doc/rfc/rfc2619.txt

   1
   2
   3
   4
   5
   6
   7 Network Working Group                                             G. Zorn
   8 Request for Comments: 2619                                       B. Aboba
   9 Category: Standards Track                                       Microsoft
  10                                                                 June 1999
  11
  12
  13                     RADIUS Authentication Server MIB
  14
  15 Status of this Memo
  16
  17    This document specifies an Internet standards track protocol for the
  18    Internet community, and requests discussion and suggestions for
  19    improvements.  Please refer to the current edition of the "Internet
  20    Official Protocol Standards" (STD 1) for the standardization state
  21    and status of this protocol.  Distribution of this memo is unlimited.
  22
  23 Copyright Notice
  24
  25    Copyright (C) The Internet Society (1999).  All Rights Reserved.
  26
  27 Abstract
  28
  29    This memo defines a set of extensions which instrument RADIUS
  30    authentication server functions. These extensions represent a portion
  31    of the Management Information Base (MIB) for use with network
  32    management protocols in the Internet community.  Using these
  33    extensions IP-based management stations can manage RADIUS
  34    authentication servers.
  35
  36 1.  Introduction
  37
  38    This memo defines a portion of the Management Information Base (MIB)
  39    for use with network management protocols in the Internet community.
  40    In particular, it describes managed objects used for managing RADIUS
  41    authentication servers.
  42
  43    RADIUS authentication servers are today widely deployed by dialup
  44    Internet Service Providers, in order to provide authentication
  45    services.  As a result, the effective management of RADIUS
  46    authentication servers is of considerable importance.
  47
  48
  49
  50
  51
  52
  53
  54
  55
  56
  57
  58 Zorn & Aboba                Standards Track                     [Page 1]
  59 \f
  60 RFC 2619            RADIUS Authentication Server MIB           June 1999
  61
  62
  63 2.  The SNMP Management Framework
  64
  65    The SNMP Management Framework presently consists of five major
  66    components:
  67
  68     o   An overall architecture, described in RFC 2571 [1].
  69
  70     o   Mechanisms for describing and naming objects and events for the
  71         purpose of management.  The first version of this Structure of
  72         Management Information (SMI) is called SMIv1 and described in
  73         STD 16, RFC 1155 [2], STD 16, RFC 1212 [3] and RFC 1215 [4].
  74         The second version, called SMIv2, is described in STD 58, RFC
  75         2578 [5], RFC 2579 [6] and RFC 2580 [7].
  76
  77     o   Message protocols for transferring management information. The
  78         first version of the SNMP message protocol is called SNMPv1 and
  79         described in STD 15, RFC 1157 [8]. A second version of the
  80         SNMP message protocol, which is not an Internet standards
  81         track protocol, is called SNMPv2c and described in RFC 1901
  82         [9] and RFC 1906 [10].  The third version of the message
  83         protocol is called SNMPv3 and described in RFC 1906 [10], RFC
  84         2572 [11] and RFC 2574 [12].
  85
  86     o   Protocol operations for accessing management information. The
  87         first set of protocol operations and associated PDU formats is
  88         described in STD 15, RFC 1157 [8]. A second set of protocol
  89         operations and associated PDU formats is described in RFC 1905
  90         [13].
  91
  92     o   A set of fundamental applications described in RFC 2573 [14] and
  93         the view-based access control mechanism described in RFC 2575
  94         [15].
  95
  96    Managed objects are accessed via a virtual information store, termed
  97    the Management Information Base or MIB.  Objects in the MIB are
  98    defined using the mechanisms defined in the SMI.
  99
 100    This memo specifies a MIB module that is compliant to the SMIv2.  A
 101    MIB conforming to the SMIv1 can be produced through the appropriate
 102    translations.  The resulting translated MIB must be semantically
 103    equivalent, except where objects or events are omitted because no
 104    translation is possible (use of Counter64).  Some machine readable
 105    information in SMIv2 will be converted into textual descriptions in
 106    SMIv1 during the translation process.  However, this loss of machine
 107    readable information is not considered to change the semantics of the
 108    MIB.
 109
 110
 111
 112
 113
 114 Zorn & Aboba                Standards Track                     [Page 2]
 115 \f
 116 RFC 2619            RADIUS Authentication Server MIB           June 1999
 117
 118
 119 3.  Overview
 120
 121    The RADIUS authentication protocol, described in [16], distinguishes
 122    between the client function and the server function.  In RADIUS
 123    authentication, clients send Access-Requests, and servers reply with
 124    Access-Accepts, Access-Rejects, and Access-Challenges.  Typically NAS
 125    devices implement the client function, and thus would be expected to
 126    implement the RADIUS authentication client MIB, while RADIUS
 127    authentication servers implement the server function, and thus would
 128    be expected to implement the RADIUS authentication server MIB.
