MACsec は、IEEE 802.1AE 規格ベースのレイヤ 2 ホップバイホップ暗号化であり、これにより、メディアアクセス非依存プロトコルに対してデータの機密性と完全性を確保できます。

MACsec は、暗号化キーにアウトオブバンド方式を使用して、有線ネットワーク上で MAC レイヤの暗号化を提供します。MACsec Key Agreement（MKA）プロトコルでは、必要なセッション キーを提供し、必要な暗号化キーを管理します。ホスト側のリンク（ネットワーク アクセス デバイスと、PC や IP フォンなどのエンドポイント デバイス間のリンク）だけが MACsec を使用して保護できます。

MKA による 802.1AE 暗号化は、ルータまたはスイッチとホストデバイスの間の暗号化用に、ダウンリンクポートでサポートされます。MKA は、IEEE 規格の 802.1X で定義されている MACsec のコントロールプレーンです。MKA フレームは、EAPoL フレームの一部を形成します。MACsec は、パケット処理プロセスの最終段階であり、EAPoL フレームを除くすべてのトラフィックを暗号化します。

WAN MACsec および MKA を実装する場合は、MACsec の有効化を試みる前に、基本的なレイヤ 2 イーサネット接続が確立されていることを確認します。詳細については、「MACsec および MKA の概要」を参照してください。

イーサネット仮想回線（EVC）は、レイヤ 2 サービスの単一インスタンスのエンドツーエンド表現です。さまざまなパラメータが統合されて、サービスが提供されます。シスコの EVC 構造では、ブリッジドメインは、サービスインスタンスと呼ばれているレイヤ 2 インターフェイス（1 つまたは複数）で設定されます。サービス インスタンスは、あるルータ上のあるポート上で EVC をインスタンス化したものです。サービスインスタンスは、設定に基づいてブリッジドメイン（BD）に関連付けられます。

着信フレームは、次の基準に基づいてサービス インスタンスとして分類できます。

• シングル 802.1Q VLAN タグ、優先度タグ付き、または 802.1ad VLAN タグ

• 両 QinQ（内部および外部）VLAN タグ、または 802.1ad S-VLAN と C-VLAN タグの両方

• 外部 802.1p CoS ビット、内部 802.1p CoS ビット、またはその両方

• サービスインスタンスは、他のマッピング基準もサポートします。

• [Untagged]：802.1Q または 802.1ad ヘッダがないすべてのフレームにマッピングします。

• [Default]：すべてのフレームにマッピングします。

EVC アーキテクチャの詳細については、『Carrier Ethernet Configuration Guide』の「Configuring Ethernet Virtual Circuit」のセクションを参照してください。

イーサネットフローポイント（EFP）は、インターフェイス上のイーサネットサービスのトランスポートに依存しない抽象化です。EFP は、ユーザー定義の基準に基づいて、同じ物理ポートからのフレームを、そのポートに関連付けられた複数のサービスインスタンスの 1 つに分類します。各 EFP に、異なる転送アクションと動作を関連付けることができます。

MACsec セキュアセッションを確立する前に、MACsec Key Agreement（MKA）が制御プロトコルとして使用されます。MKA は、暗号化に使用する暗号スイートを選択し、必要なキーとパラメータをピア間で交換します。

MKA は、MKA メッセージを送信するためのトランスポート プロトコルとして Authentication Protocol over LAN（EAPoL）を使用します。デフォルトでは、EAPoL は宛先マルチキャスト MAC アドレスとして 01:80: c2:00:00:03 を使用して、複数の宛先へパケットをマルチキャストします。EAPoL は標準ベースのプロトコルであり、IEEE 802.1 x などの他の認証メカニズムでも同じプロトコルが使用されます。サービス プロバイダー クラウド内のデバイスは、（宛先マルチキャスト MAC アドレスに基づいて）このパケットを消費し、EAPoL パケットの処理を試み、最終的にはパケットをドロップします。これにより、MKA セッションが失敗します。

