第7章 MACsec を使用した同じ物理ネットワーク内のレイヤー 2 トラフィックの暗号化

Media Access Control security (MACsec) は、レイヤー 2 で LAN トラフィックを暗号化および認証するために使用します。このプロセスにより、レイヤー 7 で個々のサービスを暗号化する必要がなくなります。

Media Access Control security は、デバイス間のポイントツーポイント通信を保護します。たとえば、メトロイーサネット接続を介して支社を本社を接続する 2 台のホストで MACsec を設定して、セキュリティーを強化できます。

MACsec は、すべての LAN トラフィックを暗号化および認証するレイヤー 2 プロトコルです。接続を確立するために事前共有鍵を使用します。事前共有鍵を変更するには、MACsec を使用するすべてのホストで NetworkManager 設定を更新する必要があります。

MACsec は、イーサネットリンク上で、以下を含むさまざまな種類のトラフィックを保護します。

MACsec 接続は、イーサネットネットワークカード、仮想ローカルエリアネットワーク (VLAN)、トンネルデバイスなどのイーサネットデバイスを親として使用します。暗号化された接続のみを使用して他のホストと通信するように MACsec デバイスにのみ IP 設定を指定することも、親デバイスに IP 設定を設定することもできます。後者の場合、親デバイスを使用して、暗号化されていない接続と暗号化された接続用の MACsec デバイスで他のホストと通信できます。

MACsec には特別なハードウェアは必要ありません。任意のスイッチなどを使用できます。ただし、ホストとスイッチの間のトラフィックのみを暗号化する場合を除きます。この場合は、スイッチも MACsec をサポートしている必要があります。

つまり、MACsec は次の 2 つの一般的なパターンで設定できます。

リンク層 (Open Systems Interconnection (OSI) モデルのレイヤー 2 とも呼ばれます) での通信を保護するために MACsec セキュリティー標準を使用すると、主に次のような利点が得られます。