الخلاصة

  • معرّف تزويد EAP في RFC 9965 هو NAI علني يعبّر عن طريقة التزويد المطلوبة. لا يثبت هوية الجهاز أو ملكيته أو حقه في دخول الشبكة العادية.
  • يبقى النظير المقبول غير موثوق. ينبغي السماح بالحركة المتوقعة فقط، وعزل النظراء، وتقييد الزمن والحجم والخدمات والمحاولات وعدد الجلسات المتزامنة.
  • ينبغي أن يصل إيصال إغلاق مسار التزويد بين الطلب والسياسة المنفّذة فعلياً ودليل انتهائها أو حذفها. هذا اقتراح تحريري من Daniel Kade وليس مطلباً من IETF.

الاستثناء يبدأ قبل الهوية

تفترض المصادقة المعتادة وجود كلمة مرور أو شهادة أو مادة تخص الجهاز. عند التشغيل الأول قد يحتاج الجهاز إلى الشبكة كي يحصل على تلك المادة، بينما تمنعه الشبكة لعدم وجودها. يعالج RFC 9965 هذه الحلقة بطلب محدود معروف مسبقاً، لا بهوية مصطنعة.

يتخذ EAP Provisioning Identifier، أو EPI، صيغة NAI المحددة في RFC 7542. يعبّر realm eap.arpa واسم المستخدم عن آلية التزويد المطلوبة. ويسجل IANA مثلاً @noob.eap.arpa لـ EAP-NOOB وportal@tls.eap.arpa للوصول المحدود إلى بوابة عبر EAP-TLS.

يمكن تضمين هذه القيم في أجهزة كثيرة لأنها معلومة علناً. لذلك لا يشكل تقديمها معرفة نادرة أو سراً. ولا يربط الجهاز بمشترٍ أو سجل أصول أو مالك حالي أو دور إنتاجي. أقصى ما تثبته الصيغة الصحيحة هو أن النظير استطاع صياغة طلب صحيح.

يحافظ RFC 9965 على هذا الحد بوضوح. على التنفيذ أن يعامل مستخدم EPI بوصفه غير موثوق وغير جدير بالثقة. ويجوز للشبكة رفضه استناداً إلى سياستها أو قدرتها، من دون شرح كامل للسبب. وإذا قبلته فعليها وضعه في شبكة محدودة، لا منحه اتصالاً غير مقيّد.

وهكذا يعني النجاح الأول قبول إجراء ضيق فقط. وقد يعني نجاح خدمة التزويد أنها أصدرت شهادة أو إعداداً. لكن أياً منهما لا يثبت أن المبدّل أو نقطة الوصول أو البوابة أزالت ACL المؤقتة.

قد تنتهي المهمة في التطبيق بينما يبقى المدخل الأضعف في طبقة الشبكة. وحذف هذا المدخل ليس عملاً تنظيفياً مؤجلاً؛ فموعد الانتهاء جزء من الامتياز منذ لحظة منحه.

الاسم المحجوز لا يفوّض سلطة بعيدة

يشبه eap.arpa اسم نطاق، إلا أن RFC 9965 يميّز بين realm داخل NAI واسم DNS المكتوب eap.arpa.. يسجله IANA ضمن أسماء النطاقات ذات الاستخدام الخاص، لكنه ليس اسماً للاستعلام العادي في DNS ولا للاستخدام خارج EAP. وينبغي أن تجيب الاستعلامات بـ NXDOMAIN.

يبقي هذا القيد قرار الثقة محلياً. لا ينبغي لخادم AAA أن يقرأ السلسلة العامة كإحالة إلى جهة خارجية صدّقت الجهاز. الشبكة المستقبلة هي التي تقرر إن كانت تعرف المعرّف، وتدعم طريقته، وأي خدمات تفتحها، ومدة ذلك.

حتى مسارات الخطأ ضيقة. يؤدي EPI سيئ الصياغة إلى EAP Failure. أما المعرّف المجهول أو الطريقة غير المدعومة أو غير المطابقة للمعرّف فتقابل بـ EAP Nak من النوع صفر. ولا يجوز تحويل بيانات اعتماد التزويد إلى تفاوض عام على طريقة أخرى.

