摘要

  • RFC 10065 让组标识能在 RADIUS 与 YANG ACL 模型之间传递，却没有建立全球统一的组命名空间或成员权威。
  • 运维要验证的是 AAA、控制器和每个执行点是否持有同一份最新映射。

一个终端接入网络，认证通过，服务器返回一个组标识。接下来，网络设备要把这个标签变成针对具体流量的允许或拒绝规则。RFC 10065 为其中几段接口提供了统一的数据模型，但标签本身不会自动作出访问决定。

这是标准化的边界：标识可以跨系统传递；标识代表什么，以及它如何映射到报文，仍是每个部署必须管理的工作。

规范传递了什么

RFC 10065 定义了基于用户组的访问控制列表 YANG 模块，并扩展 IETF 的 ACL 模型。运营方可以定义用户、设备或应用组，让 ACL 规则按源组或目的组匹配，也可以把组条件与以太网、IPv4、IPv6和传输层字段组合。规则还可以附带生效时段或重复日程，使用 RFC 9922 的通用 YANG 日程模型。

对需要用户认证的场景，RFC 新增了 RADIUS 属性 User-Access-Group-ID，类型号 241.12。它用字符串携带 AAA 分配的用户组 ID。该属性可以出现在 Access-Accept 中；也可以由 Access-Request 作为偏好提示，但服务器没有义务接受。Access-Accept 如果带有多个此类属性，表示用户属于多个组。

这为移动设备提供了更稳定的策略抽象。设备地址变化时，规则可以继续围绕组来表达，而不必把每次地址变更都当成新的身份。但抽象并没有消除身份、上下文与具体规则之间的关系。

映射仍由部署方负责

规范描述的流程是：用户在网络接入服务器完成认证，AAA 判断是否接受，并把组 ID 返回给 NAS。随后 AAA 或 NAS 通知 SDN 控制器，把组 ID 映射到常见报文字段，例如五元组。控制器维护访问策略，并将规则配置给相关策略执行点。

RFC 10065 明确把“如何通知映射”的具体细节放在规范范围之外。它也说明组定义依赖部署环境。组成员标准可以是岗位、设备证书、地址、地理位置、一天中的时间或企业本地政策。环境变化时，同一个用户也可能被划入不同的组。RFC 没有创建全球组登记表，也没有指定谁有权定义或修改成员关系。

YANG 模型要求组 ID 在相应组列表中能区分一个组，但这不是跨机构的全球唯一命名。不同网络可以重用一个简短字符串，却赋予它不同含义。RADIUS 成功传输了标识，并不能证明控制器和所有执行设备理解的是同一套定义。

两种不同的时间条件

模型里有两种容易混淆的时间因素。访问规则本身可以只在某个时段生效；企业也可以用时段作为把用户归入某组的条件。前者改变规则何时有效，后者改变用户当时属于哪个组。班次交界处的测试必须把这两种机制分开。

部署也有两类做法：控制器可先把组转成传统报文字段，再向设备下发常规 ACL；或者让执行点直接识别组 ID。RFC 提醒，设备侧直接匹配可能需要软硬件升级，也可能影响转发性能。规范没有提供一组普遍适用的性能数据，供所有运营方照搬选择。