4. MACsec概述
MACsec（Media Access Control Security）由 IEEE 802.1AE 标准定义，工作在以太网数据链路层，为二层帧提供逐跳的机密性、完整性与重放保护。它直接封装在以太网帧结构中，在 MAC 子层之上、逻辑链路控制子层之下对帧进行加密封装与完整性校验，因此对上层 IP、TCP/UDP 及应用协议完全透明。在车载以太网中，MACsec 通常由 PHY 或交换芯片的硬件安全引擎实现，可在不占用 CPU 的前提下完成线速加解密，是构建车载安全通信链路的关键技术之一。
4.1 MACsec 在 OSI 模型中的位置
理解 MACsec 的关键，是明确它“保护什么、不保护什么”。MACsec 位于 OSI 第二层，保护范围是从一个 MACsec 实体到另一个 MACsec 实体之间的以太网帧，包括源/目的 MAC 地址、VLAN 标签、以太网类型以及载荷。它不保护物理层信号，也不感知 IP 地址与端口号，因此无法像 IPsec 那样按 IP 五元组做细粒度策略，也无法像 TLS 那样提供应用层会话语义。
4.2 与 IPsec / TLS 的对比
MACsec、IPsec 与 TLS 都提供加密与完整性保护，但它们的保护层次、部署位置和适用场景差异明显。下表从多个维度进行对比，便于在车载网络架构中做出合理选型。
| 对比维度 | MACsec | IPsec | TLS |
|---|---|---|---|
| 工作层次 | 二层（数据链路层） | 三层（网络层） | 四至七层（传输层以上） |
| 保护范围 | 逐跳链路 | 端到端或网关到网关 | 端到端应用会话 |
| 对上层透明性 | 完全透明，无需改协议栈 | 需 IP 栈支持 | 需应用集成 |
| 典型时延 | 极低（硬件线速） | 中等 | 较高（握手与加解密） |
| 密钥协商 | MKA（802.1X 派生） | IKEv2 | TLS 握手 |
| 车载典型用途 | 交换机与 PHY 间链路 | 跨域安全网关 | 诊断、OTA、云端通信 |
4.3 核心价值与适用场景
MACsec 的核心价值可以归纳为三点：线速性能、链路级透明保护与硬件级密钥隔离。在车载以太网中，骨干链路速率可达 1Gbps 甚至 10Gbps，若使用软件加解密，CPU 负载将难以承受；而 MACsec 由硬件安全引擎实现，几乎不增加转发时延。同时，由于它工作在二层，上层协议栈无需任何修改，非常适合对实时性要求高的音视频流、传感器数据流。
典型适用场景：
- 车载骨干交换机之间的高速链路保护；
- ADAS 域控制器与中央网关之间的传感器数据链路；
- 诊断接口（OBD）与车内网络之间的安全隔离；
- 需要满足 ISO 21434 与 EVITA 安全要求的通信路径。
4.4 常见误区与复盘
误区一：MACsec 可以替代 IPsec/TLS。 实际上 MACsec 只保护单跳链路，无法穿越路由器，端到端安全仍需 IPsec 或 TLS 配合。
误区二：启用 MACsec 后无需其他安全措施。 MACsec 不提供访问控制、身份认证与密钥管理，必须依赖 MKA 与 802.1X 完成密钥协商与身份验证。
误区三：MACsec 会显著增加时延。 在硬件实现下，MACsec 的加解密时延通常在微秒级，对车载实时通信影响极小。
在工程实践中，建议将 MACsec 视为“链路层安全底座”，与上层 IPsec/TLS 形成纵深防御。部署前需确认 PHY 或交换芯片是否支持 MACsec 硬件引擎，并规划好 MKA 密钥更新周期与重放窗口参数，避免因密钥不同步导致链路中断。
# 典型 MACsec 链路配置参数示例（车载交换机）
macsec:
cipher-suite: GCM-AES-128
replay-window: 0
mka:
key-server-priority: 16
key-renewal-time: 3600s
cipher-suite: GCM-AES-128
interface: eth0
sci: 00:11:22:33:44:55:00:01
综上，MACsec 是车载以太网中实现链路级安全通信的高效手段，理解其定义、协议位置与对比关系，是后续集成与性能验证工作的基础。