 129
 130    However, it is possible for a RADIUS authentication entity to perform
 131    both client and server functions. For example, a RADIUS proxy may act
 132    as a server to one or more RADIUS authentication clients, while
 133    simultaneously acting as an authentication client to one or more
 134    authentication servers.  In such situations, it is expected that
 135    RADIUS entities combining client and server functionality will
 136    support both the client and server MIBs.
 137
 138 3.1.  Selected objects
 139
 140    This MIB module contains fourteen scalars as well as a single table:
 141
 142    (1)  the RADIUS Authentication Client Table contains one row for
 143         each RADIUS authentication client that the server shares a
 144         secret with.
 145
 146    Each entry in the RADIUS Authentication Client Table includes twelve
 147    columns presenting a view of the activity of the RADIUS
 148    authentication server.
 149
 150 4.  Definitions
 151
 152 RADIUS-AUTH-SERVER-MIB DEFINITIONS ::= BEGIN
 153
 154 IMPORTS
 155        MODULE-IDENTITY, OBJECT-TYPE, OBJECT-IDENTITY,
 156        Counter32, Integer32,
 157        IpAddress, TimeTicks, mib-2      FROM SNMPv2-SMI
 158        SnmpAdminString                  FROM SNMP-FRAMEWORK-MIB
 159        MODULE-COMPLIANCE, OBJECT-GROUP  FROM SNMPv2-CONF;
 160
 161 radiusAuthServMIB MODULE-IDENTITY
 162        LAST-UPDATED "9906110000Z"
 163        ORGANIZATION "IETF RADIUS Working Group."
 164        CONTACT-INFO
 165               " Bernard Aboba
 166                 Microsoft
 167
 168
 169
 170 Zorn & Aboba                Standards Track                     [Page 3]
 171 \f
 172 RFC 2619            RADIUS Authentication Server MIB           June 1999
 173
 174
 175                 One Microsoft Way
 176                 Redmond, WA  98052
 177                 US
 178
 179                 Phone: +1 425 936 6605
 180                 EMail: bernarda@microsoft.com"
 181        DESCRIPTION
 182              "The MIB module for entities implementing the server
 183               side of the Remote Access Dialin User Service (RADIUS)
 184               authentication protocol."
 185        REVISION "9906110000Z"    --  11 Jun 1999
 186        DESCRIPTION "Initial version as published in RFC 2619"
 187        ::= { radiusAuthentication 1 }
 188
 189 radiusMIB OBJECT-IDENTITY
 190        STATUS  current
 191        DESCRIPTION
 192              "The OID assigned to RADIUS MIB work by the IANA."
 193         ::= { mib-2 67 }
 194
 195 radiusAuthentication  OBJECT IDENTIFIER ::= {radiusMIB 1}
 196
 197 radiusAuthServMIBObjects     OBJECT IDENTIFIER ::=
 198                                                  { radiusAuthServMIB 1 }
 199
 200 radiusAuthServ      OBJECT IDENTIFIER ::= { radiusAuthServMIBObjects 1 }
 201
 202 radiusAuthServIdent OBJECT-TYPE
 203        SYNTAX      SnmpAdminString
 204        MAX-ACCESS  read-only
 205        STATUS      current
 206        DESCRIPTION
 207              "The implementation identification string for the
 208               RADIUS authentication server software in use on the
 209               system, for example; `FNS-2.1'"
 210        ::= {radiusAuthServ 1}
 211
 212 radiusAuthServUpTime OBJECT-TYPE
 213        SYNTAX      TimeTicks
 214        MAX-ACCESS  read-only
 215        STATUS      current
 216        DESCRIPTION
 217              "If the server has a persistent state (e.g., a process),
 218               this value will be the time elapsed (in hundredths of a
 219               seco) since the server process was started.
