src/plugins/wireguard/wireguard_send.c

   1 /*
   2  * Copyright (c) 2020 Doc.ai and/or its affiliates.
   3  * Copyright (c) 2020 Cisco and/or its affiliates.
   4  * Licensed under the Apache License, Version 2.0 (the "License");
   5  * you may not use this file except in compliance with the License.
   6  * You may obtain a copy of the License at:
   7  *
   8  *     http://www.apache.org/licenses/LICENSE-2.0
   9  *
  10  * Unless required by applicable law or agreed to in writing, software
  11  * distributed under the License is distributed on an "AS IS" BASIS,
  12  * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  13  * See the License for the specific language governing permissions and
  14  * limitations under the License.
  15  */
  16
  17 #include <vnet/vnet.h>
  18 #include <vnet/ip/ip6_link.h>
  19 #include <vnet/pg/pg.h>
  20 #include <vnet/udp/udp.h>
  21 #include <vppinfra/error.h>
  22 #include <vlibmemory/api.h>
  23 #include <wireguard/wireguard.h>
  24 #include <wireguard/wireguard_send.h>
  25
  26 static int
  27 ip46_enqueue_packet (vlib_main_t * vm, u32 bi0, int is_ip6)
  28 {
  29   vlib_frame_t *f = 0;
  30   u32 lookup_node_index =
  31     is_ip6 ? ip6_lookup_node.index : ip4_lookup_node.index;
  32
  33   f = vlib_get_frame_to_node (vm, lookup_node_index);
  34   /* f can not be NULL here - frame allocation failure causes panic */
  35
  36   u32 *to_next = vlib_frame_vector_args (f);
  37   f->n_vectors = 1;
  38   to_next[0] = bi0;
  39
  40   vlib_put_frame_to_node (vm, lookup_node_index, f);
  41
  42   return f->n_vectors;
  43 }
  44
  45 static void
  46 wg_buffer_prepend_rewrite (vlib_buffer_t * b0, const wg_peer_t * peer)
  47 {
  48   ip4_udp_header_t *hdr;
  49
  50   vlib_buffer_advance (b0, -sizeof (*hdr));
  51
  52   hdr = vlib_buffer_get_current (b0);
  53   clib_memcpy (hdr, peer->rewrite, vec_len (peer->rewrite));
  54
  55   hdr->udp.length =
  56     clib_host_to_net_u16 (b0->current_length - sizeof (ip4_header_t));
  57   ip4_header_set_len_w_chksum (&hdr->ip4,
  58                                clib_host_to_net_u16 (b0->current_length));
  59 }
  60
  61 static bool
  62 wg_create_buffer (vlib_main_t * vm,
  63                   const wg_peer_t * peer,
  64                   const u8 * packet, u32 packet_len, u32 * bi)
  65 {
  66   u32 n_buf0 = 0;
  67   vlib_buffer_t *b0;
  68
  69   n_buf0 = vlib_buffer_alloc (vm, bi, 1);
  70   if (!n_buf0)
  71     return false;
  72
  73   b0 = vlib_get_buffer (vm, *bi);
  74
  75   u8 *payload = vlib_buffer_get_current (b0);
  76   clib_memcpy (payload, packet, packet_len);
  77
  78   b0->current_length = packet_len;
  79
  80   wg_buffer_prepend_rewrite (b0, peer);
  81
  82   return true;
  83 }
  84
  85 bool
  86 wg_send_handshake (vlib_main_t * vm, wg_peer_t * peer, bool is_retry)
  87 {
  88   ASSERT (vm->thread_index == 0);
  89
  90   message_handshake_initiation_t packet;
  91
  92   if (!is_retry)
  93     peer->timer_handshake_attempts = 0;
  94
  95   if (!wg_birthdate_has_expired (peer->last_sent_handshake,
  96                                  REKEY_TIMEOUT) || peer->is_dead)
  97     return true;
  98
  99   if (noise_create_initiation (vm,
 100                                &peer->remote,
 101                                &packet.sender_index,
 102                                packet.unencrypted_ephemeral,
 103                                packet.encrypted_static,
 104                                packet.encrypted_timestamp))
 105     {
 106       packet.header.type = MESSAGE_HANDSHAKE_INITIATION;
 107       cookie_maker_mac (&peer->cookie_maker, &packet.macs, &packet,
 108                         sizeof (packet));
 109       wg_timers_any_authenticated_packet_sent (peer);
 110       wg_timers_handshake_initiated (peer);
 111       wg_timers_any_authenticated_packet_traversal (peer);
 112
