MACsec op MikroTik: Laag-2 Encryptie
MACsec (Media Access Control Security, IEEE 802.1AE) is een standaard voor het versleutelen van Ethernet-verkeer op laag 2 van het OSI-model. MikroTik ondersteunt MACsec vanaf RouterOS v7, waarmee u uw netwerkverkeer kunt beveiligen zonder dat dit ten koste gaat van de prestaties.
Wat is MACsec?
MACsec versleutelt alle Ethernet-verkeer tussen twee direct verbonden apparaten. In tegenstelling tot IPsec (dat op laag 3 werkt) of SSL/TLS (laag 4+), werkt MACsec op de datalink-laag. Dit betekent dat ál het verkeer wordt beschermd — inclusief ARP, DHCP, CDP/LLDP en andere laag-2 protocollen.
MikroTik MACsec implementatie
MikroTik biedt MACsec-ondersteuning op:
- CRS3xx-series switches: MACsec op bridge-ports
- CCR routers: MACsec op ethernet-interfaces
- RB4xx / RB5xx: Geselecteerde modellen met hardware-ondersteuning
Configuratie in RouterOS v7
Het configureren van MACsec op MikroTik is eenvoudig:
/interface macsec add name=macsec1 port=ether1 cipher-suite=gcm-aes-128 add name=macsec2 port=ether2 cipher-suite=gcm-aes-256 /interface macsec psk add name=psk1 macsec=macsec1 key=my-secret-key add name=psk2 macsec=macsec2 key=my-secret-key
Voordelen van MACsec
- Hoge snelheid: Hardware-gebaseerde encryptie, geen significante performance-impact
- Volledige dekking: Beschermt ál het laag-2 verkeer, inclusief management-protocollen
- Transparant: Hogere lagen (IP, TCP, UDP) hebben geen aanpassingen nodig
- Standaard: IEEE 802.1AE — breed ondersteund door netwerkfabrikanten
Voorbeeld: Point-to-point encryptie
Een typisch gebruik is het versleutelen van een trunk-link tussen twee switches:
Switch A (ether1) <---MACsec---> Switch B (ether1)
| |
VLAN 10-20 VLAN 10-20
(versleuteld) (versleuteld)
MACsec vs. IPsec vs. WireGuard
| Eigenschap | MACsec | IPsec | WireGuard |
|---|---|---|---|
| OSI-laag | Laag 2 | Laag 3 | Laag 3 |
| Snelheid | Zeer hoog (hardware) | Hoog | Zeer hoog |
| Bereik | Directe link | Over IP-netwerk | Over IP-netwerk |
| Encryptie | AES-GCM | AES, 3DES, ChaCha20 | ChaCha20Poly1305 |
Heeft u interesse in MACsec of andere encryptie-oplossingen? Neem contact op met JFXcomm voor advies.