src/plugins/wireguard/wireguard_peer.c

   1 /*
   2  * Copyright (c) 2020 Doc.ai and/or its affiliates.
   3  * Copyright (c) 2020 Cisco and/or its affiliates.
   4  * Licensed under the Apache License, Version 2.0 (the "License");
   5  * you may not use this file except in compliance with the License.
   6  * You may obtain a copy of the License at:
   7  *
   8  *     http://www.apache.org/licenses/LICENSE-2.0
   9  *
  10  * Unless required by applicable law or agreed to in writing, software
  11  * distributed under the License is distributed on an "AS IS" BASIS,
  12  * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  13  * See the License for the specific language governing permissions and
  14  * limitations under the License.
  15  */
  16
  17 #include <vnet/adj/adj_midchain.h>
  18 #include <vnet/fib/fib_table.h>
  19 #include <wireguard/wireguard_peer.h>
  20 #include <wireguard/wireguard_if.h>
  21 #include <wireguard/wireguard_messages.h>
  22 #include <wireguard/wireguard_key.h>
  23 #include <wireguard/wireguard_send.h>
  24 #include <wireguard/wireguard.h>
  25 #include <vnet/tunnel/tunnel_dp.h>
  26
  27 wg_peer_t *wg_peer_pool;
  28
  29 index_t *wg_peer_by_adj_index;
  30
  31 static void
  32 wg_peer_endpoint_reset (wg_peer_endpoint_t * ep)
  33 {
  34   ip46_address_reset (&ep->addr);
  35   ep->port = 0;
  36 }
  37
  38 static void
  39 wg_peer_endpoint_init (wg_peer_endpoint_t *ep, const ip46_address_t *addr,
  40                        u16 port)
  41 {
  42   ip46_address_copy (&ep->addr, addr);
  43   ep->port = port;
  44 }
  45
  46 static void
  47 wg_peer_clear (vlib_main_t * vm, wg_peer_t * peer)
  48 {
  49   index_t perri = peer - wg_peer_pool;
  50   wg_timers_stop (peer);
  51   wg_peer_update_flags (perri, WG_PEER_ESTABLISHED, false);
  52   wg_peer_update_flags (perri, WG_PEER_STATUS_DEAD, true);
  53   for (int i = 0; i < WG_N_TIMERS; i++)
  54     {
  55       peer->timers[i] = ~0;
  56       peer->timers_dispatched[i] = 0;
  57     }
  58
  59   peer->last_sent_handshake = vlib_time_now (vm) - (REKEY_TIMEOUT + 1);
  60
  61   clib_memset (&peer->cookie_maker, 0, sizeof (peer->cookie_maker));
  62
  63   wg_peer_endpoint_reset (&peer->src);
  64   wg_peer_endpoint_reset (&peer->dst);
  65
  66   adj_index_t *adj_index;
  67   vec_foreach (adj_index, peer->adj_indices)
  68     {
  69       wg_peer_by_adj_index[*adj_index] = INDEX_INVALID;
  70
  71       if (adj_is_valid (*adj_index))
  72         adj_midchain_delegate_unstack (*adj_index);
  73     }
  74   peer->input_thread_index = ~0;
  75   peer->output_thread_index = ~0;
  76   peer->timer_wheel = 0;
  77   peer->persistent_keepalive_interval = 0;
  78   peer->timer_handshake_attempts = 0;
  79   peer->last_sent_packet = 0;
  80   peer->last_received_packet = 0;
  81   peer->session_derived = 0;
  82   peer->rehandshake_started = 0;
  83   peer->new_handshake_interval_tick = 0;
  84   peer->rehandshake_interval_tick = 0;
  85   peer->timer_need_another_keepalive = false;
  86   vec_free (peer->rewrite);
  87   vec_free (peer->allowed_ips);
  88   vec_free (peer->adj_indices);
  89 }
  90
  91 static void
  92 wg_peer_init (vlib_main_t * vm, wg_peer_t * peer)
  93 {
  94   peer->api_client_by_client_index = hash_create (0, sizeof (u32));
  95   peer->api_clients = NULL;
  96   wg_peer_clear (vm, peer);
