ADMIN

2026

01

2025-12-29T12:00:00

Infrastruktur und Rechenzentrum

SCHWERPUNKT

060

Rechenzentrum

Infrastruktur

Hoch­geschwindig­keits­netzwerke

Datacenter Interconnects

Inseln verbinden

von Benjamin Pfister

Veröffentlicht in Ausgabe 01/2026 - SCHWERPUNKT

Moderne Rechenzentren tauschen heute riesige Datenmengen über hochperformante Glasfaserstrecken aus. Damit steigen die Anforderungen an Bandbreite, Latenz, Sicherheit und Verfügbarkeit kontinuierlich. Wer Datacenter Interconnects plant oder betreibt, muss die physikalischen Grundlagen ebenso verstehen wie die eingesetzten Übertragungs- und Verschlüsselungstechnologien. Der Artikel zeigt, wie Sie mit DWDM, Layer-1- und Layer-2-Security sowie intelligenter Signalverarbeitung leistungsfähige und ausfallsichere Verbindungen zwischen Rechenzentren einrichten.

Datacenter Interconnects (DCI) bilden das Rückgrat moderner, vernetzter IT-Infrastrukturen. Sie ermöglichen die direkte Kopplung mehrerer Rechenzentren und sind damit entscheidend für den Betrieb verteilter Multi-Site- und hybrider Cloudumgebungen. Angesichts steigender Anforderungen an Performance und Verfügbarkeit müssen DCI-Werkzeuge hohe Datenraten unterstützen, geringe Latenzzeiten gewährleisten und gleichzeitig eine maximale Ausfallsicherheit sicherstellen. Die technologische Basis reicht dabei von optischen Übertragungssystemen auf Lichtwellenleiterbasis über Protokolle zur Datenübertragung bis hin zu Mechanismen der Informationssicherheit.
Drei Arten von DCI
Die Architektur von Datacenter Interconnects hängt maßgeblich von der zu überbrückenden Distanz ab. Grundsätzlich unterscheidet sie drei zentrale Szenarien: Campus-, Metro- und Weitverkehrs-DCI. Campus-DCI verbindet Rechenzentren innerhalb eines Standorts (typisch mehr als 10 km), Metro-DCI innerhalb einer Verfügbarkeitszone (bis 100 km) und Long-Haul-DCI koppelt Rechenzentren über Verfügbarkeitszonen hinweg – bis hin zu kontinentalen oder transozeanischen Distanzen (ab 100 km bis zu Seekabelstrecken). Jede Kategorie bringt eigene Anforderungen an Latenz und Signalqualität mit und stellt unterschiedliche Herausforderungen für die optische Übertragungstechnik.
Die physische Verbindung bildet die Basis jeder DCI-Implementierung. In diesem Artikel liegt der Fokus auf der optischen Übertragung via Lichtwellenleiter – der einzigen Technologie, die den Bandbreitenbedarf moderner DCI-Umgebungen zuverlässig deckt. Provider bieten zwar Layer-2- oder Layer-3-Services auf derselben Infrastruktur an, diese bleiben hier jedoch unberücksichtigt, da sie auf den gleichen physikalischen Grundlagen basieren. Kupferbasierte Ansätze scheiden wegen begrenzter Bandbreite und Reichweite aus. Drahtlose Alternativen reagieren empfindlich auf Störeinflüsse und eignen sich daher nicht für hochverfügbare DCI-Szenarien.
Datacenter Interconnects (DCI) bilden das Rückgrat moderner, vernetzter IT-Infrastrukturen. Sie ermöglichen die direkte Kopplung mehrerer Rechenzentren und sind damit entscheidend für den Betrieb verteilter Multi-Site- und hybrider Cloudumgebungen. Angesichts steigender Anforderungen an Performance und Verfügbarkeit müssen DCI-Werkzeuge hohe Datenraten unterstützen, geringe Latenzzeiten gewährleisten und gleichzeitig eine maximale Ausfallsicherheit sicherstellen. Die technologische Basis reicht dabei von optischen Übertragungssystemen auf Lichtwellenleiterbasis über Protokolle zur Datenübertragung bis hin zu Mechanismen der Informationssicherheit.
Drei Arten von DCI