 220               For software without persistent state, this value will
 221               be zero."
 222        ::= {radiusAuthServ 2}
 223
 224
 225
 226 Zorn & Aboba                Standards Track                     [Page 4]
 227 \f
 228 RFC 2619            RADIUS Authentication Server MIB           June 1999
 229
 230
 231 radiusAuthServResetTime OBJECT-TYPE
 232        SYNTAX      TimeTicks
 233        MAX-ACCESS  read-only
 234        STATUS      current
 235        DESCRIPTION
 236              "If the server has a persistent state (e.g., a process)
 237               and supports a `reset' operation (e.g., can be told to
 238               re-read configuration files), this value will be the
 239               time elapsed (in hundredths of a second) since the
 240               server was `reset.'  For software that does not
 241               have persistence or does not support a `reset' operation,
 242               this value will be zero."
 243        ::= {radiusAuthServ 3}
 244
 245 radiusAuthServConfigReset OBJECT-TYPE
 246        SYNTAX INTEGER { other(1),
 247                         reset(2),
 248                         initializing(3),
 249                         running(4)}
 250        MAX-ACCESS  read-write
 251        STATUS      current
 252        DESCRIPTION
 253               "Status/action object to reinitialize any persistent
 254                server state.  When set to reset(2), any persistent
 255                server state (such as a process) is reinitialized as if
 256                the server had just been started.  This value will
 257                never be returned by a read operation.  When read, one of
 258                the following values will be returned:
 259                    other(1) - server in some unknown state;
 260                    initializing(3) - server (re)initializing;
 261                    running(4) - server currently running."
 262        ::= {radiusAuthServ 4}
 263
 264 -- New Stats proposed by Dale E. Reed Jr (daler@iea-software.com)
 265
 266 radiusAuthServTotalAccessRequests OBJECT-TYPE
 267         SYNTAX Counter32
 268         MAX-ACCESS read-only
 269         STATUS current
 270         DESCRIPTION
 271                "The number of packets received on the
 272                 authentication port."
 273         ::= { radiusAuthServ 5}
 274
 275 radiusAuthServTotalInvalidRequests OBJECT-TYPE
 276         SYNTAX Counter32
 277         MAX-ACCESS read-only
 278         STATUS current
 279
 280
 281
 282 Zorn & Aboba                Standards Track                     [Page 5]
 283 \f
 284 RFC 2619            RADIUS Authentication Server MIB           June 1999
 285
 286
 287         DESCRIPTION
 288               "The number of RADIUS Access-Request packets
 289                received from unknown addresses."
 290         ::= { radiusAuthServ 6 }
 291
 292 radiusAuthServTotalDupAccessRequests OBJECT-TYPE
 293        SYNTAX Counter32
 294        MAX-ACCESS read-only
 295        STATUS current
 296        DESCRIPTION
 297              "The number of duplicate RADIUS Access-Request
 298               packets received."
 299        ::= { radiusAuthServ 7 }
 300
 301 radiusAuthServTotalAccessAccepts OBJECT-TYPE
 302        SYNTAX Counter32
 303        MAX-ACCESS read-only
 304        STATUS current
 305        DESCRIPTION
 306              "The number of RADIUS Access-Accept packets sent."
 307        ::= { radiusAuthServ 8 }
 308
 309 radiusAuthServTotalAccessRejects OBJECT-TYPE
 310       SYNTAX Counter32
 311       MAX-ACCESS read-only
 312       STATUS current
 313       DESCRIPTION
 314             "The number of RADIUS Access-Reject packets sent."
 315       ::= { radiusAuthServ 9 }
 316
 317 radiusAuthServTotalAccessChallenges OBJECT-TYPE
 318       SYNTAX Counter32
 319       MAX-ACCESS read-only
 320       STATUS current
 321       DESCRIPTION
 322             "The number of RADIUS Access-Challenge packets sent."
 323       ::= { radiusAuthServ 10 }
 324
 325 radiusAuthServTotalMalformedAccessRequests OBJECT-TYPE
 326       SYNTAX Counter32
 327       MAX-ACCESS read-only
 328       STATUS current
 329       DESCRIPTION
 330             "The number of malformed RADIUS Access-Request
 331              packets received. Bad authenticators
 332              and unknown types are not included as
 333              malformed Access-Requests."
