MACsec (MAC Security)

干什么用的

两个机房之间的光纤走在公共管道里，谁都可能接一个分光器抓包。以太网帧是明文的，抓到就等于看到全部内容。

★★★ MACsec 在这一段链路上给帧加密：出去前加密、进来后解密。线上抓到的只有密文。

两个关键限制

★★★ ① MAC 头不加密。目的/源 MAC 必须是明文 —— 否则交换机没法查表转发。所以攻击者仍然看得到「谁在和谁通信」，只是看不到内容。

★★★ ② 逐跳，不是端到端。每一段链路各自加密解密，中间的交换机内部是明文的。

★★ 对比 IPsec：IPsec 是端到端的，中间设备全程看不到明文。两者解决的是不同的威胁 —— MACsec 防「线被搭」，IPsec 防「路过的设备不可信」。

★ 常见误解

★★★ 「有 MACsec 就不用 IPsec 了」 —— 不对。MACsec 只保护一段线，数据在每台中间交换机里都是明文。要端到端的保密必须用 IPsec 或 TLS。

★★ 「加密会看不出是谁在通信」 —— 看得出。MAC 头是明文，流量分析（谁和谁、多少量、什么时候）照样能做。

★★ 「开了就没代价」 —— 每帧多 24~32 字节（SecTAG + ICV），MTU 要相应放大；而且要专门的硬件才能线速加密。