Startseite · Dokumentation · Technologie · MACsec

MACsec: Layer-2-Verschlüsselung für Transportnetze

IEEE 802.1AE MACsec bietet Ihnen Wire-Speed-Verschlüsselung für jeden Ethernet-Frame zwischen zwei Routern: kein IPsec-Tunnel-Overhead, keine MTU-Einbuße über den SecTAG hinaus, kein Software-Engpass. OcNOS implementiert MACsec mit 256-Bit AES-GCM, EAPoL-MKA-Schlüsselverwaltung und unterbrechungsfreiem Rekeying auf validierten 100G- und 400G-Plattformen.

Verschlüsselter Hop zwischen zwei OcNOS-Routern

Eine Punkt-zu-Punkt-MACsec-Verbindung zwischen zwei PE-Routern. Jeder Frame wird mit einem SecTAG, einem ICV und einer Packet Number gekapselt; die AES-GCM-256-Chiffre läuft im ASIC bei Line-Rate, während EAPoL-MKA die SAKs in der Control-Plane aushandelt.

Warum MACsec für Transportnetze

Betreiber, die Multi-Tenant-Traffic über angemietete Fasern, Dark Wave oder gemeinsam genutzte Metro-Infrastruktur transportieren, benötigen zunehmend Verschlüsselung an jedem Hop, nicht nur auf der IP-Ebene. MACsec kapselt jeden Ethernet-Frame in einen SecTAG und einen Integrity Check Value (ICV), wobei die Chiffre auf dem ASIC mit Line Rate läuft. Es gibt keinen MTU-Aufschlag über die rund 32 Byte MACsec-Overhead hinaus, keinen Software-Engpass und keinen Per-Flow-Tunnelstatus: lediglich einen verschlüsselten Hop.

Die MACsec-Implementierung von OcNOS

Cipher Suites

AES-GCM 128 / 256

Sowohl die GCM-AES-128- als auch die GCM-AES-256-Cipher-Suites werden unterstützt, mit Extended Packet Numbering (XPN) für Hochbandbreiten-Links, um vorzeitige SA-Rollovers zu vermeiden.

Key-Management

EAPoL-MKA + PSK

Pre-Shared CAK mit EAPoL-MKA-Aushandlung der SAKs. CKN/CAK-Paare rollieren nach einem konfigurierbaren Zeitplan, ohne dass ein Eingriff des Operators erforderlich ist.

Hitless Rekey

Verlustfreie Rotation

Die SAK-Rotation erfolgt In-Band ohne Paketverlust durch überlappende Receive Associations. Rekey nach Zeit, Paketzahl oder Operator-Trigger.

Qualifizierte Plattformen

100G / 400G Line Rate

Validierte MACsec auf UfiSpace- und Edgecore-Plattformen mit Per-Port-Verschlüsselung bei voller Link-Rate: keine aggregierte Obergrenze, keine Port-Group-Limits.

Per-Port-Modus

Selektive Aktivierung

Aktivieren Sie MACsec pro physischem Port oder pro Channel und mischen Sie verschlüsselte und unverschlüsselte Ports im selben Chassis, um hybride Deployments abzubilden.

Telemetrie

Counters + State

gNMI-Sensoren für SecY-Counter, MKA-Participant-State, Packet-Number-High-Watermarks und ICV-Failures: genug, um zu alarmieren, bevor ein Key abläuft.

Betriebsgarantien mit OcNOS MACsec

  • Standards-aligned. Vollständiges IEEE 802.1AE-2018 plus 802.1X-2020 MKA, interoperabel mit den Implementierungen großer Anbieter auf der Leitung.
  • Keine Verschlüsselungslizenz pro Port. MACsec ist auf unterstützten Plattformen im Basis-Image von OcNOS-SP enthalten.
  • Unterbrechungsfreie Software-Upgrades. ISSU auf unterstützten Chassis erhält MACsec-Sitzungen über NOS-Upgrades hinweg. Die Verschlüsselung bleibt aktiv.
  • Ausgereifter Betrieb. Konfigurationspfade über CLI, NETCONF und gNMI; ZTP-freundlich für die Day-0-Provisionierung von CKN/CAK-Paaren.
SR-MPLS Underlay EVPN-VXLAN BGP OcNOS-SP-Produktseite

Planen Sie ein verschlüsseltes Transportnetz?

Technische Demo anfragen →
FAQ

Häufig gestellte Fragen

Welche Cipher Suites unterstützt OcNOS MACsec?
OcNOS unterstützt sowohl GCM-AES-128 als auch GCM-AES-256 und nutzt auf Verbindungen mit hoher Bandbreite Extended Packet Numbering (XPN), um einen vorzeitigen Rollover der Security Association zu vermeiden.
Worin unterscheidet sich MACsec von IPsec?
MACsec verschlüsselt auf Layer 2 und versieht jeden Ethernet-Frame im ASIC bei Line-Rate mit einem SecTAG und einem Integritätsprüfwert. Anders als bei einem IPsec-Tunnel gibt es keinen Tunnelzustand pro Flow, keinen Software-Engpass und nur rund 32 Byte Overhead.
Verursacht MACsec-Rekeying Paketverlust?
Nein. OcNOS führt eine unterbrechungsfreie SAK-Rotation In-Band mithilfe überlappender Receive-Associations durch, sodass Schlüssel zeit-, paketzahl- oder betreibergesteuert ohne jeglichen Paketverlust gewechselt werden können.
Arbeitet MACsec auf allen Ports mit Line-Rate?
Auf den unterstützten UfiSpace- und Edgecore-Plattformen führt OcNOS die Verschlüsselung pro Port mit voller Link-Rate durch, ohne aggregierte Obergrenze oder Portgruppen-Beschränkungen, und MACsec kann selektiv pro Port oder Kanal aktiviert werden.
Erfordert MACsec in OcNOS eine separate Lizenz?
Nein. MACsec ist im Basis-Image von OcNOS-SP auf unterstützten Plattformen ohne Verschlüsselungslizenz pro Port enthalten. Es lässt sich über CLI, NETCONF und gNMI konfigurieren und ist ZTP-fähig für das Day-0-Provisioning von CKN/CAK-Paaren.
Datenblatt und Solution Briefs

Gehen Sie tiefer. Nehmen Sie es mit.

Das Produktdatenblatt und kurze, technische Downloads, die über diese Seite hinausgehen.

Datenblatt

OcNOS-SP Datenblatt

Vollständige OcNOS-SP Spezifikation: Funktionsumfang für Access, Cell Site und Aggregation, Software-SKUs, unterstützte Hardware-Plattformen und der Solution Ordering Guide.

Datasheet abrufen
Solution Brief

SR-MPLS-Upgrade mit OcNOS

Migrieren Sie SR-MPLS auf OcNOS auf offener Hardware: Flex-Algo, TI-LFA und ein bewährter Umstellungspfad als Cisco-Alternative.

Brief anfordern
Solution Brief

Cloud- & Service-Provider-WAN-Transport

Cloud- und Service-Provider-WAN-Transport auf offener Hardware: SR-MPLS, EVPN und im Maßstab getestetes Forwarding.

Brief anfordern