요약

  • RFC 3169는 네트워크 액세스 서버(NAS)가 보내는 정보를 명령이 아닌 근거 또는 '힌트'로 다루며, 최종 인가 결정은 AAA 서버가 내립니다.
  • 그 결정이라도 NAS에서 실제 적용되어야 하며, 할당 상태, 계정 기록, 전달된 서비스는 각각 별개로 검증할 사항으로 남습니다.

이 구분은 표준으로 오기 쉬운 문서에 나타납니다. 2001년 9월에 발표된 RFC 3169는 Informational 문서로, 인터넷 표준을 규정하지 않는다고 직접 명시합니다. 제목 '네트워크 액세스 서버 프로토콜 평가 기준(Criteria for Evaluating Network Access Server Protocols)'이 새로운 패킷 형식이 아니라 평가용 체크리스트임을 보여줍니다. 이 문서는 NAS 프로토콜을 접속, 네트워크, AAA, 장치 관리 영역으로 나누고 AAA에 초점을 맞춥니다. 그 모형에는 다이얼, 브로드밴드, 터널 기반 세션을 집약하고 수천 개의 접속을 처리할 수 있는 장비가 포함됩니다.

주목할 점은 목록의 규모가 아니라 결정 권한의 배분입니다. 인가 섹션에서 RFC 3169는 NAS가 AAA 서버에 보내는 정보를 지시가 아닌 '힌트'로 다루어야 한다고 말합니다. 최종 인가 결정은 서버가 내리며, NAS가 특정 상태를 기대한다는 이유만으로 그 상태에 의존해서는 안 됩니다. 이 규칙은 흔한 범주 오류를 막습니다. 에지 장치는 세션에 대한 사실을 보고하지만, 그 보고 자체가 세션을 인가하지는 않습니다.

그러나 서버 측 결정은 적용된 정책이 아닙니다. RFC 3169는 프로토콜이 NAS가 강제할 수 있도록 인가 프로파일을 전달한다고 설명합니다. AAA 서버는 정책이 무엇을 허용하는지 말할 수 있지만, NAS는 자신의 운영 환경에서 그 프로파일을 설치하거나 적용해야 합니다. 따라서 올바른 Access-Accept, 정책 응답 또는 동적 인가 메시지는 결정이나 요청의 증거일 뿐, 해당 인터페이스의 상태 변경, 필터의 적용, 사용자의 실제 서비스 이용을 증명하지 않습니다.

자원 관리 조항은 이 간극을 구체적으로 만듭니다. RFC 3169는 세션 중 주소, 동시 사용 한도, 포트, 터널 등 공유 자원의 할당과 해제를 상정합니다. 이 기능은 주로 NAS 로컬 자원을 겨냥한다고 명시합니다. 프록시 또는 다중 도메인 구성에서는 원격 도메인 자원을 할당한 서버—그리고 그 백업 서버까지—가 자원 정보를 보존해야 합니다. 원격 인가 변경은 동적 인가 기능을 사용해야 합니다. 이 메모는 결정자와, 자원을 회수하거나 복원하는 데 필요한 장부를 현재 보유한 주체를 분리하고 있습니다.

이 분리에는 운영상의 결과가 있습니다. 서버가 페일오버하면 인가 정책만 보존해서는 할당 서비스가 보유한 터널 한도나 주소 풀을 재구성하지 못할 수 있습니다. NAS가 재시작하면 로컬 관점이 할당자의 기록과 더 이상 일치하지 않을 수 있습니다. 연결 해제 요청이 전달되었지만 실행되지 않을 수도 있습니다. 그래서 RFC 3169는 동기화와 복구 기능을 요구하고, 자원 관리 상태를 계정 메시지 스트림에 의존하지 말라고 경고합니다. 계정 파이프라인은 사용량을 보고할 수 있지만, 그것이 곧 실시간 할당의 권위 있는 잠금 테이블은 아닙니다.

계정은 네 번째 증거 경로이지 다른 세 가지의 대체물이 아닙니다. RFC 3169는 기록 전달 메커니즘을 요구하고, 트리거 이벤트 후 1초 이내에 실시간 계정이 시작되도록 요구하며, 모호하지 않은 타임스탬프를 규정합니다. 이는 프로토콜 평가를 위해 작성된 요구사항입니다. 패킷이 전달되었는지, 모든 이벤트가 수집되었는지, 이후 소비자가 올바른 세션을 재구성했는지는 보여주지 않습니다. 실시간 수신은 실시간 ground truth와 같지 않습니다.

주변의 프로토콜 역사는 이 체크리스트가 왜 중요한지 보여주지만, 후속 프로토콜이 전부 통과했다는 증명은 아닙니다. RADIUS는 이미 인가/인증과 계정을 위한 별도 사양을 제공하고 있었습니다. RFC 3169는 후보 AAA 프로토콜에 속성과 계정 집합, 상호 운용, 확장성, 다중 서버, 다중 도메인 관계를 다루도록 요구합니다. 이후 RFC 6733으로 발표된 Diameter는 자신을 AAA 애플리케이션의 기반 프로토콜로 기술합니다. 동적 인가, EAP 전송, 전송 보호도 별도 사양을 통해 발전했습니다. 그 존재 자체는 RFC 3169의 모든 요구사항에 대한 컴플라이언스 감사가 아닙니다. 더 나중의 RADIUS 설계 지침조차 매우 큰 속성 공간을 무한한 구현 약속으로 취급하지 않고 와이어 크기와 데이터 모델 제약을 인정했습니다.

역사로 읽으면 RFC 3169는 통제 경계의 지도입니다. NAS는 세션 증거를 제공할 수 있고, AAA 서버가 최종 인가 역할을 맡으며, NAS가 강제하고, 자원 할당자가 현재 할당 상태를 소유하며, 계정이 별도의 기록을 제공합니다. 이 주체들이 하나의 프로토콜 계열로 통신할 수 있지만, 어떤 단일 메시지도 전체 체인을 증명하지 못합니다. 이 글은 채택률, 제품, 현재 배포에 대해 어떤 주장도 하지 않습니다. 메모의 더 좁은 교훈만을 따릅니다. 중앙의 결정은 분산된 운영에서 하나의 수취 증표일 뿐입니다.

출처:RFC 3169;RFC 3169 현재 기록;RFC 3169 Datatracker 기록;RFC 2881 NAS 모델;RFC 2865 RADIUS;RFC 2866 RADIUS Accounting;RFC 2869 RADIUS Extensions;RFC 2989 AAA 프로토콜 평가;RFC 3579 RADIUS에서의 EAP;RFC 5176 동적 인가;RFC 6158 RADIUS 설계 지침;RFC 6614 RADIUS over TLS;RFC 6733 Diameter 기반 프로토콜;RFC 9765 RADIUS/1.1;Lu Heng, "When the Bookkeeper Auditions for Olympus".