Abilita MACsec

Questa pagina descrive come attivare MACsec per Cloud Interconnect.

Dopo aver generato le chiavi precondivise e aver configurato il router on-premise per utilizzarle, devi attivare MACsec per Cloud Interconnect. Dopo aver attivato MACsec per Cloud Interconnect, verifica che la configurazione di Cloud Interconnect sia configurata correttamente e che utilizzi MACsec per proteggere i tuoi dati.

Prima di iniziare

Se non hai completato la configurazione, configura MACsec prima di attivare MACsec per Cloud Interconnect.

Attivare MACsec per Cloud Interconnect

Seleziona una delle seguenti opzioni:

Console

  1. Nella console Google Cloud, vai alla scheda Collegamenti fisici di Cloud Interconnect.

    Vai a Connessioni fisiche

  2. Seleziona la connessione che vuoi modificare.

  3. Nella scheda MACsec, fai clic su Attiva.

    Viene visualizzata una finestra di conferma. Leggi il messaggio e poi fai clic su Conferma per confermare di voler attivare MACsec o su Annulla per annullare.

gcloud

Per abilitare MACsec per Cloud Interconnect con le impostazioni predefinite, esegui il seguente comando:

gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --enabled

Sostituisci INTERCONNECT_CONNECTION_NAME con il nome della connessione Cloud Interconnect.

Verificare la configurazione MACsec

Seleziona una delle seguenti opzioni:

Console

  1. Nella console Google Cloud, vai alla scheda Collegamenti fisici di Cloud Interconnect.

    Vai a Connessioni fisiche

  2. Seleziona la connessione che vuoi visualizzare.

  3. La sezione Informazioni sul circuito del link mostra le seguenti informazioni:

    • ID circuito Google:il nome del circuito del link.

    • Stato del link:lo stato fisico del link membro LACP mostra Controlla e Attivo per indicare che il link membro LACP è attivo.

    • Nome chiave MACsec: viene visualizzato un segno di spunta Verifica e il nome della chiave MACsec per indicare che MACsec è attivo sul link.

    • Potenza ottica ricevente: un Controlla indica una connessione accettabile. Il livello di illuminazione ottica rilevato dall'interfaccia fisica dal trasmettitore remoto viene visualizzato in dBm.

    • Potenza ottica di trasmissione: un Controlla indica una connessione accettabile e il livello di illuminazione ottica che l'interfaccia fisica sta trasmettendo al ricevitore remoto viene visualizzato in dBm.

    • ID demarcazione Google:l'ID univoco assegnato da Google per il circuito di collegamento.

  4. Fai clic sulla scheda MACsec. La configurazione MACsec mostra uno dei seguenti elementi per la configurazione MACsec:

    • Attivata, modalità di fail open:la crittografia MACsec è abilitata sul collegamento. Se la crittografia MACsec non è stabilita tra entrambe le estremità, il link funziona senza crittografia.

    • Attivata, impossibile chiudere: la crittografia MACsec è abilitata sul collegamento. Se la crittografia MACsec non è stabilita tra entrambe le estremità, il collegamento non va a buon fine.

gcloud

Esegui questo comando:

gcloud compute interconnects describe INTERCONNECT_CONNECTION_NAME

L'output è simile al seguente esempio di Cloud Interconnect da 10 GB. Cerca availableFeatures impostato su IF_MACSEC e la sezione macsec:

adminEnabled: true
availableFeatures:
- IF_MACSEC
circuitInfos:
- customerDemarcId: fake-peer-demarc-0
  googleCircuitId: LOOP-0
  googleDemarcId: fake-local-demarc-0
creationTimestamp: '2021-10-05T03:39:33.888-07:00'
customerName: Fake Company
description: something important
googleReferenceId: '123456789'
id: '12345678987654321'
interconnectAttachments:
- https://www.googleapis.com/compute/v1/projects/my-project1/regions/us-central1/interconnectAttachments/interconnect-123456-987654321-0
interconnectType: IT_PRIVATE
kind: compute#interconnect
labelFingerprint: 12H17262736_
linkType: LINK_TYPE_ETHERNET_10G_LR
location: https://www.googleapis.com/compute/v1/projects/my-project1/global/interconnectLocations/cbf-zone2-65012
macsec:
  failOpen: false
  preSharedKeys:
  - name: key1
    startTime: 2023-07-01T21:00:01.000Z
macsecEnabled: true
name: INTERCONNECT_CONNECTION_NAME
operationalStatus: OS_ACTIVE
provisionedLinkCount: 1
requestedFeatures:
- IF_MACSEC
requestedLinkCount: 1
selfLink: https://www.googleapis.com/compute/v1/projects/my-project1/global/interconnects/INTERCONNECT_CONNECTION_NAME
selfLinkWithId: https://www.googleapis.com/compute/v1/projects/my-project1/global/interconnects/12345678987654321
state: ACTIVE

I seguenti elementi specificano la configurazione MACsec della connessione Cloud Interconnect:

  • availableFeatures: funzionalità MACsec sulla connessione Cloud Interconnect. Questo parametro viene mostrato solo per le connessioni Cloud Interconnect da 10 GB, perché tutte le connessioni Cloud Interconnect da 100 GB sono compatibili con MACsec per impostazione predefinita.

  • macsec.failOpen: il comportamento della connessione se Cloud Interconnect non riesce a stabilire una sessione MKA con il router. Il valore può essere uno dei seguenti:

    • false: se non è possibile stabilire una sessione MKA, Cloud Interconnect interrompe tutto il traffico.

    • true: se non è possibile stabilire una sessione MKA, Cloud Interconnect trasmette il traffico non criptato.

  • macsec.preSharedKeys.name: l'elenco di tutte le chiavi pre-condivise configurate per Cloud Interconnect su questo link.

  • macsec.preSharedKeys.startTime: l'ora di inizio in cui la chiave pre-condivisa corrente è considerata valida. Tutte le chiavi hanno una validità infinita.

  • macsecEnabled: stato MACsec per Cloud Interconnect su questo link. Il valore può essere uno dei seguenti:

    • false: MACsec per Cloud Interconnect è disattivato.
    • true: MACsec per Cloud Interconnect è attivo.

Questo comando non mostra lo stato di attività di MACsec.

Attiva MACsec sul router on-premise

Per attivare MACsec sul router on-premise, consulta la documentazione del fornitore del router.

Scollegare la connessione Cloud Interconnect

Se in precedenza hai svuotato la connessione Cloud Interconnect, attiva i collegamenti VLAN.

Passaggi successivi