MACSec Fragen, Hardware, etc

Mitglied: SwiftAwayy

SwiftAwayy (Level 1) - Jetzt verbinden

24.04.2021 um 20:35 Uhr, 531 Aufrufe, 3 Kommentare, 1 Danke

Hallo zusammen,

ich möchte gerne zwei Gebäude via 60 GHz Richtfunk miteinander vernetzen, um einen möglichst großen Durchsatz zu erreichen.
Der Link soll zur Sicherheit verschlüsselt werden - möglichst full-duplex wirespeed.

Die Topologie sieht in etwa wie folgt aus:

... <---> Sender 1 <---> Sender 2 <---> L2-managed Switch <---> ...

Nun stehe ich leider vor dem Problem, dass "normales" MACSec, das wohl die offensichtlichste Wahl gewesen wäre, bei diesem Ansatz - aufgrund des Wireless-Links - leider nicht mehr funktioniert...
Lösungen, zumindest diejenigen, welche ich finden konnte, die MACSec-over-WAN fähig sind (bspw. von Cisco), gehen leider schnell - auch bei gebrauchter Hardware - in die tausende; von den für einen "nicht-Profi" unterirdischen Konfigurationsmöglichkeiten mal ganz abgesehen.

Entsprechend habe ich mir zwei Fragen gestellt:

1a) Ist es grundsätzlich möglich (normales) MACSec über L2tp oder EoIP (Mikrotik), parallel zu anderen VLANs außerhalb des Tunnels, zu betreiben und somit die Beschränkungen der Hop-by-Hop Verschlüsselung zu "umgehen"?

1b) Würde der Ansatz aus 1a) den Durchsatz merklich verringern bzw. die wirespeed-Verschlüsselung zunichte machen?

2) Welche günstige Hardware (auch generalüberholt) für MACSec und MACSec-over-WAN ist derzeit überhaupt erhältlich bzw. für den oben genannten use-case sinnvoll?

Ich hoffe, das war so weit alles verständlich :-) face-smile

Viele Grüße
Mitglied: aqui
24.04.2021, aktualisiert um 21:16 Uhr
1a.)
Nein, das lässt das Konzept von Macsec Prinzip bedingt (hop by hop) nicht zu.
1b.)
Nein, Macsec ist immer Wirespeed bei entsprechender HW.
2.)
Da es mit Macsec so nicht lösbar ist hat sich die Frage vermutlich erübrigt.

Lösung:
Route ganz einfach über den 60Ghz Link, ist so oder so erheblich besser weil man den Link nicht mit den beidseitigen Broad- und Multicast Traffic in der Performance belastet.
Dann machst du darüber eine ganz einfache IPsec Transport Verschlüsselung (kein Tunnel Mode !). Jeder preiswerte Mikrotik Router wie z.B. hex-S, RB4011 oder ein L3 Switch CRSxyz usw. realisiert das problemlos. Für dich auch mit einem einfachen Klicki Bunti GUI für Anfänger. 🤣
Bitte warten ..
Mitglied: SwiftAwayy
25.04.2021 um 23:31 Uhr
Danke erstmal für die Antwort.
Leider habe ich schon vermutet, dass es darauf hinausläuft.

Ich muss allerdings noch einmal kurz einhaken: Sollte ich auf IPsec zurückgreifen, käme ich wohl (selbst mit dem RB4011) nicht an voll-duplex Wirespeed ran. Ist das so korrekt?
Zumindest ist das meine Schlussfolgerung aus den Messwerten auf der Mikrotik Seite...

PS: Warum eigentlich kein Tunnel-Mode? Ich dachte transport-mode wird nur bei Host-to-Host Verbindungen genutzt? Ich will ja im Grunde die Netze in den beiden Gebäuden Koppeln...
Bitte warten ..
Mitglied: aqui
26.04.2021 um 10:30 Uhr
nicht an voll-duplex Wirespeed ran. Ist das so korrekt?
Its all on the web...
https://mikrotik.com/product/rb4011igs_rm#fndtn-testresults
Liegt zw. 1,6 Gig und 600 Mbit je nach Paketgröße
Je nach deiner Anwendung als mehr oder minder Wirespeed wenn wir hier über einen 1 Gig Funklink reden von dem ja auch noch Management Frames/Overhead usw. abgehen so das die Nettorate unter 1 Gig liegt.
PS: Warum eigentlich kein Tunnel-Mode?
Tunnel Mode hat etwas mehr Overhead. Aber du hast Recht ob man Transport und GRE Tunnel oder native Tunnel nutzt ist mehr oder minder kosmetisch.
Bitte warten ..
Heiß diskutierte Inhalte
LAN, WAN, Wireless
Unterschiedliche IP-Adressbereiche im Netzwerk
achkleinVor 1 TagFrageLAN, WAN, Wireless17 Kommentare

Hallo, ich stehe vor einem Problem mit der WLAN-Verbindung zum Router (Fritzbox Cable 6490). Das verbundene Notebook hat die Adresse 192.168.0.164, Gateway ist 192.168.0.149: ...

Off Topic
Microsoft und der (leidige) Datenschutz
Franz-Josef-IIVor 1 TagAllgemeinOff Topic18 Kommentare

Hello Ich möchte vorausschicken, daß ich rein prinzipiell nichts gegen Microsoft habe, eher gegen die US-amerikanische Politik 😊 Microsoft bietet die Datenverarbeitung in der ...

Off Topic
32 bit Problem
brammerVor 1 TagAllgemeinOff Topic9 Kommentare

Hallo, also das ist mal ein Problem das ich auch haben möchte eine Aktie ist mehr Wert als das die Börsensoftware darstellen kann. brammer

Hardware
Thin- oder Zero-Client für RDP und Dual-Monitor im LAN gesucht
FestplattenaufzieherVor 1 TagFrageHardware9 Kommentare

Hallo, Kurzfassung meiner Frage: Ich suche Thin/Zero-Clients (4 Stück) mit Dual-Monitor-Unterstützung für den RDP-Zugriff auf PCs in einem LAN - idealerweise lautlos und relativ ...

Windows Server
Lizenzen für Virtualisierungshost
TakworianVor 11 StundenFrageWindows Server15 Kommentare

Hallo, ich werde demnächst einen HA-Cluster aus 3 x HP DL580 in Betrieb nehmen. Der Cluster wird unter Proxmox betrieben und es sollen diverse ...

Windows 10
Windows 10 2021-04 end of life?
gelöst Paedi12Vor 1 TagFrageWindows 103 Kommentare

Hi Leute! Ich bin gerade auf der Suche, wie lange die Windows Version 2021-04 unterstützt wird. Kann aber nichts finden. Hat jemand eine Ahnung, ...

Switche und Hubs
Netgear Switch Problem bei VLAN Konfiguration
gelöst meltersVor 1 TagFrageSwitche und Hubs15 Kommentare

Hallo, ich habe einen Netgear XS716T Switch zum Testen in Betrieb genommen, komme aber mit der VLAN Konfiguration nicht so ganz klar. Bislang habe ...

Router & Routing
Suche Tipps für Selfmade-Load-Balancing-Router auf HP MicroServer Gen10+
gelöst MagicChris86Vor 1 TagFrageRouter & Routing7 Kommentare

Hi Leute, ich habe einen HP MicroServer Gen10+ Performance übrig, der bei einer Kundin rausgeflogen ist, weil sie mehr Power brauchte für Desktopvirtualisierung für ...