MACsec per Cloud Interconnect ti aiuta a proteggere il traffico sulle connessioni Cloud Interconnect, in particolare tra il router on-premise e i router di confine di Google. MACsec per Cloud Interconnect utilizza lo standard IEEE 802.1AE Media Access Control Security (MACsec) per criptare il traffico tra il router on-premise e i router di confine di Google.
MACsec per Cloud Interconnect non fornisce la crittografia dei dati in transito all'interno di Google. Per una maggiore sicurezza, ti consigliamo di utilizzare MACsec con altri protocolli di sicurezza di rete, come IP Security (IPsec) e Transport Layer Security (TLS). Per ulteriori informazioni sull'utilizzo di IPsec per proteggere il traffico di rete su Google Cloud, consulta la panoramica della VPN ad alta disponibilità tramite Cloud Interconnect.
MACsec per Cloud Interconnect è disponibile per i circuiti da 10 Gbps e da 100 Gbps. Tuttavia, per ordinare MACsec per Cloud Interconnect per circuiti da 10 Gbps, devi contattare il tuo account manager.
MACsec per Cloud Interconnect supporta tutte le funzionalità di collegamento VLAN, tra cui IPv4, IPv6 e IPsec.
I seguenti diagrammi mostrano come MACsec cripta il traffico. La Figura 1 mostra la crittografia del traffico MACsec su Dedicated Interconnect. La Figura 2 mostra la crittografia del traffico con MACsec su Partner Interconnect.
Per utilizzare MACsec su Partner Interconnect, collabora con il tuo fornitore di servizi per assicurarti che il traffico di rete venga criptato tramite la rete dei tuoi fornitori.
Come funziona MACsec per Cloud Interconnect
MACsec per Cloud Interconnect contribuisce a proteggere il traffico tra il tuo router on-premise e il router perimetrale di peering di Google. Utilizza Google Cloud CLI (gcloud CLI) o la console Google Cloud per generare i valori della chiave di associazione della connettività (CAK) e del nome della chiave di associazione della connettività (CKN) GCM-AES-256. Configura il router in modo che utilizzi i valori CAK e CKN per configurare MACsec. Dopo aver attivato MACsec sul router e in Cloud Interconnect, MACsec cripta il traffico tra il router on-premise e il router edge di peering di Google.
Router on-premise supportati
Puoi utilizzare router on-premise con MACsec per Cloud Interconnect che supportano le specifiche MACsec elencate nella tabella seguente.
| Impostazione | Valore |
|---|---|
| Suite di crittografia MACsec |
|
| Algoritmo crittografico CAK | AES_256_CMAC |
| Priorità del server delle chiavi | 15 |
| Intervallo di ricreazione della chiave di associazione sicura (SAK) | 28800 secondi |
| Offset della riservatezza MACsec | 0 |
| Dimensioni finestra | 64 |
| Indicatore del valore di verifica dell'integrità (ICV) | sì |
| Identificatore canale sicuro (SCI) | abilitato |
MACsec per Cloud Interconnect supporta rotazione della chiave senza hit per un massimo di cinque chiavi.
Diversi router prodotti da Cisco, Juniper e Arista soddisfano le specifiche. Non possiamo consigliare router specifici. Ti consigliamo di rivolgerti al fornitore del router per determinare il modello più adatto alle tue esigenze.
Prima di utilizzare MACsec per Cloud Interconnect
Assicurati di soddisfare i seguenti requisiti:
Comprendi le interconnessioni di rete di base, in modo da poter ordinare e configurare i circuiti di rete.
Scopri le differenze e i requisiti di Dedicated Interconnect e Partner Interconnect.
Avere accesso amministrativo al router di confine on-premise.
Verifica che MACsec sia disponibile presso la struttura di colocation.
Procedura di configurazione di MACsec per Cloud Interconnect
Dopo aver verificato che MACsec per Cloud Interconnect è disponibile nella tua sede di colocation, controlla se disponi già di una connessione Cloud Interconnect compatibile con MACsec. In caso contrario, ordina una connessione Cloud Interconnect compatibile con MACsec.
Una volta completati i test della connessione Cloud Interconnect e quando è pronta per l'uso, puoi configurare MACsec creando chiavi precondivise MACsec e configurando il router on-premise. A questo punto, puoi attivare MACsec e verificare che sia abilitato per il link e sia operativo. Infine, puoi monitorare la connessione MACsec per assicurarti che funzioni correttamente.
Disponibilità di MACsec
MACsec per Cloud Interconnect è supportato su tutte le connessioni Cloud Interconnect da 100 Gbps, indipendentemente dalla località.
MACsec per Cloud Interconnect non è disponibile in tutte le strutture di colocation per i circuiti da 10 Gbps. Per ulteriori informazioni sulle funzionalità disponibili presso le strutture di colocation, consulta la tabella delle località.
