Modificar el comportamiento de apertura en caso de fallo

En esta página se describe cómo modificar el comportamiento de apertura en caso de fallo de MACsec para Cloud Interconnect.

Puedes habilitar MACsec para Cloud Interconnect con un comportamiento de apertura en caso de fallo. Fail-open significa que, si los routers perimetrales de Google no pueden establecer una sesión de acuerdo de claves MACsec (MKA) con tu router, la conexión de Cloud Interconnect seguirá funcionando con tráfico sin cifrar. El ajuste predeterminado rechaza todo el tráfico si no se puede establecer una sesión MKA con tu router.

Solo puedes cambiar el comportamiento de conmutación por error de MACsec mediante la CLI de Google Cloud.

Advertencia: Para evitar que se envíe tráfico sin cifrar por error, te recomendamos que utilices la configuración predeterminada para el tráfico de producción y que solo uses el comportamiento de apertura en caso de fallo para hacer pruebas y solucionar problemas.

Habilitar el comportamiento de apertura en caso de fallo

Verifica que no haya tráfico en tu conexión de Cloud Interconnect antes de habilitar MACsec para Cloud Interconnect con un comportamiento de apertura en caso de fallo.

Importante: Cuando habilites el comportamiento de apertura en caso de fallo en tu conexión de Cloud Interconnect, debes inhabilitar temporalmente MACsec en tu conexión de Cloud Interconnect. Como resultado, la conexión experimenta una pérdida de paquetes temporalmente. Para evitar interrupciones en tu red, comprueba que no haya tráfico en tus vinculaciones de VLAN de Cloud Interconnect antes de inhabilitar MACsec para Cloud Interconnect. Para obtener más información, consulta el artículo Inhabilitar o habilitar vinculaciones de VLAN

.

gcloud

Ejecuta estos comandos:

gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --no-enabled \
    --fail-open
gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --enabled

Inhabilitar el comportamiento de apertura en caso de fallo

Si has habilitado el comportamiento de apertura en caso de fallo para MACsec para Cloud Interconnect, puedes inhabilitarlo más adelante. Una vez que se ha inhabilitado el comportamiento de apertura en caso de fallo, si los routers perimetrales de Google no pueden establecer una sesión de acuerdo de claves MACsec (MKA) con tu router, la conexión dejará de enviar todo el tráfico.

Importante: Si inhabilitas el comportamiento de apertura en caso de fallo en tu conexión de Cloud Interconnect, debes inhabilitar temporalmente MACsec en tu conexión de Cloud Interconnect. Como resultado, la conexión experimenta una pérdida de paquetes temporalmente. Para evitar interrupciones en tu red, comprueba que no haya tráfico en tus vinculaciones de VLAN de Cloud Interconnect antes de inhabilitar MACsec para Cloud Interconnect. Para obtener más información, consulta el artículo Inhabilitar o habilitar vinculaciones de VLAN

.

gcloud

Ejecuta estos comandos:

gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --no-enabled \
    --no-fail-open
gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --enabled

Siguientes pasos

• Solucionar problemas de MACsec