Layer-2-Verschlüsselung ohne Hürden: So bereiten Sie Ihr Netz richtig vor

Sichere Layer‑2‑Services gehören heute zum Pflichtprogramm für Carrier und Netzbetreiber. Häufig jedoch gibt es Schwierigkeiten bei der Umsetzung. Unser Netzwerk-Experte Dmitry Shkurko erklärt: Die eigentliche Herausforderung liegt dabei selten in der Encryption selbst, sondern in der Frage, ob die bestehende Infrastruktur diese sauber trägt.

Als Netzbetreiber kennen Sie das: Sie haben für ein neues Projekt eine „transparente Layer-2-Punkt-zu-Punkt-Verbindung“ eingekauft, die passenden Verschlüsselungsgeräte installiert – und plötzlich gehen Frames verloren. Die Verschlüsselung funktioniert nicht wie erwartet, Kunden werden unzufrieden. Dann folgt die Fehlersuche, unter Zeitdruck.

Defekte Geräte? Fehlkonfiguration? Inkompatibilitäten? Die Ursachen können vielfältig sein – und genau das macht die Situation so herausfordernd.

Wer Layer‑2‑Verschlüsselung bereitstellen will, muss zwingend zuerst die Infrastruktur sauber vorbereiten. Je nach Ihrem Einfluss auf die „Mitte“ des Netzwerks steigt die Komplexität – aber auch der Gestaltungsspielraum. Eine gute Planung entscheidet hier über Projekterfolg, Kosten und Zeit. Wie sehen die wichtigsten Stellschrauben dafür aus?

1. Sie sollten wissen, was in der Mitte los ist

Es ist verlockend zu glauben, dass alles wie erwartet funktioniert, wenn „einige Dinge laufen“ und „Tests erfolgreich waren“ – insbesondere dann, wenn eine „transparente Leitung“ zugesichert wird. In der Praxis zeigt sich jedoch schnell: Je mehr Komponenten sich im Datenpfad befinden und je weniger Kontrolle über diese besteht, desto höher ist das Risiko für Fehler.

Funktionen wie QoS werden hop‑by‑hop umgesetzt, weshalb eine möglichst geringe Anzahl an Hops anzustreben ist – soweit wirtschaftlich und technisch realisierbar. Typische Herausforderungen bei Layer‑2‑Verbindungen sind Engpässe, Filtermechanismen und nicht exakt abgestimmte Parameter. Hinzu kommen zusätzliche Overheads durch weitere Netzsegmente. Auch scheinbar einfache Themen wie die Bestimmung der minimalen L2‑MTU können in komplexeren Umgebungen schwierig werden.

Es gibt unterschiedliche Netzwerkszenarien, die jeweils eigene Anforderungen und Einschränkungen mitbringen:

Es gibt unterschiedliche Netzwerkszenarien, die jeweils eigene Anforderungen und Einschränkungen mitbringen:

• Dark‑Fiber‑Verbindung mit NTEs unter eigener Kontrolle
• Dark‑Fiber‑Verbindung mit vom Anbieter kontrollierten NTEs
• DWDM‑Kernnetz des Anbieters in der Mitte
• MPLS‑Kernnetz des Anbieters in der Mitte
• Gemischte Umgebung

Diese Unterschiede im Aufbau der Strecke sind ein wesentlicher Faktor dafür, wie gut sich verschlüsselte Layer‑2‑Verbindungen tatsächlich stabil betreiben lassen.

2. Verstehen Sie die Schlüssel-Parameter im Netzwerk Ihres Partners

Eine „transparente 10G‑Leitung“ ist keineswegs ausreichend, um sich darauf zu verlassen. Entscheidend ist, zu verstehen, wie die vorgelagerten Geräte tatsächlich konfiguriert sind – und ob sie den transparenten Dienst liefern können, den Sie benötigen.

