修改失敗時開啟的行為

本頁說明如何修改 Cloud Interconnect 的 MACsec 故障開放行為。

您可以選擇啟用 Cloud Interconnect 適用的 MACsec，並採用故障開放行為。「故障開放」是指如果 Google 的邊緣路由器無法與您的路由器建立 MACsec 金鑰協議 (MKA) 工作階段，Cloud Interconnect 連線仍會運作，但流量不會加密。如果無法與路由器建立 MKA 工作階段，預設設定會捨棄所有流量。

您只能使用 Google Cloud CLI 變更 MACsec 容錯移轉行為。

警告： 為避免無意間傳遞未加密的流量，建議您對實際工作環境流量使用預設設定，並僅在測試和疑難排解時使用「失敗時開放」行為。

啟用無法開啟行為

啟用 Cloud Interconnect 的 MACsec (具有故障開放行為) 前，請先確認 Cloud Interconnect 連線沒有任何流量。

重要事項： 在 Cloud Interconnect 連線上啟用容錯開放行為時，必須暫時停用 Cloud Interconnect 連線的 MACsec。因此連線會暫時發生封包遺失情形。為避免網路中斷，請先確認 Cloud Interconnect VLAN 連結上沒有任何流量，再停用 Cloud Interconnect 的 MACsec。詳情請參閱「停用或啟用 VLAN 連結」一文。

gcloud

執行下列指令：

gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --no-enabled \
    --fail-open
gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --enabled

停用「失敗時維持開放狀態」的運作模式

如果已為 Cloud Interconnect 啟用 MACsec 的故障開放行為，您可以選擇稍後停用故障開放行為。停用故障開啟行為後，如果 Google 的邊緣路由器無法與您的路由器建立 MACsec 金鑰協議 (MKA) 工作階段，連線就會捨棄所有流量。

重要事項： 在 Cloud Interconnect 連線上停用容錯開放行為時，必須暫時停用 Cloud Interconnect 連線上的 MACsec。因此連線會暫時發生封包遺失情形。為避免網路中斷，請先確認 Cloud Interconnect VLAN 連結上沒有任何流量，再停用 Cloud Interconnect 的 MACsec。詳情請參閱「停用或啟用 VLAN 連結」一文。

gcloud

執行下列指令：

gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --no-enabled \
    --no-fail-open
gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --enabled

後續步驟

• 排解 MACsec 問題