Die Architektur von Datacenter Interconnects hängt maßgeblich von der zu überbrückenden Distanz ab. Grundsätzlich unterscheidet sie drei zentrale Szenarien: Campus-, Metro- und Weitverkehrs-DCI. Campus-DCI verbindet Rechenzentren innerhalb eines Standorts (typisch mehr als 10 km), Metro-DCI innerhalb einer Verfügbarkeitszone (bis 100 km) und Long-Haul-DCI koppelt Rechenzentren über Verfügbarkeitszonen hinweg – bis hin zu kontinentalen oder transozeanischen Distanzen (ab 100 km bis zu Seekabelstrecken). Jede Kategorie bringt eigene Anforderungen an Latenz und Signalqualität mit und stellt unterschiedliche Herausforderungen für die optische Übertragungstechnik.
Die physische Verbindung bildet die Basis jeder DCI-Implementierung. In diesem Artikel liegt der Fokus auf der optischen Übertragung via Lichtwellenleiter – der einzigen Technologie, die den Bandbreitenbedarf moderner DCI-Umgebungen zuverlässig deckt. Provider bieten zwar Layer-2- oder Layer-3-Services auf derselben Infrastruktur an, diese bleiben hier jedoch unberücksichtigt, da sie auf den gleichen physikalischen Grundlagen basieren. Kupferbasierte Ansätze scheiden wegen begrenzter Bandbreite und Reichweite aus. Drahtlose Alternativen reagieren empfindlich auf Störeinflüsse und eignen sich daher nicht für hochverfügbare DCI-Szenarien.
Transporttechnologien über Lichtwellenleiter
Für die Realisierung moderner Datacenter Interconnects mieten Betreiber in der Regel mehrere Dark-Fiber-Singlemode-Fasernpaare oder einzelne Wellenlängen auf Basis dieser Fasern bei Netzbetreibern an. Multimode-Fasern kommen aufgrund ihrer begrenzten Bandbreite und Reichweite für DCI-Anwendungen nicht infrage. Die einfachste Nutzungsform besteht darin, Router oder Switches direkt über pluggable Transceiver zu koppeln. Aktuell stehen Ethernet-Datenraten von 10 GBit/s (SFP+), 40 GBit/s (QSFP+), 100 GBit/s (QSFP28), 400 GBit/s (QSFP-DD/OSFP) und 800 GBit/s (QSFP-DD/OSFP) zur Verfügung.
Diese Punkt-zu-Punkt-Verbindungen verwenden sogenannte "graue Optiken" in den Standardwellenlängen 1310 nm oder 1550 nm. Der Bereich um den Water-Peak bei 1383 nm bleibt bewusst ungenutzt, da dort die Faserdämpfung deutlich höher liegt. Beide Wellenlängenfenster unterscheiden sich in ihren physikalischen Eigenschaften und wirken sich direkt auf Reichweite, Signalqualität und Systemdesign aus.
Bei 1310 nm liegt die Dämpfung in Standard-Singlemode-Fasern bei etwa 0,30 dB/km, während der chromatische Dispersions-Nullpunkt genau in diesem Bereich liegt. Auf kurzen bis mittleren Distanzen treten daher kaum Dispersionseffekte auf, was 1310 nm besonders für Campus- und Metro-DCI bis rund zehn Kilometer prädestiniert. So übertragen Sie hohe Datenraten ohne aufwendige Kompensationsmaßnahmen. 1550 nm bietet dagegen eine geringere Dämpfung von nur 0,20 dB/km, zeigt jedoch eine deutlich stärkere chromatische Dispersion von etwa 17 Pikosekunden (ps) pro nm und Kilometer km. Auf längeren Strecken müssen Sie daher Dispersion gezielt kompensieren – etwa durch Dispersion Compensation Fiber (DCF) oder digitale Signalverarbeitung (DSP).
Die direkte Anschaltung über Transceiver ohne zusätzliche optische Komponenten bringt jedoch einige Nachteile mit sich. Zum einen ist es wirtschaftlich unattraktiv, ein komplettes Fasernpaar für eine einzelne Verbindung zu reservieren. Zum anderen nutzen Sie die verfügbare Bandbreite der Faser nicht optimal. Dämpfung und Dispersion begrenzen zudem die maximale Reichweite. Jede zusätzliche Verbindung – etwa durch Spleiße oder Patchfelder – erhöht die Gesamtdämpfung und reduziert das Dämpfungsbudget der Transceiver, das sich aus der Sendeleistung (TX) und der Empfindlichkeit der Empfangsseite (RX) ergibt.
Flexibilität und Bandbreitenoptimierung
