Zusammenfassung

  • RFC 10065 macht Gruppenkennungen zwischen RADIUS und dem YANG-ACL-Modell übertragbar, schafft aber keinen globalen Namensraum.
  • Entscheidend ist, ob AAA, Controller und jeder Enforcement-Punkt dieselbe aktuelle Zuordnung verwenden.

Ein Gerät meldet sich im Netz an, die Authentisierung ist erfolgreich, und der Server liefert eine Gruppenkennung zurück. Damit daraus eine Entscheidung über konkrete Pakete wird, müssen Controller und Enforcement-Punkte die Kennung gleich auslegen. RFC 10065 schafft ein gemeinsames Modell für Teile dieses Weges. Die Zeichenfolge allein ist noch keine Zugriffserlaubnis.

Die Grenze des Standards ist wichtig: Die Kennung kann zwischen Systemen wandern; ihre Bedeutung und ihre Zuordnung zu Paketmerkmalen bleiben lokale Betriebsaufgaben.

Was die Norm vereinheitlicht

RFC 10065 definiert ein YANG-Modul für gruppenbasierte Zugriffskontrolllisten und erweitert das IETF-ACL-Modell. Ein Netz kann Benutzer-, Geräte- und Anwendungsgruppen anlegen und eine Regel anhand der Quell- oder Zielgruppe auswerten. Gruppen lassen sich mit Ethernet-, IPv4-, IPv6- und Transportfeldern kombinieren. Für Regeln kann außerdem ein Gültigkeitsplan mit Zeitraum oder Wiederholung eingerichtet werden, gestützt auf das gemeinsame Zeitplanmodell aus RFC 9922.

Für authentisierungsbasierten Zugang definiert die RFC das RADIUS-Attribut User-Access-Group-ID, Typ 241.12. Es überträgt die Benutzergruppenkennung als Zeichenkette. Sie kann in einer Access-Accept-Antwort stehen. Eine Access-Request darf sie als Vorschlag enthalten, den der Server aber nicht übernehmen muss. Mehrere solche Attribute in Access-Accept stehen für mehrere Gruppenzugehörigkeiten.

Diese Abstraktion kann verhindern, dass jede wechselnde Endgeräteadresse eine neue Richtlinie erfordert. Sie beseitigt aber nicht die Arbeit, Benutzerkontext, Gruppe und Regel miteinander zu verknüpfen.

Wo die Bedeutung lokal entsteht

Im Beispiel der RFC authentisiert sich der Benutzer am NAS. Der AAA-Server bewertet die Anfrage und weist bei Erfolg eine Gruppenkennung zu. Danach meldet der AAA-Server oder das NAS dem SDN-Controller die Zuordnung der Kennung zu üblichen Paketkopfmerkmalen, etwa einem Fünfertupel. Der Controller verwaltet die Richtlinie und verteilt sie an die relevanten Enforcement-Punkte.

RFC 10065 lässt die konkrete Benachrichtigung über diese Zuordnung ausdrücklich außerhalb des Geltungsbereichs. Auch Gruppendefinitionen sind deploymentspezifisch. Kriterien können Rolle, Geräte-Zertifikat, Adresse, Standort, Uhrzeit oder interne Unternehmensregeln sein. Ändern sich diese Umstände, kann dieselbe Person einer anderen Gruppe angehören. Die RFC schafft weder ein globales Gruppenregister noch eine universelle Instanz für Mitgliedschaftsentscheidungen.

Die Kennung muss innerhalb der jeweiligen YANG-Gruppenliste eine Gruppe unterscheiden. Daraus entsteht keine globale Eindeutigkeit über Unternehmen oder Verwaltungsbereiche hinweg. Derselbe kurze Text kann anderswo eine andere Menge von Personen, Geräten oder Rechten bezeichnen. Dass RADIUS den Wert korrekt übermittelt, beweist nicht, dass alle Geräte dieselbe Definition verwenden.

Zwei unterschiedliche Zeitbedingungen

Zeit kann an zwei Stellen wirken. Ein Zeitplan begrenzt, wann eine ACL-Regel gilt. Eine Organisation kann die Tageszeit auch als Kriterium dafür nutzen, welcher Gruppe eine Person zugeordnet wird. Im ersten Fall ändert sich die Wirksamkeit der Regel, im zweiten die Gruppenzugehörigkeit. An Schichtwechseln müssen beide Bedingungen getrennt geprüft werden.

Der Controller kann Gruppen in gewöhnliche Paketfelder übersetzen und herkömmliche ACLs programmieren. Alternativ kann der Enforcement-Punkt Gruppenkennungen direkt abgleichen. RFC 10065 weist darauf hin, dass dafür Gerätefunktionen oder Software nötig sein können und sich die Weiterleitungsleistung ändern kann. Die Norm beschreibt die Abwägung, liefert aber keine allgemeingültigen Messwerte für die Wahl.