  97 }
  98
  99 static void
 100 wg_peer_adj_stack (wg_peer_t *peer, adj_index_t ai)
 101 {
 102   ip_adjacency_t *adj;
 103   u32 sw_if_index;
 104   wg_if_t *wgi;
 105   fib_protocol_t fib_proto;
 106
 107   if (!adj_is_valid (ai))
 108     return;
 109
 110   adj = adj_get (ai);
 111   sw_if_index = adj->rewrite_header.sw_if_index;
 112   u8 is_ip4 = ip46_address_is_ip4 (&peer->src.addr);
 113   fib_proto = is_ip4 ? FIB_PROTOCOL_IP4 : FIB_PROTOCOL_IP6;
 114
 115   wgi = wg_if_get (wg_if_find_by_sw_if_index (sw_if_index));
 116
 117   if (!wgi)
 118     return;
 119
 120   if (!vnet_sw_interface_is_admin_up (vnet_get_main (), wgi->sw_if_index) ||
 121       !wg_peer_can_send (peer))
 122     {
 123       adj_midchain_delegate_unstack (ai);
 124     }
 125   else
 126     {
 127       /* *INDENT-OFF* */
 128       fib_prefix_t dst = {
 129         .fp_len = is_ip4 ? 32 : 128,
 130         .fp_proto = fib_proto,
 131         .fp_addr = peer->dst.addr,
 132       };
 133       /* *INDENT-ON* */
 134       u32 fib_index;
 135
 136       fib_index = fib_table_find (fib_proto, peer->table_id);
 137
 138       adj_midchain_delegate_stack (ai, fib_index, &dst);
 139     }
 140 }
 141
 142 static void
 143 wg_peer_adj_reset_stacking (adj_index_t ai)
 144 {
 145   adj_midchain_delegate_remove (ai);
 146 }
 147
 148 static void
 149 wg_peer_66_fixup (vlib_main_t *vm, const ip_adjacency_t *adj, vlib_buffer_t *b,
 150                   const void *data)
 151 {
 152   u8 iph_offset = 0;
 153   ip6_header_t *ip6_out;
 154   ip6_header_t *ip6_in;
 155
 156   /* Must set locally originated otherwise we're not allowed to
 157      fragment the packet later */
 158   b->flags |= VNET_BUFFER_F_LOCALLY_ORIGINATED;
 159
 160   ip6_out = vlib_buffer_get_current (b);
 161   iph_offset = vnet_buffer (b)->ip.save_rewrite_length;
 162   ip6_in = vlib_buffer_get_current (b) + iph_offset;
 163
 164   ip6_out->ip_version_traffic_class_and_flow_label =
 165     ip6_in->ip_version_traffic_class_and_flow_label;
 166 }
 167
 168 static void
 169 wg_peer_46_fixup (vlib_main_t *vm, const ip_adjacency_t *adj, vlib_buffer_t *b,
 170                   const void *data)
 171 {
 172   u8 iph_offset = 0;
 173   ip6_header_t *ip6_out;
 174   ip4_header_t *ip4_in;
 175
 176   /* Must set locally originated otherwise we're not allowed to
 177      fragment the packet later */
 178   b->flags |= VNET_BUFFER_F_LOCALLY_ORIGINATED;
 179
 180   ip6_out = vlib_buffer_get_current (b);
 181   iph_offset = vnet_buffer (b)->ip.save_rewrite_length;
 182   ip4_in = vlib_buffer_get_current (b) + iph_offset;
 183
 184   u32 vtcfl = 0x6 << 28;
 185   vtcfl |= ip4_in->tos << 20;
 186   vtcfl |= vnet_buffer (b)->ip.flow_hash & 0x000fffff;
 187
 188   ip6_out->ip_version_traffic_class_and_flow_label =
 189     clib_host_to_net_u32 (vtcfl);
 190 }
 191
 192 static adj_midchain_fixup_t
 193 wg_peer_get_fixup (wg_peer_t *peer, vnet_link_t lt)
 194 {
 195   if (!ip46_address_is_ip4 (&peer->dst.addr))
 196     {
 197       if (lt == VNET_LINK_IP4)
 198         return (wg_peer_46_fixup);
 199       if (lt == VNET_LINK_IP6)
 200         return (wg_peer_66_fixup);
 201     }
 202   return (NULL);
 203 }
 204
 205 static void
 206 wg_peer_disable (vlib_main_t *vm, wg_peer_t *peer)
 207 {
 208   index_t peeri = peer - wg_peer_pool;
 209