تضمن هذه الدقة قابلية التشغيل المتبادل، لا شرعية الجهاز. يحدد IETF المعنى المشترك، ويدير IANA السجل، ويتحكم مشغّل النفاذ في الحافة، وتقرر المؤسسة المالكة من يستحق القبول النهائي. لكل سلطة سجل مختلف، ولا يصح ضغطها في سطر واحد.

وحدة المراجعة الصحيحة هي جلسة قصيرة: EPI محدد، وسياق نفاذ، ونسخة سياسة، وقاعدة منفذة، وميزانيات، ونتيجة، ثم إغلاق.

«محدود» يعني قائمة سماح إيجابية

لا يثبت اسم دور مثل «التجهيز» ما تمرره الشبكة فعلياً. يطلب RFC 9965 السماح بالحركة المتوقعة وحجب كل ما عداها. أما حظر وجهات سيئة معروفة فقط فيترك قنوات لم تُتصور، وقد تتحول خدمة مساعدة مثل DNS إلى وسيلة لنقل البيانات.

لذلك يجب أن يصل الدليل إلى نقطة الإنفاذ: أي Filter-Id أو VLAN أو ACL أو دور ديناميكي أو كائن سياسة ثُبّت؟ ما نسخته؟ وعلى أي معدات؟ وما الوجهات والبروتوكولات والمنافذ المسموحة؟ وهل أضيفت خدمات الوقت أو الأسماء أو التحقق من الشهادات لسبب محدد؟ اسم السياسة وحده لا يجيب.

يذكر RFC عدة حدود مستقلة:

  • يفترض أن يستغرق التزويد ثواني أو عشرات الثواني، وقد تشير الجلسة الطويلة إلى خلل.
  • ينبغي تحديد حجم البيانات، فالتزويد لا يحتاج عادة إلى نقل كبير.
  • ينبغي قصر الخدمات على العدد الضروري.
  • ينبغي تقييد معدل المحاولات، مع إمكان حجب النظير المسيء.
  • ينبغي وضع سقف لإجمالي النظراء الجاري تزويدهم في وقت واحد.
  • يجب منع النظراء في الشبكة المحدودة من الاتصال ببعضهم.

يقيد الزمن مدة الإقامة، وتقيد البايتات استخدام المسار للنقل، وتقلص قائمة السماح سطح الوصول، وتحمي حدود المعدل والتزامن RADIUS وDHCP وخدمات الشهادات والدعم. أما العزل فيمنع الأجهزة المجهولة من مهاجمة بعضها داخل المنطقة نفسها.

لا يحل حد محل آخر. عشر ثوانٍ من النفاذ العام تظل نفاذاً واسعاً. وACL دقيقة بلا انتهاء تصبح طريقاً دائماً. وسعة صغيرة لا تمنع اتصال النظير بالنظير.

يورد RFC 9965 خاصية RADIUS Filter-Id مثالاً لربط النظير بسياسة محدودة. وقد تستخدم شبكة أخرى VLAN أو ACL أو دوراً في المتحكم. المهم أن يسمح السجل باستعادة المحتوى والنسخة الفعليين. فالاسم نفسه قد يشير غداً إلى قائمة سماح أوسع.

وينبغي ألا يلتف التكرار على المهلة. إذا بدأ النظير جلسة جديدة فور انتهاء السابقة، يمكن لجلسات قصيرة كثيرة أن تصنع إقامة طويلة. يجب أن تغطي عدادات المحاولة تسلسل الطلبات في سياق نفاذ مناسب ومحدود العمر، من دون تحويل ذلك السياق إلى هوية دائمة زائفة.

النظير مجهول، أما الخادم فلا ينبغي أن يكون كذلك

لا يعني «التزويد غير المصادق عليه» أن الطرفين مجهولان. يجب أن تحدد كل طريقة تحت eap.arpa وسيلة لمصادقة الخادم، داخل EAP أو لاحقاً ببروتوكول محمي مثل HTTPS. ويظل على النظير اعتبار الشبكة المحلية غير موثوقة.

