MACsec für Cloud Interconnect – Übersicht

MACsec für Cloud Interconnect unterstützt Sie beim Sichern des Traffics über Cloud Interconnect-Verbindungen, insbesondere zwischen Ihrem lokalen Router und den Edge-Routern von Google. MACsec für Cloud Interconnect verwendet den IEEE-Standard 802.1AE Media Access Control Security (MACsec), um den Traffic zwischen Ihrem lokalen Router und den Edge-Routern von Google zu verschlüsseln.

MACsec für Cloud Interconnect bietet keine Verschlüsselung bei der Übertragung innerhalb von Google. Für eine höhere Sicherheit empfehlen wir die Verwendung von MACsec mit anderen Netzwerksicherheitsprotokollen wie IP Security (IPsec) und Transport Layer Security (TLS). Weitere Informationen zum Schutz Ihres Netzwerks mit IPsec Traffic zu Google Cloud finden Sie im Abschnitt HA VPN über Cloud Interconnect Übersicht.

MACsec für Cloud Interconnect ist für 10 Gbit/s- und 100 Gbit/s-Netzwerkverbindungen verfügbar. Wenn Sie jedoch MACsec für Cloud Interconnect für 10-Gbit/s-Netzwerkverbindungen bestellen möchten, wenden Sie sich an Ihren Account Manager.

MACsec für Cloud Interconnect unterstützt alle Features von VLAN-Anhängen, einschließlich IPv4, IPv6 und IPsec.

Die folgenden Diagramme zeigen, wie MACsec den Traffic verschlüsselt. Abbildung 1 zeigt, wie MACsec der Traffic auf Dedicated Interconnect verschlüsselt. Abbildung 2 zeigt, wie MACsec den Traffic auf Partner Interconnect verschlüsselt.

Abbildung 1: MACsec verschlüsselt den Traffic über Dedicated Interconnect zwischen dem Peering-Edge-Router von Google und einem lokalen Router.
Abbildung 1. MACsec verschlüsselt den Traffic auf Dedicated Interconnect zwischen dem Peering-Edge-Router von Google und einem lokalen Router (zum Vergrößern klicken).


Abbildung 2: MACsec verschlüsselt den Traffic auf Partner Interconnect zwischen dem Peering-Edge-Router von Google und dem Peering-Edge-Router des Dienstanbieters.
Abbildung 2. MACsec verschlüsselt den Traffic auf Partner Interconnect zwischen dem Peering-Edge-Router von Google und dem Peering-Edge-Router des Dienstanbieters (zum Vergrößern klicken).

Wenn Sie MACsec in Partner Interconnect verwenden möchten, wenden Sie sich an Ihren Dienstanbieter, damit Ihr Netzwerk-Traffic über das Netzwerk Ihres Anbieters verschlüsselt wird.

Funktionsweise von MACsec für Cloud Interconnect

MACsec für Cloud Interconnect schützt den Traffic zwischen Ihrem lokalen Router und dem Peering-Edge-Router von Google. Sie verwenden die Google Cloud CLI (gcloud-CLI) oder die Google Cloud Console, um einen GCM-AES-256-Verbindungsverknüpfungsschlüssel-Wert und einen Verbindungsverknüpfungsschlüssel-Namen-Wert (CKN) zu generieren. Konfigurieren Sie Ihren Router so, dass er die CAK- und CKN-Werte zum Konfigurieren von MACsec verwendet. Nachdem Sie MACsec auf Ihrem Router und in Cloud Interconnect aktiviert haben, verschlüsselt MACsec den Traffic zwischen Ihrem lokalen Router und dem Peering-Edge-Router von Google.

Unterstützte lokale Router

Sie können lokale Router mit MACsec für Cloud Interconnect verwenden, die die in der folgenden Tabelle aufgeführten MACsec-Spezifikationen unterstützen.

Einstellung Wert
MACsec-Cipher Suite
  • GCM-AES-256-XPN
  • GCM-AES-256
Kryptografischer CAK-Algorithmus AES_256_CMAC
Schlüsselserverpriorität 15
Neuverschlüsselungsintervall für sicheren Verknüpfungsschlüssel (Secure Association Key, SAK) 28800 Sekunden
MACsec-Vertraulichkeits-Offset 0
Fenstergröße 64
Indikator für Integritätsprüfungswert (ICV) yes
Secure Channel Identifier (SCI) aktiviert

MACsec für Cloud Interconnect unterstützt eine problemlose Schlüsselrotation für bis zu fünf Schlüssel.

