توحّد RFC 10065 معرّف المجموعة، لا معناه

الخلاصة

• تجعل RFC 10065 معرّف المجموعة قابلاً للنقل بين RADIUS ونموذج ACL في YANG، لكنها لا تنشئ نطاق تسمية عالمياً أو سلطة تحدد العضوية.
• يتعين على المشغّل التحقق من أن AAA ووحدة التحكم وكل نقطة تنفيذ تستخدم الربط نفسه وبأحدث إصدار.

يدخل جهاز إلى الشبكة ويجتاز المصادقة. يعيد الخادم معرّف مجموعة. ولكي يتحول هذا النص إلى سماح أو حجب لحركة معينة، يجب أن تفسره وحدة التحكم ونقاط التنفيذ بالطريقة نفسها. توفر RFC 10065 بنية مشتركة لتمثيل هذا المسار، لكنها لا تجعل المعرّف قراراً كاملاً بحد ذاته.

هذا هو الحد الفاصل في المعيار: يمكن للمعرّف أن ينتقل بين الأنظمة، بينما يبقى معناه وكيفية ربطه بحقول الحزم عملاً خاصاً بكل عملية نشر.

ما الذي توحّده المواصفة

تعرّف RFC 10065 وحدة YANG لقوائم التحكم في الوصول القائمة على المجموعات، وتوسّع نموذج ACL لدى IETF. يستطيع المشغّل تعريف مجموعات للمستخدمين أو الأجهزة أو التطبيقات، ثم جعل القاعدة تطابق مجموعة مصدر أو وجهة. ويمكن الجمع بين المجموعة وحقول Ethernet وIPv4 وIPv6 والنقل. كما تسمح المواصفة بجدول زمني لنفاذ القاعدة مستند إلى نموذج الجدولة المشترك في RFC 9922.

في حالة وصول المستخدمين بعد المصادقة، تعرّف المواصفة خاصية RADIUS المسماة User-Access-Group-ID ورقمها 241.12. تحمل قيمتها النصية معرّف مجموعة المستخدم. يمكن أن ترد في Access-Accept. وقد تظهر في Access-Request كتفضيل لا يلزم الخادم باحترامه. وإذا احتوت Access-Accept على أكثر من نسخة من الخاصية، فهذا يعني انتماء المستخدم إلى مجموعات متعددة.

تسمح هذه الطبقة التجريدية بتجنب إعادة بناء السياسة لكل عنوان IP متغير. لكنّها لا تلغي الحاجة إلى المحافظة على العلاقة بين هوية المستخدم وسياقه وقاعدة الوصول.

أين يبقى المعنى محلياً

في التدفق الذي تصفه RFC، يصادق NAS المستخدم ويرسل الطلب إلى خادم AAA. إذا قُبل الطلب، يعيّن الخادم معرّف مجموعة. بعد ذلك يخطر خادم AAA أو NAS وحدة تحكم SDN بالربط بين المعرّف وخصائص شائعة في ترويسة الحزمة، مثل الخماسية. تحتفظ وحدة التحكم بالسياسات وتدفعها إلى نقاط التنفيذ المعنية.

تترك RFC 10065 تفاصيل الإخطار بهذا الربط خارج نطاقها. كما تجعل تعريف المجموعات خاصاً بالنشر. قد تستند العضوية إلى الوظيفة أو شهادة الجهاز أو العنوان أو الموقع أو الوقت أو سياسة المؤسسة. وقد ينتقل الشخص نفسه بين المجموعات عند تغيّر هذه الظروف. لا تنشئ الوثيقة سجلاً عالمياً للمجموعات، ولا تحدد من يملك سلطة تعريف العضوية أو تعديلها.

يشترط نموذج YANG أن يميز المعرّف مجموعة ضمن القائمة ذات الصلة؛ ولا يعني ذلك وجود تسمية عالمية فريدة بين المؤسسات. تستطيع شبكتان استخدام النص القصير نفسه لمجموعتين مختلفتين. نجاح نقل القيمة عبر RADIUS لا يثبت أن وحدة التحكم وكل جهاز تنفيذ يفسرونها وفق التعريف نفسه.

وظيفتان مختلفتان للوقت

قد يحدد الجدول الزمني متى تكون قاعدة ACL نافذة. وقد تستخدم المؤسسة الوقت نفسه معياراً لتصنيف شخص ضمن مجموعة معينة. في الحالة الأولى تتغير مدة سريان القاعدة؛ وفي الثانية قد تتغير عضوية المستخدم. لذا يجب اختبار انتقالات بداية الفترة ونهايتها لكل من الشرطين على حدة.

يمكن لوحدة التحكم تحويل المجموعة إلى حقول حزم تقليدية ودفع ACL عادية، أو يمكن لنقطة التنفيذ مطابقة معرّف المجموعة مباشرة. تشير RFC إلى أن المطابقة المباشرة قد تتطلب دعماً عتادياً أو برمجياً وقد تؤثر في أداء التمرير. وهي تشرح المفاضلة دون تقديم قياسات عامة تحدد الخيار الأفضل لجميع الشبكات.