نام (NAME)

ip-macsec - پیکربندی و مدیریت دستگاه MACsec

خلاصه دستور (SYNOPSIS)

ip link add link DEVICE name NAME type macsec [ [ address <lladdr> ] port PORT | sci <u64> ] [ cipher { default | gcm-aes-128 | gcm-aes-256 | gcm-aes-xpn-128 | gcm-aes-xpn-256 } ] [ icvlen ICVLEN ] [ encrypt { on | off } ] [ send_sci { on | off } ] [ end_station { on | off } ] [ scb { on | off } ] [ protect { on | off } ] [ replay { on | off } ] [ window WINDOW ] [ validate { strict | check | disabled } ] [ encodingsa SA ] [ offload { off | phy | mac } ]

ip macsec add DEV tx sa { 0..3 } [ OPTS ] key ID KEY
ip macsec set DEV tx sa { 0..3 } [ OPTS ]
ip macsec del DEV tx sa { 0..3 }

ip macsec add DEV rx SCI [ on | off ]
ip macsec set DEV rx SCI [ on | off ]
ip macsec del DEV rx SCI

ip macsec add DEV rx SCI sa { 0..3 } [ OPTS ] key ID KEY
ip macsec set DEV rx SCI sa { 0..3 } [ OPTS ]
ip macsec del DEV rx SCI sa { 0..3 }

ip macsec offload DEV { off | phy | mac }

ip macsec show [ DEV ]

OPTS := [ pn { 1..2^32-1 } | xpn { 1..2^64-1 } ] [ salt SALT ] [ ssci <u32> ] [ on | off ]
SCI := { sci <u64> | port PORT address <lladdr> }
PORT := { 1..2^16-1 }
SALT := 96-bit hex string

توضیحات (DESCRIPTION)

دستورات ip macsec برای پیکربندی ارتباط‌های امن ارسال (transmit secure associations)، کانال‌های امن دریافت (receive secure channels) و ارتباط‌های امن متناظر آن‌ها روی یک دستگاه MACsec به کار می‌روند که با استفاده از دستور ip link add و نوع macsec ایجاد شده باشد.

مثال‌ها (EXAMPLES)

# ip link add link eth0 macsec0 type macsec port 11 encrypt on

# ip macsec add macsec0 tx sa 0 pn 1024 on key 01 81818181818181818181818181818181

# ip macsec add macsec0 rx port 1234 address c6:19:52:8f:e6:a0

# ip macsec add macsec0 rx port 1234 address c6:19:52:8f:e6:a0 sa 0 pn 1 on key 00 82828282828282828282828282828282

# ip macsec show

# ip macsec offload macsec0 phy

# ip link add link eth0 macsec0 type macsec port 11 encrypt on offload mac

مثال‌های شماره بسته گسترش‌یافته (EXTENDED PACKET NUMBER EXAMPLES)

# ip link add link eth0 macsec0 type macsec port 11 encrypt on cipher gcm-aes-xpn-128

# ip macsec add macsec0 tx sa 0 xpn 1024 on salt 838383838383838383838383 ssci 123 key 01 81818181818181818181818181818181

# ip macsec add macsec0 rx port 11 address c6:19:52:8f:e6:a0

# ip macsec add macsec0 rx port 11 address c6:19:52:8f:e6:a0 sa 0 xpn 1 on salt 838383838383838383838383 ssci 123 key 00 82828282828282828282828282828282

# ip macsec show

نکات (NOTES)

از این ابزار می‌توان برای پیکربندی کلیدهای 802.1AE رابط شبکه استفاده کرد. توجه داشته باشید که 802.1AE از الگوریتم GCM-AES همراه با یک بردار مقداردهی اولیه (IV) استفاده می‌کند که از شماره بسته (packet number) مشتق می‌شود. یک کلید یکسان نباید بیش از یک بار با همان IV استفاده شود؛ در عوض، کلیدها باید به‌طور مکرر بازتولید و توزیع شوند. بنابراین این ابزار عمدتاً برای اشکال‌زدایی و آزمایش، یا همراه با یک برنامه کاربردی در فضای کاربری (user-space) که کلیدها را مجدداً پیکربندی می‌کند، در نظر گرفته شده است. این فرض که کلیدها صرفاً به‌صورت ایستا پیکربندی شوند و به‌طور نامحدود کار کنند نادرست است. روش پیشنهادی و استاندارد برای مدیریت کلیدها پروتکل 802.1X-2010 است که توسط wpa_supplicant پیاده‌سازی شده است.

نکات شماره بسته گسترش‌یافته (EXTENDED PACKET NUMBER NOTES)

پاس دادن الگوریتم رمزنگاری gcm-aes-xpn-128 یا gcm-aes-xpn-256 به دستور ip link add هنگام استفاده از نوع macsec، علاوه بر ارائه یک salt با استفاده از کلیدواژه 'salt' و ارائه ssci با استفاده از کلیدواژه 'ssci'، مستلزم استفاده از کلیدواژه 'xpn' به‌جای 'pn' در زمان اجرای دستور ip macsec است.

همچنین ببینید (SEE ALSO)

ip-link(8) wpa_supplicant(8)

نویسنده (AUTHOR)

Sabrina Dubroca <sd@queasysnail.net>