Per scoprire quali strutture di colocation con circuiti da 10 Gbps supportano MACsec per Cloud Interconnect: La disponibilità di MACsec per i circuiti da 10 Gbps viene visualizzata solo per i progetti inclusi nella lista consentita. Per ordinare MACsec per Cloud Interconnect per i circuiti da 10 Gbps, devi contattare il tuo account manager.
Console
Nella console Google Cloud, vai alla scheda Collegamenti fisici di Cloud Interconnect.
Fai clic su Configura connessione fisica.
Seleziona Interconnessione dedicata e poi fai clic su Continua.
Seleziona Ordina nuovo Dedicated Interconnect e poi fai clic su Continua.
Nel campo Località Google Cloud, fai clic su Scegli.
Nel riquadro Scegli la struttura di colocation, trova la città in cui vuoi una connessione Cloud Interconnect. Nel campo Posizione geografica, seleziona un'area geografica. La colonna Supporto di MACsec per il progetto attuale mostra le dimensioni dei circuiti disponibili per MACsec per Cloud Interconnect.
gcloud
Esegui l'autenticazione in Google Cloud CLI:
gcloud auth loginPer scoprire se una struttura di colocation supporta MACsec per Cloud Interconnect, svolgi una delle seguenti operazioni:
Verifica che una struttura di colocation specifica supporti MACsec per Cloud Interconnect:
gcloud compute interconnects locations describe COLOCATION_FACILITYSostituisci
COLOCATION_FACILITYcon il nome del centro di colocation elencato nella tabella delle località.L'output è simile al seguente esempio. Prendi nota della sezione
availableFeatures. Le connessioni compatibili con MACsec mostrano quanto segue:- Per i link a 10 Gbps:
linkType: LINK_TYPE_ETHERNET_10G_LReavailableFeatures: IF_MACSEC - Per i link a 100 Gbps:
linkType: LINK_TYPE_ETHERNET_100G_LR; tutti i link a 100 Gbps sono compatibili con MACsec
address: |- Equinix 47 Bourke Road Alexandria Sydney, New South Wales 2015 Australia availabilityZone: zone1 availableFeatures: - IF_MACSEC availableLinkTypes: - LINK_TYPE_ETHERNET_10G_LR - LINK_TYPE_ETHERNET_100G_LR city: Sydney continent: C_ASIA_PAC creationTimestamp: '2019-12-05T12:56:15.000-08:00' description: Equinix Sydney (SY3) facilityProvider: Equinix facilityProviderFacilityId: SY3 id: '1173' kind: compute#interconnectLocation name: syd-zone1-1605 peeringdbFacilityId: '1605' regionInfos: - region: https://www.googleapis.com/compute/v1/projects/my-project/regions/australia-southeast1 - region: https://www.googleapis.com/compute/v1/projects/my-project/regions/australia-southeast2 - region: https://www.googleapis.com/compute/v1/projects/my-project/regions/us-east7 selfLink: https://www.googleapis.com/compute/v1/projects/my-project/global/interconnectLocations/syd-zone1-1605 status: AVAILABLE- Per i link a 10 Gbps:
Elenca tutte le strutture di colocation che supportano MACsec per Cloud Interconnect su circuiti da 10 Gbps:
gcloud compute interconnects locations list \ --filter "availableFeatures: (IF_MACSEC)"L'output è simile al seguente:
NAME DESCRIPTION FACILITY_PROVIDER ... <stripped> syd-zone1-1605 Equinix Sydney (SY3) Equinix ... <stripped>Elenca tutte le strutture di colocation con link a 100 Gbps e quindi che offrono MACsec per impostazione predefinita:
gcloud compute interconnects locations list \ --filter "availableLinkTypes: (LINK_TYPE_ETHERNET_100G_LR)"L'output è simile al seguente:
NAME DESCRIPTION FACILITY_PROVIDER ... <stripped> syd-zone1-1605 Equinix Sydney (SY3) Equinix ... <stripped>
Supporto di MACsec sulle connessioni Cloud Interconnect esistenti
MACsec per Cloud Interconnect è supportato sulle connessioni Cloud Interconnect esistenti da 100 Gbps.
Se hai una connessione da 10 Gbps, controlla la disponibilità di MACsec nella tua sede di colocation. Se il supporto MACsec è disponibile nella tua sede di colocation, verifica che Cloud Interconnect sia compatibile con MACsec.
Posso attivare MACsec se la mia connessione Cloud Interconnect esistente non lo supporta?
Se la struttura di colocation non supporta MACsec, puoi procedere in uno dei seguenti modi:
Richiedi una nuova connessione Cloud Interconnect e MACsec come funzionalità obbligatoria.
Contatta il tuo account manager Google Cloud per pianificare la migrazione della connessione Cloud Interconnect esistente alle porte compatibili con MACsec.
La migrazione fisica delle connessioni può richiedere diverse settimane a causa di vincoli di pianificazione. Le migrazioni richiedono una periodo di manutenzione che richiede che le connessioni Cloud Interconnect siano prive di traffico di produzione.