Mehrere von Cisco, Juniper und Arista hergestellte Router erfüllen die Spezifikationen. Wir können keine Router empfehlen. Wir empfehlen Ihnen, sich mit dem Anbieter Ihres Routers zu befassen, um zu ermitteln, welches Modell für Ihre Anforderungen am besten geeignet ist.

Voraussetzungen für die Verwendung von MACsec für Cloud Interconnect

Folgende Anforderungen müssen erfüllt sein:

  • Machen Sie sich mit den Grundlagen zu Interconnect-Verbindungen des Netzwerks vertraut, damit Sie Netzwerkverbindungen bestellen und konfigurieren können.

  • Verstehen Sie die Unterschiede zwischen und die Anforderungen für Dedicated Interconnect-Verbindung und Partner Interconnect

  • Sie haben Administratorzugriff auf Ihren lokalen Edge-Router.

  • Prüfen Sie, ob MACsec in Ihrer Colocations-Einrichtung verfügbar ist.

MACsec für Cloud Interconnect-Einrichtungsschritte

Nachdem Sie festgestellt haben, dass MACsec für Cloud Interconnect in Ihrer Colocations-Einrichtung verfügbar ist, prüfen Sie, ob Sie bereits eine MACsec-fähige Cloud Interconnect-Verbindung haben. Wenn nicht, bestellen Sie eine MACsec-fähige Cloud Interconnect-Verbindung.

Nachdem Ihre Cloud Interconnect-Verbindung den Test abgeschlossen hat und einsatzbereit ist, können Sie MACsec einrichten, indem Sie vorinstallierte MACsec-Schlüssel erstellen und Ihren lokalen Router konfigurieren. Sie können MACsec dann aktivieren und prüfen, ob es für die Verbindung aktiviert ist und einsatzbereit ist. Schließlich können Sie Ihre MACsec-Verbindung überwachen, um zu prüfen, ob sie ordnungsgemäß funktioniert.

MACsec-Verfügbarkeit

MACsec für Cloud Interconnect wird unabhängig vom Standort für alle 100-Gbit/s-Verbindungen von Cloud Interconnect unterstützt.

MACsec für Cloud Interconnect ist nicht in allen Colocations-Einrichtungen für 10-Gbit/s-Netzwerkverbindungen verfügbar. Weitere Informationen zu den verfügbaren Funktionen finden Sie unter Colocations-Einrichtungen finden Sie unter Standorte Tabelle.

So ermitteln Sie, welche Colocations-Einrichtungen mit 10-Gbit/s-Netzwerkverbindungen MACsec für Cloud Interconnect unterstützen. Die MACsec-Verfügbarkeit für 10-Gbit/s-Netzwerkverbindungen wird nur für Projekte auf der Zulassungsliste angezeigt. Wenn Sie MACsec für Cloud Interconnect für 10-Gbit/s-Netzwerkverbindungen bestellen möchten, wenden Sie sich an Ihren Account Manager.

Console

  1. Rufen Sie in der Google Cloud Console den Cloud Interconnect-Tab Physische Verbindungen auf.

    Zu „Physische Verbindungen“

  2. Klicken Sie auf Physische Verbindung einrichten.

  3. Wählen Sie Dedicated Interconnect und dann Weiter aus.

  4. Wählen Sie Neue Dedicated Interconnect-Verbindung bestellen und dann Weiter aus.

  5. Klicken Sie im Feld Google Cloud-Standort auf Auswählen.

  6. Suchen Sie im Bereich Colocations-Einrichtung auswählen die Stadt, in der sich eine Cloud Interconnect-Verbindung befinden soll. Wählen Sie im Feld Geografischer Standort einen geografischen Bereich aus. In der Spalte MACsec-Unterstützung für aktuelles Projekt sehen Sie die Netzwerkgrößen, die für MACsec für Cloud Interconnect verfügbar sind.

gcloud

  1. Authentifizieren Sie sich in der Google Cloud CLI:

    gcloud auth login
    
  2. Führen Sie einen der folgenden Schritte aus, um festzustellen, ob eine Colocations-Einrichtung MACsec für Cloud Interconnect unterstützt:

    • Überprüfen Sie, ob eine bestimmte Colocations-Einrichtung MACsec für Cloud Interconnect unterstützt:

      gcloud compute interconnects locations describe COLOCATION_FACILITY
      

      Ersetzen Sie COLOCATION_FACILITY durch den in der Standorttabelle aufgeführten Namen der Colocations-Einrichtung.

