MACsec の設定

この章では、Cisco NX-OS デバイスに MACsec を設定する手順について説明します。

MACsec について

Media Access Control Security（MACsec）である IEEE 802.1AE と MACsec Key Agreement（MKA）プロトコルは、イーサネットリンク上でセキュアな通信を提供します。次の機能があります。

ラインレート暗号化機能を提供します。
レイヤ 2 で強力な暗号化を提供することで、データの機密性を確保します。
整合性チェックを行い、転送中にデータを変更できないことを保証します。
中央集中型ポリシーを使用して選択的に有効にでき、MACsec 非対応コンポーネントがネットワークにアクセスできるようにしながら、必要に応じて適用することができます。
レイヤ 2 ではホップバイホップベースでパケットを暗号化します。これにより、ネットワークは、既存のポリシーに従って、トラフィックを検査、モニタ、マーク、転送できます（エンドツーエンドレイヤ 3 暗号化技術とは異なり、パケットの内容をネットワークデバイスから非表示にします）

キーライフタイムおよびヒットレスキーロールオーバー

MACsec キーチェーンには、キー ID とオプションのライフタイムが設定された複数の事前共有キー（PSK）を含めることができます。キーのライフタイムでは、キーがいつ有効になり、いつ期限切れになるかが指定されます。ライフタイム設定が存在しない場合は、無期限のデフォルトライフタイムが使用されます。ライフタイムが設定されていて、ライフタイムの期限が切れると、MKA はキーチェーン内で次に設定された事前共有キーにロールオーバーします。キーのタイムゾーンは、ローカルまたは UTC を指定できます。デフォルトの時間帯は UTC です。

MACsec キーチェーンを設定するには、MACsec キーチェーンとキーの設定を参照してください。

（キーチェーン内で）2 番目のキーを設定し、最初のキーのライフタイムを設定することで、そのキーチェーン内の 2 番目のキーにロールオーバーできます。最初のキーのライフタイムが期限切れになると、リスト内の次のキーに自動的にロールオーバーします。同一のキーがリンクの両側で同時に設定されていた場合、キーのロールオーバーはヒットレスになります。つまり、キーはトラフィックを中断せずにロールオーバーされます。

フォールバックキー

MACsec セッションは、キー/キー名（CKN）のミスマッチで、またはスイッチとピア間のキーの期限が切れて、失敗する可能性があります。MACsec セッションが失敗した場合、フォールバックキーが設定されていれば、フォールバックセッションが引き継ぐことができます。フォールバックセッションは、プライマリセッションの障害によるダウンタイムを防止し、ユーザが障害の原因となっている主要な問題を修正できるようにします。フォールバックキーは、プライマリセッションの開始に失敗した場合のバックアップセッションも提供します。この機能はオプションです。

MACsec フォールバックキーを設定するには、MACsec フォールバックキーの設定を参照してください。

MACsec のライセンス要件


製品	ライセンス要件
Cisco NX-OS	MACsec にはセキュリティライセンスが必要です。Cisco NX-OS ライセンススキームの詳細と、ライセンスの取得および適用の方法については、『Cisco NX-OS Licensing Guide』を参照してください。

MACSec の注意事項と制約事項

MACsec に関する注意事項と制約事項は次のとおりです。

MACsec は、次のインターフェイスタイプでサポートされます。

レイヤ 2 スイッチポート（アクセスとトランク）access and trunk)

レイヤ 3 ルーテッドインターフェイス（サブインターフェイスなし）

（注）

レイヤ 3 ルーテッドインターフェイスで MACsec を有効にすると、そのインターフェイスで定義されているすべてのサブインターフェイスでも暗号化が有効になります。ただし、同じレイヤ 3 ルーテッドインターフェイスのサブインターフェイスのサブセットで MACsec を選択的に有効にすることはサポートされていません。

レイヤ 2 およびレイヤ 3 ポートチャネル（サブインターフェイスなし）

Cisco Nexusリリース10.2（1）F以降では、Cisco Nexus 9000 ToRスイッチのMACSecセキュリティタグ（SecTAG）からセキュアチャネル識別子（SCI）を無効にできます。
- FX2 および FX3 プラットフォームでサポートされています。
- XPN暗号スイートを使用するFXプラットフォームでのみサポートされます。
Cisco Nexus ToR スイッチを Cisco NX-OS リリース 9.3.7 から Cisco NX-OS リリース 9.3.6 以前のリリースにダウングレードする場合、MACsec はサポートされません。
MKA は、MACsec でサポートされている唯一のキー交換プロトコルです。Security Association Protocol（SAP）はサポートされていません。
リンクレベルフロー制御（LLFC）およびプライオリティフロー制御（PFC）は、MACsec ではサポートされません。
同じインターフェイスに対する複数の MACsec ピア（異なる SCI 値）はサポートされません。
macsec shutdown コマンドを使用して MACsec を無効にすると、MACsec 設定を保持できます。
MACsec セッションは、最新の Rx および最新の Tx フラグが Tx SA のインストール後に最初に廃止されたキーサーバからのパケットを受け入れるのに寛容です。MACsec セッションは、セキュアな状態に収束します。
Cisco NX-OS リリース 9.2(1) 以降では、次の設定が可能です。
- ポリシーがインターフェイスによって参照されている間に、MACSec ポリシーを変更できるようにします。
- ブレークアウトポートの異なるレーン間で異なる MACsec ポリシーを許可します。
Cisco Nexus リリース 9.2(1) 以降、MACsec は Cisco Nexus 93180YC-FX および Cisco Nexus 3264C-E スイッチでサポートされます。

Cisco Nexus リリース 9.3(1) 以降、MACsec は Cisco Nexus 9364C、9332C、および 9348GC-FXP スイッチでサポートされます。これらのスイッチで MACsec を使用する場合は、次の制限が適用されます。

