修改应急开启行为

本页面介绍如何修改 MACsec for Cloud Interconnect 应急开启行为。

您可以选择启用具有应急开启行为的 MACsec for Cloud Interconnect。应急开启意味着，如果 Google 的边缘路由器无法与您的路由器建立 MACsec 密钥协议 (MKA) 会话，则 Cloud Interconnect 仍可以通过未加密的流量运行。如果无法与您的路由器建立 MKA 会话，则默认设置会丢弃所有流量。

您只能使用 Google Cloud CLI 更改 MACsec 故障切换行为。

警告：为避免意外传递未加密的流量，我们建议您对生产流量使用默认设置，并且仅使用应急开启行为进行测试和问题排查。

启用应急开启行为

在启用具有应急开启行为的 MACsec for Cloud Interconnect 之前，请验证您的 Cloud Interconnect 连接上没有流量。

重要提示：在 Cloud Interconnect 连接上启用应急开启行为时，必须在 Cloud Interconnect 连接上暂时停用 MACsec。因此，该连接会暂时丢失数据包。为避免网络中断，请先验证 Cloud Interconnect VLAN 连接没有流量，然后再停用 MACsec for Cloud Interconnect。如需了解详情，请参阅停用或启用 VLAN 连接。

gcloud

运行以下命令：

gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --no-enabled \
    --fail-open
gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --enabled

停用应急开启行为

如果您为 MACsec for Cloud Interconnect 启用了应急开启行为，则可以稍后选择停用应急开启行为。开启应急开启行为后，如果 Google 的边缘路由器无法与您的路由器建立 MACsec 密钥协议 (MKA) 会话，则连接会丢弃所有流量。

重要提示：在 Cloud Interconnect 连接上停用应急开启行为时，必须在 Cloud Interconnect 连接上暂时停用 MACsec。因此，该连接会暂时丢失数据包。为避免网络中断，请先验证 Cloud Interconnect VLAN 连接没有流量，然后再停用 MACsec for Cloud Interconnect。如需了解详情，请参阅停用或启用 VLAN 连接。

gcloud

运行以下命令：

gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --no-enabled \
    --no-fail-open
gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --enabled

后续步骤

• 排查 MACsec 问题