23.4. 使用 MACsec 加密同一物理网络中的第 2 层流量

流程

1. 在配置 MACsec 的第一个主机上：

   • 为预共享密钥创建连接关联密钥(CAK)和连接关联密钥名称(CKN)：

     1. 创建一个 16 字节的十六进制 CAK：

        # dd if=/dev/urandom count=16 bs=1 2> /dev/null | hexdump -e '1/2 "%04x"'
        50b71a8ef0bd5751ea76de6d6c98c03a

        Copy to Clipboard Toggle word wrap

     2. 创建一个 32 字节的十六进制 CKN：

        # dd if=/dev/urandom count=32 bs=1 2> /dev/null | hexdump -e '1/2 "%04x"'
        f2b4297d39da7330910a74abc0449feb45b5c0b9fc23df1430e1898fcf1c4550

        Copy to Clipboard Toggle word wrap
2. 在您要通过 MACsec 连接连接的两个主机上：

3. 创建 MACsec 连接：

   # nmcli connection add type macsec con-name macsec0 ifname macsec0 connection.autoconnect yes macsec.parent enp1s0 macsec.mode psk macsec.mka-cak 50b71a8ef0bd5751ea76de6d6c98c03a macsec.mka-ckn f2b4297d39da7330910a74abc0449feb45b5c0b9fc23df1430e1898fcf1c4550

   Copy to Clipboard Toggle word wrap

   在macsec.mka-cak 和 macsec.mka-ckn 参数中使用上一步生成的 CAK 和 CKN。在 MACsec-protected 网络的每个主机上，这些值必须相同。

4. 配置 MACsec 连接中的 IP 设置。

   1. 配置 IPv4 设置。例如，要为 macsec0 连接设置静态 IPv4 地址、网络掩码、默认网关和 DNS 服务器，请输入：

      # nmcli connection modify macsec0 ipv4.method manual ipv4.addresses '192.0.2.1/24' ipv4.gateway '192.0.2.254' ipv4.dns '192.0.2.253'

      Copy to Clipboard Toggle word wrap

   2. 配置 IPv6 设置。例如，要为 macsec0 连接设置静态 IPv6 地址、网络掩码、默认网关和 DNS 服务器，请输入：

      # nmcli connection modify macsec0 ipv6.method manual ipv6.addresses '2001:db8:1::1/32' ipv6.gateway '2001:db8:1::fffe' ipv6.dns '2001:db8:1::fffd'

      Copy to Clipboard Toggle word wrap

5. 激活连接：

   # nmcli connection up macsec0

   Copy to Clipboard Toggle word wrap

验证

1. 验证流量是否加密：

   # tcpdump -nn -i enp1s0

   Copy to Clipboard Toggle word wrap

2. 可选：显示未加密的流量：

   # tcpdump -nn -i macsec0

   Copy to Clipboard Toggle word wrap

3. 显示 MACsec 统计信息：

   # ip macsec show

   Copy to Clipboard Toggle word wrap

4. 显示每种保护类型的单独的计数器：仅完整性（关闭加密）和加密（打开加密）

   # ip -s macsec show

   Copy to Clipboard Toggle word wrap