Cisco Nexus C9364C：MACsec は 16 ポート（ポート 49 ～ 64）でサポートされます。
Cisco Nexus C9332C：MACsec は 8 ポート（ポート 25 ～ 32）でサポートされます。
Cisco Nexus 9348GC-FXP：MACsec は 6 ポート（ポート 49 ～ 54）でサポートされます。

（注）

Cisco 9364C および 9332C プラットフォームスイッチでは、MACsec がポートで設定または未設定の場合のどちらでも、MACsec セキュリティポリシータイプに関係なく、ポートフラップが発生します。

Cisco Nexus リリース 9.3(1) 以降では、ポートチャネルインターフェイスに MACsec 設定を直接適用することはできません。ただし、MACsec 設定をポートチャネルメンバーポートに直接適用できます。これは、NX-OS と vPC ポートチャネルの両方に適用されます。
Cisco Nexus リリース 9.3(3) 以降、MACsec は Cisco Nexus 93216TC-FX2、Cisco Nexus 93360YC-FX2 でサポートされています。
Cisco NX-OS リリース 9.3(5) 以降、MACsec は次のスイッチおよびラインカードでサポートされます。
- Cisco Nexus 93180YC-FX3S スイッチ：MACsec はすべてのポートでサポートされます。
- Cisco Nexus X9732C-FX および X9788TC-FX ラインカード
N9K-X9736C-FX、N9K-X9732C-FX、N9K-C9348GC-FXP、N9K-C93180YC-FX、N9K-C93108TC-FX、N9K-X9788TC-FX、N9K-C9336C-FX2、N9K-C93240YC-FX2、N9K-C93216TC-FX2、N9K-C93360YC-FX2、N9K-C9364C、および N9K-C9332C カードおよびスイッチは、1G ポートで MACsec をサポートしません。MACsec は 1G ポートを有する mac ブロックのポートではサポートされません。
Cisco NX-OS リリース 10.1(1) 以降、Cisco Nexus 93180YC-FX3 および 93108TC-FX3P スイッチは、1G および 10G ポート速度を含むすべてのポート速度で MACsec をサポートします。
MACsec は、Cisco Nexus 93240YC-FX2、9336C-FX2、93108TC-FX、93180YC-FX スイッチ、および X9736C-FX および X9732C-EXM ラインカードでサポートされています。
Cisco Nexus 9000 シリーズスイッチは、QSA が使用されている場合、MACsec 対応ポートで MACsec をサポートしません。
- Cisco NX-OS リリース 9.3(7) 以降、QSA が使用されている場合、MACsec は Cisco Nexus 9364C および 9336C-FX2 スイッチでサポートされます。
- Cisco NX-OS リリース 10.1(1) 以降、QSA が使用されている場合、MACsec は Cisco Nexus 9336C-FX2、9336C-FX2-E、および 9364C スイッチでサポートされます。
- Cisco NX-OS リリース 10.1(2) 以降では、QSA が使用されている場合、MACsec は Cisco Nexus 9300-FX3 プラットフォームスイッチでサポートされます。
Cisco Nexus リリース 10.1(1) 以降、MACsec は Cisco Nexus 9336C-FX2-E でサポートされます。
Cisco Nexus リリース 10.2(1)F 以降、MACsec は Cisco Nexus X9716D-GX でサポートされます。
Cisco NX-OS リリース 10.2(1q)F 以降、MACsec は Cisco Nexus 9332D-GX2B スイッチのポート 25 ～ 32 でサポートされます。
MACsec 機能が設定されている場合、無停止 ISSU はサポートされません。

キーチェーンの制限：

MACsec キーのオクテット文字列は上書きできません。代わりに、新しいキーまたは新しいキーチェーンを作成する必要があります。
end または exit を入力すると、キーチェーンの新しいキーが設定されます。エディタモードのデフォルトのタイムアウト値は 6 秒です。キーがキーオクテット文字列または 6 秒間の送信ライフタイムで設定されていない場合、MACsec セッションを起動するために不完全な情報が使用され、セッションが承認保留状態のままになる可能性があります。設定の完了後に MACsec セッションがコンバージされない場合は、ポートをシャットダウン/非シャットダウンすることをお勧めします。
指定したキーチェーンでは、キーの有効期間を重複させて、有効なキーの不在期間を避ける必要があります。キーがアクティブ化されない期間が発生すると、セッションネゴシエーションが失敗し、トラフィックがドロップされる可能性があります。MACsec キーロールオーバーでは、現在アクティブなキーの中で最も遅い開始時刻のキーが優先されます。
セキュリティアドオンライセンスを使用するためには、MACsec 機能を有効にすることに加えて、少なくとも 1 つのインターフェイスで MACsec キーチェーンを設定する必要があります。

フォールバックの制限：

MACsecセッションが古いプライマリキーで保護されている場合、最新のアクティブなプライマリキーが一致しない場合、フォールバックセッションには進みません。そのため、セッションは古いプライマリキーで保護されたままになり、ステータスが古い CA のキー再生成として表示されます。プライマリ PSK の新しいキーの MACsec セッションは init 状態になります。
フォールバックキーチェーンでは、無期限のキーを 1 つだけ使用します。複数のキーはサポートされていません。
フォールバックキーチェーンで使用されるキー ID（CKN）は、プライマリキーチェーンで使用されるキー ID（CKN）のいずれとも一致しないようにしてください。
一度設定すると、インターフェイスのすべての MACsec 設定が削除されない限り、インターフェイスのフォールバック設定は削除できません。

