     

     Weitere Informationen finden Sie unter Erstellen und Importieren von Verschlüsselungsschlüsseln.

3. Fügen Sie nach der Initialisierung der HPCS-Instanz Standardschlüssel (mit der Option Schlüssel importieren ) für alle Schlüssel hinzu, die Sie mit MACsec verwenden wollen; fügen Sie z. B. einen Standardschlüssel für den primären CAK hinzu. Optional ist es eine gute Idee, MACsec mit einem Fallback-CAK zu konfigurieren. Zu diesem Zweck müssen Sie der HPCS-Instanz ebenfalls einen Ersatzschlüssel hinzufügen. Um einen Schlüssel hinzuzufügen, siehe Hyper Protect Crypto Services Katalogseite. Anweisungen finden Sie unter Erste Schritte mit „ IBM Cloud Hyper Protect Crypto Services “.

   Das von Ihnen gewählte Schlüsselmaterial muss bestimmten MACsec-Konventionen entsprechen. Das Schlüsselmaterial muss eine 64-stellige hexadezimale Zeichenfolge sein. Beachten Sie, dass Sie bei 32 Zeichen ein nachgestelltes „ 0000s ” hinzufügen können, um die Länge von 64 Zeichen zu erreichen. Um das Schlüsselmaterial in die HPCS-Instanz zu importieren, muss es „ base64-encoded “ sein.

   Dieser HPCS-Schlüssel wird als CAK-Wert verwendet. Bei der Konfiguration von MACsec werden Sie nach einem CAK-Namen gefragt, der mit diesem Schlüssel gekoppelt werden soll. Das gleiche Schlüssel-Wert-Paar muss im MACsec-Keystore auf dem Kundengerät konfiguriert werden.

   Sie müssen denselben Namen und dieselbe Schlüssel-Oktett-Zeichenkette (Wert) auf Ihrem Switch konfigurieren. Andernfalls schlägt die MACsec-Schlüsselaushandlung fehl.

4. Nachdem Sie die Schlüssel für Direct Link erstellt haben, müssen Sie IBM Cloud Identity and Access Management (IAM) verwenden, um die Berechtigung zwischen Ihrer Secrets Manager- oder HPCS-Instanz und dem Direct Link-Dienst zu erteilen. Anweisungen hierzu finden Sie unter Zugriffsberechtigungen zwischen Services mithilfe von Autorisierungen erteilen. Der Dienst Direct Link wird niemals auf einen anderen Schlüssel als den für die MACsec-Funktion verwendeten zugreifen.

   Aufgrund bekannter Einschränkungen müssen Sie den Zugriff auf der Ebene der HPCS-Instanz gewähren, wodurch der Dienst Direct Link Zugriff auf alle Schlüssel innerhalb dieser Instanz erhält.

   Sie sollten den Zugriff auf alle Schlüssel in der HPCS-Instanz gewähren; andernfalls müssen Sie jedes Mal eine neue Dienst-zu-Dienst-Autorisierung gewähren, wenn Sie einen anderen Schlüssel für Direct Link Dedicated mit MACsec verwenden möchten. Solange ein Schlüssel von Ihrem Gateway verwendet wird, sollte er nicht gelöscht werden, und die Dienst-zu-Dienst-Autorisierung darf nicht widerrufen werden.