 334       ::= { radiusAuthServ 11 }
 335
 336
 337
 338 Zorn & Aboba                Standards Track                     [Page 6]
 339 \f
 340 RFC 2619            RADIUS Authentication Server MIB           June 1999
 341
 342
 343 radiusAuthServTotalBadAuthenticators OBJECT-TYPE
 344       SYNTAX Counter32
 345       MAX-ACCESS read-only
 346       STATUS current
 347       DESCRIPTION
 348             "The number of RADIUS Authentication-Request packets
 349              which contained invalid Signature attributes received."
 350       ::= { radiusAuthServ 12 }
 351
 352 radiusAuthServTotalPacketsDropped OBJECT-TYPE
 353       SYNTAX Counter32
 354       MAX-ACCESS read-only
 355       STATUS current
 356       DESCRIPTION
 357             "The number of incoming packets
 358              silently discarded for some reason other
 359              than malformed, bad authenticators or
 360              unknown types."
 361       ::= { radiusAuthServ 13 }
 362
 363 radiusAuthServTotalUnknownTypes OBJECT-TYPE
 364       SYNTAX Counter32
 365       MAX-ACCESS read-only
 366       STATUS current
 367       DESCRIPTION
 368             "The number of RADIUS packets of unknown type which
 369              were received."
 370       ::= { radiusAuthServ 14 }
 371
 372 -- End of new
 373
 374 radiusAuthClientTable OBJECT-TYPE
 375        SYNTAX     SEQUENCE OF RadiusAuthClientEntry
 376        MAX-ACCESS not-accessible
 377        STATUS     current
 378        DESCRIPTION
 379              "The (conceptual) table listing the RADIUS authentication
 380               clients with which the server shares a secret."
 381        ::= { radiusAuthServ 15 }
 382
 383 radiusAuthClientEntry OBJECT-TYPE
 384        SYNTAX     RadiusAuthClientEntry
 385        MAX-ACCESS not-accessible
 386        STATUS     current
 387        DESCRIPTION
 388              "An entry (conceptual row) representing a RADIUS
 389               authentication client with which the server shares a
 390               secret."
 391
 392
 393
 394 Zorn & Aboba                Standards Track                     [Page 7]
 395 \f
 396 RFC 2619            RADIUS Authentication Server MIB           June 1999
 397
 398
 399        INDEX      { radiusAuthClientIndex }
 400        ::= { radiusAuthClientTable 1 }
 401
 402 RadiusAuthClientEntry ::= SEQUENCE {
 403        radiusAuthClientIndex                           Integer32,
 404        radiusAuthClientAddress                         IpAddress,
 405        radiusAuthClientID                        SnmpAdminString,
 406        radiusAuthServAccessRequests                    Counter32,
 407        radiusAuthServDupAccessRequests                 Counter32,
 408        radiusAuthServAccessAccepts                     Counter32,
 409        radiusAuthServAccessRejects                     Counter32,
 410        radiusAuthServAccessChallenges                  Counter32,
 411        radiusAuthServMalformedAccessRequests           Counter32,
 412        radiusAuthServBadAuthenticators                 Counter32,
 413        radiusAuthServPacketsDropped                    Counter32,
 414        radiusAuthServUnknownTypes                      Counter32
 415 }
 416
 417 radiusAuthClientIndex OBJECT-TYPE
 418        SYNTAX     Integer32 (1..2147483647)
 419        MAX-ACCESS not-accessible
 420        STATUS     current
 421        DESCRIPTION
 422              "A number uniquely identifying each RADIUS
 423               authentication client with which this server
 424               communicates."
 425        ::= { radiusAuthClientEntry 1 }
 426
 427 radiusAuthClientAddress OBJECT-TYPE
 428        SYNTAX     IpAddress
 429        MAX-ACCESS read-only
 430        STATUS     current
 431        DESCRIPTION
 432              "The NAS-IP-Address of the RADIUS authentication client
 433               referred to in this table entry."
 434        ::= { radiusAuthClientEntry 2 }
 435
 436 radiusAuthClientID OBJECT-TYPE
 437        SYNTAX     SnmpAdminString
 438        MAX-ACCESS read-only
 439        STATUS     current
 440        DESCRIPTION
 441              "The NAS-Identifier of the RADIUS authentication client
 442               referred to in this table entry. This is not necessarily
 443               the same as sysName in MIB II."