Folgende Fragen sind relevant:

• • Werden MACsec‑Frames tatsächlich durchgeleitet?
    „MACsec‑fähig“ bedeutet nicht automatisch, dass Frames auch unverändert transportiert werden. Verschlüsselung und Durchleitung sind unterschiedliche Funktionen, und nicht jedes Gerät beherrscht beides.
  • Gibt es Filter oder Einschränkungen im Netz?
    Können bestimmte MAC‑Adressen oder Ethertype‑Werte dazu führen, dass Frames fehlerhaft übertragen werden – insbesondere dann, wenn Tests nur mit bestimmten Geräten funktioniert haben?
  • Wie ist das QoS‑/Policing‑Verhalten konfiguriert?
    Sind Parameter wie CBS so gesetzt, dass Traffic‑Spitzen problemlos verarbeitet werden, oder führen selbst moderate Abweichungen zu Frameverlusten?
  • Lassen sich die relevanten Parameter beeinflussen?
    Können Sie beispielsweise das Burst‑Verhalten Ihrer eigenen Systeme so anpassen, dass es zu den Vorgaben im Provider‑Netz passt?
  • Werden neben CBS- auch EBS‑Werte unterstützt?
    Gibt es Spielräume für kurzfristige Bandbreitenüberschreitungen? Oder ist das Verhalten strikt begrenzt?
  • Welche MTU‑Grenzen gelten auf Layer 2?
    Ist sichergestellt, dass alle Frames innerhalb der erlaubten Größe bleiben, da es hier keine Fragmentierung gibt?
  • Welche Anforderungen bestehen beim Tagging?
    Wird ungetaggter Verkehr, C‑getaggter oder S‑getaggter Traffic verwendet? Und werden die Frames entsprechend der vorgesehenen Architektur korrekt formatiert und weiterverarbeitet?
  • Werden MACsec‑spezifische Frame‑Bestandteile korrekt verarbeitet?
    Können Zwischengeräte die oft übersehenen Zusatzinformationen (z. B. Ethertype im SEC‑Tag) überhaupt erkennen und handhaben?Welche effektive Bandbreite steht tatsächlich zur Verfügung? Entspricht die nutzbare Kapazität wirklich der nominalen Bandbreite – auch unter Berücksichtigung von Overheads wie MACsec und VLAN‑Tags?
    
  • Welche effektive Bandbreite steht tatsächlich zur Verfügung?
    Entspricht die nutzbare Kapazität wirklich der nominalen Bandbreite – auch unter Berücksichtigung von Overheads wie MACsec und VLAN‑Tags?

Die Abbildung zeigt eine vereinfachte Situation, in der eine Gruppe von Frames an einen Provider-Router gesendet wird. Dabei erzeugt ein sendendes Gerät Gruppen solcher Frames bis zu einer bestimmten Größe, die als CBS (Committed Burst Size) bezeichnet wird. Das empfangende Gerät (der Router des Anbieters) verfügt über einen eigenen CBS-Wert, der in der Policing-Konfiguration festgelegt ist. Um zu vermeiden, dass Frames verworfen werden, ist es entscheidend, sicherzustellen, dass die CBS des Anbieters mindestens geringfügig höher konfiguriert ist als die des sendenden Geräts. Oder anders ausgedrückt: Ihre CBS sollte mindestens geringfügig niedriger konfiguriert sein als die CBS des Anbieters. Anbieter sind dafür bekannt, dass sie ihre Einstellungen nur ungern ändern!

 3. Formulieren Sie klare Erwartungen an Ihren Anbieter  

Damit eine bereitgestellte Layer‑2‑Leitung für verschlüsselte Dienste zuverlässig funktioniert, sollten Ihre Erwartungen von Anfang an klar definiert sein. Dazu gehören insbesondere:

Die tatsächliche Bandbreite: Stellen Sie sicher, dass die verfügbare Kapazität zu Ihrer Anwendung passt. Nicht nur nominell, sondern effektiv.

