Karuboniru's Blog
·
一种很怪的隧道 (MACsec in VXLAN)
内容提要
文章介绍了如何通过VXLAN和MACsec在公网上建立安全隧道。首先配置VXLAN隧道，然后添加MACsec进行加密和认证。尽管存在一些限制，该方案性能优越且配置简单，适合需要安全连接的场景。
关键要点
-
文章介绍了如何通过VXLAN和MACsec在公网上建立安全隧道。
-
最初尝试IEKv2 + IPsec，但因复杂度放弃，转而研究VXLAN隧道。
-
VXLAN本身没有加密，可能被墙检查内容，因此考虑添加MACsec进行加密和认证。
-
配置VXLAN隧道需要在两端设置相同的参数，包括端口和公网IP。
-
在任意一端生成CAK和CKN后，配置MACsec隧道以实现加密。
-
客户端通过MACsec自动获取IPv4/IPv6地址，需配置NAT和防火墙规则以实现上网。
-
MACsec是点对点的，断开后需手动重连，可通过配置文件避免接口被禁用。
-
该方案有一些限制，如需公网IP和点对点连接，但性能优越且配置简单。
-
由于是二层连接，客户端可将MACsec接口桥接到网桥上，支持更多设备接入。
延伸解读
VXLAN与MACsec的结合优势
VXLAN本身不具备加密功能，容易被网络监控系统检查。通过添加MACsec，可以实现数据的加密和认证，增强了安全性。这种组合适合需要在不安全网络中传输敏感数据的场景，提供了更高的隐私保护。
配置注意事项
在配置VXLAN和MACsec时，确保两端的参数一致性至关重要，包括端口和公网IP。此外，MACsec的点对点特性意味着一旦连接断开，需手动重连，建议通过配置文件避免接口被禁用，以提高使用的便利性。
适用场景与限制
该方案适合对性能要求高且配置简单的用户，但存在一些限制，如需要公网IP和点对点连接，灵活性不如传统VPN。因此，在选择方案时需考虑具体的网络环境和需求。
延伸问答
如何通过VXLAN和MACsec在公网上建立安全隧道？
首先配置VXLAN隧道，然后在任意一端生成CAK和CKN，接着配置MACsec隧道以实现加密和认证。
VXLAN隧道的主要缺点是什么？
VXLAN本身没有加密，可能被墙检查内容，因此需要添加MACsec进行加密和认证。
MACsec的配置需要哪些参数？
需要生成16字节的CAK和32字节的CKN，并在配置中指定这些密钥。
使用MACsec时，客户端如何获取IP地址？
客户端通过MACsec自动获取IPv4/IPv6地址，需配置NAT和防火墙规则以实现上网。
MACsec的连接方式有什么特点？
MACsec是点对点的，断开后需手动重连，可以通过配置文件避免接口被禁用。
该方案的优点和限制是什么？
优点是全内核支持、性能极好、配置简单；限制是需要公网IP和点对点连接。