 444        ::= { radiusAuthClientEntry 3 }
 445
 446 -- Server Counters
 447
 448
 449
 450 Zorn & Aboba                Standards Track                     [Page 8]
 451 \f
 452 RFC 2619            RADIUS Authentication Server MIB           June 1999
 453
 454
 455 --
 456 -- Responses = AccessAccepts + AccessRejects + AccessChallenges
 457 --
 458 -- Requests - DupRequests - BadAuthenticators - MalformedRequests -
 459 -- UnknownTypes -  PacketsDropped - Responses = Pending
 460 --
 461 -- Requests - DupRequests - BadAuthenticators - MalformedRequests -
 462 -- UnknownTypes - PacketsDropped = entries logged
 463
 464 radiusAuthServAccessRequests OBJECT-TYPE
 465        SYNTAX Counter32
 466        MAX-ACCESS read-only
 467        STATUS current
 468        DESCRIPTION
 469              "The number of packets received on the authentication
 470               port from this client."
 471        ::= { radiusAuthClientEntry  4 }
 472
 473 radiusAuthServDupAccessRequests OBJECT-TYPE
 474        SYNTAX Counter32
 475        MAX-ACCESS read-only
 476        STATUS current
 477        DESCRIPTION
 478              "The number of duplicate RADIUS Access-Request
 479               packets received from this client."
 480        ::= { radiusAuthClientEntry  5 }
 481
 482 radiusAuthServAccessAccepts OBJECT-TYPE
 483        SYNTAX Counter32
 484        MAX-ACCESS read-only
 485        STATUS current
 486        DESCRIPTION
 487              "The number of RADIUS Access-Accept packets
 488               sent to this client."
 489        ::= { radiusAuthClientEntry  6 }
 490
 491 radiusAuthServAccessRejects OBJECT-TYPE
 492       SYNTAX Counter32
 493       MAX-ACCESS read-only
 494       STATUS current
 495       DESCRIPTION
 496              "The number of RADIUS Access-Reject packets
 497               sent to this client."
 498        ::= { radiusAuthClientEntry  7 }
 499
 500 radiusAuthServAccessChallenges OBJECT-TYPE
 501        SYNTAX Counter32
 502        MAX-ACCESS read-only
 503
 504
 505
 506 Zorn & Aboba                Standards Track                     [Page 9]
 507 \f
 508 RFC 2619            RADIUS Authentication Server MIB           June 1999
 509
 510
 511        STATUS current
 512        DESCRIPTION
 513              "The number of RADIUS Access-Challenge packets
 514               sent to this client."
 515        ::= { radiusAuthClientEntry  8 }
 516
 517 radiusAuthServMalformedAccessRequests OBJECT-TYPE
 518        SYNTAX Counter32
 519        MAX-ACCESS read-only
 520        STATUS current
 521        DESCRIPTION
 522              "The number of malformed RADIUS Access-Request
 523               packets received from this client.
 524               Bad authenticators and unknown types are not included as
 525               malformed Access-Requests."
 526        ::= { radiusAuthClientEntry  9 }
 527
 528 radiusAuthServBadAuthenticators OBJECT-TYPE
 529        SYNTAX Counter32
 530        MAX-ACCESS read-only
 531        STATUS current
 532        DESCRIPTION
 533              "The number of RADIUS Authentication-Request packets
 534               which contained invalid Signature attributes received
 535               from this client."
 536        ::= { radiusAuthClientEntry  10 }
 537
 538 radiusAuthServPacketsDropped OBJECT-TYPE
 539       SYNTAX Counter32
 540       MAX-ACCESS read-only
 541       STATUS current
 542       DESCRIPTION
 543               "The number of incoming packets from this
 544                client silently discarded for some reason other
 545                than malformed, bad authenticators or
 546                unknown types."
 547        ::= { radiusAuthClientEntry  11 }
 548
 549 radiusAuthServUnknownTypes OBJECT-TYPE
 550        SYNTAX Counter32
 551        MAX-ACCESS read-only
 552        STATUS current
 553        DESCRIPTION
 554              "The number of RADIUS packets of unknown type which
 555               were received from this client."