MACsec ポリシーの制限：

MACsec セッションがセキュアになる前に、BPDU パケットを送信できます。

レイヤ 2 トンネリングプロトコル（L2TP）の制約事項：

MACsec は、dot1q トンネリングまたは L2TP 用に設定されたポートではサポートされません。
非ネイティブ VLAN のトランクポートで STP が有効になっている場合、L2TP は機能しません。

統計情報の制限：

MACsec モードと非 MACsec モード（通常のポートシャットダウン/非シャットダウン）の間の移行中に発生する CRC エラーはほとんどありません。
Secy 統計情報は累積され、30 秒ごとにポーリングされます。
IEEE8021-SECY-MIB OID secyRxSAStatsOKPkts、secyTxSAStatsProtectedPkts、および secyTxSAStatsEncryptedPkts は最大 32 ビットのカウンタ値しか伝送できませんが、トラフィックは 32 ビットを超える可能性があります。

相互運用性の制限：

N9K-X9732C-EXM と他のピアスイッチ（他のシスコおよびシスコ以外のスイッチ）の相互運用性は、XPN 暗号スイートでのみサポートされます。
MACsec ピアは、AES_128_CMAC 暗号化アルゴリズムを使用するために同じ Cisco NX-OS リリースを実行する必要があります。以前のリリースと Cisco NX-OS リリース 9.2(1) の間の相互運用性のために、AES_256_CMAC 暗号化アルゴリズムでキーを使用する必要があります。
以前のリリースと Cisco NX-OS リリース 9.2(1) の間の相互運用性を確保するために、MACsec キーが 32 オクテット未満の場合は、MACsec キーにゼロを付加します。
Cisco NX-OS スイッチでは、すべてのインターフェイスで代替 MAC アドレスとイーサネットタイプの一意の組み合わせを 1 つだけ設定できます。
MACSEC対応モジュールで1G光ファイバを使用する場合は、診断モードを「最小」に変更することを推奨します。
Cisco NX-OS リリース 9.3(1) から、ポートチャネルメンバーごとの MACsec 設定サポートのない Cisco NX-OS リリースにダウングレードしようとした場合、スイッチの同じポートチャネルインターフェイスのメンバーに、相互に異なる MACsec 設定があった場合、次のエラーメッセージが表示されることがあります。
```
ポートチャネル メンバーに非対称 macsec 設定が存在します。メンバー間で対称 macsec 設定を使用して、中断のない ISSU を実行してください。
```

EAPOL には、次の注意事項と制約事項があります。

Cisco NX-OS リリース 9.3(1) では、Cisco Nexus 9332C および 9364C シリーズスイッチでは EAPOL 設定はサポートされていません。
転送エンジンの同じスライス内では、EAPOL ethertype と dot1q ethertype に同じ値を指定することはできません。
EAPOL 設定を有効にするには、0 〜 0x599 の範囲のイーサネットタイプの範囲が無効です。
EAPOL パケットの設定中は、次の組み合わせを使用しないでください。
- MAC アドレス 0100.0ccd.cdd0 と ethertype
- MAC アドレスと ethertype：0xfff0、0x800、0x86dd
- デフォルトの宛先 MAC アドレス0180.c200.0003 とデフォルトのイーサネットタイプ 0x888e
- 両方の MACsec ピアで異なる EAPOL DMAC アドレス。MACsec セッションは、MACsec ピアがローカルに設定された DMAC を使用して MKAPDU を送信している場合にのみ機能します。
Cisco NX-OS リリース 10.2(1)F 以降、EAPOL は Cisco Nexus 9300-FX3 シリーズスイッチでサポートされます。

MACsec の有効化

MACsec および MKA コマンドにアクセスする前に、MACsec 機能を有効にする必要があります。

手順

コマンドまたはアクション目的

	コマンドまたはアクション	目的
ステップ 1	configure terminal 例: `switch# configure terminal switch(config)#`	グローバルコンフィギュレーションモードを開始します
ステップ 2	feature macsec 例: `switch(config)# feature macsec`	デバイスで MACsec および MKA を有効にします。
ステップ 3	（任意） copy running-config startup-config 例: `switch(config)# copy running-config startup-config`	（任意）実行コンフィギュレーションを、スタートアップコンフィギュレーションにコピーします。

ステップ 1

configure terminal

例:

switch# configure terminal
switch(config)#

グローバルコンフィギュレーションモードを開始します

ステップ 2

feature macsec

例:

switch(config)# feature macsec

デバイスで MACsec および MKA を有効にします。

ステップ 3

（任意） copy running-config startup-config

例:

switch(config)# copy running-config startup-config

（任意）

実行コンフィギュレーションを、スタートアップコンフィギュレーションにコピーします。

MACsec の無効化

Cisco NX-OS リリース 9.2(1) 以降では、MACsec 機能を無効にしても、この機能が非アクティブ化されるだけで、関連する MACsec 設定は削除されません。

MACsec の無効化には、次の条件があります。

MACsec shutdown はグローバルコマンドであり、インターフェイスレベルでは使用できません。
macsec shutdown、show macsec mka session/summary、show macsec mka session detail、およびshow macsec mka/secy statisticsコマンドは、「Macsec is shutdown」メッセージを表示します。ただし、show macsec policy および show key chain コマンドは出力を表示します。
連続する MACsec ステータスが macsec shutdown から no macsec shutdown に変更された場合、またはその逆の場合は、ステータス変更の間に 30 秒の間隔が必要です。

手順

コマンドまたはアクション目的

	コマンドまたはアクション	目的
ステップ 1	configure terminal 例: `switch# configure terminal switch(config)#`	グローバルコンフィギュレーションモードを開始します
ステップ 2	macsec shutdown 例: `switch(config)# macsec shutdown`	デバイスの MACsec 設定を無効にします。no オプションは、MACsec 機能を復元します。
ステップ 3	（任意） copy running-config startup-config 例: `switch(config)# copy running-config startup-config`	（任意）実行コンフィギュレーションを、スタートアップコンフィギュレーションにコピーします。この手順は、スイッチのリロード後に MACsec をシャットダウン状態に維持する場合にのみ必要です。