インターフェイス上でサービス プロバイダーに送信される EAPoL パケットの宛先 MAC アドレスを変更するには、eapol destination-address コマンドを使用します。これにより、サービス プロバイダーは、パケットを消費せずに、他のデータ パケットと同様にトンネリングできます。

（注）	EAPoL 宛先アドレスは、物理レベルまたはサブインターフェイスレベルで設定できます。物理インターフェイスで設定する場合、設定はサブインターフェイスによって自動的に継承されます。サブインターフェイスでの明示的な設定は、そのサブインターフェイスで継承された値またはポリシーよりも優先されます。

ブリッジドメイン（BD）は、プラットフォーム内部のブロードキャストドメインを定義し、VLAN からブロードキャストドメインを分離できます。そのため、ポートごとの VLAN シグニフィカンスが可能になります。これにより、単一のボックス単位の VLAN ID 空間に関連する拡張性の制限がなくなります。EVC が各イーサネットフローポイント（EFP）でさまざまなカプセル化を使用する機能を提供する方法の詳細については、「ブリッジ ドメイン インターフェイスのカプセル化」を参照してください。

• WAN リンクを介して複数の企業顧客からのレイヤ 2 VLAN を転送し、MACsec によってトラフィックを個別に保護します。

  MACsec を使用した WAN 経由の LAN トラフィックの選択的暗号化

WAN MACsec および MKA のサポートの利点の詳細については、「WAN MACsec および MKA のサポート機能強化の利点」の項を参照してください。

次のトポロジは、ポイントツーポイントおよびポイントツーマルチポイントのシナリオで WAN MACsec を使用してイーサネット仮想回線（EVC）を EoMPLS ネットワークに展開する方法を示しています。暗号化されたトラフィックが、CVLAN を持つ CE から CE ルータに伝送され、ネットワーク内の CE ルータが、データが宛先に到達することを確認します。

EAPoL フレームをサポートする Cisco WAN MACsec は、データを暗号化するだけでなく、さまざまなサービス プロバイダー ネットワークをシームレスに移動して、すべてのリモートサイトに安全に接続するために役立ちます。

EoMPLS ネットワークでは、異なる場所にある複数のレイヤ 2 イーサネットネットワークを接続できます。EoMPLS を介してさまざまなサービスプロバイダーに接続することを可能にするために、WAN MACsec は、暗号化されていない dot.1q タグをサポートしています。これは、サービス プロバイダー ネットワークの動作を中断することなくパブリック E-LINE または E-LAN サービスを介してリモートサイトに接続するために役立ちます。

サービスプロバイダーには、多くの場合、サポートする VLAN ID および VLAN の数に固有の要件があります。同一サービスプロバイダー ネットワークのさまざまなカスタマーが必要とする VLAN 範囲は重複し、インフラストラクチャを通るカスタマーのトラフィックは混合してしまうことがあります。カスタマーごとに一意の VLAN ID 範囲を割り当てると、カスタマーの設定が制限され、802.1Q 仕様の VLAN に関する上限（4096 個）を容易に超えてしまいます。

サービス プロバイダー ネットワークを使用してネットワーク間でデータを交換する場合、MACsec を使用した EVC は、転送中のデータの暗号化に役立ちます。暗号化されていない dot.1q タグにより、複雑なネットワークを保護するための多数の設計オプションが可能になります。サービスプロバイダーは EVC を使用して、複数のカスタマー VLAN ID（C-VLAN）と、サービスプロバイダー VLAN（S-VLAN）による単一の 0x8100 Ethertype VLAN タグを持ち、サービス プロバイダー ネットワークに入るパケットをカプセル化できます。サービス プロバイダー ネットワーク内では、パケットは、S-VLAN に基づいてスイッチングされます。パケットがサービス プロバイダー ネットワークからカスタマーネットワークに出ると、S-VLAN タグのカプセル化が解除され、元のカスタマーパケットが復元されます。