Modifica il comportamento di fail-open

Questa pagina descrive come modificare MACsec per Cloud Interconnect un comportamento di fail open.

Puoi scegliere di abilitare MACsec per Cloud Interconnect con fail-open comportamento degli utenti. Fail-open significa che se i router perimetrali di Google non sono in grado di stabilire un MACsec chiave (MKA) con il router, poi Cloud Interconnect la connessione continua a funzionare anche con il traffico non criptato. L'impostazione predefinita elimina tutto il traffico se non è possibile stabilire una sessione MKA con il router.

Puoi modificare il comportamento di failover di MACsec solo utilizzando Google Cloud CLI.

Avviso : per evitare di trasmettere involontariamente traffico non criptato, ti consigliamo di: utilizzi l'impostazione predefinita per il traffico di produzione e viene usato il comportamento di fail-open solo per test e risoluzione dei problemi.

Abilita comportamento di fail-open

Verifica che non ci sia traffico sulla tua connessione Cloud Interconnect prima Abilitazione di MACsec per Cloud Interconnect con comportamento di fail-open.

Importante: quando abiliti il comportamento di fail-open su Cloud Interconnect devi disabilitare temporaneamente MACsec su Cloud Interconnect connessione. Di conseguenza, si verifica temporaneamente la perdita di pacchetti per la connessione. A evitare interruzioni della rete, verificare che non vi sia traffico sul Collegamenti VLAN Cloud Interconnect prima della disattivazione MACsec per Cloud Interconnect. Per ulteriori informazioni, vedi Disattiva o attiva i collegamenti VLAN.

gcloud

Esegui questi comandi:

gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --no-enabled \
    --fail-open
gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --enabled

Disabilita il comportamento di fail-open

Se hai abilitato il comportamento di fail-open per MACsec per Cloud Interconnect, puoi scegliere di disabilitare il comportamento di fail-open in un secondo momento. Dopo il comportamento di fail-open, è disabilitata, se i router perimetrali di Google non sono in grado di stabilire un contratto chiave MACsec (MKA) sessione con il router, la connessione interrompe tutto il traffico.

Importante: quando disabilita il comportamento di fail open su Cloud Interconnect devi disabilitare temporaneamente MACsec su Cloud Interconnect connessione. Di conseguenza, si verifica temporaneamente la perdita di pacchetti per la connessione. A evitare interruzioni della rete, verificare che non vi sia traffico sul Collegamenti VLAN Cloud Interconnect prima della disattivazione MACsec per Cloud Interconnect. Per ulteriori informazioni, vedi Disattiva o attiva i collegamenti VLAN.

gcloud

Esegui questi comandi:

gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --no-enabled \
    --no-fail-open
gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --enabled

Passaggi successivi

• Risolvere i problemi relativi a MACsec