フェイルオープン動作を変更する

このページでは、Cloud Interconnect のフェイルオープン動作用に MACsec を変更する方法について説明します。

Cloud Interconnect でフェイルオープン動作の MACsec を有効にすることもできます。フェイルオープンとは、Google のエッジルーターがルーターとの MACsec Key Agreement（MKA）セッションを確立できない場合でも、Cloud Interconnect 接続が暗号化されていないトラフィックの処理を継続することを意味します。ルーターで MKA セッションを確立できない場合、デフォルトの設定ではすべてのトラフィックがドロップされます。

MACsec フェイルオーバー動作を変更するには、Google Cloud CLI を使用する必要があります。

警告: 暗号化されていないトラフィックを意図せずに通過させることを防ぐため、本番環境のトラフィックにはデフォルトの設定を使用し、フェイルオープン動作はテストとトラブルシューティングの場合にのみ使用することをおすすめします。

フェイルオープン動作を有効にする

フェイルオープン動作で Cloud Interconnect の MACsec を有効にする前に、Cloud Interconnect 接続でトラフィックが発生していないことを確認してください。

重要: Cloud Interconnect 接続でフェイルオープン動作を有効にする場合は、Cloud Interconnect 接続で MACsec を一時的に無効にする必要があります。そのため、接続で一時的にパケット ロスが発生します。ネットワークの中断を回避するため、Cloud Interconnect で MACsec を無効にする前に、Cloud Interconnect VLAN アタッチメントでトラフィックが発生していないことを確認してください。詳細については、VLAN アタッチメントを無効または有効にするをご覧ください。

gcloud

次のコマンドを実行します。

gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --no-enabled \
    --fail-open
gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --enabled

フェイルオープン動作を無効にする

Cloud Interconnect の MACsec でフェイルオープン動作が有効になっている場合、フェイルオープン動作を無効にすることもできます。フェイルオープン動作が無効になった後、Google のエッジ ルーターがルーターとの MACsec Key Agreement（MKA）セッションを確立できないと、すべてのトラフィックがドロップされます。

重要: Cloud Interconnect 接続でフェイルオープン動作を無効にする場合は、Cloud Interconnect 接続で MACsec を一時的に無効にする必要があります。そのため、接続で一時的にパケット ロスが発生します。ネットワークの中断を回避するため、Cloud Interconnect で MACsec を無効にする前に、Cloud Interconnect VLAN アタッチメントでトラフィックが発生していないことを確認してください。詳細については、VLAN アタッチメントを無効または有効にするをご覧ください。

gcloud

次のコマンドを実行します。

gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --no-enabled \
    --no-fail-open
gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --enabled

次のステップ

• MACsec をトラブルシューティングする