 556        ::= { radiusAuthClientEntry  12 }
 557
 558
 559
 560
 561
 562 Zorn & Aboba                Standards Track                    [Page 10]
 563 \f
 564 RFC 2619            RADIUS Authentication Server MIB           June 1999
 565
 566
 567 -- conformance information
 568
 569 radiusAuthServMIBConformance
 570               OBJECT IDENTIFIER ::= { radiusAuthServMIB 2 }
 571 radiusAuthServMIBCompliances
 572               OBJECT IDENTIFIER ::= { radiusAuthServMIBConformance 1 }
 573 radiusAuthServMIBGroups
 574               OBJECT IDENTIFIER ::= { radiusAuthServMIBConformance 2 }
 575
 576
 577 -- compliance statements
 578
 579 radiusAuthServMIBCompliance MODULE-COMPLIANCE
 580             STATUS  current
 581             DESCRIPTION
 582                   "The compliance statement for authentication servers
 583                    implementing the RADIUS Authentication Server MIB."
 584             MODULE  -- this module
 585             MANDATORY-GROUPS { radiusAuthServMIBGroup }
 586
 587             OBJECT        radiusAuthServConfigReset
 588             WRITE-SYNTAX  INTEGER { reset(2) }
 589             DESCRIPTION  "The only SETable value is 'reset' (2)."
 590
 591             ::= { radiusAuthServMIBCompliances 1 }
 592
 593 -- units of conformance
 594
 595 radiusAuthServMIBGroup OBJECT-GROUP
 596       OBJECTS {radiusAuthServIdent,
 597                radiusAuthServUpTime,
 598                radiusAuthServResetTime,
 599                radiusAuthServConfigReset,
 600                radiusAuthServTotalAccessRequests,
 601                radiusAuthServTotalInvalidRequests,
 602                radiusAuthServTotalDupAccessRequests,
 603                radiusAuthServTotalAccessAccepts,
 604                radiusAuthServTotalAccessRejects,
 605                radiusAuthServTotalAccessChallenges,
 606                radiusAuthServTotalMalformedAccessRequests,
 607                radiusAuthServTotalBadAuthenticators,
 608                radiusAuthServTotalPacketsDropped,
 609                radiusAuthServTotalUnknownTypes,
 610                radiusAuthClientAddress,
 611                radiusAuthClientID,
 612                radiusAuthServAccessRequests,
 613                radiusAuthServDupAccessRequests,
 614                radiusAuthServAccessAccepts,
 615
 616
 617
 618 Zorn & Aboba                Standards Track                    [Page 11]
 619 \f
 620 RFC 2619            RADIUS Authentication Server MIB           June 1999
 621
 622
 623                radiusAuthServAccessRejects,
 624                radiusAuthServAccessChallenges,
 625                radiusAuthServMalformedAccessRequests,
 626                radiusAuthServBadAuthenticators,
 627                radiusAuthServPacketsDropped,
 628                radiusAuthServUnknownTypes
 629               }
 630       STATUS  current
 631       DESCRIPTION
 632             "The collection of objects providing management of
 633              a RADIUS Authentication Server."
 634       ::= { radiusAuthServMIBGroups 1 }
 635
 636 END
 637
 638 5.  References
 639
 640    [1]  Harrington, D., Presuhn, R., and B. Wijnen, "An Architecture for
 641         Describing SNMP Management Frameworks", RFC 2571, April 1999.
 642
 643    [2]  Rose, M., and K. McCloghrie, "Structure and Identification of
 644         Management Information for TCP/IP-based Internets", STD 16, RFC
 645         1155, May 1990.
 646
 647    [3]  Rose, M., and K. McCloghrie, "Concise MIB Definitions", STD 16,
 648         RFC 1212, March 1991.
 649
 650    [4]  Rose, M., "A Convention for Defining Traps for use with the
 651         SNMP", RFC 1215, March 1991.
 652
 653    [5]  McCloghrie, K., Perkins, D., Schoenwaelder, J., Case, J., Rose,
 654         M. and S. Waldbusser, "Structure of Management Information
 655         Version 2 (SMIv2)", STD 58, RFC 2578, April 1999.
 656
 657    [6]  McCloghrie, K., Perkins, D., Schoenwaelder, J., Case, J., Rose,
 658         M. and S. Waldbusser, "Textual Conventions for SMIv2", STD 58,
 659         RFC 2579, April 1999.
 660
 661    [7]  McCloghrie, K., Perkins, D., Schoenwaelder, J., Case, J., Rose,
 662         M. and S. Waldbusser, "Conformance Statements for SMIv2", STD
 663         58, RFC 2580, April 1999.