في portal@tls.eap.arpa يمكن أن يكون النظير غير مصادق عليه ضمن EAP-TLS، لكن يجب مصادقة خادم EAP، مثلاً بشهادة. ولا يحقق مفتاح TLS مشترك ومعروف للجميع تلك الغاية عادة.

هذا الاختلال مقصود. تقبل الشبكة قدراً ضئيلاً من حركة جهاز مجهول، لكن الجهاز لا ينبغي أن يقبل هويته المستقبلية طويلة الأجل من مصدر مجهول. وإلا استطاع مهاجم على المسار تحويل سهولة البدء إلى سيطرة مستمرة.

يفصل RFC 8952 بين خدمة تعلن URI، وAPI تصف حالة الأسر، وبوابة للمستخدم، وجهاز إنفاذ يسمح بالحزم أو يمنعها. قد تكون المكونات مجتمعة، لكن أدلتها ليست دليلاً واحداً.

يمكن للتطبيق إعلان نجاح الإصدار بينما يحتفظ جهاز النفاذ بالقاعدة القديمة. وقد يحتفظ العميل بصورة مخزنة لم تعد توافق حصة الزمن أو البايتات. أمر الحذف الصادر من المتحكم نية؛ والتأكيد من نقطة الإنفاذ هو الواقعة التشغيلية الأقوى.

إصدار بيانات الاعتماد ليس قرار القبول

قد ينتج التزويد شهادة أو مرجع مفتاح أو إعدادات، أو يكمل خطوة خارج القناة في RFC 9140. وقد ينتهي بفشل مصادقة الخادم، أو طريقة غير متطابقة، أو مهلة، أو حصة مستنفدة، أو سعة ممتلئة، أو رفض محلي.

لا يصح جمعها كلها تحت حالة «اكتمل». فإصدار مادة اعتماد لا يثبت ربطها بسجل الأصل الصحيح، ولا استمرار صلاحيتها، ولا مجال خدماتها، ولا نجاح المصادقة اللاحقة.

يفصل التسلسل الأوضح بين القرارين. تنتهي جلسة EPI أولاً، ثم يبدأ الجهاز مصادقة عادية بالمادة الجديدة. عندئذ تقرر سياسة التفويض الحالية ما إذا كانت الهوية المصادق عليها تحصل على نفاذ آخر. يمكن أن تبقى تجربة المستخدم سلسة، بينما يبقى مصدر السلطة منفصلاً.

وإذا غيّر النظام الدور داخل الاتصال نفسه فعليه حفظ الحد المنطقي: مرجع الاعتماد المحمي، والهوية الناتجة، ونسخة سياسة التفويض، والقاعدة الكاملة الجديدة، وإزالة القاعدة المحدودة. ينبغي أن يعيد الفشل الجزئي الجهاز إلى الحالة الأضيق، لا أن يجمع الصلاحيتين.

وهنا يختلف هذا الموضوع عن المقال السابق حول RFC 9966. يستطيع TLS-POK إثبات علاقة محدودة بمعرفة Bootstrap Key، لكنه لا يثبت سلسلة الحيازة المشروعة. لا يعيد هذا المقال تحليل المفتاح؛ بل يفحص حالة الشبكة حول EPI العلني. إثبات المفتاح لا يحذف ACL، وحذف ACL لا يثبت ملكية المفتاح.