ステップ 1

configure terminal

例:

switch# configure terminal
switch(config)#

グローバルコンフィギュレーションモードを開始します

ステップ 2

macsec shutdown

例:

switch(config)# macsec shutdown

デバイスの MACsec 設定を無効にします。no オプションは、MACsec 機能を復元します。

ステップ 3

（任意） copy running-config startup-config

例:

switch(config)# copy running-config startup-config

（任意）

実行コンフィギュレーションを、スタートアップコンフィギュレーションにコピーします。この手順は、スイッチのリロード後に MACsec をシャットダウン状態に維持する場合にのみ必要です。

MACsec キーチェーンとキーの設定

デバイスに MACsec キーチェーンとキーを作成できます。

（注）

MACsec キーチェーンのみが MKA セッションをコンバージします。

始める前に

MACsec が有効であることを確認します。

手順

コマンドまたはアクション目的

ステップ 1

configure terminal

例:

switch# configure terminal
switch(config)#

グローバル設定モードを開始します。

ステップ 2

（任意） [no] key-chain macsec-psk no-show

例:

switch(config)# key-chain macsec-psk no-show

（任意）

show running-config および show startup-config コマンドの出力で、暗号化されたキーオクテット文字列をワイルドカード文字に置き換えて非表示にします。デフォルトでは、PSK キーは暗号化形式で表示され、簡単に復号化できます。このコマンドは、MACsec キーチェーンにのみ適用されます。

（注）

オクテット文字列は、設定をファイルに保存するときにも非表示になります。

ステップ 3

key chain name macsec

例:

switch(config)# key chain 1 macsec
switch(config-macseckeychain)#

MACSec キーチェーンを作成して MACSec キーのセットを保持し、MACSec キーチェーン設定モードを開始します。

ステップ 4

key key-id

例:

switch(config-macseckeychain)# key 1000
switch(config-macseckeychain-macseckey)#

MAC secキーを作成し、MACsec キー設定モードを開始します。範囲は 1〜32 オクテットで、最大サイズは 64 です。

（注）

キーの文字数は偶数でなければなりません。

ステップ 5

key-octet-string octet-string cryptographic-algorithm {AES_128_CMAC | AES_256_CMAC}

例:

switch(config-macseckeychain-macseckey)# key-octet-string abcdef0123456789abcdef0123456789abcdef0123456789abcdef0123456789
cryptographic-algorithm AES_256_CMAC

そのキーの octet ストリングを設定します。octet-string 引数には、最大 64 文字の 16 進数文字を含めることができます。オクテットキーは内部でエンコードされるため、show running-config macsec コマンドの出力にクリアテキストのキーが現れることはありません。

キーオクテット文字列には、次のものが含まれます。

0 暗号化タイプ - 暗号化なし（デフォルト）
6 暗号化タイプ - 独自仕様（タイプ 6 暗号化）。詳細については、MACsec キーでのタイプ 6 暗号化の有効化を参照してください。
7 暗号化タイプ - 最大 64 文字の、独自仕様 WORD キーオクテット文列

（注）

AES_128_CMAC 暗号化アルゴリズムを使用するためには、MACsec ピアは同じ Cisco NX-OS リリースを実行する必要があります。以前のリリースと、Cisco NX-OS リリース 7.0(3)I7(2) 以降のリリース間で相互運用できるようにするには、キーを AES_256_CMAC 暗号化アルゴリズムで使用する必要があります。

ステップ 6

send-lifetime 開始時間 duration 長さ

例:

switch(config-macseckeychain-macseckey)# send-lifetime 00:00:00 Oct 04 2016 duration 100000

キーの送信ライフタイムを設定します。デフォルトでは、デバイスは開始時間を UTC として扱います。

start-time 引数は、キーがアクティブになる日時です。duration 引数はライフタイムの長さ（秒）です。最大値は 2147483646 秒（約 68 年）です。

ステップ 7

（任意） show key chain name

例:

switch(config-macseckeychain-macseckey)# show key chain 1

（任意）

キーチェーンの設定を表示します。

ステップ 8

（任意） copy running-config startup-config

例:

switch(config-macseckeychain-macseckey)# copy running-config startup-config

（任意）

実行コンフィギュレーションを、スタートアップコンフィギュレーションにコピーします。

MACsec パケット番号の消耗

各 MACsec フレームには 32 ビットパケット番号（PN）が含まれており、特定のセキュリティアソシエーションキー（SAK）に対して一意です。PN 消耗後（2³²- 1 の 75% に達した後）、SAK リキーは自動的に行われ、データプレーンキーを更新し、PN を周囲に配置します。

たとえば、64 バイトの 10G フルラインレートでは、PN の枯渇により 216 秒ごとに SAK キー再生成が発生します。

これは、GCM-AES-PN-128 または GCM-AES-PN-256 暗号スイートを使用する場合に適用されます。

GCM-AES-XPN-128 または GCM-AES-XPN-256 暗号スイートが使用されている場合、SAK キー再生成は 2 ⁶⁴- 1 の 75％に達すると自動的に行われます（パケットの番号付けを消耗するのに数年かかります）。暗号スイートは macsec ポリシーで設定可能で、動作する暗号スイートはキーサーバデバイスによって決定されます。

N9K-X9732C-EXM ラインカードで XPN 暗号スイートを使用することを推奨します。

MACsec フォールバックキーの設定

Cisco NX-OS リリース 9.2(1) 以降では、プライマリセッションがスイッチとピア間のキー/キー名（CKN）のミスマッチまたはキーの有効期限の結果として失敗した場合にバックアップセッションを開始するようにデバイスのフォールバックキーを設定できます。

