Modificare il comportamento di fail-open

Questa pagina descrive come modificare il comportamento fail-open di MACsec per Cloud Interconnect.

Puoi scegliere di attivare MACsec per Cloud Interconnect con comportamento fail-open. Con fail-open si intende che se i router di confine di Google non riescono a stabilire una sessione di accordo sulle chiavi MACsec (MKA) con il tuo router, la connessione Cloud Interconnect rimane operativa con il traffico non criptato. L'impostazione predefinita consente di eliminare tutto il traffico se non è possibile stabilire una sessione MKA con il router.

Puoi modificare il comportamento del failover MACsec solo utilizzando Google Cloud CLI.

Avviso: per evitare di trasmettere involontariamente traffico non criptato, ti consigliamo di utilizzare l'impostazione predefinita per il traffico di produzione e il comportamento di apertura in caso di errore solo per i test e la risoluzione dei problemi.

Attiva il comportamento fail-open

Verifica che non sia presente traffico sulla connessione Cloud Interconnect prima di attivare MACsec per Cloud Interconnect con comportamento fail-open.

Importante: quando attivi il comportamento di fail-open sulla connessione Cloud Interconnect, devi disattivare temporaneamente MACsec sulla connessione Cloud Interconnect. Di conseguenza, la connessione presenta temporaneamente una perdita di pacchetti. Per evitare interruzioni della rete, verifica che non sia presente traffico sui collegamenti VLAN di Cloud Interconnect prima di disattivare MACsec per Cloud Interconnect. Per ulteriori informazioni, vedi Disattivare o attivare i collegamenti VLAN.

gcloud

Esegui questi comandi:

gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --no-enabled \
    --fail-open
gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --enabled

Disattivare il comportamento Fail Open

Se hai attivato il comportamento di fail-open per MACsec per Cloud Interconnect, puoi scegliere di disattivarlo in un secondo momento. Dopo aver disattivato il comportamento di fail-open, se i router di confine di Google non riescono a stabilire una sessione di accordo sulle chiavi MACsec (MKA) con il tuo router, la connessione interrompe tutto il traffico.

Importante: quando disattivi il comportamento di fail-open sulla connessione Cloud Interconnect, devi disattivare temporaneamente MACsec sulla connessione Cloud Interconnect. Di conseguenza, la connessione presenta temporaneamente una perdita di pacchetti. Per evitare interruzioni della rete, verifica che non sia presente traffico sui collegamenti VLAN di Cloud Interconnect prima di disattivare MACsec per Cloud Interconnect. Per ulteriori informazioni, vedi Disattivare o attivare i collegamenti VLAN.

gcloud

Esegui questi comandi:

gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --no-enabled \
    --no-fail-open
gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --enabled

Passaggi successivi

• Risolvere i problemi di MACsec