RFC 10065 přidalo do protokolu RADIUS atribut s identifikátorem skupiny uživatele

Když se zaměstnanec přihlásí do podnikové sítě, musí síťový prvek odněkud zjistit, co mu dovolit. Obvykle to rozhodují pravidla psaná nad IP adresami. RFC 10065, které IETF vydala v říjnu 2026 jako návrh standardu, popisuje druhou cestu: ověřovací server pošle síťovému prvku identifikátor skupiny, do které uživatel patří, a pravidla se píšou nad tou skupinou.

Proč adresa přestala stačit

Úvod dokumentu vypisuje dva důvody. Koncová zařízení nemají stálou a jedinečnou adresu: klienti bezdrátové sítě a VPN se stěhují, serverové virtuální stroje také, a přidávají se k tomu dočasné adresy IPv6 i překlad adres a portů. Pravidlo navázané na pětici adres, portů a protokolu se pak musí přepisovat pokaždé, když se adresa změní.

Druhý důvod je práce z domova. Na tytéž lidi je potřeba uplatnit různá pravidla podle okolností, tedy podle toho, odkud se přihlásili, v kolik hodin a jestli ze služebního, nebo z vlastního přístroje. Síť proto musí poznat i současný kontext zařízení, ne jen jeho adresu.

Tři druhy skupin

Model pracuje se třemi druhy skupin koncových bodů. Skupina uživatelů sdružuje lidi podle kritérií, která si podnik určí sám; dokument jako ukázku uvádí tabulku se čtyřmi skupinami: zaměstnanci vývoje, jejich soukromé přístroje, obchod a vedení. Skupina zařízení sdružuje servery a tiskárny, skupina aplikací programy, na které platí stejná pravidla. Smysl je u všech tří týž: v pravidle stojí identifikátor skupiny, takže stěhování virtuálního stroje pravidlo nerozbije.

Jak se identifikátor skupiny promítne do paketu, RFC 10065 neurčuje. Odkazuje jen na Group-Based Policy z RFC 9638 jako na jeden z možných způsobů a dodává, že žádný konkrétní nepředepisuje.

Nový atribut má číslo 241.12

Identifikátor skupiny se k síťovému prvku dostane novým atributem User-Access-Group-ID. Je rozšířeného typu podle RFC 6929, nese hodnotu 241.12, datový typ je řetězec a celková délka se pohybuje od 4 do 67 oktetů. Strop je daný tím, že samotný identifikátor smí mít nejvýš 64 oktetů.

Atribut patří hlavně do odpovědi Access-Accept, a když je jich v ní víc, znamená to, že uživatel je členem několika skupin. V dotazu Access-Request se smí objevit jako nezávazné přání klienta, které server ctít nemusí. Dál ho dokument povoluje v paketech CoA-Request a Accounting-Request; tím druhým síťový prvek potvrdí, že přidělené pravidlo opravdu uplatňuje. Jinam atribut nepatří.

IANA ho zapsala do rejstříku RADIUS Attribute Types. Řada 241 tím dostala první nové číslo od listopadu 2019, kdy si hodnoty 241.9 až 241.11 vzalo RFC 8658; od 241.13 do 241.25 zůstává rejstřík prázdný.

Pravidlo, které platí jen v určitou dobu

Druhá polovina dokumentu je modul YANG ietf-ucl-acl. Rozšiřuje přístupové seznamy z RFC 8519 o dvě věci. První je skupina: záznam v seznamu smí porovnávat source-group-id a destination-group-id místo adres. Druhá je doba platnosti.

Každý záznam může dostat větev effective-schedule ve dvou podobách. Jednorázové období má začátek, časové pásmo a k tomu buď konec, nebo trvání. Opakování stojí na pravidlech z formátu iCalendar, takže umí frekvenci, krok, výčet hodin i dnů v týdnu, počáteční den pracovního týdne a seznam výjimečných dnů; skončit může datem, nebo počtem opakování. Tenhle díl si modul bere z RFC 9922, společného modelu pro plánování z letošního března.

Dokument sám uvádí jako příklad podnik, který pouští zaměstnance k některým vnitřním i vnějším zdrojům jen v pracovní době a mimo ni a o víkendu uplatňuje jiné pravidlo.

Co dokument sám přiznává

Oddíl o provozu říká, že model jde nasadit dvěma způsoby a každý něco stojí. Když mapování mezi skupinou a adresami drží řadič a prvkům posílá obyčejné adresní seznamy, nepotřebují prvky žádnou novou schopnost. Když má skupině rozumět sám prvek, odpadne sice časté dotazování řadiče, ale podle textu to může chtít úpravu hardwaru nebo softwaru. Porovnávání podle skupiny, která není zabalená v hlavičce paketu, navíc může ubrat na propustnosti; vyhodnocení toho kompromisu nechává dokument na implementacích.

Dvě výhrady stojí přímo v textu. Seznamy postavené na adresách MAC jde obejít tím, že se adresa přepíše, a autoři na to upozorňují hned v úvodu. Bezpečnostní oddíl pak počítá s tím, že mezi klientem a serverem RADIUS je důvěryhodný vztah; šifrování přes IPsec nebo TLS v něm stojí jako možnost, ne jako požadavek.

Čtyři roky od prvního návrhu

Práce začala samostatným konceptem v říjnu 2022. Pracovní skupina OPSAWG si ho osvojila 26. září 2023 a poslední, šestnáctá verze pracovního konceptu nese 1. duben 2026. Za textem stojí Qiufang Ma a Qin Wu z Huawei, Mohamed Boucadair z Orange a Daniel King z Lancaster University.

IANA zároveň zapsala modul do rejstříku YANG Module Names, kde je veden pod revizí ze 7. října 2026 a odkazem na RFC 10065.

Zdroje

• RFC 10065: A YANG Data Model and RADIUS Extension for Policy-Based Network Access Control, RFC Editor, říjen 2026
• RADIUS Types, IANA
• YANG Parameters, IANA
• draft-ietf-opsawg-ucl-acl, IETF Datatracker
• RFC 8658: RADIUS Attributes for Softwire Mechanisms Based on Address plus Port, RFC Editor, listopad 2019