第 13 章 使用 MACsec 加密同一物理网络中的第 2 层流量
您可以使用 MACsec 来保护两个设备（点到点）之间的通信。例如，您的分支办公室通过城际以太网与中心办公室连接，您可以在连接办公室的两个主机上配置 MACsec，以提高安全性。
13.1. MACsec 如何提高安全性
介质访问控制安全(MACsec)是一种第 2 层协议，它保护以太网链路上的不同流量类型，包括：
- 动态主机配置协议(DHCP)
- 地址解析协议(ARP)
- IPv4 和 IPv6 流量
- 任何通过 IP 的流量，如 TCP 或 UDP
MACsec 默认使用 GCM-AES-128 算法加密并验证 LAN 中的所有流量，并使用预共享密钥在参与的主机之间建立连接。要更改预共享密钥，您必须更新所有使用 MACsec 的网络主机上的 NM 配置。
MACsec 连接使用以太网设备，如以太网网卡、VLAN 或隧道设备作为父设备。您只能在 MACsec 设备上设置 IP 配置，以便只使用加密连接与其他主机进行通信，或者在父设备上设置 IP 配置。在后者的情况下，您可以使用父设备使用未加密连接和 MACsec 设备加密连接与其他主机通信。
macsec 不需要任何特殊硬件。例如，您可以使用任何交换机，除非您只想在主机和交换机之间加密流量。在这种情况下，交换机还必须支持 MACsec。
换句话说，您可以为两种常见情况配置 MACsec：
- host-to-host
- host-to-switch 和 switch-to-other-hosts
重要
您只能在位于同一物理或虚拟 LAN 的主机间使用 MACsec。