Transponder und Muxponder verbessern die Effizienz der Anschaltung deutlich. Transponder nutzen auf der Endgeräteseite standardisierte graue Optiken (zum Beispiel 10G LR, 100G LR1 oder LR4), während auf der Übertragungsstrecke farbige WDM-Module oder fest integrierte WDM-Optiken arbeiten. Zwischen Endgerät und Übertragungsstrecke besteht dabei eine 1:1-Beziehung.
Bild 1: Beispieldarstellung eines Transponders. Er wandelt zwischen grauen Optiken, wie beispielsweise mit 1310 nm und DWDM-Wellenlängen um.
Muxponder arbeiten nach dem N:1-Prinzip: Sie fassen mehrere Signale auf der Endgeräteseite (beispielsweise viermal 25 GBit/s mit grauen Optiken) zu einem einzigen, hochbitratigen WDM-Signal (zum Beispiel 100G-DWDM) auf der Übertragungsstrecke zusammen. So nutzen Sie die verfügbare Faserbandbreite wesentlich effizienter.
Bild 2: Exemplarische Darstellung einer Muxponder-Verwendung. Dieser wandelt zwischen 4x25GBASE-LR und 100G DWDM um.
Um die Auslastung der Faser weiter zu steigern, setzen Betreiber auf Wellenlängenmultiplex-Systeme. Diese unterteilen sich in Coarse Wavelength Division Multiplexing (CWDM) und Dense Wavelength Division Multiplexing (DWDM). CWDM arbeitet mit breiten Kanalabständen von 20 nm im Spektralbereich zwischen 1270 nm und 1610 nm und unterstützt damit acht bis 18 Wellenlängen pro Faser. Die Technologie lässt sich kostengünstig implementieren und einfach installieren, eignet sich jedoch wegen des groben Rasters und der fehlenden Kompatibilität mit optischen Verstärkern nur für kurze bis mittlere Distanzen mit moderatem Bandbreitenbedarf – also typischerweise für Campus- oder einfache Metro-Verbindungen. Die großen spektralen Unterschiede zwischen den Kanälen führen zudem zu variierenden Übertragungseigenschaften.
DWDM nutzt dagegen eng beieinanderliegende Kanäle im 50- oder 100-GHz-Raster (etwa 0,4 beziehungsweise 0,8 nm Abstand) innerhalb des C- und L-Bands (1530 bis 1625 nm). Moderne DWDM-Systeme übertragen 40 bis 160 Wellenlängen pro Faser und erreichen damit aggregierte Kapazitäten im TBit-Bereich. Zwar erfordern DWDM-Umgebungen höhere Anfangsinvestitionen in präzise Multiplexer und Verstärker, doch die Skalierbarkeit, die Kompatibilität mit optischen Verstärkern und die Eignung für Langstrecken rechtfertigen diesen Aufwand.
DWDM als Standard
Im Umfeld moderner Datacenter Interconnects, in denen Sie heute mehrere TBit/s über Distanzen von zehn bis mehreren hundert Kilometern transportieren müssen, hat sich DWDM als Standard etabliert. Deshalb konzentriert sich der folgende Abschnitt ausschließlich auf DWDM-basierte DCI-Architekturen. Filter und Splitter trennen die einzelnen Wellenlängenbereiche, während Combiner sie auf der Gegenseite wieder zusammenführen.
Farbige SFP-Steckmodule in Routern oder Switches oder separate Transponder-Systeme erzeugen die jeweiligen Wellenlängen. Voraussetzung ist, dass Ihre Netzwerkgeräte diese farbigen Optiken unterstützen. Zusätzlich können Sie in eine Übertragungsstrecke weitere Komponenten integrieren – etwa Verstärker, Equalizer, Dispersionskompensationen oder automatische Umschaltmechanismen (Optical Protection). Diese Elemente erläutern wir im weiteren Verlauf des Artikels ausführlicher.
DWDM-Systeme stehen in passiver oder aktiver Ausführung zur Verfügung. Ein passives System arbeitet ausschließlich mit optischen Filtern und farbigen Transceivern – aktive elektronische Komponenten kommen hier nicht zum Einsatz. Ein aktives DWDM-System nutzt dagegen Transponder- oder Muxponder-Einheiten, die die farbigen Wellenlängen selbst erzeugen. Zwischen Transponder oder Muxponder und dem Router beziehungsweise Switch setzen Sie dabei graue Optiken ein.