 210   wg_timers_stop (peer);
 211   wg_peer_update_flags (peeri, WG_PEER_ESTABLISHED, false);
 212
 213   for (int i = 0; i < WG_N_TIMERS; i++)
 214     {
 215       peer->timers[i] = ~0;
 216       peer->timers_dispatched[i] = 0;
 217     }
 218   peer->timer_handshake_attempts = 0;
 219
 220   peer->last_sent_handshake = vlib_time_now (vm) - (REKEY_TIMEOUT + 1);
 221   peer->last_sent_packet = 0;
 222   peer->last_received_packet = 0;
 223   peer->session_derived = 0;
 224   peer->rehandshake_started = 0;
 225
 226   peer->new_handshake_interval_tick = 0;
 227   peer->rehandshake_interval_tick = 0;
 228
 229   peer->timer_need_another_keepalive = false;
 230
 231   noise_remote_clear (vm, &peer->remote);
 232 }
 233
 234 static void
 235 wg_peer_enable (vlib_main_t *vm, wg_peer_t *peer)
 236 {
 237   index_t peeri = peer - wg_peer_pool;
 238   wg_if_t *wg_if;
 239   u8 public_key[NOISE_PUBLIC_KEY_LEN];
 240
 241   wg_if = wg_if_get (wg_if_find_by_sw_if_index (peer->wg_sw_if_index));
 242   clib_memcpy (public_key, peer->remote.r_public, NOISE_PUBLIC_KEY_LEN);
 243
 244   noise_remote_init (&peer->remote, peeri, public_key, wg_if->local_idx);
 245
 246   wg_send_handshake (vm, peer, false);
 247   if (peer->persistent_keepalive_interval != 0)
 248     {
 249       wg_send_keepalive (vm, peer);
 250     }
 251 }
 252
 253 walk_rc_t
 254 wg_peer_if_admin_state_change (index_t peeri, void *data)
 255 {
 256   wg_peer_t *peer;
 257   adj_index_t *adj_index;
 258   vlib_main_t *vm = vlib_get_main ();
 259
 260   peer = wg_peer_get (peeri);
 261   vec_foreach (adj_index, peer->adj_indices)
 262     {
 263       wg_peer_adj_stack (peer, *adj_index);
 264     }
 265
 266   if (vnet_sw_interface_is_admin_up (vnet_get_main (), peer->wg_sw_if_index))
 267     {
 268       wg_peer_enable (vm, peer);
 269     }
 270   else
 271     {
 272       wg_peer_disable (vm, peer);
 273     }
 274
 275   return (WALK_CONTINUE);
 276 }
 277
 278 walk_rc_t
 279 wg_peer_if_adj_change (index_t peeri, void *data)
 280 {
 281   adj_index_t *adj_index = data;
 282   adj_midchain_fixup_t fixup;
 283   ip_adjacency_t *adj;
 284   wg_peer_t *peer;
 285   fib_prefix_t *allowed_ip;
 286
 287   adj = adj_get (*adj_index);
 288
 289   peer = wg_peer_get (peeri);
 290   vec_foreach (allowed_ip, peer->allowed_ips)
 291     {
 292       if (fib_prefix_is_cover_addr_46 (allowed_ip,
 293                                        &adj->sub_type.nbr.next_hop))
 294         {
 295           vec_add1 (peer->adj_indices, *adj_index);
 296
 297           vec_validate_init_empty (wg_peer_by_adj_index, *adj_index,
 298                                    INDEX_INVALID);
 299           wg_peer_by_adj_index[*adj_index] = peeri;
 300
 301           fixup = wg_peer_get_fixup (peer, adj_get_link_type (*adj_index));
 302           adj_nbr_midchain_update_rewrite (*adj_index, fixup, NULL,
 303                                            ADJ_FLAG_MIDCHAIN_IP_STACK,
 304                                            vec_dup (peer->rewrite));
 305
 306           wg_peer_adj_stack (peer, *adj_index);
 307           return (WALK_STOP);
 308         }
 309     }
 310
 311   return (WALK_CONTINUE);
 312 }
 313
 314 adj_walk_rc_t
 315 wg_peer_adj_walk (adj_index_t ai, void *data)
 316 {
 317   return wg_peer_if_adj_change ((*(index_t *) (data)), &ai) == WALK_CONTINUE ?