 664
 665    [8]  Case, J., Fedor, M., Schoffstall, M., and J. Davin, "Simple
 666         Network Management Protocol", STD 15, RFC 1157, May 1990.
 667
 668    [9]  Case, J., McCloghrie, K., Rose, M., and S.  Waldbusser,
 669         "Introduction  to Community-based SNMPv2", RFC 1901, January
 670         1996.
 671
 672
 673
 674 Zorn & Aboba                Standards Track                    [Page 12]
 675 \f
 676 RFC 2619            RADIUS Authentication Server MIB           June 1999
 677
 678
 679    [10] Case, J., McCloghrie, K., Rose, M., and S. Waldbusser,
 680         "Transport Mappings for Version 2 of the Simple  Network
 681         Management  Protocol (SNMPv2)", RFC 1906, January 1996.
 682
 683    [11] Case, J., Harrington D., Presuhn R., and B. Wijnen, "Message
 684         Processing  and  Dispatching  for  the  Simple  Network
 685         Management Protocol (SNMP)", RFC 2572, April 1999.
 686
 687    [12] Blumenthal, U., and B. Wijnen, "User-based Security Model for
 688         Version 3 of the Simple Network Management Protocol (SNMPv3)",
 689         RFC 2574, April 1999.
 690
 691    [13] Case, J., McCloghrie, K., Rose, M., and S. Waldbusser, "Protocol
 692         Operations for Version 2 of the Simple Network Management
 693         Protocol (SNMPv2)", RFC 1905, January 1996.
 694
 695    [14] Levi, D., Meyer, P., and B. Stewart, "SNMP Applications", RFC
 696         2573, April 1999.
 697
 698    [15] Wijnen, B., Presuhn, R., and K. McCloghrie, "View-based Access
 699         Control Model for the Simple Network Management Protocol
 700         (SNMP)", RFC 2575, April 1999.
 701
 702    [16] Rigney, C., Rubens, A., Simpson W. and S. Willens, "Remote
 703         Authentication Dial In User Service (RADIUS)", RFC 2138, April
 704         1997.
 705
 706 6.  Security Considerations
 707
 708    There are a number of management objects defined in this MIB that
 709    have a MAX-ACCESS clause of read-write and/or read-create.  Such
 710    objects may be considered sensitive or vulnerable in some network
 711    environments.  The support for SET operations in a non-secure
 712    environment without proper protection can have a negative effect on
 713    network operations.
 714
 715    There are a number of managed objects in this MIB that may contain
 716    sensitive information. These are:
 717
 718    radiusAuthClientAddress
 719              This can be used to determine the address of the RADIUS
 720              authentication client with which the server is
 721              communicating.  This information could be useful in
 722              impersonating the client.
 723
 724    radiusAuthClientID This can be used to determine the client ID of the
 725              authentication client with which the server is
 726              communicating.  This information could be useful in
 727
 728
 729
 730 Zorn & Aboba                Standards Track                    [Page 13]
 731 \f
 732 RFC 2619            RADIUS Authentication Server MIB           June 1999
 733
 734
 735              impersonating the client.
 736
 737    It is thus important to control even GET access to these objects and
 738    possibly to even encrypt the values of these object when sending them
 739    over the network via SNMP.  Not all versions of SNMP provide features
 740    for such a secure environment.
 741
 742    SNMPv1 by itself is not a secure environment. Even if the network
 743    itself is secure (for example by using IPSec), there is no control as
 744    to who on the secure network is allowed to access and GET/SET
 745    (read/change/create/delete) the objects in this MIB.
 746
 747    It is recommended that the implementers consider the security
 748    features as provided by the SNMPv3 framework. Specifically, the use
 749    of the User-based Security Model RFC 2574 [12] and the View-based
 750    Access Control Model RFC 2575 [15] is recommended.  Using these
 751    security features, customer/users can give access to the objects only
 752    to those principals (users) that have legitimate rights to GET or SET
 753    (change/create/delete) them.