Passive Systeme gelten als robust und günstig, bieten jedoch wenig Flexibilität. Zudem nutzen sie das optische Spektrum nicht immer optimal aus – insbesondere bei schmalbandigen Datenkanälen bleiben einige Frequenzbereiche ungenutzt. Fehlt die Kompatibilität zu bestimmten Routern oder Switches, können Sie auf Systeme zum Umkodieren von Transceiver-Modulen zurückgreifen, wie sie etwa der deutsche Anbieter MG-Future bereitstellt [1]. Mit solchen Werkzeugen konfigurieren Sie Module um, um sie mit bestimmten Herstellern kompatibel zu machen oder bei tunable Transceivern die gewünschte WDM-Wellenlänge einzustellen.
Auch der deutsche Hersteller Flexoptix [2] bietet tunable Transceiver sowie passende Konfigurationskomponenten an – einen Test der Flexbox 5 des Herstellers finden Sie übrigens ab Seite 20 in dieser Ausgabe. Die entsprechenden Module sind häufig günstiger als Originalkomponenten der Switch- oder Routerhersteller. Dennoch sollten Sie stets prüfen, ob im Fehlerfall Kompatibilität und Support gewährleistet bleiben. Diese Entscheidung liegt bei den jeweiligen IT-Verantwortlichen.
Fixed Grid und Gridless
Bei der Kombination und Trennung von Wellenlängen unterscheiden wir zwischen Fixed-Grid- und Gridless-Systemen. Fixed-Grid-Systeme teilen das optische Spektrum in feste, gleichmäßige Abstände von meist 50 oder 100 GHz auf. Dafür kommen Multiplexer und Demultiplexer zum Einsatz, die diese festen Kanäle definieren.
Bild 3: DWDM-Konzept mit Multiplexer und Demultiplexer auf jeder Seite der Übertragungsstrecke und unterschiedlichen zu multiplexenden Bitraten.
Gridless-Systeme, auch "flex-grid" genannt, weisen Wellenlängen dynamisch zu und nutzen das verfügbare Spektrum dadurch effizienter. Hier kommen ROADMs (Reconfigurable Optical Add-Drop Multiplexer) und/oder Splitter-Combiner-Kombinationen zum Einsatz. Sie können Splitter und Combiner ausschließlich mit kohärenten Optiken betreiben. Ein Splitter verteilt das eingehende Signal in Richtung der Transponder, während ein Combiner die Signale mehrerer Transponder zur Übertragungsstrecke hin zusammenführt.
ROADMs gehen noch einen Schritt weiter: Sie fügen Kanäle dynamisch hinzu, entfernen oder leiten sie bei Bedarf um. Gleichzeitig weisen sie unterschiedlich breite Bandbreiten flexibel zu. Damit eignen sich ROADMs besonders für Übertragungsraten von 400G oder 800G, wie sie moderne DCI-Architekturen zunehmend verlangen.
Dämpfung und Dispersion
Jedes optische Bauelement innerhalb der Übertragungsstrecke erzeugt eine zusätzliche Einfügedämpfung und verringert dadurch die Reichweite der Verbindung. Um diesen Effekt auszugleichen, setzen Sie auf DWDM-Strecken optische Verstärker ein. Diese befinden sich in der Regel zwischen Multiplexer und Dark Fiber. Ihr Ziel besteht darin, abhängig von der Distanz den Signalpegel und das Signal-Rausch-Verhältnis (SNR) auf der Gegenseite stabil zu halten.
Ein optischer Verstärker hebt jedoch nicht nur das Nutzsignal an, sondern auch das vorhandene Rauschen. Dadurch verschlechtert sich das SNR mit jeder Verstärkung, bis Signal und Rauschen gleich stark ausfallen – ein Punkt, an dem der Empfänger das Signal nicht mehr zuverlässig erkennt. Begrenzen Sie daher die Verstärkung stets auf das technisch notwendige Maß. Auf der Empfangsseite sorgt derweil ein Pre-Amplifier häufig für die gezielte Anhebung des eingehenden Signals. Reicht das nicht aus, können Sie zusätzlich auf der Sendeseite einen Booster Amplifier einsetzen. Bei sehr langen Verbindungen – etwa zwischen Berlin und Frankfurt – sichern In-Line Amplifier entlang der Strecke den Signalpegel über die gesamte Distanz.