始める前に

MACsec が有効になっており、プライマリおよびフォールバックキーチェーンとキー ID が設定されていることを確認します。「MACsec キーチェーンとキーの設定」を参照してください。

手順

コマンドまたはアクション目的

ステップ 1

configure terminal

例:

switch# configure terminal
switch(config)#

グローバルコンフィギュレーションモードを開始します。

ステップ 2

interface name

例:

switch(config)# interface ethernet 1/1
switch(config-if)#

設定するインターフェイスを指定します。インターフェイスタイプと ID を指定できます。イーサネットポートの場合は、「ethernet slot / port」を使用します。

ステップ 3

macsec keychain keychain-name policy policy-name fallback-keychain keychain-name

例:

switch(config-if)# macsec keychain kc2 policy abc fallback-keychain fb_kc2

キー/キー ID のミスマッチまたはキーの期限切れによる MACsec セッションの失敗後に使用するフォールバックキーチェーンを指定します。フォールバックキー ID は、プライマリキーチェーンのキー ID と一致してはなりません。

フォールバックキーチェーン名を変更して同じコマンドを再発行することで、MACsec 設定を削除せずに、各インターフェイスのフォールバックキーチェーン設定を対応するインターフェイスで変更できます。

（注）

コマンドは、フォールバックキーチェーン名を除き、インターフェイスの既存のコンフィギュレーションコマンドとまったく同じように入力する必要があります。

「MACsec キーチェーンとキーの設定」を参照してください。

ステップ 4

（任意） copy running-config startup-config

例:

switch(config-if)# copy running-config startup-config

（任意）

実行コンフィギュレーションを、スタートアップコンフィギュレーションにコピーします。

MACsec ポリシーの設定

異なるパラメータを使用して複数の MACSec ポリシーを作成できます。しかし、1 つのインターフェイスでアクティブにできるポリシーは 1 つのみです。

始める前に

MACsec が有効であることを確認します。

手順

コマンドまたはアクション目的

ステップ 1

configure terminal

例:

switch# configure terminal
switch(config)#

グローバル構成モードを開始します。

ステップ 2

macsec policy name

例:

switch(config)# macsec policy abc
switch(config-macsec-policy)#

MACsec ポリシーを作成します。

ステップ 3

cipher-suite name

例:

switch(config-macsec-policy)# cipher-suite GCM-AES-256

GCM-AES-128、GCM-AES-256、GCM-AES-XPN-128、または GCM-AES-XPN-256 のいずれかを設定します。

ステップ 4

（任意） [no] include-sci

例:

switch(config-macsec-policy)# no include-sci

（任意）

SecTAG の SCI を無効にします。デフォルトでは、SCI は常に有効になっています。

（注）

パケットのドロップを防ぐには、SCI タギング設定が入力ポイントと出力ポイントの両方で一貫していることを確認します。

ステップ 5

key-server-priority number

例:

switch(config-macsec-policy)# key-server-priority 0

キー交換中はピア間の接続が解除されるように、キーサーバのプライオリティを設定します。範囲は0（最高）〜 255（最低）で、デフォルト値は 16 です。

ステップ 6

security-policy name

例:

switch(config-macsec-policy)# security-policy should-secure

次のいずれかのセキュリティポリシーを設定して、データおよび制御パケットの処理を定義します。

must-secure：MACsec をヘッダー持たないパケットはドロップされます。
should-secure：MACsec ヘッダーを持たないパケットも許可されます。これはデフォルト値です。

ステップ 7

window-size number

例:

switch(config-macsec-policy)# window-size 512

インターフェイスが、設定されたウィンドウサイズ未満のパケットを受け入れないように、再生保護ウィンドウを設定します。範囲は 0 ～ 596000000 です。

ステップ 8

sak-expiry-time time

例:

switch(config-macsec-policy)# sak-expiry-time 100

SAK キー再生成を強制する時間を秒単位で設定します。このコマンドを使用して、セッションキーを予測可能な時間間隔に変更できます。デフォルトは 0 です。

ステップ 9

conf-offset name

例:

switch(config-macsec-policy)# conf-offset CONF-OFFSET-0

暗号化を開始するレイヤ 2 フレームの機密性オフセットの 1 つとして、CONF-OFFSET-0、CONF-OFFSET-30、またはCONF-OFFSET-50 のいずれかを設定します。このコマンドは、中間スイッチがパケットヘッダー {dmac、smac、etype} を MPLS タグのように使用するために必要です。

ステップ 10

（任意） show macsec policy

例:

switch(config-macsec-policy)# show macsec policy

（任意）

MACSec ポリシー設定を表示します。

ステップ 11

（任意） copy running-config startup-config

例:

switch(config-macsec-policy)# copy running-config startup-config

（任意）

実行コンフィギュレーションを、スタートアップコンフィギュレーションにコピーします。

PSK のローテーション

SAK の有効期限が MACsec ポリシーで 60 秒に設定されている場合は、次の手順に従って PSK を切り替えます。

手順

ステップ 1

MACsec ポリシーから SAK 期限切れタイマーを削除するには、no sak-expiry-time コマンドを使用します。

（注）

設定内のポリシーの数だけ、SAK の有効期限タイマーを削除する必要があります。インターフェイスごとに削除する必要はありません。ポリシーを 1 つだけ定義してすべてのインターフェイスに適用した場合は、このポリシーからのみ SAK の有効期限タイマーを削除する必要があります。