 318            ADJ_WALK_RC_CONTINUE :
 319            ADJ_WALK_RC_STOP;
 320 }
 321
 322 walk_rc_t
 323 wg_peer_if_delete (index_t peeri, void *data)
 324 {
 325   wg_peer_remove (peeri);
 326   return (WALK_CONTINUE);
 327 }
 328
 329 static int
 330 wg_peer_fill (vlib_main_t *vm, wg_peer_t *peer, u32 table_id,
 331               const ip46_address_t *dst, u16 port,
 332               u16 persistent_keepalive_interval,
 333               const fib_prefix_t *allowed_ips, u32 wg_sw_if_index)
 334 {
 335   index_t perri = peer - wg_peer_pool;
 336   wg_peer_endpoint_init (&peer->dst, dst, port);
 337
 338   peer->table_id = table_id;
 339   peer->wg_sw_if_index = wg_sw_if_index;
 340   peer->timer_wheel = &wg_main.timer_wheel;
 341   peer->persistent_keepalive_interval = persistent_keepalive_interval;
 342   peer->last_sent_handshake = vlib_time_now (vm) - (REKEY_TIMEOUT + 1);
 343   wg_peer_update_flags (perri, WG_PEER_STATUS_DEAD, false);
 344
 345   const wg_if_t *wgi = wg_if_get (wg_if_find_by_sw_if_index (wg_sw_if_index));
 346
 347   if (NULL == wgi)
 348     return (VNET_API_ERROR_INVALID_INTERFACE);
 349
 350   ip_address_to_46 (&wgi->src_ip, &peer->src.addr);
 351   peer->src.port = wgi->port;
 352
 353   u8 is_ip4 = ip46_address_is_ip4 (&peer->dst.addr);
 354   peer->rewrite = wg_build_rewrite (&peer->src.addr, peer->src.port,
 355                                     &peer->dst.addr, peer->dst.port, is_ip4);
 356
 357   u32 ii;
 358   vec_validate (peer->allowed_ips, vec_len (allowed_ips) - 1);
 359   vec_foreach_index (ii, allowed_ips)
 360   {
 361     peer->allowed_ips[ii] = allowed_ips[ii];
 362   }
 363
 364   fib_protocol_t proto;
 365   FOR_EACH_FIB_IP_PROTOCOL (proto)
 366   {
 367     adj_nbr_walk (wg_sw_if_index, proto, wg_peer_adj_walk, &perri);
 368   }
 369   return (0);
 370 }
 371
 372 void
 373 wg_peer_update_flags (index_t peeri, wg_peer_flags flag, bool add_del)
 374 {
 375   wg_peer_t *peer = wg_peer_get (peeri);
 376   if ((add_del && (peer->flags & flag)) || (!add_del && !(peer->flags & flag)))
 377     {
 378       return;
 379     }
 380
 381   peer->flags ^= flag;
 382   wg_api_peer_event (peeri, peer->flags);
 383 }
 384
 385 void
 386 wg_peer_update_endpoint (index_t peeri, const ip46_address_t *addr, u16 port)
 387 {
 388   wg_peer_t *peer = wg_peer_get (peeri);
 389
 390   if (ip46_address_is_equal (&peer->dst.addr, addr) && peer->dst.port == port)
 391     return;
 392
 393   wg_peer_endpoint_init (&peer->dst, addr, port);
 394
 395   u8 is_ip4 = ip46_address_is_ip4 (&peer->dst.addr);
 396   vec_free (peer->rewrite);
 397   peer->rewrite = wg_build_rewrite (&peer->src.addr, peer->src.port,
 398                                     &peer->dst.addr, peer->dst.port, is_ip4);
 399
 400   adj_index_t *adj_index;
 401   vec_foreach (adj_index, peer->adj_indices)
 402     {
 403       if (adj_is_valid (*adj_index))
 404         {
