home *** CD-ROM | disk | FTP | other *** search
/ Internet Info 1997 December / Internet_Info_CD-ROM_Walnut_Creek_December_1997.iso / drafts / draft_ietf_q_t / draft-ietf-radius-tunnel-auth-01.txt < prev    next >
Text File  |  1997-03-25  |  16KB  |  503 lines
  1.  
  2. Network Working Group                                            G. Zorn
  3. Internet-Draft                                     Microsoft Corporation
  4. Updates: RFC 2058, RFC 2059                                24 March 1997
  5. Category: Standards Track         <draft-ietf-radius-tunnel-auth-01.txt>
  6.  
  7.  
  8.  
  9.              RADIUS Attributes for Tunnel Protocol Support
  10.  
  11.  
  12.  
  13. 1.  Status of this Memo
  14.  
  15. This  document  is an Internet-Draft.  Internet-Drafts are working docu-
  16. ments of the Internet Engineering Task Force (IETF), its areas, and  its
  17. working groups.  Note that other groups may also distribute working doc-
  18. uments as Internet-Drafts.
  19.  
  20. Internet-Drafts are draft documents valid for a maximum  of  six  months
  21. and  may  be  updated,  replaced, or obsoleted by other documents at any
  22. time.  It is inappropriate to use Internet-Drafts as reference  material
  23. or to cite them other than as ``work in progress.''
  24.  
  25. To  learn  the  current  status  of any Internet-Draft, please check the
  26. ``1id-abstracts.txt'' listing contained in  the  Internet-Drafts  Shadow
  27. Directories  on ds.internic.net (US East Coast), nic.nordu.net (Europe),
  28. ftp.isi.edu (US West Coast), or munnari.oz.au (Pacific Rim).
  29.  
  30. The distribution of this memo is unlimited.  It is filed as <draft-ietf-
  31. radius-tunnel-auth-01.txt>,  and  expires  October 1, 1997.  Please send
  32. comments   to   the   RADIUS   Working   Group   mailing   list   (ietf-
  33. radius@livingston.com) or to the author (glennz@microsoft.com).
  34.  
  35.  
  36. 2.  Abstract
  37.  
  38. This  document  specifies a set of RADIUS attributes designed to support
  39. the provision  of  mandatory  tunneling  in  dial-up  networks.   RADIUS
  40. attributes for both authorization and accounting are specified.
  41.  
  42.  
  43.  
  44. 3.  Introduction
  45.  
  46. Many of the most interesting applications of tunneling protocols such as
  47. PPTP [PPTP] and L2TP [L2TP] involve dial-up network access.  Some,  such
  48. as  the provision of secure access to corporate intranets via the Inter-
  49. net, are characterized by voluntary tunneling: the tunnel is created  at
  50.  
  51.  
  52.  
  53. Zorn                                                            [Page 1]
  54.  
  55. INTERNET-DRAFT          RADIUS Tunnel Attributes              March 1997
  56.  
  57.  
  58. the request of the user for a specific purpose.  Other, potentially more
  59. compelling, applications involve compulsory  tunneling:  the  tunnel  is
  60. created  automatically, without any action from the user and more impor-
  61. tantly, without allowing the user any choice in the matter.  Examples of
  62. applications  that  might  be  implemented  using compulsory tunnels are
  63. Internet software upgrade servers,  software  registration  servers  and
  64. banking services.  These are all services which, without compulsory tun-
  65. neling, would probably be provided using dedicated networks or at  least
  66. dedicated  network access servers (NAS), since they are characterized by
  67. the need to limit user access to specific hosts.  Given the existence of
  68. widespread  support  for  compulsory  tunneling, however, these types of
  69. services could be accessed via virtually any Internet  service  provider
  70. (ISP).   The  most  popular  means  of authorizing dial-up network users
  71. today is through the RADIUS  protocol.  The use  of  RADIUS  allows  the
  72. dial-up users' authorization and authentication data to be maintained in
  73. a central location, rather than being subject to  manual  configuration.
  74. It  makes sense to use RADIUS to centrally administer compulsory tunnel-
  75. ing, since RADIUS is widely deployed and was designed to carry this type
  76. of  information.   In  order  to  provide this functionality, new RADIUS
  77. attributes are needed to carry the tunneling information from the RADIUS
  78. server  to  the  NAS and to transfer accounting data from the NAS to the
  79. RADIUS server; this document defines those attributes.
  80.  
  81.  
  82. 4.  Specification of Requirements
  83.  
  84. In this document, several words are used to signify the requirements  of
  85. the specification.  These words are often capitalized.
  86.  