      Die Ausgabe ähnelt dem folgenden Beispiel: MACsec-fähige Verbindungen zeigen Folgendes an:

      • Für 10-Gbit/s-Links: linkType: LINK_TYPE_ETHERNET_10G_LR und availableFeatures: IF_MACSEC
      • Für 100-Gbit/s-Links: linkType: LINK_TYPE_ETHERNET_100G_LR; alle 100-Gbit/s-Links sind MACsec-fähig
      address: |-
        Equinix
        47 Bourke Road
        Alexandria
        Sydney, New South Wales 2015
        Australia
      availabilityZone: zone1
      availableFeatures:
      - IF_MACSEC
      availableLinkTypes:
      - LINK_TYPE_ETHERNET_10G_LR
      - LINK_TYPE_ETHERNET_100G_LR
      city: Sydney
      continent: C_ASIA_PAC
      creationTimestamp: '2019-12-05T12:56:15.000-08:00'
      description: Equinix Sydney (SY3)
      facilityProvider: Equinix
      facilityProviderFacilityId: SY3
      id: '1173'
      kind: compute#interconnectLocation
      name: syd-zone1-1605
      peeringdbFacilityId: '1605'
      regionInfos:
      - region: https://www.googleapis.com/compute/v1/projects/my-project/regions/australia-southeast1
      - region: https://www.googleapis.com/compute/v1/projects/my-project/regions/australia-southeast2
      - region: https://www.googleapis.com/compute/v1/projects/my-project/regions/us-east7
      selfLink: https://www.googleapis.com/compute/v1/projects/my-project/global/interconnectLocations/syd-zone1-1605
      status: AVAILABLE
      
    • Listen Sie alle Colocations-Einrichtungen auf, die MACsec für Cloud Interconnect auf 10-Gbit/s-Netzwerkverbindungen unterstützen:

      gcloud compute interconnects locations list \
          --filter "availableFeatures: (IF_MACSEC)"
      

      Die Ausgabe sieht in etwa so aus:

      NAME                  DESCRIPTION              FACILITY_PROVIDER
      ... <stripped>
      syd-zone1-1605        Equinix Sydney (SY3)     Equinix
      ... <stripped>
      
    • Listen Sie alle Colocations-Einrichtungen mit 100-Gbit/s-Links auf, die standardmäßig MACsec anbieten:

      gcloud compute interconnects locations list \
          --filter "availableLinkTypes: (LINK_TYPE_ETHERNET_100G_LR)"
      

      Die Ausgabe sieht in etwa so aus:

      NAME                  DESCRIPTION              FACILITY_PROVIDER
      ... <stripped>
      syd-zone1-1605        Equinix Sydney (SY3)     Equinix
      ... <stripped>
      

MACsec-Unterstützung für vorhandene Cloud Interconnect-Verbindungen

MACsec für Cloud Interconnect wird auf vorhandenen Cloud Interconnect-Verbindungen mit 100 Gbit/s unterstützt.

Wenn Sie eine 10-Gbit/s-Verbindung haben, prüfen Sie die MACsec-Verfügbarkeit in Ihrer Colocations-Einrichtung. Wenn MACsec-Unterstützung an Ihrer Colocations-Einrichtung verfügbar ist, dann prüfen Sie, ob Cloud Interconnect MACsec-fähigist.

Kann ich MACsec aktivieren, wenn meine vorhandene Cloud Interconnect-Verbindung dieses nicht unterstützt?

Wenn Ihre Colocations-Einrichtung MACsec nicht unterstützt, können Sie einen der folgenden Schritte ausführen:

  • Fordern Sie eine neue Cloud Interconnect-Verbindung an und fordern Sie MACsec als erforderliches Feature an.

  • Wenden Sie sich an Ihren Google Cloud Account Manager, um eine Migration Ihrer vorhandenen Cloud Interconnect-Verbindung zu MACsec-fähigen Ports zu planen.

Die physische Migration von Verbindungen kann aufgrund von Einschränkungen bei der Planung mehrere Wochen dauern. Für Migrationen ist ein Wartungsfenster erforderlich, in dem Ihre Cloud Interconnect-Verbindungen frei von Produktionstraffic sein müssen.

Nächste Schritte