 405           adj_midchain_fixup_t fixup =
 406             wg_peer_get_fixup (peer, adj_get_link_type (*adj_index));
 407           adj_nbr_midchain_update_rewrite (*adj_index, fixup, NULL,
 408                                            ADJ_FLAG_MIDCHAIN_IP_STACK,
 409                                            vec_dup (peer->rewrite));
 410
 411           wg_peer_adj_reset_stacking (*adj_index);
 412           wg_peer_adj_stack (peer, *adj_index);
 413         }
 414     }
 415 }
 416
 417 typedef struct wg_peer_upd_ep_args_t_
 418 {
 419   index_t peeri;
 420   ip46_address_t addr;
 421   u16 port;
 422 } wg_peer_upd_ep_args_t;
 423
 424 static void
 425 wg_peer_update_endpoint_thread_fn (wg_peer_upd_ep_args_t *args)
 426 {
 427   wg_peer_update_endpoint (args->peeri, &args->addr, args->port);
 428 }
 429
 430 void
 431 wg_peer_update_endpoint_from_mt (index_t peeri, const ip46_address_t *addr,
 432                                  u16 port)
 433 {
 434   wg_peer_upd_ep_args_t args = {
 435     .peeri = peeri,
 436     .port = port,
 437   };
 438
 439   ip46_address_copy (&args.addr, addr);
 440   vlib_rpc_call_main_thread (wg_peer_update_endpoint_thread_fn, (u8 *) &args,
 441                              sizeof (args));
 442 }
 443
 444 int
 445 wg_peer_add (u32 tun_sw_if_index, const u8 public_key[NOISE_PUBLIC_KEY_LEN],
 446              u32 table_id, const ip46_address_t *endpoint,
 447              const fib_prefix_t *allowed_ips, u16 port,
 448              u16 persistent_keepalive, u32 *peer_index)
 449 {
 450   wg_if_t *wg_if;
 451   wg_peer_t *peer;
 452   int rv;
 453
 454   vlib_main_t *vm = vlib_get_main ();
 455
 456   if (tun_sw_if_index == ~0)
 457     return (VNET_API_ERROR_INVALID_SW_IF_INDEX);
 458
 459   wg_if = wg_if_get (wg_if_find_by_sw_if_index (tun_sw_if_index));
 460   if (!wg_if)
 461     return (VNET_API_ERROR_INVALID_SW_IF_INDEX);
 462
 463   /* *INDENT-OFF* */
 464   pool_foreach (peer, wg_peer_pool)
 465    {
 466     if (!memcmp (peer->remote.r_public, public_key, NOISE_PUBLIC_KEY_LEN))
 467     {
 468       return (VNET_API_ERROR_ENTRY_ALREADY_EXISTS);
 469     }
 470   }
 471   /* *INDENT-ON* */
 472
 473   if (pool_elts (wg_peer_pool) > MAX_PEERS)
 474     return (VNET_API_ERROR_LIMIT_EXCEEDED);
 475
 476   pool_get_zero (wg_peer_pool, peer);
 477
 478   wg_peer_init (vm, peer);
 479
 480   rv = wg_peer_fill (vm, peer, table_id, endpoint, (u16) port,
 481                      persistent_keepalive, allowed_ips, tun_sw_if_index);
 482
 483   if (rv)
 484     {
 485       wg_peer_clear (vm, peer);
 486       pool_put (wg_peer_pool, peer);
 487       return (rv);
 488     }
 489
 490   noise_remote_init (&peer->remote, peer - wg_peer_pool, public_key,
 491                      wg_if->local_idx);
 492   cookie_maker_init (&peer->cookie_maker, public_key);
 493
 494   if (vnet_sw_interface_is_admin_up (vnet_get_main (), tun_sw_if_index))
 495     {