  87. In  this document, several words are used to signify the requirements of
  88. the specification.  These words are often capitalized.
  89.  
  90.    MUST      This word, or the adjective "required", means that the
  91.              definition is an absolute requirement of the specification.
  92.  
  93.    MUST NOT  This phrase means that the definition is an absolute
  94.              prohibition of the specification.
  95.  
  96.    SHOULD    This word, or the adjective "recommended", means that there
  97.              may exist valid reasons in particular circumstances to
  98.              ignore this item, but the full implications must be
  99.              understood and carefully weighed before choosing a
  100.              different course.
  101.  
  102.    SHOULD NOT
  103.              This phrase means that there may exist valid reasons in par-
  104.              ticular circumstances when the particular behavior is
  105.              acceptable or even useful, but the full implications should
  106.  
  107.  
  108.  
  109. Zorn                                                            [Page 2]
  110.  
  111. INTERNET-DRAFT          RADIUS Tunnel Attributes              March 1997
  112.  
  113.  
  114.              be understood and the case carefully weighed before imple-
  115.              menting any behavior described with this label.
  116.  
  117.    MAY       This word, or the adjective "optional", means that this
  118.              item is one of an allowed set of alternatives.  An
  119.              implementation which does not include this option MUST be
  120.              prepared to interoperate with another implementation which
  121.              does include the option.
  122.  
  123.  
  124. 5.  Attributes
  125.  
  126. Multiple instances of each  of  the  attributes  defined  below  may  be
  127. included  in a single RADIUS packet.  If this is done, the attributes to
  128. be applied to each distinct tunnel SHOULD all contain the same value  in
  129. their respective Tag fields.
  130.  
  131.  
  132. 5.1.  Tunnel-Type
  133.  
  134.    Description
  135.  
  136.       This Attribute indicates the tunneling protocol(s) to be used.  It
  137.       MAY be included in both Access-Request and Access-Accept  packets;
  138.       if  it  is present in an Access-Request packet, it SHOULD be taken
  139.       as a hint to the RADIUS server as to the tunnel mediums  supported
  140.       by  the  NAS.   The RADIUS server MAY ignore the hint, however.  A
  141.       NAS is not required to implement any of these tunnel types;  If  a
  142.       NAS  receives  an Access-Accept packet which contains only unknown
  143.       or unsupported Tunnel-Types, the NAS  MUST  behave  as  though  an
  144.       Access-Reject had been received instead.
  145.  
  146.    A  summary  of  the Tunnel-Type Attribute format is shown below.  The
  147.    fields are transmitted from left to right.
  148.  
  149.     0                   1                   2                   3
  150.     0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
  151.    +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
  152.    |     Type      |    Length     |     Tag       |     Value     |
  153.    +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
  154.  
  155.  
  156.    Type
  157.  
  158.       64 for Tunnel-Type
  159.  
  160.    Length
  161.  
  162.  
  163.  
  164.  
  165. Zorn                                                            [Page 3]
  166.  
  167. INTERNET-DRAFT          RADIUS Tunnel Attributes              March 1997
  168.  
  169.  
  170.       Always 4.
  171.  
  172.    Tag
  173.  
  174.       The Tag field is one octet in length and is intended to provide  a
  175.       means of grouping attributes in the same packet which refer to the
  176.       same tunnel.
  177.  
  178.    Value
  179.  
  180.       The Value field is one octet and contains  one  of  the  following
  181.       values, indicating the type of tunnel to be started.
  182.  
  183.        1      PPTP
  184.        2      L2F
  185.        3      L2TP
  186.        4      ATMP
  187.        5      VTP
  188.        6      AH
  189.        7      IP-IP
  190.  
  191.  
  192. 5.2.  Tunnel-Medium-Type
  193.  
  194.    Description
  195.  
  196.       The  Tunnel-Medium-Type Attribute indicates which transport medium
  197.       to use when creating a tunnel for those protocols (such  as  L2TP)
  198.       that  can operate over multiple transports.  It MAY be included in
  199.       both Access-Request and Access-Accept packets; if it is present in
  200.       an  Access-Request  packet,  it  SHOULD  be taken as a hint to the
  201.       RADIUS server as to the tunnel mediums supported by the NAS.   The
  202.       RADIUS server MAY ignore the hint, however.
  203.  
  204.    A  summary of the Tunnel-Medium-Type Attribute format is given below.
  205.    The fields are transmitted left to right.
  206.  
  207.     0                   1                   2                   3
  208.     0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
  209.    +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
  210.    |     Type      |    Length     |      Tag      |    Value      |
  211.    +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
  212.  