Spielräume im Traffic-Verhalten (CBS/EBS): Achten Sie darauf, dass Burst‑Größen ausreichend dimensioniert sind, um Lastspitzen abzufangen – im Rahmen Ihres Budgets.

Das Switchover-Design: Wenn Sie sowohl getaggte als auch ungetaggte Frames nutzen möchten, muss das im Netz des Anbieters auch unterstützt werden.

Die transparente Weiterleitung von MACsec‑Frames: Idealerweise sollte im Vorfeld geklärt und Ihr Provider darüber informiert werden, welche Verschlüsselungstechnologie eingesetzt wird, inklusive der relevanten Ethertype‑Werte.

Die Unterstützung für CCM‑Frames (im Rahmen der CFM-Technologie): Dieser Mechanismus ist essenziell für die automatische Wiederherstellung von Verbindungen und sollte zuverlässig durchgeleitet werden.

4. Beschreiben Sie die Erwartung Ihres Kunden

Neben der technischen Umsetzung sollten auch die Erwartungen auf Kundenseite klar definiert und kommuniziert werden. Zwei Punkte sind dabei besonders wichtig:

Realistische Bandbreite definieren: Berücksichtigen Sie alle Overheads (z. B. VLAN, MACsec). Die effektive Bandbreite kann unter der nominalen liegen. Der CIR sollte entsprechend festgelegt werden.

Umgang mit Traffic‑Spitzen festlegen: Setzen Sie auf „verzögern statt verwerfen“. Durch geeignete Policing‑ und Queuing‑Einstellungen können Sie mehr Traffic aufnehmen und stabil weiterleiten.

5. Testen Sie die Performance

Wie Sie die bereitgestellte Leistung messen – und wie Ihre Kunden testen – ist ebenso entscheidend wie die Konfiguration selbst. Nur ein sauber aufgesetzter Test lässt verlässliche Aussagen zu.

Wichtig ist dabei ein strukturierter, einheitlicher Ansatz: Tests sollten vor der Übergabe in den Produktivbetrieb erfolgen und sowohl auf Seiten der Provider‑Anschlusspunkte als auch an den Verschlüsselungsgeräten durchgeführt werden. So lässt sich nachvollziehen, ob die zugesagte Leistung tatsächlich erbracht wird und welchen Einfluss die Verschlüsselung hat.

Dabei kommt es vor allem auf Vergleichbarkeit an. Unterschiedliche Testmethoden, Protokolle oder Framegrößen können die Ergebnisse deutlich beeinflussen. Nur wenn konsequent mit derselben Methodik gemessen wird, lassen sich belastbare Aussagen treffen und potenzielle Engpässe zuverlässig identifizieren.

Fazit

Die Herausforderung liegt selten in der Verschlüsselung selbst – sondern in ihrer Integration in eine gut vorbereitete Infrastruktur. Layer‑2‑Verschlüsselung erfordert ein genaues Verständnis der gesamten Strecke und aller beteiligten Parameter. Es geht immer um mehr als die reine Encryption-Hardware. Es geht darum, Lösungen auch unter realen Bedingungen stabil umzusetzen und die erforderliche Transparenz über die gesamte Infrastruktur hinweg herzustellen.

Im dacoso Customer Briefing Center (CBC) wird sichtbar, wie komplex Layer‑2‑Verschlüsselung in Multi‑Vendor‑Umgebungen werden kann – und warum Erfahrung für die Umsetzung den entscheidenden Unterschied macht. Vereinbaren Sie gerne einen Termin, ich bin oft vor Ort!

Und wenn Sie mehr Details dazu wissen wollen, wie eine solide Vorbereitung für die Layer-2-Verschlüsselung aussehen sollte, laden Sie sich gern unsere Guideline "Layer-2-Verschlüsselung: Transparenz und Stabilität sicherstellen" herunter.