10-安全命令参考

14-MACsec命令

1 MACsec

仅LST1XP40RFG1、LST1XP40RFG2单板上速率为10Gbit/s的接口支持配置MACsec功能。

1.1 MACsec配置命令

1.1.1 confidentiality-offset

confidentiality-offset命令用来配置MACsec加密偏移量。

undo confidentiality-offset 命令用来恢复缺省情况。

【命令】

confidentiality-offset offset-value

undo confidentiality-offset

【缺省情况】

MACsec加密偏移量为0，表示整个数据帧都要加密。

MKA策略视图

offset-value：MACsec加密偏移量，取值包括0、30和50，单位为字节。

【使用指导】

· MACsec加密偏移量，表示从用户数据帧帧头开始偏移多少字节后开始加密。

· MACsec加密偏移量最终以密钥服务器发布的加密偏移量为准。如果本端不是密钥服务器，则应用密钥服务器发布的加密偏移量；如果本端是密钥服务器，则应用本端配置的加密偏移量。

· 在MKA策略中配置的MACsec加密偏移量，在该MKA策略成功应用到接口上之后，将会覆盖该接口上配置的MACsec加密偏移量。

【举例】

# 在MKA策略abcd中配置MACsec加密偏移量为30字节。

<Sysname> system-view

[Sysname] mka policy abcd

[Sysname-mka-policy-abcd] confidentiality-offset 30

【相关命令】

· macsec confidentiality-offset

· mka apply policy

1.1.2 display macsec

display macsec命令用来显示接口的MACsec运行信息。

【命令】

display macsec [ interface interface-type interface-number ] [ verbose ]

interface interface-type interface-number：显示接口上的MACsec运行的摘要信息。interface-type interface-number表示指定接口类型和接口编号。不指定该参数，则表示显示所有接口上的MACsec运行信息。

verbose：显示接口上的MACsec运行的详细信息。若不指定该参数，则表示显示MACsec运行的摘要信息。

【举例】

# 显示接口Ten-GigabitEthernet1/0/1上的MACsec运行的摘要信息。

<Sysname> display macsec interface Ten-GigabitEthernet 1/0/1

Interface Ten-GigabitEthernet1/0/1

Protect frames : Yes

Active MKA policy : PL01

Replay protection : Enabled

Replay window size : 0 frames

Confidentiality offset : 0 bytes

Validation mode : Check

# 显示接口Ten-GigabitEthernet1/0/1上的MACsec运行的详细信息。

<Sysname> display macsec interface Ten-GigabitEthernet 1/0/1 verbose

Interface Ten-GigabitEthernet1/0/1

Protect frames : Yes

Active MKA policy : PL01

Replay protection : Enabled

Replay window size : 0 frames

Confidentiality offset : 0 bytes

Validation mode : Check

Included SCI : No

SCI conflict : No

Cipher suite : GCM-AES-128

Transmit secure channel:

SCI : 000C29F6A4380004

Elapsed time: 00h:02m:19s

Current SA : AN 0 PN 1

Receive secure channels:

SCI : 000C29258D430124

Elapsed time: 00h:02m:17s

Current SA : AN 0 LPN 1

Previous SA : AN N/A LPN N/A

表1-1 display macsec命令显示信息描述表

字段	描述
Interface	使能了MKA协议的接口名称
Protect frames	接口上是否开启MACsec数据帧保护功能，包括以下取值： · Yes：需要进行MACsec数据帧保护 · No：不进行MACsec数据帧保护接口上不存在MKA主要行动者时显示为N/A
Active MKA policy	接口应用的且生效的MKA策略。接口上未开启MACsec数据帧保护功能时，显示为N/A；如果接口上开启了MACsec数据帧保护功能但没有应用实际生效的策略，不显示该字段
Replay protection	接口的重播保护功能的开启状态，包括以下取值： · Enabled：处于开启状态 · Disabled：处于关闭状态接口上的MACsec数据帧保护功能未开启时显示为N/A
Replay window size	接口的重播保护窗口大小，单位为数据帧。接口上未开启MACsec数据帧保护功能或接口上未开启重播保护功能时，显示为N/A
Confidentiality offset	接口的加密偏移量，单位为字节。接口上未开启MACsec数据帧保护功能时显示为N/A
Validation mode	接口上的数据帧校验模式，包括以下取值： · Check：检查模式 · Disabled：暂不支持 · Strict：严格校验模式 · N/A：接口上未开启MACsec数据帧保护功能
Included SCI	数据帧的SecTAG里是否携带SCI，包括以下取值： · Yes：携带SCI · No：未携带SCI 接口上未开启MACsec数据帧保护功能时显示为N/A
SCI conflict	收到的MKA协议报文的SCI和本端的SCI是否相同，包括以下取值： · Yes：收到的MKA协议报文的SCI和本端的SCI相同 · No：没有收到MKA协议报文或者收到的MKA协议报文的SCI和本端的SCI不相同
Cipher suite	保护数据帧的加密套件。接口上未开启MACsec数据帧保护功能时，显示为N/A
Transmit secure channel	发送数据帧的安全通道信息。接口上未开启MACsec数据帧保护功能时，不显示安全通道信息
Receive secure channels	接收数据帧的安全通道信息。接口上的未开启MACsec数据帧保护功能时，不显示安全通道信息
Elapsed time	SC存在的时间
SCI	SCI信息，由MAC地址和Port ID组成，为一个十六进制数
Current SA	安全通道当前使用的SA 若无此信息，则对应的AN、PN和LPN显示为N/A
Previous SA	安全通道使用的前一个SA 若无此信息，则对应的AN和LPN显示为N/A
PN	发送的报文编号
AN	SA编号
LPN	SAK可接收的最小报文编号

【相关命令】

· mka apply policy

1.1.3 display mka policy

display mka policy命令用来显示MKA策略相关信息。

【命令】

display mka { default-policy | policy [ name policy-name ] }

default-policy：表示显示默认的MKA策略。

policy：表示显示指定的MKA策略。

name policy-name：指定MKA策略名。policy-name为1～16个任意字符的字符串，区分大小写。若不指定该参数，则表示显示所有当前已有的MKA策略。

【举例】

# 显示所有MKA策略相关信息。

<Sysname> display mka policy

PolicyName ReplayProtection WindowSize ConfOffset Validation

default-policy Yes 0 0 Check

policy1 Yes 0 30 Check

policy2 Yes 100 0 Strict

policy3 No 0 0 Strict

policy4 Yes 200 50 Check

policy5 Yes 0 0 Check

表1-2 display mka policy命令显示信息描述表

字段	描述
PolicyName	MKA策略名
ReplayProtection	重播保护功能是否开启
WindowSize	重播保护窗口大小，单位为数据帧
ConfOffset	加密偏移量，单位为字节
Validation	数据帧校验模式，包括以下取值： · Check：检查模式 · Disabled：暂不支持，当前显示无效 · Strict：严格校验模式

【相关命令】

· mka policy

· mka apply policy

1.1.4 display mka session

display mka session命令用来显示MKA会话信息。

【命令】

display mka session [ interface interface-type interface-number | local-sci sci-id ] [ verbose ]

interface interface-type interface-number：显示指定接口的MKA的会话信息。interface-type interface-number为接口类型和接口编号。若不指定该参数，则表示显示所有接口上的MKA会话信息。

local-sci sci-id：表示本地发送通道标识。sci-id为16个字符的十六进制数，不区分大小写。

verbose：显示接口上的MKA的会话的详细信息。若不指定该参数，则表示显示MKA的会话的简要信息。

【举例】

# 显示接口Ten-GigabitEthernet1/0/1上的MKA会话摘要信息。

<Sysname> display mka session interface Ten-GigabitEthernet 1/0/1

Interface Ten-GigabitEthernet1/0/1

Tx-SCI : 000C29F6A4380004

Priority : 0

Capability: 3

CKN for participant: ABCD

Key server : Yes

MI (MN) : D7B00EDA353242704CC6B0DB (7)

