Modifica comportamento di errore di apertura

Questa pagina descrive come modificare MACsec per il comportamento di errore di apertura di Cloud Interconnect.

Puoi scegliere di abilitare MACsec per Cloud Interconnect con comportamento di errore di apertura. Se i router perimetrali di Google non sono in grado di stabilire una sessione del contratto per le chiavi MACsec (MKA) con il router, la connessione di Cloud Interconnect rimane operativa con il traffico non criptato. L'impostazione predefinita elimina tutto il traffico se non è possibile stabilire una sessione MKA con il router.

Puoi modificare il comportamento di failover di MACsec solo utilizzando Google Cloud CLI.

Avviso: per evitare di trasmettere involontariamente traffico non criptato, ti consigliamo di utilizzare l'impostazione predefinita per il traffico di produzione e il comportamento di errore di apertura solo per test e risoluzione dei problemi.

Abilita comportamento di errore di apertura

Verifica che non ci sia traffico sulla connessione Cloud Interconnect prima di abilitare MACsec per Cloud Interconnect con comportamento di errore di apertura.

Importante: quando abiliti il comportamento di errore di apertura sulla connessione Cloud Interconnect, devi disabilitare temporaneamente MACsec sulla connessione Cloud Interconnect. Di conseguenza, si verifica temporaneamente la perdita di pacchetti della connessione. Per evitare interruzioni della rete, verifica che non vi sia traffico sui collegamenti VLAN di Cloud Interconnect prima di disabilitare MACsec per Cloud Interconnect. Per saperne di più, consulta Disattivare o attivare i collegamenti VLAN.

gcloud

Esegui questi comandi:

gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --no-enabled \
    --fail-open
gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --enabled

Disattiva comportamento di errore di apertura

Se hai abilitato il comportamento di errore di apertura per MACsec per Cloud Interconnect, puoi scegliere di disabilitare questo comportamento in un secondo momento. Dopo la disattivazione del comportamento in caso di errore di apertura, se i router perimetrali di Google non sono in grado di stabilire una sessione MACsec Key Agreement (MKA) con il tuo router, la connessione interrompe tutto il traffico.

Importante: quando disabiliti il comportamento di errore di apertura sulla connessione Cloud Interconnect, devi disabilitare temporaneamente MACsec sulla connessione Cloud Interconnect. Di conseguenza, si verifica temporaneamente la perdita di pacchetti della connessione. Per evitare interruzioni della rete, verifica che non vi sia traffico sui collegamenti VLAN di Cloud Interconnect prima di disabilitare MACsec per Cloud Interconnect. Per saperne di più, consulta Disattivare o attivare i collegamenti VLAN.

gcloud

Esegui questi comandi:

gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --no-enabled \
    --no-fail-open
gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --enabled

Che cosa succede dopo?

• Risolvere i problemi relativi a MACsec