Ein weiterer zentraler Faktor in DWDM-Systemen ist die chromatische Dispersion. Lichtwellen unterschiedlicher Wellenlängen bewegen sich im Lichtwellenleiter mit leicht unterschiedlichen Geschwindigkeiten. Dadurch überlagern sich die Signale über größere Entfernungen, was zu Verzerrungen und damit zu einer geringeren Übertragungsqualität führt. Um diesem Effekt entgegenzuwirken, integrieren Sie auf langen Distanzen Dispersionskompensationsmodule. Diese gleichen die Laufzeitunterschiede zwischen den Wellenlängen aus und sichern so eine saubere Signalübertragung.
Kohärente Transceiver bieten eine weitere Möglichkeit, die Übertragung zu optimieren. Im Vergleich zu klassischen, direkt detektierenden Optiken erreichen sie deutlich höhere Datenraten und Reichweiten. Bei Übertragungen mit 100G oder 400G überbrücken Sie damit Entfernungen von bis zu 80 oder 120 Kilometern, ohne zusätzliche optische Elemente einsetzen zu müssen.
Direkte vs. kohärente Übertragung
Grundsätzlich unterscheiden sich zwei technologische Ansätze: Direct Detect und Coherent. Direct-Detect-Systeme werten ausschließlich die Amplitude des optischen Signals aus. Änderungen im Signal erkennt der Transceiver direkt und wandelt sie in elektrische Ströme um. Kohärente Optiken gehen komplexer vor: Sie analysieren das empfangene Signal über einen digitalen Signalprozessor (DSP), bereiten es auf und wandeln es anschließend in elektrische Signale um. Auf diese Weise erfassen sie neben der Amplitude auch Phase und Polarisation des Lichts – die Grundlage für komplexere Modulationsverfahren und eine höhere spektrale Effizienz.
Die kohärente optische Übertragung kombiniert Amplituden- und Phasenmodulation sowie die Nutzung beider Polarisationszustände des Lichts. Dadurch steigern Sie die übertragbare Bandbreite einer Lichtwellenleiterverbindung erheblich. Bei der Amplitudenmodulation variiert die Höhe (Amplitude) der Trägerwelle in Abhängigkeit vom Signal. Die Phasenmodulation verändert hingegen den Zeitpunkt, zu dem bestimmte Punkte der Welle – etwa Scheitel oder Tal – auftreten. Während Sie bei der Amplitudenmodulation also die Signalhöhe beeinflussen, verschieben Sie bei der Phasenmodulation den zeitlichen Verlauf der Welle. Auf diese Weise übertragen Sie Informationen sowohl über die Stärke als auch über den zeitlichen Versatz des Signals.
Klassische Systeme nutzen meist einfachere Modulationsverfahren wie Non-Return-to-Zero (NRZ) mit zwei Amplitudenstufen (0 und 1) oder 4-Level Pulse Amplitude Modulation (PAM4) mit vier Stufen, die zwei Bits pro Symbol transportieren. Kohärente Systeme arbeiten dagegen mit komplexeren Verfahren: etwa Dual-Polarization Quadrature Phase Shift Keying (DP-QPSK) bei 100G, Dual-Polarization 16-Quadrature Amplitude Modulation (DP-16QAM) bei 200G- sowie teilweise bei 400G-Systemen. Einige Hersteller setzen bei 400G zudem auf noch dichtere Modulationsverfahren wie DP-64QAM. Die ITU-T hat diese Standards spezifiziert: 100G unter G.698.1, 200G unter G.698.2 und 400G unter G.698.3.
Damit Verstärker entlang einer DWDM-Strecke optimal arbeiten, müssen alle Eingangssignale ein möglichst gleichmäßiges Pegelniveau besitzen. Andernfalls würden starke Signale überproportional verstärkt und die Signalqualität insgesamt sinken. Um eine gleichmäßige Verstärkung sicherzustellen, setzen Sie Equalizer ein. Diese gleichen die Eingangspegel über alle Kanäle hinweg aus und sorgen für eine stabile, rauschärmere Signalverstärkung über die gesamte Übertragungsstrecke.