ステップ 2

2 分間待機します。

ステップ 3

key key-id コマンドを使用して、キーチェーンの下に新しいキーをプログラムします。

ステップ 4

新しいキーとのセッションが保護されたら、no key key-id コマンドを使用して古いキーを削除します。

ステップ 5

2 分間待機します。

ステップ 6

SAK キー再生成タイマーを MACsec ポリシーに追加するには、sak-expiry-timer 60 コマンドを使用します。

設定可能な EAPOL の宛先とイーサネットタイプについて

Cisco NX-OS リリース 9.2(2) 以降では、WAN MACsec を使用するネットワークで、Extensible Authentication Protocol（EAP）over LAN（EAPOL）プロトコルの宛先アドレスとイーサネットタイプの値を非標準値に変更できます。

設定可能な EAPOL MAC およびイーサネットタイプでは、標準 MKA パケットを消費するイーサネットネットワーク上で CE デバイスが MKA セッションを形成できるように、MKA パケットの MAC アドレスとイーサネットタイプを変更できます。

EAPOL 宛先イーサネットタイプは、デフォルトのイーサネットタイプ 0x888E から代替値に変更できます。または、EAPOL 宛先 MAC アドレスは、デフォルト DMAC の 01:80:C2:00:00:03 から代替値に変更できます。プロバイダーブリッジによって消費されないようにします。

この機能はインターフェイスレベルで使用でき、代替 EAPOL 設定は、次のように任意のインターフェイスでいつでも変更できます。

MACsec がインターフェイスですでに設定されている場合、セッションは新しい代替 EAPOL 設定で起動します。
MACsec がインターフェイスで設定されていない場合、EAPOL 設定はインターフェイスに適用され、MACsec がそのインターフェイスで設定されている場合に有効になります。

EAPOL 設定の有効化

EAPOL 設定は、使用可能な任意のインターフェイスで有効にできます。

始める前に

MACsec が有効であることを確認します。

手順

コマンドまたはアクション目的

ステップ 1

configure terminal

例:

switch# configure terminal
switch(config)#

グローバル構成モードを開始します。

ステップ 2

interface name

例:

switch(config)# interface ethernet 1/1
switch(config-if)#

ステップ 3

eapol mac-address mac_address [ethertype eth_type]

指定されたインターフェイスタイプおよび ID で EAPOL 設定を有効にします。

（注）

イーサネットタイプが指定されていない場合、MKA パケットのデフォルトイーサネットタイプ（0x888e）であると見なします。

ステップ 4

eapol mac-address broadcast-address [ethertype eth_type]

ブロードキャストアドレスを代替 MAC アドレスとして有効にします。

ステップ 5

（任意） copy running-config startup-config

例:

switch(config-macseckeychain-macseckey)# copy running-config startup-config

（任意）

実行コンフィギュレーションを、スタートアップコンフィギュレーションにコピーします。

ステップ 6

show macsec mka session detail

EAPOL 設定を表示します。

EAPOL 設定の無効化

使用可能なインターフェイスで EAPOL 設定を無効にできます。

手順

	コマンドまたはアクション	目的
ステップ 1	configure terminal 例: `switch# configure terminal switch(config)#`	グローバル構成モードを開始します。
ステップ 2	interface `name` 例: `switch(config)# interface ethernet 1/1 switch(config-if)#`	設定するインターフェイスを指定します。インターフェイスタイプと ID を指定できます。イーサネットポートの場合は、「ethernet slot / port」を使用します。
ステップ 3	[no] eapol mac-address `mac_address` [ethertype `eth_type`]	指定されたインターフェイスタイプおよび ID で EAPOL 設定を無効にします。
ステップ 4	（任意） copy running-config startup-config 例: `switch(config-macseckeychain-macseckey)# copy running-config startup-config`	（任意）実行コンフィギュレーションを、スタートアップコンフィギュレーションにコピーします。

MACsec 設定の確認

MACsec 設定情報を表示するには、次のいずれかの作業を実行します。


コマンド	目的
show key chain `name`	キーチェーンの設定を表示します。
show macsec mka session [interface `type slot`/`port`] [detail]	特定のインターフェイスまたはすべてのインターフェイスの MACsec MKA セッションに関する情報を表示します。
show macsec mka session details	すべての EAPOL パケットのインターフェイスで現在使用されている MAC アドレスおよびイーサネットタイプに関する情報を表示します。
show macsec mka summary	MACsec MKA 設定を表示します。
show macsec policy [`policy-name`]	特定の MACsec ポリシーまたはすべての MACsec ポリシーの設定を表示します。
show running-config macsec	MACsec の実行コンフィギュレーション情報を表示します。

次に、すべてのインターフェイスの MACsec MKA セッションに関する情報を表示する例を示します。。

switch# show macsec mka session
Interface          Local-TxSCI                      #Peers            Status             Key-Server         Auth Mode        
------------------ -------------------------------- ------------------ ----------------- ------------------ ------------------
Ethernet2/2        2c33.11b8.7d14/0001              1                  Secured            Yes                PRIMARY-PSK      
Ethernet2/3        2c33.11b8.7d18/0001              1                  Secured            Yes                PRIMARY-PSK      
------------------ -------------------------------- ------------------ ----------------- ------------------ ------------------
Total Number of Sessions : 2
        Secured Sessions : 2
        Pending Sessions : 0

次に、特定のインターフェイスの MACsec MKA セッションに関する情報を表示する例を示します。前の例で説明したテーブルの一般的な要素に加えて、現在の MACsec セッションタイプを定義する認証モードも示します。

switch# show macsec mka session interface ethernet 1/1

Interface      Local-TxSCI          # Peers   Status        Key-Server     Auth Mode
-------------- -------------------- --------- ------------- -------------- -------------
Ethernet1/1    70df.2fdc.baf4/0001      0     Pending       Yes            PRIMARY-PSK
Ethernet1/1    70df.2fdc.baf4/0001      1     Secured       No             FALLBACK-PSK