  213.  
  214.    Type
  215.  
  216.       65 for Tunnel-Medium-Type
  217.  
  218.  
  219.  
  220.  
  221. Zorn                                                            [Page 4]
  222.  
  223. INTERNET-DRAFT          RADIUS Tunnel Attributes              March 1997
  224.  
  225.  
  226.    Length
  227.  
  228.       4
  229.  
  230.    Tag
  231.  
  232.       The Tag field is one octet in length and is intended to provide  a
  233.       means of grouping attributes in the same packet which refer to the
  234.       same tunnel.
  235.  
  236.    Value
  237.  
  238.       The Value field is one octet.
  239.  
  240.        1      IP
  241.        2      X.25
  242.        3      ATM
  243.        4      Frame Relay
  244.  
  245.  
  246. 5.3.  Acct-Tunnel-Client-Endpoint
  247.  
  248.    Description
  249.  
  250.       This Attribute contains the address of the NAS end of the  tunnel.
  251.       It  SHOULD be included in Accounting-Request packets which contain
  252.       Acct-Status-Type attributes with values of either Start  or  Stop.
  253.       This  Attribute,  along  with the Tunnel-Server-Endpoint and Acct-
  254.       Tunnel-Connection-ID attributes, may be used to provide a globally
  255.       unique means to identify a tunnel for accounting purposes.
  256.  
  257.    A  summary  of  the  Acct-Tunnel-Client-Endpoint  Attribute format is
  258.    shown below.  The fields are transmitted from left to right.
  259.  
  260.     0                   1                   2                   3
  261.     0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
  262.    +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
  263.    |     Type      |    Length     |     Tag       |   String ...
  264.    +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
  265.  
  266.  
  267.    Type
  268.  
  269.       66 for Acct-Tunnel-Client-Endpoint.
  270.  
  271.    Length
  272.  
  273.       >= 3
  274.  
  275.  
  276.  
  277. Zorn                                                            [Page 5]
  278.  
  279. INTERNET-DRAFT          RADIUS Tunnel Attributes              March 1997
  280.  
  281.  
  282.    Tag
  283.  
  284.       The Tag field is one octet in length and is intended to provide  a
  285.       means of grouping attributes in the same packet which refer to the
  286.       same tunnel.
  287.  
  288.    String
  289.       The format of the address represented by the String field  depends
  290.       upon the value of the Tunnel-Medium-Type attribute.
  291.  
  292.  
  293. 5.4.  Tunnel-Server-Endpoint
  294.  
  295.    Description
  296.  
  297.       This Attribute indicates the address of the server end of the tun-
  298.       nel.  It SHOULD be included in  Accounting-Request  packets  which
  299.       contain Acct-Status-Type attributes with values of either Start or
  300.       Stop.  This Attribute, along with  the  Acc-Tunnel-Client-Endpoint
  301.       and Acct-Tunnel-Connection-ID attributes, may be used to provide a
  302.       globally unique means to identify a  tunnel  for  accounting  pur-
  303.       poses.
  304.  
  305.    A  summary  of  the  Tunnel-Server-Endpoint Attribute format is shown
  306.    below.  The fields are transmitted from left to right.
  307.  
  308.     0                   1                   2                   3
  309.     0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
  310.    +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
  311.    |     Type      |    Length     |     Tag       |   String ...
  312.    +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
  313.  
  314.  
  315.    Type
  316.  
  317.       67 for Tunnel-Server-Endpoint.
  318.  
  319.    Length
  320.  
  321.       >= 3
  322.  
  323.    Tag
  324.  
  325.       The Tag field is one octet in length and is intended to provide  a
  326.       means of grouping attributes in the same packet which refer to the
  327.       same tunnel.
  328.  
  329.    String
  330.  
  331.  
  332.  
  333. Zorn                                                            [Page 6]
  334.  
  335. INTERNET-DRAFT          RADIUS Tunnel Attributes              March 1997
  336.  
  337.  
  338.       The format of the address represented by the String field  depends
  339.       upon the value of the Tunnel-Medium-Type attribute.
  340.  
  341.  
  342.  
  343. 5.5.  Acct-Tunnel-Connection-ID
  344.  
  345.    Description
  346.  
  347.       This  Attribute indicates the identifier assigned to the call.  It
  348.       SHOULD be included in  Accounting-Request  packets  which  contain
  349.       Acct-Status-Type  attributes  with values of either Start or Stop.
  350.       This attribute, along  with  the  Acct-Tunnel-Client-Endpoint  and
  351.       Tunnel-Server-Endpoint  attributes, may be used to provide a glob-
  352.       ally unique means to identify a call for accounting purposes.
