src/plugins/wireguard/wireguard_peer.c

   1 /*
   2  * Copyright (c) 2020 Doc.ai and/or its affiliates.
   3  * Licensed under the Apache License, Version 2.0 (the "License");
   4  * you may not use this file except in compliance with the License.
   5  * You may obtain a copy of the License at:
   6  *
   7  *     http://www.apache.org/licenses/LICENSE-2.0
   8  *
   9  * Unless required by applicable law or agreed to in writing, software
  10  * distributed under the License is distributed on an "AS IS" BASIS,
  11  * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  12  * See the License for the specific language governing permissions and
  13  * limitations under the License.
  14  */
  15
  16 #include <vnet/adj/adj_midchain.h>
  17 #include <vnet/fib/fib_table.h>
  18 #include <wireguard/wireguard_peer.h>
  19 #include <wireguard/wireguard_if.h>
  20 #include <wireguard/wireguard_messages.h>
  21 #include <wireguard/wireguard_key.h>
  22 #include <wireguard/wireguard_send.h>
  23 #include <wireguard/wireguard.h>
  24
  25 static fib_source_t wg_fib_source;
  26
  27 index_t *wg_peer_by_adj_index;
  28
  29 wg_peer_t *
  30 wg_peer_get (index_t peeri)
  31 {
  32   return (pool_elt_at_index (wg_main.peers, peeri));
  33 }
  34
  35 static void
  36 wg_peer_endpoint_reset (wg_peer_endpoint_t * ep)
  37 {
  38   ip46_address_reset (&ep->addr);
  39   ep->port = 0;
  40 }
  41
  42 static void
  43 wg_peer_endpoint_init (wg_peer_endpoint_t * ep,
  44                        const ip46_address_t * addr, u16 port)
  45 {
  46   ip46_address_copy (&ep->addr, addr);
  47   ep->port = port;
  48 }
  49
  50 static void
  51 wg_peer_fib_flush (wg_peer_t * peer)
  52 {
  53   wg_peer_allowed_ip_t *allowed_ip;
  54
  55   vec_foreach (allowed_ip, peer->allowed_ips)
  56   {
  57     fib_table_entry_delete_index (allowed_ip->fib_entry_index, wg_fib_source);
  58     allowed_ip->fib_entry_index = FIB_NODE_INDEX_INVALID;
  59   }
  60 }
  61
  62 static void
  63 wg_peer_fib_populate (wg_peer_t * peer, u32 fib_index)
  64 {
  65   wg_peer_allowed_ip_t *allowed_ip;
  66
  67   vec_foreach (allowed_ip, peer->allowed_ips)
  68   {
  69     allowed_ip->fib_entry_index =
  70       fib_table_entry_path_add (fib_index,
  71                                 &allowed_ip->prefix,
  72                                 wg_fib_source,
  73                                 FIB_ENTRY_FLAG_NONE,
  74                                 fib_proto_to_dpo (allowed_ip->
  75                                                   prefix.fp_proto),
  76                                 &peer->dst.addr, peer->wg_sw_if_index, ~0, 1,
  77                                 NULL, FIB_ROUTE_PATH_FLAG_NONE);
  78   }
  79 }
  80
  81 static void
  82 wg_peer_clear (vlib_main_t * vm, wg_peer_t * peer)
  83 {
  84   wg_timers_stop (peer);
  85   noise_remote_clear (vm, &peer->remote);
  86   peer->last_sent_handshake = vlib_time_now (vm) - (REKEY_TIMEOUT + 1);
  87
  88   clib_memset (&peer->cookie_maker, 0, sizeof (peer->cookie_maker));
  89
  90   wg_peer_endpoint_reset (&peer->src);
  91   wg_peer_endpoint_reset (&peer->dst);
  92
  93   if (INDEX_INVALID != peer->adj_index)
  94     {
  95       adj_unlock (peer->adj_index);
