Résumé

  • La RFC 10065 rend l’identifiant de groupe transportable entre RADIUS et le modèle ACL YANG, sans créer d’espace de noms ni d’autorité universels.
  • Il faut vérifier que le serveur AAA, le contrôleur et chaque point d’application utilisent la même correspondance à jour.

Un terminal rejoint le réseau et s’authentifie. Le serveur lui renvoie un identifiant de groupe. Le commutateur ou le contrôleur doit ensuite traduire ce marqueur en règle portant sur le trafic. La RFC 10065 normalise plusieurs éléments de ce parcours, mais elle ne transforme pas l’étiquette en décision autonome.

La limite est essentielle : l’identifiant peut circuler entre des systèmes différents, tandis que son sens et sa traduction en champs de paquets restent définis par le déploiement.

Le périmètre normalisé

La RFC 10065 définit un module YANG qui étend le modèle d’ACL de l’IETF. Il permet de déclarer des groupes d’extrémités et de faire correspondre une règle à un groupe source ou destination. Les groupes peuvent représenter des utilisateurs, des appareils ou des applications. Une règle peut aussi combiner groupes, champs Ethernet, IPv4, IPv6 et transport. Le modèle autorise une période ou une récurrence pour déterminer quand une entrée d’ACL s’applique, en réutilisant le modèle de calendrier de la RFC 9922.

Pour l’accès déclenché par une authentification, la RFC introduit l’attribut RADIUS User-Access-Group-ID, de type 241.12. Sa valeur est une chaîne qui porte l’identifiant de groupe de l’utilisateur. Le serveur peut la renvoyer dans un Access-Accept. Une requête Access-Request peut également la présenter comme préférence, sans obliger le serveur à la respecter. Plusieurs attributs dans une réponse acceptée indiquent plusieurs appartenances de groupe.

Cette abstraction peut éviter de reconstruire une politique à chaque changement d’adresse d’un terminal. Mais elle ne remplace pas la relation entre l’utilisateur, le groupe et la règle. Elle donne aux équipements une forme commune pour référencer cette relation.

La correspondance demeure un travail local

Le parcours décrit dans la RFC commence à l’accès réseau : le serveur AAA authentifie et classe l’utilisateur, puis renvoie son identifiant au NAS. Le NAS ou le serveur AAA notifie ensuite le contrôleur de la correspondance entre le groupe et des attributs communs du paquet, par exemple le quintuplet réseau. Le contrôleur gère la politique et la distribue aux points d’application.

La RFC précise que les détails de cette notification sont hors de son périmètre. Elle indique aussi que la définition des groupes dépend du déploiement. Les critères peuvent inclure le rôle, le certificat du terminal, son adresse, son emplacement, l’heure ou une règle interne. Une personne peut changer de groupe si ces facteurs évoluent. Le document ne désigne donc pas une autorité mondiale chargée de définir « recherche » ou « accès finance », et ne définit pas de protocole universel de synchronisation des correspondances.

Dans le modèle YANG, l’identifiant doit distinguer un groupe dans la liste pertinente. Cette contrainte ne crée pas une unicité entre entreprises ou domaines administratifs. Une valeur courte peut être réutilisée ailleurs avec un sens différent.

Deux usages différents du temps

Le calendrier intervient à deux endroits. Une entrée d’ACL peut être active uniquement pendant une plage récurrente. De son côté, une organisation peut utiliser l’heure comme critère d’appartenance à un groupe. Le premier cas règle la période d’effet d’une décision; le second modifie la catégorie attribuée à un utilisateur. Il ne faut pas les confondre à l’ouverture ou à la fermeture d’une plage.

Deux architectures sont possibles. Un contrôleur peut convertir le groupe en champs de paquets classiques et programmer des ACL compatibles avec les équipements existants. Ou bien un point d’application peut reconnaître directement l’identifiant de groupe. La RFC avertit que cette seconde voie peut exiger des capacités matérielles ou logicielles et peser sur le traitement des paquets. Elle ne fournit pas de mesures qui permettraient de généraliser le choix.