  353.  
  354.    A summary of the Acct-Tunnel-Connection-ID Attribute format is  shown
  355.    below.  The fields are transmitted from left to right.
  356.  
  357.     0                   1                   2                   3
  358.     0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
  359.    +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
  360.    |     Type      |    Length     |     Tag       |   String ...
  361.    +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
  362.  
  363.  
  364.    Type
  365.  
  366.       68 for Acct-Tunnel-Connection-ID
  367.  
  368.    Length
  369.  
  370.       >= 3
  371.  
  372.    Tag
  373.  
  374.       The  Tag field is one octet in length and is intended to provide a
  375.       means of grouping attributes in the same packet which refer to the
  376.       same tunnel.
  377.  
  378.    String
  379.       The  format  of  the  identifier  represented  by the String field
  380.       depends upon the value of the Tunnel-Type attribute.
  381.  
  382.  
  383.  
  384.  
  385.  
  386.  
  387.  
  388.  
  389. Zorn                                                            [Page 7]
  390.  
  391. INTERNET-DRAFT          RADIUS Tunnel Attributes              March 1997
  392.  
  393.  
  394. 5.6.  Tunnel-Password
  395.  
  396.    Description
  397.  
  398.       This Attribute may contain a key or  password.   It  may  only  be
  399.       included in an Access-Accept packet.
  400.  
  401.    A  summary  of  the  Tunnel-Password Attribute format is shown below.
  402.    The fields are transmitted from left to right.
  403.  
  404.     0                   1                   2                   3
  405.     0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
  406.    +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
  407.    |     Type      |    Length     |     Tag       |   String ...
  408.    +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
  409.  
  410.  
  411.    Type
  412.  
  413.       69 for Tunnel-Password
  414.  
  415.    Length
  416.  
  417.       >= 3
  418.  
  419.    Tag
  420.  
  421.       The Tag field is one octet in length and is intended to provide  a
  422.       means of grouping attributes in the same packet which refer to the
  423.       same tunnel.
  424.  
  425.    String
  426.  
  427.       If this field is present, it MUST be hidden in the same fashion as
  428.       the User-Password Attribute, with the exception that the Response-
  429.       Authenticator MUST be used in place of  the  Request-Authenticator
  430.       (see RFC 2058, Section 5.2).
  431.  
  432.  
  433. 6.  Security Considerations
  434.  
  435. The  Tunnel-Password Attribute may contain information which should only
  436. be known to a tunnel endpoint.  The method used to hide the value of the
  437. attribute,  however,  is  such that intervening RADIUS proxies will have
  438. knowledge  of  the  contents.   For  this  reason,  the  Tunnel-Password
  439. Attribute SHOULD NOT be included in Access-Accept packets which may pass
  440. through (relatively) untrusted RADIUS proxies.
  441.  
  442.  
  443.  
  444.  
  445. Zorn                                                            [Page 8]
  446.  
  447. INTERNET-DRAFT          RADIUS Tunnel Attributes              March 1997
  448.  
  449.  
  450. 7.  Acknowledgements
  451.  
  452. Thanks to Kory Hamzeh of Ascend Communications; Bertrand Buclin of  AT&T
  453. Laboratries Europe; Andy Valencia, Bill Westfield and Kris Michielsen of
  454. cisco Systems; amd Gurdeep Singh Pall and  Bernard  Aboba  of  Microsoft
  455. Corporation for salient input and review.
  456.  
  457.  
  458. 8.  Chair's Address
  459.  
  460. The RAQDIUS Working Group can be contacted via the current chair:
  461.  
  462.    Carl Rigney
  463.    Livingston Enterprises
  464.    6920 Koll Center Parkway, Suite 220
  465.    Pleasanton, California  94566
  466.  
  467.    Phone: +1 510 426 0770
  468.    E-Mail: cdr@livingston.com
  469.  
  470.  
  471. 9.  Author's Address
  472.  
  473. Questions about this memo can also be directed to:
  474.  
  475.    Glen Zorn
  476.    Microsoft Corporation
  477.    One Microsoft Way
  478.    Redmond, Washington 98052
  479.  
  480.    Phone: +1 206 703 1559
  481.    E-Mail: glennz@microsoft.com
  482.  
  483.  
  484.  
  485.  
  486.  
  487.  
  488.  
  489.  
  490.  
  491.  
  492.  
  493.  
  494.  
  495.  
  496.  
  497.  
  498.  
  499.  
  500.  
  501. Zorn                                                            [Page 9]
  502.  
  503.