Live peers : 1

Potential peers : 0

Principal actor : Yes

MKA session status : Secured

Confidentiality offset: 30 bytes

# 显示接口Ten-GigabitEthernet1/0/1上的MKA会话详细信息。

<Sysname> display mka session interface Ten-GigabitEthernet 1/0/1 verbose

Interface Ten-GigabitEthernet1/0/1

Tx-SCI : 000C29F6A4380004

Priority : 0

Capability: 3

CKN for participant: ABCD

Key server : Yes

MI (MN) : D7B00EDA353242704CC6B0DB (7)

Live peers : 1

Potential peers : 0

Principal actor : Yes

MKA session status : Secured

Confidentiality offset: 30 bytes

Current SAK status : Rx & Tx

Current SAK AN : 0

Current SAK KI (KN) : 4273791304C1C26259C94C3400000001 (1)

Previous SAK status : N/A

Previous SAK AN : N/A

Previous SAK KI (KN) : N/A

Live peer list:

MI MN Priority Capability Rx-SCI

EA58DC3F8715953DBC6593F0 840 100 3 00E0020000000106

Potential peer list:

MI MN Priority Capability Rx-SCI

DA58DC3Q4573543DBC6699F0 3 200 3 00E0021200000107

表1-3 display mka session 命令显示信息描述表

字段	描述
Interface	接口名称
Tx-SCI	发送SCI，采用十六进制格式
Priority	表示密钥服务器的优先级，取值为0～255
Capability	MACsec能力，取值如下： · 0：表示不支持MACsec功能 · 1：表示只支持完整性服务，不支持机密性服务 · 2：表示支持完整性服务，可选择支持机密性服务（加密偏移量只能为0） · 3：表示支持完整性服务，可选择支持机密性服务（加密偏移量可支持0，30及50）
CKN for participant	MKA实例的CKN
Key server	本端是否为密钥服务器
MI	成员标识，采用十六进制格式
MN	消息序号
Live peers	已经学习到的对端的个数
Potential peers	正在协商中的对端的个数
Principal actor	该MKA实例是否为主要行动者。其中，MKA实例表示MKA协议在该接口上的运行实体，当该MKA实例处于Active状态时，被称为主要行动者
MKA session status	MKA会话的状态： · Unknown：表示未知状态 · Pending：表示挂起状态 · Unauthenticated：表示未认证状态 · Authenticated：暂不支持 · Secured：表示安全状态，会话将被保护 · N/A：表示该MKA实例不是主要行动者
Confidentiality offset	密钥服务器发布的加密偏移量，明文通信或该MKA实例不是主要行动者时显示为N/A
Current SAK status	当前使用的SAK的状态（Tx表示用于发送，Rx表示用于接收），当该MKA实例不是主要行动者或SAK不存在时，显示为N/A
Current SAK AN	当前使用的SAK的SA编号，当该MKA实例不是主要行动者或SAK不存在时，显示为N/A
Current SAK KI	当前使用的SAK的密钥标识，由12字节的密钥服务器的MI和KN组成，采用十六进制格式，当该MKA实例不是主要行动者或SAK不存在时，显示为N/A
KN	SAK编号，当该MKA实例不是主要行动者或SAK不存在时，显示为N/A
Previous SAK status	前一个SAK的状态（Tx表示用于发送，Rx表示用于接收），当该MKA实例不是主要行动者或SAK不存在时，显示为N/A
Previous SAK AN	前一个SAK的SA编号，当该MKA实例不是主要行动者或SAK不存在时，显示为N/A
Previous SAK KI	前一个SAK的密钥标识，由12字节的密钥服务器的MI和KN组成，采用十六进制格式，当该MKA实例不是主要行动者或SAK不存在时，显为N/A
Live peer list	已经学习到的对端列表，当不存在Live peer时，不显示该字段
Potential peer list	正在协商过程中的对端列表，当不存在Potential peer时，不显示该字段
Rx-SCI	接收SCI，采用十六进制格式