  96       wg_peer_by_adj_index[peer->adj_index] = INDEX_INVALID;
  97     }
  98   wg_peer_fib_flush (peer);
  99
 100   peer->adj_index = INDEX_INVALID;
 101   peer->persistent_keepalive_interval = 0;
 102   peer->timer_handshake_attempts = 0;
 103   peer->timer_need_another_keepalive = false;
 104   peer->is_dead = true;
 105   vec_free (peer->allowed_ips);
 106 }
 107
 108 static void
 109 wg_peer_init (vlib_main_t * vm, wg_peer_t * peer)
 110 {
 111   wg_timers_init (peer, vlib_time_now (vm));
 112   wg_peer_clear (vm, peer);
 113 }
 114
 115 static u8 *
 116 wg_peer_build_rewrite (const wg_peer_t * peer)
 117 {
 118   // v4 only for now
 119   ip4_udp_header_t *hdr;
 120   u8 *rewrite = NULL;
 121
 122   vec_validate (rewrite, sizeof (*hdr) - 1);
 123   hdr = (ip4_udp_header_t *) rewrite;
 124
 125   hdr->ip4.ip_version_and_header_length = 0x45;
 126   hdr->ip4.ttl = 64;
 127   hdr->ip4.src_address = peer->src.addr.ip4;
 128   hdr->ip4.dst_address = peer->dst.addr.ip4;
 129   hdr->ip4.protocol = IP_PROTOCOL_UDP;
 130   hdr->ip4.checksum = ip4_header_checksum (&hdr->ip4);
 131
 132   hdr->udp.src_port = clib_host_to_net_u16 (peer->src.port);
 133   hdr->udp.dst_port = clib_host_to_net_u16 (peer->dst.port);
 134   hdr->udp.checksum = 0;
 135
 136   return (rewrite);
 137 }
 138
 139 static void
 140 wg_peer_adj_stack (wg_peer_t * peer)
 141 {
 142   ip_adjacency_t *adj;
 143   u32 sw_if_index;
 144   wg_if_t *wgi;
 145
 146   adj = adj_get (peer->adj_index);
 147   sw_if_index = adj->rewrite_header.sw_if_index;
 148
 149   wgi = wg_if_get (wg_if_find_by_sw_if_index (sw_if_index));
 150
 151   if (!wgi)
 152     return;
 153
 154   if (!vnet_sw_interface_is_admin_up (vnet_get_main (), wgi->sw_if_index))
 155     {
 156       adj_midchain_delegate_unstack (peer->adj_index);
 157     }
 158   else
 159     {
 160       /* *INDENT-OFF* */
 161       fib_prefix_t dst = {
 162         .fp_len = 32,
 163         .fp_proto = FIB_PROTOCOL_IP4,
 164         .fp_addr = peer->dst.addr,
 165       };
 166       /* *INDENT-ON* */
 167       u32 fib_index;
 168
 169       fib_index = fib_table_find (FIB_PROTOCOL_IP4, peer->table_id);
 170
 171       adj_midchain_delegate_stack (peer->adj_index, fib_index, &dst);
 172     }
 173 }
 174
 175 walk_rc_t
 176 wg_peer_if_admin_state_change (wg_if_t * wgi, index_t peeri, void *data)
 177 {
 178   wg_peer_adj_stack (wg_peer_get (peeri));
 179
 180   return (WALK_CONTINUE);
 181 }
 182
 183 walk_rc_t
 184 wg_peer_if_table_change (wg_if_t * wgi, index_t peeri, void *data)
 185 {
 186   wg_peer_table_bind_ctx_t *ctx = data;
 187   wg_peer_t *peer;
 188
 189   peer = wg_peer_get (peeri);
 190
 191   wg_peer_fib_flush (peer);
 192   wg_peer_fib_populate (peer, ctx->new_fib_index);
 193
 194   return (WALK_CONTINUE);
 195 }
 196
 197 static int
 198 wg_peer_fill (vlib_main_t * vm, wg_peer_t * peer,
 199               u32 table_id,
 200               const ip46_address_t * dst,
 201               u16 port,
 202               u16 persistent_keepalive_interval,
 203               const fib_prefix_t * allowed_ips, u32 wg_sw_if_index)
 204 {
 205   wg_peer_endpoint_init (&peer->dst, dst, port);
 206
 207   peer->table_id = table_id;