 496       wg_send_handshake (vm, peer, false);
 497       if (peer->persistent_keepalive_interval != 0)
 498         {
 499           wg_send_keepalive (vm, peer);
 500         }
 501     }
 502
 503   *peer_index = peer - wg_peer_pool;
 504   wg_if_peer_add (wg_if, *peer_index);
 505
 506   return (0);
 507 }
 508
 509 int
 510 wg_peer_remove (index_t peeri)
 511 {
 512   wg_main_t *wmp = &wg_main;
 513   wg_peer_t *peer = NULL;
 514   wg_if_t *wgi;
 515
 516   if (pool_is_free_index (wg_peer_pool, peeri))
 517     return VNET_API_ERROR_NO_SUCH_ENTRY;
 518
 519   peer = pool_elt_at_index (wg_peer_pool, peeri);
 520
 521   wgi = wg_if_get (wg_if_find_by_sw_if_index (peer->wg_sw_if_index));
 522   wg_if_peer_remove (wgi, peeri);
 523
 524   noise_remote_clear (wmp->vlib_main, &peer->remote);
 525   wg_peer_clear (wmp->vlib_main, peer);
 526   pool_put (wg_peer_pool, peer);
 527
 528   return (0);
 529 }
 530
 531 index_t
 532 wg_peer_walk (wg_peer_walk_cb_t fn, void *data)
 533 {
 534   index_t peeri;
 535
 536   /* *INDENT-OFF* */
 537   pool_foreach_index (peeri, wg_peer_pool)
 538   {
 539     if (WALK_STOP == fn(peeri, data))
 540       return peeri;
 541   }
 542   /* *INDENT-ON* */
 543   return INDEX_INVALID;
 544 }
 545
 546 static u8 *
 547 format_wg_peer_endpoint (u8 * s, va_list * args)
 548 {
 549   wg_peer_endpoint_t *ep = va_arg (*args, wg_peer_endpoint_t *);
 550
 551   s = format (s, "%U:%d", format_ip46_address, &ep->addr, IP46_TYPE_ANY,
 552               ep->port);
 553
 554   return (s);
 555 }
 556
 557 u8 *
 558 format_wg_peer (u8 * s, va_list * va)
 559 {
 560   index_t peeri = va_arg (*va, index_t);
 561   fib_prefix_t *allowed_ip;
 562   adj_index_t *adj_index;
 563   u8 key[NOISE_KEY_LEN_BASE64];
 564   wg_peer_t *peer;
 565
 566   peer = wg_peer_get (peeri);
 567   key_to_base64 (peer->remote.r_public, NOISE_PUBLIC_KEY_LEN, key);
 568
 569   s = format (
 570     s,
 571     "[%d] endpoint:[%U->%U] %U keep-alive:%d flags: %d, api-clients count: %d",
 572     peeri, format_wg_peer_endpoint, &peer->src, format_wg_peer_endpoint,
 573     &peer->dst, format_vnet_sw_if_index_name, vnet_get_main (),
 574     peer->wg_sw_if_index, peer->persistent_keepalive_interval, peer->flags,
 575     pool_elts (peer->api_clients));
 576   s = format (s, "\n  adj:");
 577   vec_foreach (adj_index, peer->adj_indices)
 578     {
 579       s = format (s, " %d", *adj_index);
 580     }
 581   s = format (s, "\n  key:%=s %U", key, format_hex_bytes,
 582               peer->remote.r_public, NOISE_PUBLIC_KEY_LEN);
 583   s = format (s, "\n  allowed-ips:");
 584   vec_foreach (allowed_ip, peer->allowed_ips)
 585   {
 586     s = format (s, " %U", format_fib_prefix, allowed_ip);
 587   }
 588
 589   return s;
 590 }
 591
 592 /*
 593  * fd.io coding-style-patch-verification: ON
 594  *
 595  * Local Variables:
 596  * eval: (c-set-style "gnu")
 597  * End:
 598  */