Bild 4: Ein Equalizer gleicht die eingehenden Signale vor dem Verstärker pegelseitig an, um gleichmäßige Ausgangspegel zu erreichen.
Um derweil bereits auf der optischen Ebene eine höhere Ausfallsicherheit zu erreichen, können Sie eine Optical Line Protection (OLP) implementieren. Diese überwacht sowohl die primäre als auch die sekundäre Übertragungsstrecke und schaltet bei Störungen automatisch auf die Ersatzstrecke um. Im Idealfall bleibt dieser Vorgang für die höheren OSI-Schichten vollständig transparent. Arbeiten die Protokolle jedoch mit sehr kurzen Timern – etwa bei straff konfigurierten Routing-Protokollen wie OSPF – müssen Sie die Umschaltzeiten präzise mit den Protokolltimings abstimmen, um Instabilitäten zu vermeiden.
Datensicherheit dank Layer-1-Verschlüsselung
Die Verschlüsselung auf Layer 1 bietet eine besonders leistungsstarke und flexible Möglichkeit, Datenübertragungen in optischen Netzen – beispielsweise zwischen Rechenzentren – abzusichern. Im Gegensatz zu Verfahren auf höheren Schichten wie MACsec (Layer 2) oder IPsec (Layer 3) schützt Layer-1-Verschlüsselung die Daten direkt auf der physischen Ebene. Sie wird in der Regel in optischen Transpondern oder speziell dafür ausgelegten Netzkomponenten integriert und arbeitet transparent auf Bit-Ebene, noch bevor die Daten in höhere Protokollschichten übergehen.
Ein wesentlicher Vorteil dieser Methode liegt in der äußerst geringen Latenz. Da keine paketbasierte Verarbeitung oder Protokollanalyse erfolgt, eignet sich Layer-1-Verschlüsselung ideal für zeitkritische Anwendungen wie die synchrone Datenspiegelung zwischen Rechenzentren. Zudem bleibt die gesamte optische Bandbreite erhalten, da kein zusätzlicher Protokolloverhead entsteht. Im Unterschied zu den Protokollen MACsec oder IPsec reduziert sich somit die effektive Nutzdatenrate nicht.
Ein weiterer Pluspunkt ist die Protokollunabhängigkeit. Layer-1-Verschlüsselung schützt Datenströme unabhängig davon, ob diese auf IP, Ethernet, Fibre Channel oder anderen Protokollen basieren. Damit eignet sich die Technologie besonders für konvergente Transportnetze, in denen Sie verschiedene Dienste über eine gemeinsame optische Infrastruktur betreiben. Gleichzeitig bleibt die Verschlüsselung vollständig transparent für Mechanismen wie Routing, QoS oder MPLS. IPsec hingegen erzeugt in komplexeren Netzumgebungen oft zusätzlichen Administrationsaufwand.
Quantensicher in die Zukunft
Der Standard ITU-T G.709.1 definiert AES-256-GCM als Verschlüsselungsverfahren für optische Netze (OTNsec). Wenn Sie darüber hinaus bereits heute quantensichere Verfahren einbinden möchten, bietet sich der Einsatz von Quantum Key Distribution (QKD) an. Diese Technologie markiert einen grundlegenden Wandel in der Kryptografie, da sie die Sicherheit der Schlüsselverteilung nicht auf mathematische Annahmen, sondern auf physikalische Prinzipien der Quantenmechanik stützt.
Klassische Verfahren wie RSA oder ECC beruhen auf der Schwierigkeit bestimmter Berechnungen – etwa der Faktorisierung großer Zahlen oder der Bestimmung diskreter Logarithmen. Künftige Quantencomputer könnten diese Probleme jedoch effizient lösen. QKD begegnet dieser Bedrohung, indem sie die Schlüsselübertragung selbst quantenphysikalisch absichert. Über einen speziellen Quantenkanal senden Transceiver einzelne Photonen in definierten Zuständen, beispielsweise durch Polarisation oder Phasenlage.
Der Sender codiert die Bitwerte in zufälligen Basen, während der Empfänger ebenfalls zufällig gewählte Basen zur Messung nutzt. Anschließend gleichen beide Seiten über einen klassischen Kommunikationskanal ab, bei welchen Messungen sie übereinstimmende Basen verwendet haben. Aus diesen entsteht im Anschluss der gemeinsame Schlüssel. Jeder Versuch, die Übertragung abzuhören oder Photonen zu kopieren, verletzt das No-Cloning-Theorem und erzeugt messbare Störungen. Dadurch erkennen Sie einen Angriff sofort und können Gegenmaßnahmen einleiten.