 208   peer->persistent_keepalive_interval = persistent_keepalive_interval;
 209   peer->wg_sw_if_index = wg_sw_if_index;
 210   peer->last_sent_handshake = vlib_time_now (vm) - (REKEY_TIMEOUT + 1);
 211   peer->is_dead = false;
 212
 213   const wg_if_t *wgi = wg_if_get (wg_if_find_by_sw_if_index (wg_sw_if_index));
 214
 215   if (NULL == wgi)
 216     return (VNET_API_ERROR_INVALID_INTERFACE);
 217
 218   ip_address_to_46 (&wgi->src_ip, &peer->src.addr);
 219   peer->src.port = wgi->port;
 220
 221   /*
 222    * and an adjacency for the endpoint address in the overlay
 223    * on the wg interface
 224    */
 225   peer->rewrite = wg_peer_build_rewrite (peer);
 226
 227   peer->adj_index = adj_nbr_add_or_lock (FIB_PROTOCOL_IP4,
 228                                          VNET_LINK_IP4,
 229                                          &peer->dst.addr, wgi->sw_if_index);
 230
 231   vec_validate_init_empty (wg_peer_by_adj_index,
 232                            peer->adj_index, INDEX_INVALID);
 233   wg_peer_by_adj_index[peer->adj_index] = peer - wg_main.peers;
 234
 235   adj_nbr_midchain_update_rewrite (peer->adj_index,
 236                                    NULL,
 237                                    NULL,
 238                                    ADJ_FLAG_MIDCHAIN_IP_STACK,
 239                                    vec_dup (peer->rewrite));
 240   wg_peer_adj_stack (peer);
 241
 242   /*
 243    * add a route in the overlay to each of the allowed-ips
 244    */
 245   u32 ii;
 246
 247   vec_validate (peer->allowed_ips, vec_len (allowed_ips) - 1);
 248
 249   vec_foreach_index (ii, allowed_ips)
 250   {
 251     peer->allowed_ips[ii].prefix = allowed_ips[ii];
 252   }
 253
 254   wg_peer_fib_populate (peer,
 255                         fib_table_get_index_for_sw_if_index
 256                         (FIB_PROTOCOL_IP4, peer->wg_sw_if_index));
 257
 258   return (0);
 259 }
 260
 261 int
 262 wg_peer_add (u32 tun_sw_if_index,
 263              const u8 public_key[NOISE_PUBLIC_KEY_LEN],
 264              u32 table_id,
 265              const ip46_address_t * endpoint,
 266              const fib_prefix_t * allowed_ips,
 267              u16 port, u16 persistent_keepalive, u32 * peer_index)
 268 {
 269   wg_if_t *wg_if;
 270   wg_peer_t *peer;
 271   int rv;
 272
 273   vlib_main_t *vm = vlib_get_main ();
 274
 275   if (tun_sw_if_index == ~0)
 276     return (VNET_API_ERROR_INVALID_SW_IF_INDEX);
 277
 278   wg_if = wg_if_get (wg_if_find_by_sw_if_index (tun_sw_if_index));
 279   if (!wg_if)
 280     return (VNET_API_ERROR_INVALID_SW_IF_INDEX);
 281
 282   /* *INDENT-OFF* */
 283   pool_foreach (peer, wg_main.peers,
 284   ({
 285     if (!memcmp (peer->remote.r_public, public_key, NOISE_PUBLIC_KEY_LEN))
 286     {
 287       return (VNET_API_ERROR_ENTRY_ALREADY_EXISTS);
 288     }
 289   }));
 290   /* *INDENT-ON* */
 291
 292   if (pool_elts (wg_main.peers) > MAX_PEERS)
 293     return (VNET_API_ERROR_LIMIT_EXCEEDED);
 294
 295   pool_get (wg_main.peers, peer);
 296
 297   wg_peer_init (vm, peer);
 298
 299   rv = wg_peer_fill (vm, peer, table_id, endpoint, (u16) port,
 300                      persistent_keepalive, allowed_ips, tun_sw_if_index);
 301
 302   if (rv)
 303     {
