Кратко

  • RFC 10065 переносит идентификатор группы между RADIUS и моделью ACL на YANG, но не создаёт глобального пространства имён.
  • Оператору нужно подтвердить, что AAA, контроллер и каждая точка применения используют одну актуальную таблицу соответствий.

Устройство подключается к сети и проходит аутентификацию. Сервер возвращает идентификатор группы. Чтобы это значение превратилось в разрешение или запрет конкретного трафика, контроллер и точки применения должны одинаково его понимать. RFC 10065 задаёт общую структуру для части этого процесса, но сама строка не является готовым решением о доступе.

В этом и состоит граница стандарта: идентификатор передаётся между системами, а его смысл и связь с полями пакета остаются предметом настройки конкретной сети.

Что стандартизирует RFC

RFC 10065 определяет модуль YANG для списков контроля доступа на основе групп и расширяет модель ACL IETF. Можно задать группы пользователей, устройств или приложений и проверять их как источник или назначение правила. Групповые условия допускается сочетать с полями Ethernet, IPv4, IPv6 и транспортного уровня. Для правила можно задать период действия или повторяющееся расписание на основе общей модели YANG из RFC 9922.

Для доступа после аутентификации документ определяет атрибут RADIUS User-Access-Group-ID, тип 241.12. Это строковое значение содержит идентификатор группы пользователя. Оно может передаваться в Access-Accept. Access-Request также может содержать предпочтительный идентификатор, но сервер не обязан его учитывать. Несколько таких атрибутов в Access-Accept означают членство пользователя в нескольких группах.

Такой уровень абстракции может избавить от переписывания политики при каждой смене адреса устройства. Однако связь между человеком, его контекстом и правилом всё равно нужно поддерживать.

Где значение остаётся локальным

В примере RFC пользователь проходит аутентификацию на NAS. Сервер AAA проверяет запрос и при успешном результате назначает идентификатор группы. Затем AAA или NAS сообщает контроллеру SDN, как этот ID соответствует общим полям заголовка пакета, например пятиэлементному набору. Контроллер хранит политики и передаёт их нужным точкам применения.

RFC 10065 оставляет подробный механизм такого уведомления за рамками стандарта. Определение групп тоже зависит от конкретного внедрения. Критериями могут быть роль, сертификат устройства, адрес, местоположение, время суток или корпоративное правило. При изменении обстоятельств один пользователь может перейти в другую группу. Документ не создаёт глобальный реестр групп и не назначает универсальный орган, который определял бы членство.

Идентификатор должен различать группу в соответствующем списке YANG, но это не делает его уникальным во всех организациях и административных доменах. В другой сети та же короткая строка может обозначать иной набор пользователей или прав. Корректная передача через RADIUS не подтверждает, что все точки применения используют одинаковое определение.

Два разных условия времени

Время может задавать срок действия ACL-правила. Отдельно организация может использовать время суток как критерий включения пользователя в группу. В первом случае меняется период действия правила, во втором — сама принадлежность к группе. На границе смены оба условия нужно проверять независимо.

Контроллер может преобразовать группы в обычные поля пакета и раздать традиционные ACL. Другой вариант — прямое сопоставление группового ID на точке применения. RFC отмечает, что второй путь может требовать аппаратной или программной поддержки и влиять на производительность пересылки. Стандарт описывает компромисс, но не даёт универсальных измерений для выбора архитектуры.