Layer-2-Schutz mit MACsec
MACsec arbeitet eine Schicht höher, erfreut sich im Datacenter Interconnect jedoch großer Beliebtheit, da Router und Switches die Technologie direkt unterstützen. Das Layer-2-Sicherheitsprotokoll ermöglicht eine kryptografische Hop-by-Hop-Absicherung zwischen Netzwerkgeräten wie Switches und Routern. Netzwerkzugangskontrollen nach IEEE 802.1X-2004 bieten lediglich eine Authentifizierung auf Basis des Extended-Authentication-Protocol-(EAP)-Frameworks – im besten Fall kombiniert mit einer periodischen Reauthentifizierung. Sie prüfen jedoch weder die Integrität der übertragenen Daten noch stellen sie deren Vertraulichkeit sicher. Erst die Kombination aus IEEE 802.1X-2010 und IEEE 802.1AE (MACsec) liefert diese zusätzlichen Sicherheitsmechanismen.
MACsec bietet eine hohe Performance und lässt sich deutlich einfacher implementieren als klassische IPsec-basierte Verschlüsselungen. Bei Bedarf können Sie MACsec mit weiteren Sicherheitsprotokollen wie IP Security (IPsec) oder Transport Layer Security (TLS) kombinieren. Da MACsec hardwarenah auf dem physischen Layer (PHY) arbeitet, erreicht es eine Verschlüsselung mit voller Line Rate, also mit der maximal möglichen Datenrate der Verbindung. Das Protokoll verhindert effektiv Session Spoofing, Replay-Attacken oder Man-in-the-Middle-Angriffe.
MACsec nutzt AES im Galois Counter Mode (GCM) als Verschlüsselungsalgorithmus. Es arbeitet nach dem Hop-by-Hop-Prinzip, was sowohl Vorteile als auch Einschränkungen mit sich bringt. Als Schlüssellängen stehen 128 und 256 Bit zur Verfügung. Die IEEE hat mit dem Standard 802.1AEbw zusätzlich das sogenannte Extended Packet Numbering (AES-GCM-XPN) eingeführt, um die Anforderungen hoher Datenraten zu adressieren. Dadurch kann MACsec innerhalb eines Sicherheitsassoziierungsschlüssels (SAK) bis zu 2 hoch 32 Frames verarbeiten und auch Datenraten über 100 GBit/s sicher verschlüsseln. Achten Sie darauf, dass die verwendeten Algorithmen auf allen beteiligten Switches identisch konfiguriert sind.
Fazit
Die Kopplung von Rechenzentren gewinnt an Bedeutung. Gleichzeitig rücken ihre physischen Infrastrukturen – etwa Seekabel und Lichtwellenleitertrassen an Land – durch aktuelle Angriffe stärker in den Fokus. Für Administratoren wie auch IT-Architekten und -Integratoren ist daher ein solides Verständnis der zugrunde liegenden Technologien auf den unteren Ebenen des OSI-Modells wichtig. Wer diese Aspekte bei Planung und Betrieb vernachlässigt, riskiert langfristig geringere Verfügbarkeit und eingeschränkte Skalierbarkeit seiner Rechenzentrumsinfrastruktur.
Darüber hinaus profitieren Sie aber auch von einem klaren Architekturkonzept, wenn Sie moderne DCI-Technologien wie kohärente Optiken, ROADMs, Layer-1-Verschlüsselung oder MACsec gezielt einsetzen. Diese Werkzeuge erhöhen Bandbreite und Reichweite, stärken die Resilienz der Verbindung und erleichtern die Automatisierung. So schaffen Sie eine skalierbare, sichere und zukunftsfähige Multi-Site-Infrastruktur, die den wachsenden Anforderungen verteilter Cloud- und Edge-Umgebungen zuverlässig standhält. Gleichzeitig gewinnen Sie mehr planerische Flexibilität, um Kapazitäten bedarfsgerecht zu erweitern oder neue Standorte schneller anzubinden.
(dr)
Links
[1] Transceiver-Module von MG-Future: https://it-a.eu/q1z51
[2] Flexoptix: https://it-a.eu/q1z52