 113       peer->last_sent_handshake = vlib_time_now (vm);
 114     }
 115   else
 116     return false;
 117
 118   u32 bi0 = 0;
 119   if (!wg_create_buffer (vm, peer, (u8 *) & packet, sizeof (packet), &bi0))
 120     return false;
 121
 122   ip46_enqueue_packet (vm, bi0, false);
 123   return true;
 124 }
 125
 126 typedef struct
 127 {
 128   u32 peer_idx;
 129   bool is_retry;
 130 } wg_send_args_t;
 131
 132 static void *
 133 wg_send_handshake_thread_fn (void *arg)
 134 {
 135   wg_send_args_t *a = arg;
 136
 137   wg_main_t *wmp = &wg_main;
 138   wg_peer_t *peer = wg_peer_get (a->peer_idx);
 139
 140   wg_send_handshake (wmp->vlib_main, peer, a->is_retry);
 141   return 0;
 142 }
 143
 144 void
 145 wg_send_handshake_from_mt (u32 peer_idx, bool is_retry)
 146 {
 147   wg_send_args_t a = {
 148     .peer_idx = peer_idx,
 149     .is_retry = is_retry,
 150   };
 151
 152   vl_api_rpc_call_main_thread (wg_send_handshake_thread_fn,
 153                                (u8 *) & a, sizeof (a));
 154 }
 155
 156 bool
 157 wg_send_keepalive (vlib_main_t * vm, wg_peer_t * peer)
 158 {
 159   ASSERT (vm->thread_index == 0);
 160
 161   u32 size_of_packet = message_data_len (0);
 162   message_data_t *packet =
 163     (message_data_t *) wg_main.per_thread_data[vm->thread_index].data;
 164   u32 bi0 = 0;
 165   bool ret = true;
 166   enum noise_state_crypt state;
 167
 168   if (!peer->remote.r_current)
 169     {
 170       wg_send_handshake (vm, peer, false);
 171       goto out;
 172     }
 173
 174   state =
 175     noise_remote_encrypt (vm,
 176                           &peer->remote,
 177                           &packet->receiver_index,
 178                           &packet->counter, NULL, 0, packet->encrypted_data);
 179
 180   if (PREDICT_FALSE (state == SC_KEEP_KEY_FRESH))
 181     {
 182       wg_send_handshake (vm, peer, false);
 183     }
 184   else if (PREDICT_FALSE (state == SC_FAILED))
 185     {
 186       ret = false;
 187       goto out;
 188     }
 189
 190   packet->header.type = MESSAGE_DATA;
 191
 192   if (!wg_create_buffer (vm, peer, (u8 *) packet, size_of_packet, &bi0))
 193     {
 194       ret = false;
 195       goto out;
 196     }
 197
 198   ip46_enqueue_packet (vm, bi0, false);
 199
 200   wg_timers_any_authenticated_packet_sent (peer);
 201   wg_timers_any_authenticated_packet_traversal (peer);
 202
 203 out:
 204   return ret;
 205 }
 206
 207 bool
 208 wg_send_handshake_response (vlib_main_t * vm, wg_peer_t * peer)
 209 {
 210   message_handshake_response_t packet;
 211
 212   if (noise_create_response (vm,
 213                              &peer->remote,
 214                              &packet.sender_index,
 215                              &packet.receiver_index,
 216                              packet.unencrypted_ephemeral,
 217                              packet.encrypted_nothing))
 218     {
 219       packet.header.type = MESSAGE_HANDSHAKE_RESPONSE;
 220       cookie_maker_mac (&peer->cookie_maker, &packet.macs, &packet,
 221                         sizeof (packet));
 222
 223       if (noise_remote_begin_session (vm, &peer->remote))
 224         {
 225           wg_timers_session_derived (peer);
 226           wg_timers_any_authenticated_packet_sent (peer);
 227           wg_timers_any_authenticated_packet_traversal (peer);
 228           peer->last_sent_handshake = vlib_time_now (vm);
 229
 230           u32 bi0 = 0;
 231           if (!wg_create_buffer (vm, peer, (u8 *) & packet,
 232                                  sizeof (packet), &bi0))
 233             return false;
 234
 235           ip46_enqueue_packet (vm, bi0, false);
 236         }
 237       else
 238         return false;
 239     }
 240   else
 241     return false;
 242   return true;
 243 }
 244
 245 /*
 246  * fd.io coding-style-patch-verification: ON
 247  *
 248  * Local Variables:
 249  * eval: (c-set-style "gnu")
 250  * End:
 251  */