第13章 MACsec を使用した同じ物理ネットワーク内のレイヤー 2 トラフィックの暗号化

Media Access Control Security (MACsec) は、すべての LAN トラフィックを暗号化して認証するレイヤー 2 プロトコルです。接続を確立するために事前共有鍵を使用します。事前共有鍵を変更するには、MACsec を使用するすべてのホストで NetworkManager 設定を更新する必要があります。

MACsec は、イーサネットリンク上で、以下を含むさまざまな種類のトラフィックを保護します。

MACsec 接続では、イーサネットネットワークカード、VLAN、トンネルデバイスなどのイーサネットデバイスを親として使用します。暗号化された接続のみを使用して他のホストと通信するように MACsec デバイスにのみ IP 設定を指定することも、親デバイスに IP 設定を設定することもできます。後者の場合、親デバイスを使用して、暗号化されていない接続と暗号化された接続用の MACsec デバイスで他のホストと通信できます。

MACsec には特別なハードウェアは必要ありません。たとえば、ホストとスイッチの間のトラフィックのみを暗号化する場合を除き、任意のスイッチを使用できます。このシナリオでは、スイッチが MACsec もサポートする必要があります。

つまり、次の 2 つの一般的なシナリオに合わせて MACsec を設定できます。

リンク層 (Open Systems Interconnection (OSI) モデルのレイヤー 2 とも呼ばれます) での通信を保護するために MACsec セキュリティー標準を使用すると、主に次のような利点が得られます。