إيصال إغلاق المسار

يمكن لإيصال محلي مقتضب أن يربط سبع مجموعات:

  1. الطلب: EPI الدقيق، وطريقة EAP، والوقت، وAuthenticator أو NAS، والواجهة، ومعرّف جلسة قصير العمر.
  2. القرار: قبول أو رفض، ونسخة السياسة، وحالة السعة، وفئة السبب، والخدمة المسؤولة.
  3. الإنفاذ: الفلتر أو الجزء أو الدور أو ACL المثبّت فعلياً، ونسخته ونقاط تطبيقه، وقائمة السماح، والمنع الافتراضي، وعزل النظراء.
  4. الميزانيات: البداية، والموعد الصلب، وسقف البايتات، والخدمات، وعدّاد المحاولات، وحالة تحديد المعدل، والسعة المتزامنة المشغولة.
  5. ضمان الخادم: طريقة المصادقة، ومرجع الشهادة أو مرساة الثقة، ونتيجة التحقق، وأي استثناء ضيق.
  6. النتيجة: نجاح أو فئة فشل دقيقة؛ وعند الإصدار يحفظ مرجع محمي وعمر متوقع، لا أسرار الاعتماد.
  7. الإغلاق: وقت وسبب الحذف أو الانتهاء، ومشاهدة نقطة الإنفاذ، ومعالجة التدفقات المتبقية، والجلسة المصادق عليها اللاحقة إن وجدت، وتسوية الحالات اليتيمة.

يمكن للعرض العام نشر توزيعات الزمن، ونسخ السياسة، وفئات الفشل، وعدد الاستثناءات المفتوحة. تبقى معرّفات الأجهزة والشهادات والمنافذ وتفاصيل قائمة السماح محمية. ويربط الهاش بين الملخص والسجل المقيد، لكنه لا يثبت عدالة القرار الأصلي.

«إيصال إغلاق مسار التزويد» مصطلح تحريري يقترحه Daniel Kade. لا يفرضه RFC 9965، وليس شهادة IETF أو بيانات اعتماد أو كائناً في واجهة إدخال المقالات. غايته إثبات نهاية سلطة محلية مؤقتة.

انتهاء المؤقت لا يساوي حذف القاعدة

قد يصل TTL إلى الصفر في قاعدة المتحكم بينما تبقى ACL في المبدّل. وقد يصيب أمر الحذف جيلاً قديماً أو يُسجل منجزاً أثناء انقطاع الجهاز. والعكس ممكن: يغلق جهاز النفاذ المسار وتستمر لوحة التحكم في إظهاره نشطاً.

ينبغي حفظ موعد الانتهاء المخطط، وإجراء طبقة التحكم، ومشاهدة طبقة البيانات كل على حدة. الفارق الزمني دليل مهم. كذلك لا ينبغي مساواة الانتهاء الآلي بالإزالة المؤكدة.

يجب أن ينتهي الفشل في الحالة الضيقة نفسها. تعطل البوابة لا يبرر فتح الإنترنت. وبطء خدمة الشهادات لا يسمح بتمديد صامت. والإعداد الخاطئ لا يترك النظير منتظراً بلا نهاية.

تضع المراجعة ثلاثة أعمدة جنباً إلى جنب: ما أرادت السياسة السماح به، وما طبق أثناء الجلسة، وما بقي بعدها. لا تذوب الفروق في مؤشر أخضر إجمالي؛ فهي موضوع التحقيق.

يتفق ذلك مع Policy Mirror لدى Heng Lu: تبين القاعدة الرسمية أين يفترض أن تكون السلطة، وتبين الإعدادات الجارية من يستطيع ممارسة القوة فعلياً. تصبح القناة قابلة للحوكمة حين يمكن مقارنة الاثنين وحين يترك الاستثناء دليلاً على نهايته.

الحدود والمصادر

تثبت المصادر بنية المعايير والسجلات والمخاطر المذكورة. ولا تقيس انتشار RFC 9965، ولا تسمي مشغلاً يستخدمه، ولا تثبت حادثة أو منفعة كمية. تختلف وسائل الإنفاذ والمهل وحدود الخصوصية باختلاف الشبكة.

الإيصال المقترح ليس هوية للجهاز أو تفويضاً قانونياً أو ملفاً في الدليل أو اعتماداً للشبكة. إنه يحفظ ادعاء أضيق: حصل نظير مجهول على طريق مؤقت محدود، وكانت للامتياز حدود معلومة، ثم انتهى قبل قرار مستقل بشأن النفاذ المصادق عليه.