次に、特定のイーサネットインターフェイスの MACsec MKA セッションに関する詳細情報を表示する例を示します。

Interface Name          : Ethernet2/2
    Session Status                      : SECURED - Secured MKA Session with MACsec
    Local Tx-SCI                        : 2c33.11b8.7d14/0001
    Local Tx-SSCI                       : 2
    MKA Port Identifier                 : 2
    CAK Name (CKN)                      : 12
    CA Authentication Mode              : PRIMARY-PSK
    Member Identifier (MI)              : B54263EF7949A561E25CE617
    Message Number (MN)                 : 523
    MKA Policy Name                     : tests2
    Key Server Priority                 : 16
    Key Server                          : Yes
    Include ICV                         : No
    SAK Cipher Suite                    : GCM-AES-XPN-256
    SAK Cipher Suite (Operational)      : GCM-AES-XPN-256
    Replay Window Size                  : 148809600
    Confidentiality Offset              : CONF-OFFSET-0
    Confidentiality Offset (Operational): CONF-OFFSET-0
    Latest SAK Status                   : Rx & TX
    Latest SAK AN                       : 0
    Latest SAK KI                       : B54263EF7949A561E25CE61700000001
    Latest SAK KN                       : 1
    Last SAK key time                   : 12:59:38 PST Tue Mar 19 2019
    CA Peer Count                       : 1
    Eapol dest mac                      : 0180.c200.0003
    Ether-type                          : 0x888e
Peer Status:
    Peer MI                             : 2C2C090E62A96F4D6E018210
    RxSCI                               : 2c33.11b8.8b88/0001
    Peer CAK                            : Match
    Latest Rx MKPDU                     : 13:16:54 PST Tue Mar 19 2019

次に、MACsec MKA 設定を表示する例を示します。

switch# show macsec mka summary
Interface          MACSEC-policy                    Keychain                
------------------ -------------------------------- ------------------------
Ethernet2/13       1                                1/10000000000000000
Ethernet2/14       1                                1/10000000000000000

次に、すべての MACsec ポリシーの設定を表示する例を示します。

switch# show macsec policy
MACSec Policy        Cipher          Pri  Window     Offset   Security   SAK Rekey time ICV Indicator  Include-SCI
------------------ -------------     --- --------   --------  --------  --------------  ------------- -------------
KC256-Po117b        GCM-AES-256      16   148809600    0    should-secure  pn-rollover    FALSE        True
pol1                GCM-AES-XPN-256  100  148809600    30   must-secure    60             FALSE        True
pol256-FanO         GCM-AES-XPN-256  16   148809600    0    must-secure    60             FALSE        True
pol256-MCT          GCM-AES-XPN-256  16   148809600    0    should-secure  60             FALSE        FALSE
system-default-
macsec-policy       GCM-AES-XPN-256  16   148809600    0    should-secure  pn-rollover    FALSE        FALSE
test1               GCM-AES-XPN-256  16   148809600    0    should-secure  pn-rollover    FALSE        True

次の例では、show running-config および show startup-config コマンドの出力にキーオクテット文字列が表示されることを示しています。ただし、key-chain macsec-psk no-show コマンドが設定されている場合を除きます。

key chain KC256-1 macsec
  key 2000
    key-octet-string 7 075e701e1c5a4a5143475e5a527d7c7c706a6c724306170103555a5c57510b051e47080
a05000101005e0e50510f005c4b5f5d0b5b070e234e4d0a1d0112175b5e cryptographic-algorithm AES_256_CMAC

次の例では、show running-config および show startup-config コマンドの出力にキーオクテット文字列が表示されることを示しています。こちらは、key-chain macsec-psk no-show コマンドが設定されている場合です。

key chain KC256-1 macsec
  key 2000
    key-octet-string 7 ****** cryptographic-algorithm AES_256_CMAC

MACsec 統計の表示

次のコマンドを使用して、MACsec 統計情報を表示できます。


コマンド	説明
show macsec mka statistics [interface `type slot`/`port`]	MACsec MKA 統計情報を表示します。
show macsec secy statistics [interface `type slot`/`port`]	MACsec セキュリティ統計情報を表示します。

次に、特定のイーサネットインターフェイスの MACsec MKA 統計情報の例を示します。

switch# show macsec mka statistics interface ethernet 2/2

Per-CA MKA Statistics for Session on interface (Ethernet2/2) with CKN 0x10
============================================================================
CA Statistics
   Pairwise CAK Rekeys..... 0

SA Statistics
   SAKs Generated.......... 0
   SAKs Rekeyed............ 0
   SAKs Received........... 0
   SAK Responses Received.. 0

MKPDU Statistics
   MKPDUs Transmitted...... 1096
      "Distributed SAK".. 0

   MKPDUs Validated & Rx... 0
      "Distributed SAK".. 0

MKA Statistics for Session on interface (Ethernet2/2)
=======================================================
CA Statistics
   Pairwise CAK Rekeys..... 0

SA Statistics
   SAKs Generated.......... 0
   SAKs Rekeyed............ 0
   SAKs Received........... 0
   SAK Responses Received.. 0

MKPDU Statistics
   MKPDUs Transmitted...... 1096
      "Distributed SAK".. 0
   MKPDUs Validated & Rx... 0
      "Distributed SAK".. 0
   MKPDUs Tx Success.......... 1096
   MKPDUs Tx Fail............. 0
   MKPDUS Tx Pkt build fail... 0
   MKPDUS No Tx on intf down.. 0
   MKPDUS No Rx on intf down.. 0
   MKPDUs Rx CA Not found..... 0
   MKPDUs Rx Error............ 0
   MKPDUs Rx Success.......... 0