 754
 755 7.  Acknowledgments
 756
 757    The authors acknowledge the contributions of the RADIUS Working Group
 758    in the development of this MIB.  Thanks to Narendra Gidwani of
 759    Microsoft, Allan C. Rubens of MERIT, Carl Rigney of Livingston and
 760    Peter Heitman of American Internet Corporation for useful discussions
 761    of this problem space.
 762
 763 8.  Authors' Addresses
 764
 765    Bernard Aboba
 766    Microsoft Corporation
 767    One Microsoft Way
 768    Redmond, WA 98052
 769
 770    Phone: 425-936-6605
 771    EMail: bernarda@microsoft.com
 772
 773    Glen Zorn
 774    Microsoft Corporation
 775    One Microsoft Way
 776    Redmond, WA 98052
 777
 778    Phone: 425-703-1559
 779    EMail: glennz@microsoft.com
 780
 781 9.  Intellectural Property Statement
 782
 783
 784
 785
 786 Zorn & Aboba                Standards Track                    [Page 14]
 787 \f
 788 RFC 2619            RADIUS Authentication Server MIB           June 1999
 789
 790
 791    The IETF takes no position regarding the validity or scope of any
 792    intellectual property or other rights that might be claimed to
 793    pertain to the implementation or use of the technology described in
 794    this document or the extent to which any license under such rights
 795    might or might not be available; neither does it represent that it
 796    has made any effort to identify any such rights.  Information on the
 797    IETF's procedures with respect to rights in standards-track and
 798    standards- related documentation can be found in BCP-11.  Copies of
 799    claims of rights made available for publication and any assurances of
 800    licenses to be made available, or the result of an attempt made to
 801    obtain a general license or permission for the use of such
 802    proprietary rights by implementors or users of this specification can
 803    be obtained from the IETF Secretariat.
 804
 805    The IETF invites any interested party to bring to its attention any
 806    copyrights, patents or patent applications, or other proprietary
 807    rights which may cover technology that may be required to practice
 808    this standard.  Please address the information to the IETF Executive
 809    Director.
 810
 811
 812
 813
 814
 815
 816
 817
 818
 819
 820
 821
 822
 823
 824
 825
 826
 827
 828
 829
 830
 831
 832
 833
 834
 835
 836
 837
 838
 839
 840
 841
 842 Zorn & Aboba                Standards Track                    [Page 15]
 843 \f
 844 RFC 2619            RADIUS Authentication Server MIB           June 1999
 845
 846
 847 10.  Full Copyright Statement
 848
 849    Copyright (C) The Internet Society (1999).  All Rights Reserved.
 850
 851    This document and translations of it may be copied and furnished to
 852    others, and derivative works that comment on or otherwise explain it
 853    or assist in its implmentation may be prepared, copied, published and
 854    distributed, in whole or in part, without restriction of any kind,
 855    provided that the above copyright notice and this paragraph are
 856    included on all such copies and derivative works.  However, this
 857    document itself may not be modified in any way, such as by removing
 858    the copyright notice or references to the Internet Society or other
 859    Internet organizations, except as needed for the purpose of
 860    developing Internet standards in which case the procedures for
 861    copyrights defined in the Internet Standards process must be
 862    followed, or as required to translate it into languages other than
 863    English.
 864
 865    The limited permissions granted above are perpetual and will not be
 866    revoked by the Internet Society or its successors or assigns.
 867
 868    This document and the information contained herein is provided on an
 869    "AS IS" basis and THE INTERNET SOCIETY AND THE INTERNET ENGINEERING
 870    TASK FORCE DISCLAIMS ALL WARRANTIES, EXPRESS OR IMPLIED, INCLUDING
 871    BUT NOT LIMITED TO ANY WARRANTY THAT THE USE OF THE INFORMATION
 872    HEREIN WILL NOT INFRINGE ANY RIGHTS OR ANY IMPLIED WARRANTIES OF
 873    MERCHANTABILITY OR FITNESS FOR A PARTICULAR PURPOSE.
 874
 875 Acknowledgement
 876
 877    Funding for the RFC Editor function is currently provided by the
 878    Internet Society.
 879
 880
 881
 882
 883
 884
 885
 886
 887
 888
 889
 890
 891
 892
 893
 894
 895
 896
 897
 898 Zorn & Aboba                Standards Track                    [Page 16]
 899 \f