Minha conclusão foi canalizar troncos de VLAN através de túneis EoIP e encapsular aqueles em IPSec assistido por hardware. Dois pares de roteadores Mikrotik RB1100AHx2 razoavelmente baratos mostraram-se capazes de saturar uma conexão de 1 Gbps enquanto adicionavam menos de 1 ms de latência.
Eu gostaria de criptografar o tráfego entre dois data centers. A comunicação entre os sites é fornecida como uma ponte de provedor padrão (s-vlan / 802.1ad), para que nossas tags de vlan locais (c-vlan / 802.1q) sejam preservadas no tronco. A comunicação percorre vários saltos da camada 2 na rede do provedor.
Os switches de borda dos dois lados são o Catalyst 3750-X com o módulo de serviço MACSec, mas presumo que o MACSec esteja fora de questão, pois não vejo nenhuma maneira de garantir a igualdade L2 entre os switches em um tronco, embora possa ser possível sobre uma ponte de provedor. O MPLS (usando o EoMPLS) certamente permitiria essa opção, mas não está disponível neste caso.
De qualquer maneira, o equipamento sempre pode ser substituído para acomodar opções de tecnologia e topologia.
Como faço para encontrar opções de tecnologia viáveis que possam fornecer criptografia ponto a ponto da camada 2 em redes de operadoras Ethernet?
editar:
Para resumir algumas das minhas descobertas:
Estão disponíveis várias soluções L2 de hardware, a partir de US $ 60.000 (baixa latência, baixa sobrecarga, alto custo)
O MACSec pode, em muitos casos, ser encapsulado por meio do Q-in-Q ou EoIP. Hardware a partir de US $ 5.000 (latência baixa-média, sobrecarga baixa-média, baixo custo)
Estão disponíveis várias soluções L3 assistidas por hardware, a partir de US $ 5.000 (alta latência, alta sobrecarga, baixo custo)
Respostas:
Acabei de fazer uma pesquisa rápida por "criptografia CESG de camada 2" (CESG é uma agência governamental britânica especializada em garantia de sistemas de computador), no Google, e encontrei algumas opções em sua lista, há pelo menos uma que faz 1Gbit , e alguns que fazem até 10 Gbit.
Provavelmente (quase definitivamente) seria um exagero, mas você encontrará muitos produtos milspec capazes de criptografia da Camada 2, com taxas de transferência bastante altas.
O primeiro que eu encontrei é o VLAN e o MPLS agnóstico, sem surpresa, mas suspeito que sejam muito caros.
fonte
As soluções de criptografia para a Metro / Carrier Ethernet diferem substancialmente do MacSec, que foi projetado para LANs e não para WANs. Há uma visão de mercado composta por três documentos (introdução, P2P, multiponto). Google para "Metro Carrier Ethernet Encryptor" e você o encontrará.
Em relação aos preços, é imperativo diferenciar entre preços de tabela e preços de mercado. Atualmente, um criptografador de 1 Gb custa cerca de US $ 20 mil. Se você colocar isso em relação aos custos da linha, é óbvio que os custos do criptografador são altos apenas se comparados a soluções não comparáveis.
fonte