一种很怪的隧道 (MACsec in VXLAN)

出发点 其实一开始是想玩 IEKv2 + IPsec的，但刚开始配置就被复杂度劝退了。于是就开始研究现有的隧道方案，看到 这篇文章 ，才知道数据中心里常用的VXLAN 隧道其实也能跑在公网上，而且还能翻墙。 不过那篇文章提到一个问题：VXLAN本身没有加密，墙还是能检查隧道里的内容。然后我就想到，既然是二层连接，不如加个 MACsec ，既能加密又能认证？这种比较小众的协议，说不定就是“灯下黑”，能混过去。 配隧道 先在两端配置 VXLAN 隧道： 1 2 3 4 5 6 firewall-cmd --permanent --add-port=8472/udp # 放行 vxlan 的端口 nmcli connection add type vxlan \ con-name vxlan ifname vxlan \ # interface 的名字，可以随便取名 id 0 remote…