MKPDU Failures
   MKPDU Rx Validation ..................... 0
   MKPDU Rx Bad Peer MN..................... 0
   MKPDU Rx Non-recent Peerlist MN.......... 0
   MKPDU Rx Drop SAKUSE, KN mismatch........ 0
   MKPDU Rx Drop SAKUSE, Rx Not Set......... 0
   MKPDU Rx Drop SAKUSE, Key MI mismatch.... 0
   MKPDU Rx Drop SAKUSE, AN Not in Use...... 0
   MKPDU Rx Drop SAKUSE, KS Rx/Tx Not Set... 0
   MKPDU Rx Drop Packet, Ethertype Mismatch. 0

SAK Failures
   SAK Generation................... 0
   Hash Key Generation.............. 0
   SAK Encryption/Wrap.............. 0
   SAK Decryption/Unwrap............ 0

CA Failures
   ICK Derivation................... 0
   KEK Derivation................... 0
   Invalid Peer MACsec Capability... 0

MACsec Failures
   Rx SA Installation............... 0
   Tx SA Installation............... 0

次に、特定のイーサネットインターフェイスの MACsec セキュリティ統計情報を表示する例を示します。

（注）

Rx および Tx 統計情報の非制御パケットと制御パケットには、次の違いがあります。

Rx 統計
- 非制御=暗号化および非暗号化
- 制御 = 非暗号化
TX 統計情報：
- 非制御 = 非暗号化
- 制御 = 暗号化
- 共通 = 暗号化および非暗号化

switch(config)# show macsec secy statistics interface e2/28/1
 
Interface Ethernet2/28/1 MACSEC SecY Statistics:
--------------------------------------------
Interface Rx Statistics:
   Unicast Uncontrolled Pkts: 14987
   Multicast Uncontrolled Pkts: 1190444
   Broadcast Uncontrolled Pkts: 4
   Uncontrolled Pkts - Rx Drop: 0
   Uncontrolled Pkts - Rx Error: 0
   Unicast Controlled Pkts: N/A (N9K-X9736C-FX not supported)
   Multicast Controlled Pkts: N/A (N9K-X9736C-FX not supported)
   Broadcast Controlled Pkts: N/A (N9K-X9736C-FX not supported)
   Controlled Pkts: 247583
   Controlled Pkts - Rx Drop: N/A (N9K-X9736C-FX not supported)
   Controlled Pkts - Rx Error: N/A (N9K-X9736C-FX not supported)
   In-Octets Uncontrolled: 169853963 bytes
   In-Octets Controlled: 55027017 bytes
   Input rate for Uncontrolled Pkts: N/A (N9K-X9736C-FX not supported)
   Input rate for Uncontrolled Pkts: N/A (N9K-X9736C-FX not supported)
   Input rate for Controlled Pkts: N/A (N9K-X9736C-FX not supported)
   Input rate for Controlled Pkts: N/A (N9K-X9736C-FX not supported)
 
Interface Tx Statistics:
   Unicast Uncontrolled Pkts: N/A (N9K-X9736C-FX not supported)
   Multicast Uncontrolled Pkts: N/A (N9K-X9736C-FX not supported)
   Broadcast Uncontrolled Pkts: N/A (N9K-X9736C-FX not supported)
   Uncontrolled Pkts - Rx Drop: N/A (N9K-X9736C-FX not supported)
   Uncontrolled Pkts - Rx Error: N/A (N9K-X9736C-FX not supported)
   Unicast Controlled Pkts: N/A (N9K-X9736C-FX not supported)
   Multicast Controlled Pkts: N/A (N9K-X9736C-FX not supported)
   Broadcast Controlled Pkts: N/A (N9K-X9736C-FX not supported)
   Controlled Pkts: 205429
   Controlled Pkts - Rx Drop: N/A (N9K-X9736C-FX not supported)
   Controlled Pkts - Rx Error: N/A (N9K-X9736C-FX not supported)
   Out-Octets Uncontrolled: N/A (N9K-X9736C-FX not supported)
   Out-Octets Controlled: 20612648 bytes
   Out-Octets Common: 151787484 bytes
   Output rate for Uncontrolled Pkts: N/A (N9K-X9736C-FX not supported)
   Output rate for Uncontrolled Pkts: N/A (N9K-X9736C-FX not supported)
   Output rate for Controlled Pkts: N/A (N9K-X9736C-FX not supported)
   Output rate for Controlled Pkts: N/A (N9K-X9736C-FX not supported)
 
SECY Rx Statistics:
  Transform Error Pkts: N/A (N9K-X9736C-FX not supported)
   Control Pkts: 952284
   Untagged Pkts: N/A (N9K-X9736C-FX not supported)
   No Tag Pkts: 0
   Bad Tag Pkts: 0
   No SCI Pkts: 0
   Unknown SCI Pkts: 0
   Tagged Control Pkts: N/A (N9K-X9736C-FX not supported)
 
SECY Tx Statistics:
   Transform Error Pkts: N/A (N9K-X9736C-FX not supported)
   Control Pkts: 967904
   Untagged Pkts: N/A (N9K-X9736C-FX not supported)
 
SAK Rx Statistics for AN [3]:
   Unchecked Pkts: 0
   Delayed Pkts: 0
   Late Pkts: 0
   OK Pkts: 1
   Invalid Pkts: 0
   Not Valid Pkts: 0
   Not-Using-SA Pkts: 0
   Unused-SA Pkts: 0
   Decrypted In-Octets: 235 bytes
   Validated In-Octets: 0 bytes
 
SAK Tx Statistics for AN [3]:
   Encrypted Protected Pkts: 2
   Too Long Pkts: N/A (N9K-X9736C-FX not supported)
   SA-not-in-use Pkts: N/A (N9K-X9736C-FX not supported)
   Encrypted Protected Out-Octets: 334 bytes
switch(config)#