在 H3C S1250R-2XL 交换机上，确认 MACsec 是否生效的核心命令是 display macsec。

核心查询命令：display macsec

在任意视图下执行此命令，可以查看指定接口或所有接口的 MACsec 运行信息。

命令格式：

• interface：指定要查询的接口，例如 display macsec interface hundredgige 1/0/1。如果不指定，则显示所有接口的信息。

• verbose：显示详细信息，包含更全面的运行状态参数。

如何解读输出，确认 MACsec 生效

执行命令后，重点关注以下几项关键字段：

如果输出中 Protect frames 显示为 Yes，并且能看到生效的 Active MKA policy，即可确认 MACsec 已在该接口上正常生效。

其他有用的验证命令

• display mka session：显示 MKA 会话的详细信息，可以查看密钥协商的状态。

• display macsec statistics：显示 MACsec 的报文统计信息。通过观察加解密报文的计数是否正常增长，可以验证加解密功能是否正常。

S1250R‑2XL MACsec 确认生效查询命令

MACsec 依赖 MKA 密钥协商；接口下配置了 mka enable 不等于业务加密已经生效，必须看 MKA 会话状态 + MACsec 保护帧状态H3C。

核心查询命令（任意视图执行）

1、查看 MACsec 运行状态（最主要）

生效关键判据H3C：

1. Protect frames : Yes ：代表已经对业务帧做 MACsec 加密保护；No 代表未加密。
2. 输出能看到 Transmit secure channel、Receive secure channels 收发安全通道，有 SCI、AN/PN 序列号，代表密钥协商成功，MACsec 真正跑起来。

如果只有配置、没有收发安全通道，只是 mka 功能开启，但对端 PSK 密钥不匹配，协商失败，没有加密。

2、查看 MKA 会话状态（密钥协商会话）

• MKA session status: Secured → 会话安全建立，MACsec 正常生效
• Live peers:1 发现 1 个存活对端 MKA 邻居。

如果状态不是 Secured，说明密钥协商失败，MACsec 不加密业务报文。

###3、查看 MKA 统计报文计数，用于排错

查看 MKA 协议收发报文、错误报文计数，排查 PSK 密钥不一致。

###4、查看接口配置（仅看配置是否敲上，不能判断是否实际生效）

⚠️注意：看到mka enable只能代表配置下发成功，不能证明已经和对端协商成功、加密生效，必须看上面两条运行态命令。

常见现象说明

1. Protect frames:No：MKA 协商未完成，PSK 预共享密钥两端不一致，或者对端没有开启 mka enable，业务报文不加密。
2. MKA 会话状态不是Secured：检查两端 MKA 策略、PSK 密钥、cipher‑suite 加密套件必须完全一致。
3. 接口物理 UP，但看不到收发安全通道：优先核对两端预共享密钥。

快速排错流程

1. 看display mka session会话状态是否Secured；
2. 看display macsec verbose是否出现收发安全通道、Protect frames:Yes；
3. 不生效就核对两端 MKA 策略、PSK 密钥、加密套件；
4. 重建 MKA 会话测试：reset mka session interface Ten‑GigabitEthernet 1/0/1。