【相关命令】

· reset mka session

1.1.5 display mka statistics

display mka statistics命令用来显示接口上的MKA统计信息。

【命令】

display mka statistics [ interface interface-type interface-number ]

interface interface-type interface-number：指定接口类型和接口编号。若不指定该参数，则表示显示所有接口上的MKA统计信息。

【举例】

# 显示接口Ten-GigabitEthernet1/0/1的MKA统计信息。

<Sysname> display mka statistics interface Ten-GigabitEthernet 1/0/1

Interface Ten-GigabitEthernet1/0/1 statistics

MKPDUs with invalid CKN : 0

MKPDUs with invalid ICV : 0

MKPDUs with Rx error : 0

CKN for participant : ABCD

Tx MKPDUs : 2379

Rx MKPDUs : 2375

MKPDUs with invalid MN: 0

MKPDUs with Tx error : 0

SAKs distributed : 0

SAKs received : 5

表1-4 display mka statistics命令显示信息描述表

字段	描述
Interface Ten-GigabitEthernet1/0/1 statistics	接口上的MKA统计信息
MKPDUs with invalid CKN	收到的且找不到匹配CKN的MKA协议报文个数
MKPDUs with invalid ICV	ICV校验失败的MKA协议报文个数
MKPDUs with Rx error	接收到错误的MKA协议报文个数
CKN for participant	MKA实例的CKN
Tx MKPDUs	实例发送的MKA协议报文个数
Rx MKPDUs	实例接收的MKA协议报文个数
MKPDUs with invalid MN	实例接收到非法MN的MKA协议报文个数
MKPDUs with Tx error	实例发送错误的MKA协议报文个数
SAKs distributed	实例分发的SAK个数
SAKs received	实例接收的SAK个数

【相关命令】

· reset mka statistics

1.1.6 macsec confidentiality-offset

macsec confidentiality-offset命令用来配置接口上的MACsec加密偏移量。

undo macsec confidentiality-offset命令用来恢复缺省情况。

【命令】

macsec confidentiality-offset offset-value

undo macsec confidentiality-offset

【缺省情况】

接口上的MACsec加密偏移量为0，表示整个数据帧都要加密。

offset-value：数据帧的加密偏移量，取值包括0、30和50，单位为字节。

【使用指导】

MACsec加密偏移量，表示从用户数据帧帧头开始偏移多少字节后开始加密。

· 如果首先在接口上通过mka apply policy命令应用MKA策略，然后在该接口上配置加密偏移量，则接口上应用的MKA策略将被取消，取而代之保存的配置将是，接口上配置的加密偏移量以及该MKA策略中的除加密偏移量之外的其它所有配置。

· 如果本端不是密钥服务器，则应用密钥服务器发布的加密偏移量；如果本端是密钥服务器，则应用本端配置的加密偏移量，并将该值发布给对端。

【举例】

# 配置接口Ten-GigabitEthernet1/0/1上的MACsec加密偏移量为30字节。

<Sysname> system-view

[Sysname] interface Ten-GigabitEthernet 1/0/1

[Sysname-Ten-GigabitEthernet1/0/1] macsec confidentiality-offset 30

【相关命令】

· confidentiality-offset

· display macsec

· display mka session

· mka apply policy

1.1.7 macsec desire

macsec desire命令用来启用MACsec保护，即接口期望对发送的数据帧进行MACsec保护。

undo macsec desire命令用来恢复缺省情况。

【命令】

macsec desire

undo macsec desire

【缺省情况】

接口上不需要对发送的数据帧进行MACsec保护。

macsec desire命令仅用来告知对端，本端发送的数据帧需要进行MACsec保护，但最终本端发送的数据帧是否启用MACsec保护，要由密钥服务器来决策。决策策略是：密钥服务器和它的对端支持MACsec功能，且它们至少有一个请求MACsec保护。

