Inicio · Documentación · Tecnología · MACsec

MACsec: cifrado de capa 2 para redes de transporte

IEEE 802.1AE MACsec le ofrece cifrado a velocidad de cable para cada trama Ethernet entre dos routers: sin sobrecarga de túnel IPsec, sin penalización de MTU más allá del SecTAG, sin cuello de botella de software. OcNOS implementa MACsec con AES-GCM de 256 bits, gestión de claves EAPoL-MKA y renovación de claves sin interrupciones en plataformas 100G y 400G validadas.

Salto cifrado entre dos routers OcNOS

Un enlace MACsec punto a punto entre dos routers PE. Cada trama se encapsula con un SecTAG, un ICV y un número de paquete; el cifrado AES-GCM 256 se ejecuta en el ASIC a velocidad de línea, con EAPoL-MKA negociando las SAKs en el plano de control.

Por qué MACsec para redes de transporte

Los operadores que transportan tráfico multiusuario sobre fibra arrendada, onda oscura o infraestructura metropolitana compartida necesitan cada vez más cifrado en cada salto, no solo en la capa IP. MACsec envuelve cada trama Ethernet en un SecTAG y un valor de comprobación de integridad (ICV), con el cifrado ejecutándose en el ASIC a velocidad de línea. No hay penalización de MTU más allá de los ~32 bytes de sobrecarga de MACsec, ningún cuello de botella de software ni estado de túnel por flujo: solo un salto cifrado.

La implementación de MACsec de OcNOS

Suites de cifrado

AES-GCM 128 / 256

Se admiten tanto los conjuntos de cifrado GCM-AES-128 como GCM-AES-256, con numeración de paquetes extendida (XPN) para enlaces de alto ancho de banda, a fin de evitar la rotación prematura de la SA.

Gestión de claves

EAPoL-MKA + PSK

CAK precompartida con negociación de SAKs mediante EAPoL-MKA. Los pares CKN/CAK rotan según un calendario configurable sin requerir intervención del operador.

Recambio de claves sin interrupción

Rotación sin pérdidas

La rotación de SAK ocurre en banda sin pérdida de paquetes mediante asociaciones de recepción solapadas. Vuelva a generar claves por tiempo, por conteo de paquetes o por activación del operador.

Plataformas validadas

Velocidad de línea 100G / 400G

MACsec validado en plataformas UfiSpace y Edgecore con cifrado por puerto a la tasa plena del enlace: sin límite agregado, sin restricciones por grupo de puertos.

Modo por puerto

Habilitación selectiva

Habilite MACsec por puerto físico o por canal; combine puertos cifrados y en texto claro en el mismo chasis para adaptarse a despliegues híbridos.

Telemetría

Contadores + estado

Sensores gNMI para contadores SecY, estado de participante MKA, marcas máximas de número de paquete y fallos de ICV: suficiente para alertar antes de que expire una clave.

Garantías operativas con OcNOS MACsec

  • Standards-aligned. IEEE 802.1AE-2018 completo más 802.1X-2020 MKA, interoperable con las implementaciones de los principales proveedores en el enlace.
  • Sin licencia de cifrado por puerto. MACsec se incluye en la imagen base de OcNOS-SP en las plataformas compatibles.
  • Actualizaciones de software sin interrupciones. El ISSU en los chasis compatibles preserva las sesiones MACsec a lo largo de las actualizaciones del NOS. El cifrado se mantiene activo.
  • Operaciones maduras. Rutas de configuración por CLI, NETCONF y gNMI; compatibles con ZTP para el aprovisionamiento de Día 0 de pares CKN/CAK.
Underlay SR-MPLS EVPN-VXLAN BGP Página del producto OcNOS-SP

¿Está diseñando una red de transporte cifrada?

Solicite una demostración técnica →
Preguntas frecuentes

Preguntas frecuentes

¿Qué suites de cifrado admite OcNOS MACsec?
OcNOS admite tanto GCM-AES-128 como GCM-AES-256, con extended packet numbering (XPN) en los enlaces de alto ancho de banda para evitar la renovación prematura de la asociación de seguridad.
¿En qué se diferencia MACsec de IPsec?
MACsec cifra en la capa 2, envolviendo cada trama Ethernet con un SecTAG y un valor de comprobación de integridad en el ASIC, a velocidad de línea. A diferencia de un túnel IPsec, no existe estado de túnel por flujo, no hay cuello de botella de software y solo se añaden unos 32 bytes de sobrecarga.
¿El renovado de claves de MACsec provoca pérdida de paquetes?
No. OcNOS realiza la rotación SAK sin interrupción en banda mediante asociaciones de recepción superpuestas, de modo que las claves pueden renovarse por tiempo, número de paquetes o activación del operador, sin ninguna pérdida de paquetes.
¿MACsec opera a velocidad de línea en todos los puertos?
En las plataformas UfiSpace y Edgecore compatibles, OcNOS realiza el cifrado por puerto a la velocidad plena del enlace, sin tope agregado ni límites de grupo de puertos, y MACsec puede habilitarse de forma selectiva por puerto o canal.
¿MACsec en OcNOS requiere una licencia aparte?
No. MACsec se incluye en la imagen base de OcNOS-SP en las plataformas compatibles, sin licencia de cifrado por puerto. Se configura mediante CLI, NETCONF y gNMI, y es compatible con ZTP para el aprovisionamiento Day-0 de pares CKN/CAK.
Datasheet y resúmenes de solución

Profundice. Llévelo consigo.

El datasheet del producto y descargas técnicas y breves que profundizan más que esta página.

Datasheet

Datasheet de OcNOS-SP

Especificación completa de OcNOS-SP: el conjunto de funciones de acceso, cell site y agregación, los SKU de software, las plataformas de hardware compatibles y la guía de pedido de la solución.

Obtener el datasheet
Solution brief

Actualización SR-MPLS con OcNOS

Migre SR-MPLS a OcNOS sobre hardware abierto: Flex-Algo, TI-LFA y una ruta de migración probada como alternativa a Cisco.

Obtener el brief
Solution brief

Transporte WAN para Cloud y Operadores

Transporte WAN para la nube y los service provider sobre hardware abierto: SR-MPLS, EVPN y reenvío probado a escala.

Obtener el brief