Kiểm thử MACsec: throughput, latency và gián đoạn khi rekey

IEEE 802.1AE định nghĩa bảo mật ở lớp liên kết, cung cấp confidentiality, integrity và data-origin authenticity cho frame trên LAN phù hợp. MACsec không tự thay thế IPsec/TLS cho bảo vệ đầu-cuối và không che mọi metadata lớp 2. Phạm vi bảo vệ phụ thuộc vị trí peer và chế độ triển khai.

MKA trong IEEE 802.1X quản lý Security Association Key giữa các peer. Trạng thái cổng “secured” chỉ xác nhận phiên đã hình thành; nghiệm thu còn phải chứng minh frame không lọt ở trạng thái chưa được phép, traffic profile đạt SLO và rekey không tạo gián đoạn ngoài ngưỡng.

Topology tối thiểu gồm traffic generator hai phía, hai MACsec peer và một điểm capture/counter ở cả miền clear-text lẫn secured. Nếu dùng switch trung gian, phải ghi rõ nó là peer, pass-through hay chỉ vận chuyển frame. Đồng bộ thời gian giúp nối sự kiện MKA với loss window.

Chạy baseline MACsec tắt trước, sau đó bật cùng line rate, frame size và QoS. Không đổi cáp, FEC, port speed hoặc routing giữa hai lượt. Khi cần xác nhận confidentiality, chỉ dùng dữ liệu thử nghiệm không nhạy cảm trong capture.

Ghi model, line card, firmware, license, cipher suite được công bố, CAK/CKN hoặc cơ chế cấp khóa, key-server priority và policy fail-open/fail-closed. Khóa frame size, VLAN, QinQ, LLDP/LACP/PTP handling, MTU, QoS và link aggregation.

Traffic profile phải gồm 64-byte, IMIX, jumbo, unicast và control frame cần thiết. MACsec thêm overhead; nếu MTU không được tính đúng, packet loss có thể xuất hiện vì oversize chứ không phải vì công suất mã hóa.

• Biến: Frame size/MTU · Giá trị cần ghi: 64, IMIX, jumbo · Sai lệch nếu bỏ sót: Drop oversize hoặc PPS bottleneck
• Biến: Cipher/config · Giá trị cần ghi: Theo đúng release · Sai lệch nếu bỏ sót: Không tái lập được kết quả
• Biến: Rekey interval · Giá trị cần ghi: Giây/phút · Sai lệch nếu bỏ sót: Không bắt được loss window
• Biến: Fail policy · Giá trị cần ghi: open/closed · Sai lệch nếu bỏ sót: Rò clear-text hoặc mất dịch vụ
• Biến: QoS mapping · Giá trị cần ghi: trước/sau MACsec · Sai lệch nếu bỏ sót: Sai ưu tiên traffic
• Biến: LAG/member · Giá trị cần ghi: số link, hashing · Sai lệch nếu bỏ sót: Kết luận sai về capacity

KPI gồm throughput/goodput, packet loss, latency p50/p99, jitter, out-of-order, frame error, SecY/MKA counter và thời gian gián đoạn lúc rekey. Đo thêm overhead trên wire, số frame accepted/invalid/late và khả năng giữ VLAN/QoS theo thiết kế.

Bằng chứng tối thiểu: cấu hình hai peer, trạng thái association, counter trước–sau, capture có giới hạn, log MKA và thống kê generator. Pass/fail phải quy về SLO, ví dụ zero unintended clear-text và loss trong rekey không vượt ngưỡng do chủ hệ thống duyệt; không dùng ngưỡng minh họa như thông số chung.

• Kịch bản: Baseline không MACsec · Điều phải chứng minh: Path vật lý đủ capacity · Dấu hiệu fail: Loss/latency bất thường
• Kịch bản: MACsec steady state · Điều phải chứng minh: Hiệu năng trong SLO · Dấu hiệu fail: Counter invalid hoặc loss
• Kịch bản: Scheduled rekey · Điều phải chứng minh: Chuyển khóa đúng, gián đoạn có giới hạn · Dấu hiệu fail: Spike loss/reset kéo dài
• Kịch bản: Key server đổi · Điều phải chứng minh: Peer hội tụ đúng · Dấu hiệu fail: Split state hoặc fail-open
• Kịch bản: Link flap · Điều phải chứng minh: Session phục hồi có kiểm soát · Dấu hiệu fail: Clear-text lọt hoặc loop
• Kịch bản: Key sai/hết hạn · Điều phải chứng minh: Policy từ chối đúng thiết kế · Dấu hiệu fail: Vẫn truyền ngoài policy
• Kịch bản: Mixed MTU · Điều phải chứng minh: Hành vi drop/fragment rõ · Dấu hiệu fail: Silent loss không counter

Pha A kiểm tra vật lý và baseline. Pha B hình thành association và tăng tải theo bậc. Pha C ép nhiều chu kỳ rekey. Pha D gây lỗi peer, key server và link. Pha E khôi phục, xác nhận không còn state/counter bất thường.

• Đồng bộ thời gian, lưu cấu hình và phiên bản.
• Chạy baseline hai chiều với MACsec tắt.
• Bật MACsec; xác minh policy và counter.
• Quét frame size, PPS, throughput và flow count.
• Chạy traffic ưu tiên và best-effort đồng thời.
• Thu ít nhất ba chu kỳ rekey ở tải thấp và cao.
• Thay key-server priority hoặc ngắt peer chủ động.
• Flap link/member LAG; đo convergence và loss.
• Thử key sai/hết hạn theo môi trường lab.
• Khôi phục, đối soát capture, counter, log và pass/fail.

• Model, firmware, cipher và license đã ghi.
• Baseline vật lý sạch trước khi bật MACsec.
• MTU/wire overhead được tính đúng.
• Không có unintended clear-text ở fail/recovery.
• Đã đo cả throughput và packets per second.
• Có ít nhất ba chu kỳ rekey.
• Key server failover và link flap đã thử.
• Counter hai đầu đối soát được với generator.
• QoS/control protocol hoạt động theo thiết kế.
• Runbook có điều kiện rollback và bảo toàn log.

Kết quả chỉ đúng cho cặp model, line card, firmware, cipher, MTU và topology đã kiểm thử. Không suy rộng khả năng line-rate hoặc hitless rekey sang toàn bộ dòng sản phẩm. Một số counter và chức năng thay đổi theo vendor/release.

Capture ở miền clear-text có rủi ro lộ dữ liệu; lab phải dùng payload thử nghiệm và kiểm soát quyền truy cập. Benchmark hiệu năng không tự chứng minh thiết kế khóa, vận hành PKI hoặc tuân thủ quy định.

• *MACsec: Bảo vệ frame Ethernet theo IEEE 802.1AE.
• *MKA: MACsec Key Agreement để quản lý association và khóa.
• *SecY: Thực thể xử lý bảo mật MACsec.
• *CAK/CKN: Khóa kết nối và tên khóa liên quan.
• *Rekey: Chuyển sang khóa/association mới.
• *Fail-open/fail-closed: Cho hoặc chặn traffic khi bảo mật lỗi.