【举例】

# 配置接口Ten-GigabitEthernet1/0/1期望对发送的数据帧进行MACsec保护。

<Sysname> system-view

[Sysname] interface Ten-GigabitEthernet 1/0/1

[Sysname-Ten-GigabitEthernet1/0/1] macsec desire

1.1.8 macsec replay-protection enable

macsec replay-protection enable命令用来开启接口上的MACsec重播保护功能。

undo macsec replay-protection enable命令用来关闭接口上的MACsec重播保护功能。

【命令】

macsec replay-protection enable

undo macsec replay-protection enable

【缺省情况】

接口上的MACsec重播保护功能处于开启状态。

· MACsec重播保护功能可以单独开启，且仅针对接收到的数据帧。

· 重播保护功能可以防止本端收到乱序或重复的数据帧。

· 如果首先在接口上通过mka apply policy命令应用MKA策略，然后在该接口上使能MACsec重播保护功能，则接口上应用的MKA策略将被取消，取而代之保存的配置将是，接口上已开启MACsec重播保护功能以及该MKA策略中的除MACsec重播保护功能之外的其它所有配置。

【举例】

# 开启接口Ten-GigabitEthernet1/0/1上的MACsec重播保护功能。

<Sysname> system-view

[Sysname] interface Ten-GigabitEthernet 1/0/1

[Sysname-Ten-GigabitEthernet1/0/1] macsec replay-protection enable

【相关命令】

· display macsec

· mka apply policy

· macsec replay-protection window-size

1.1.9 macsec replay-protection window-size

macsec replay-protection window-size命令用来配置接口上的MACsec重播保护窗口大小。

undo macsec replay-protection window-size命令用来恢复缺省情况。

【命令】

macsec replay-protection window-size size-value

undo macsec replay-protection window-size

【缺省情况】

接口上的MACsec重播保护窗口大小为0个数据帧，表示不允许接收乱序或重复的数据帧。

size-value：重播保护窗口大小，取值范围为0～4294967295，单位为数据帧。

【使用指导】

在某些组网下（如数据帧经过运营商网络转发），因为用户数据帧的发送优先级不同，在转发过程中会被重新排序，最终到达接收端会出现乱序。如果要正常接收这些乱序的数据帧，需要开启重播保护功能，且配置重播保护窗口。假设配置的重播保护窗口大小为a，如果接收到了一个报文序号（PN，Packet Number）为x的报文，则下一个允许被接收的报文的PN必须大于或等于x-a。

· 该功能仅在重播保护功能开启的情况下有效。

· 请结合数据帧在传输网络中的转发途径，选择适当的重播保护窗口大小。若数据帧有可能被多次转发，那么乱序的可能性和乱序的范围会比较大，则建议适当调大重播保护窗口，反之调小。

· 如果首先在接口上通过mka apply policy命令应用MKA策略，然后在该接口上配置了MACsec重播保护窗口大小，则接口上应用的MKA策略将被取消，取而代之保存的配置将是，接口上配置的MACsec重播保护窗口大小以及该MKA策略中的除MACsec重播保护窗口大小之外的其它所有配置。

【举例】

# 配置接口Ten-GigabitEthernet1/0/1的MACsec重播保护窗口大小为100。

<Sysname> system-view

[Sysname] interface Ten-GigabitEthernet 1/0/1

[Sysname-Ten-GigabitEthernet1/0/1] macsec replay-protection window-size 100

【相关命令】

· display macsec

· macsec replay-protection enable

· mka apply policy

· replay-protection window-size