 304       wg_peer_clear (vm, peer);
 305       pool_put (wg_main.peers, peer);
 306       return (rv);
 307     }
 308
 309   noise_remote_init (&peer->remote, peer - wg_main.peers, public_key,
 310                      &wg_if->local);
 311   cookie_maker_init (&peer->cookie_maker, public_key);
 312
 313   if (peer->persistent_keepalive_interval != 0)
 314     {
 315       wg_send_keepalive (vm, peer);
 316     }
 317
 318   *peer_index = peer - wg_main.peers;
 319   wg_if_peer_add (wg_if, *peer_index);
 320
 321   return (0);
 322 }
 323
 324 int
 325 wg_peer_remove (index_t peeri)
 326 {
 327   wg_main_t *wmp = &wg_main;
 328   wg_peer_t *peer = NULL;
 329   wg_if_t *wgi;
 330
 331   if (pool_is_free_index (wmp->peers, peeri))
 332     return VNET_API_ERROR_NO_SUCH_ENTRY;
 333
 334   peer = pool_elt_at_index (wmp->peers, peeri);
 335
 336   wgi = wg_if_get (wg_if_find_by_sw_if_index (peer->wg_sw_if_index));
 337   wg_if_peer_remove (wgi, peeri);
 338
 339   vnet_feature_enable_disable ("ip4-output", "wg-output-tun",
 340                                peer->wg_sw_if_index, 0, 0, 0);
 341   wg_peer_clear (wmp->vlib_main, peer);
 342   pool_put (wmp->peers, peer);
 343
 344   return (0);
 345 }
 346
 347 void
 348 wg_peer_walk (wg_peer_walk_cb_t fn, void *data)
 349 {
 350   index_t peeri;
 351
 352   /* *INDENT-OFF* */
 353   pool_foreach_index(peeri, wg_main.peers,
 354   {
 355     if (WALK_STOP == fn(peeri, data))
 356       break;
 357   });
 358   /* *INDENT-ON* */
 359 }
 360
 361 static u8 *
 362 format_wg_peer_endpoint (u8 * s, va_list * args)
 363 {
 364   wg_peer_endpoint_t *ep = va_arg (*args, wg_peer_endpoint_t *);
 365
 366   s = format (s, "%U:%d",
 367               format_ip46_address, &ep->addr, IP46_TYPE_ANY, ep->port);
 368
 369   return (s);
 370 }
 371
 372 u8 *
 373 format_wg_peer (u8 * s, va_list * va)
 374 {
 375   index_t peeri = va_arg (*va, index_t);
 376   wg_peer_allowed_ip_t *allowed_ip;
 377   u8 key[NOISE_KEY_LEN_BASE64];
 378   wg_peer_t *peer;
 379
 380   peer = wg_peer_get (peeri);
 381   key_to_base64 (peer->remote.r_public, NOISE_PUBLIC_KEY_LEN, key);
 382
 383   s = format (s, "[%d] key:%=45s endpoint:[%U->%U] %U keep-alive:%d adj:%d",
 384               peeri,
 385               key,
 386               format_wg_peer_endpoint, &peer->src,
 387               format_wg_peer_endpoint, &peer->dst,
 388               format_vnet_sw_if_index_name, vnet_get_main (),
 389               peer->wg_sw_if_index,
 390               peer->persistent_keepalive_interval, peer->adj_index);
 391
 392   s = format (s, "\n  allowed-ips:");
 393   vec_foreach (allowed_ip, peer->allowed_ips)
 394   {
 395     s = format (s, " %U", format_fib_prefix, &allowed_ip->prefix);
 396   }
 397
 398   return s;
 399 }
 400
 401 static clib_error_t *
 402 wg_peer_module_init (vlib_main_t * vm)
 403 {
 404   wg_fib_source = fib_source_allocate ("wireguard", 0xb0,       //
 405                                        FIB_SOURCE_BH_SIMPLE);
 406
 407   return (NULL);
 408 }
 409
 410 VLIB_INIT_FUNCTION (wg_peer_module_init);
 411
 412 /*
 413  * fd.io coding-style-patch-verification: ON
 414  *
 415  * Local Variables:
 416  * eval: (c-set-style "gnu")
 417  * End:
 418  */