内置 MAC 安全 Amazon Direct Connect

以下是 MACsec 的主要概念：

• MAC 安全（MACsec）：一项 IEEE 802.1 第 2 层标准，可提供数据机密性、数据完整性和数据来源真实性。有关该协议的更多信息，请参阅 802.1AE：MAC 安全（MACsec）。

• 安全关联密钥 (SAK)：一种会话密钥，用于在客户本地路由器和 Direct Connect 位置的连接端口之间建立 MACsec 连接。SAK 不是预共享的，而是通过加密密钥生成过程从 CKN/CAK 配对中自动派生的。在您提供和配置配对之后，这种推导发生在连接的 CKN/CAK 两端。出于安全考虑，会定期重新生成 SAK，而且每当建立 MACsec 会话时，也会重新生成 SAK。

• 连接关联密钥名称 (CKN) 和连接关联密钥 (CAK)：这对密钥中的值用于生成 MACsec 密钥。您可以生成配对值，将其与 Amazon Direct Connect 连接关联，然后在 Amazon Direct Connect 连接结束时在边缘设备上进行配置。Direct Connect 仅支持静态 CAK 模式，但不支持动态 CAK 模式。由于仅支持静态 CAK 模式，因此建议您在密钥生成、分发和轮换时遵循自己的密钥管理策略。

• 密钥格式：密钥格式应使用十六进制字符，长度恰好为 64 个字符。Direct Connect 仅支持用于专用连接的高级加密标准 (AES) 256 位密钥，该密钥对应于 64 个字符的十六进制字符串。

• 密钥分发渠道 — 要将新密钥 CKN-CAK配对发送到 Amazon，请使用 Amazon 控制台或 Direct Connect CLI 或 SDK 使用associate-mac-sec-key。我们建议您在将新 CKN-CAK 密钥对与专用连接关联时，仅使用 TLS 1.3 并强制使用后量子Module-Lattice-Based密钥交换算法，例如 ML-KEM （密钥封装机制）。有关更多信息，请查看 Amazon SDK 和 CLI 指南。使用 Amazon 控制台时，请使用支持连接安全的 Web 浏览器，ML-KEM 并查看连接安全性。

• 加密模式：Direct Connect 支持两种 MACsec 加密模式：

  • must_encrypt：在此模式下，连接需要对所有流量进行 MACsec 加密。如果 MACsec 协商失败或无法建立加密，则连接将不会传输任何流量。此模式提供了最高的安全保障，但如果有任何 MACsec-related 问题，可能会影响可用性。

  • should_encrypt：在此模式下，连接尝试建立 MACsec 加密，但如果 MACsec 协商失败，连接将回退到未加密的通信。此模式提供了更大的灵活性和更高的可用性，但在某些失败情况下，可能会允许未加密的流量。

  加密模式可以在连接配置期间设置，也可以在以后进行修改。默认情况下，新 MACsec-enabled 连接设置为 “should_encrypt” 模式，以防止在初始设置期间出现潜在的连接问题。

• CNN/CAK 旋转（手动）

  Direct Connect MacSec 支持 MacSec 钥匙串，最多可存储三对。 CKN/CAK 这样，您就可以在不中断连接的情况下手动轮换这些长期密钥。使用associate-mac-sec-key命令关联新 CKN/CAK 配对时，必须在设备上配置相同的配对。Direct Connect 设备尝试使用最近添加的密钥。如果该密钥与您设备的密钥不匹配，它将回退到之前的工作密钥，从而确保轮换期间的连接稳定性。

  有关使用 associate-mac-sec-key 的信息，请参阅 associate-mac-sec-key。

• 安全关联密钥 (SAK) 轮换（自动）

  源自活动 CKN/CAK 对的 SAK 会根据以下条件进行自动旋转：

  • 时间间隔

  • 加密流量的总量

  • MACsec 会话建立

  这种轮换由协议自动处理，在不中断连接的情况下以透明方式进行，并且不需要手动干预。SAK 从不永久存储，而是通过符合 IEEE 802.1X 标准的安全密钥派生过程重新生成。

• 选定入网点的 10 Gbps、100 Gbps 和 400 Gbps 专用 Direct Connect 连接支持 MACsec。对于上述连接，支持以下 MACSec 密码套件：

  • 对于 10Gbps 的连接， GCM-AES-256 以及。GCM-AES-XPN-256

  • 对于 100 Gbps 和 400 Gbps 的连接， GCM-AES-XPN-256

• 仅支持 256 位 MACSec 密钥。

• 100 Gbps 和 400 Gbps 连接需要扩展数据包编号（XPN）。对于 10Gbps 连接，Direct Connect 同时支持和GCM-AES-256 。 GCM-AES-XPN-256 High-speed 连接（例如 100 Gbps 和 400 Gbps 的专用连接）可能会很快耗尽 MacSec 最初的 32 位数据包编号空间，这将要求您每隔几分钟轮换一次加密密钥才能建立新的连接关联。为了避免这种情况，IEEE Std 802.1 AEbw-2013 修正案引入了扩展的数据包编号，将编号空间增加到64位，从而放宽了密钥轮换的及时性要求。

• 安全通道标识符（SCI）是必填项，必须处于打开状态。此设置无法调整。

• 不支持 IEEE 802.1Q (Dot1q/VLAN) tag offset/dot1q in-clear 用于将 VLAN 标签移到加密有效负载之外。

• 为 MacSec 密钥创建 CKN/CAK 一对。

  您可以使用开放标准工具创建该对。该对必须满足 步骤 4：配置本地路由器 中指定的要求。

• 确保连接端具有支持 MACsec 的设备。

• 必须开启安全通道标识符（SCI）。

• 仅支持 256 位 MACsec 密钥，提供最新的高级数据保护。

• LAG 必须由支持 MacSec MACsec-capable 加密的专用连接组成

• LAG 内的所有连接都必须具有相同的带宽并支持 MACsec

• MACsec 配置统一应用于 LAG 中的所有连接

• 启用 LAG 创建和 MACsec 可以同时完成

• 任何时候在所有 LAG 链路上只能使用一个 MacSec 密钥。支持多个 MACsec 密钥的功能仅用于密钥轮换目的。

• 如果连接处于待处理状态，我们会解除 CKN 与连接的关联。

• 如果连接处于可用状态，我们会通过电子邮件通知连接所有者。如果您在 30 天内未采取任何行动，我们会解除 CKN 与连接的关联。