src/plugins/wireguard/wireguard_send.c

   1 /*
   2  * Copyright (c) 2020 Doc.ai and/or its affiliates.
   3  * Copyright (c) 2020 Cisco and/or its affiliates.
   4  * Licensed under the Apache License, Version 2.0 (the "License");
   5  * you may not use this file except in compliance with the License.
   6  * You may obtain a copy of the License at:
   7  *
   8  *     http://www.apache.org/licenses/LICENSE-2.0
   9  *
  10  * Unless required by applicable law or agreed to in writing, software
  11  * distributed under the License is distributed on an "AS IS" BASIS,
  12  * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  13  * See the License for the specific language governing permissions and
  14  * limitations under the License.
  15  */
  16
  17 #include <vnet/vnet.h>
  18 #include <vnet/ip/ip6_link.h>
  19 #include <vppinfra/error.h>
  20 #include <vlibmemory/api.h>
  21 #include <wireguard/wireguard.h>
  22 #include <wireguard/wireguard_send.h>
  23
  24 static int
  25 ip46_enqueue_packet (vlib_main_t *vm, u32 bi0, int is_ip4)
  26 {
  27   vlib_frame_t *f = 0;
  28   u32 lookup_node_index =
  29     is_ip4 ? ip4_lookup_node.index : ip6_lookup_node.index;
  30
  31   f = vlib_get_frame_to_node (vm, lookup_node_index);
  32   /* f can not be NULL here - frame allocation failure causes panic */
  33
  34   u32 *to_next = vlib_frame_vector_args (f);
  35   f->n_vectors = 1;
  36   to_next[0] = bi0;
  37
  38   vlib_put_frame_to_node (vm, lookup_node_index, f);
  39
  40   return f->n_vectors;
  41 }
  42
  43 static void
  44 wg_buffer_prepend_rewrite (vlib_buffer_t *b0, const u8 *rewrite, u8 is_ip4)
  45 {
  46   if (is_ip4)
  47     {
  48       ip4_udp_header_t *hdr4;
  49
  50       vlib_buffer_advance (b0, -sizeof (*hdr4));
  51
  52       hdr4 = vlib_buffer_get_current (b0);
  53
  54       /* copy only ip4 and udp header; wireguard header not needed */
  55       clib_memcpy (hdr4, rewrite, sizeof (ip4_udp_header_t));
  56
  57       hdr4->udp.length =
  58         clib_host_to_net_u16 (b0->current_length - sizeof (ip4_header_t));
  59       ip4_header_set_len_w_chksum (&hdr4->ip4,
  60                                    clib_host_to_net_u16 (b0->current_length));
  61     }
  62   else
  63     {
  64       ip6_udp_header_t *hdr6;
  65
  66       vlib_buffer_advance (b0, -sizeof (*hdr6));
  67
  68       hdr6 = vlib_buffer_get_current (b0);
  69
  70       /* copy only ip6 and udp header; wireguard header not needed */
  71       clib_memcpy (hdr6, rewrite, sizeof (ip6_udp_header_t));
  72
  73       hdr6->ip6.payload_length = hdr6->udp.length =
  74         clib_host_to_net_u16 (b0->current_length - sizeof (ip6_header_t));
  75     }
  76 }
  77
  78 static bool
  79 wg_create_buffer (vlib_main_t *vm, const u8 *rewrite, const u8 *packet,
  80                   u32 packet_len, u32 *bi, u8 is_ip4)
  81 {
  82   u32 n_buf0 = 0;
  83   vlib_buffer_t *b0;
  84
  85   n_buf0 = vlib_buffer_alloc (vm, bi, 1);
  86   if (!n_buf0)
  87     return false;
  88
  89   b0 = vlib_get_buffer (vm, *bi);
  90
  91   u8 *payload = vlib_buffer_get_current (b0);
  92   clib_memcpy (payload, packet, packet_len);
  93
  94   b0->current_length = packet_len;
  95
  96   wg_buffer_prepend_rewrite (b0, rewrite, is_ip4);
  97
  98   return true;
  99 }
 100
 101 u8 *
 102 wg_build_rewrite (ip46_address_t *src_addr, u16 src_port,
 103                   ip46_address_t *dst_addr, u16 dst_port, u8 is_ip4)
 104 {
 105   if (ip46_address_is_zero (dst_addr) || 0 == dst_port)
 106     return NULL;
 107
 108   u8 *rewrite = NULL;
 109   if (is_ip4)
 110     {
 111       ip4_udp_header_t *hdr;
 112
 113       /* reserve space for ip4, udp and wireguard headers */
 114       vec_validate (rewrite, sizeof (ip4_udp_wg_header_t) - 1);
 115       hdr = (ip4_udp_header_t *) rewrite;
 116
 117       hdr->ip4.ip_version_and_header_length = 0x45;
 118       hdr->ip4.ttl = 64;
 119       hdr->ip4.src_address = src_addr->ip4;
 120       hdr->ip4.dst_address = dst_addr->ip4;
 121       hdr->ip4.protocol = IP_PROTOCOL_UDP;
 122       hdr->ip4.checksum = ip4_header_checksum (&hdr->ip4);
 123
 124       hdr->udp.src_port = clib_host_to_net_u16 (src_port);
 125       hdr->udp.dst_port = clib_host_to_net_u16 (dst_port);
 126       hdr->udp.checksum = 0;
 127     }
 128   else
 129     {
 130       ip6_udp_header_t *hdr;
 131
 132       /* reserve space for ip6, udp and wireguard headers */
 133       vec_validate (rewrite, sizeof (ip6_udp_wg_header_t) - 1);
 134       hdr = (ip6_udp_header_t *) rewrite;
 135
 136       hdr->ip6.ip_version_traffic_class_and_flow_label = 0x60;
 137       ip6_address_copy (&hdr->ip6.src_address, &src_addr->ip6);
 138       ip6_address_copy (&hdr->ip6.dst_address, &dst_addr->ip6);
 139       hdr->ip6.protocol = IP_PROTOCOL_UDP;
 140       hdr->ip6.hop_limit = 64;
 141
 142       hdr->udp.src_port = clib_host_to_net_u16 (src_port);
 143       hdr->udp.dst_port = clib_host_to_net_u16 (dst_port);
 144       hdr->udp.checksum = 0;
 145     }
 146
 147   return (rewrite);
 148 }
 149
 150 bool
 151 wg_send_handshake (vlib_main_t * vm, wg_peer_t * peer, bool is_retry)
 152 {
 153   ASSERT (vm->thread_index == 0);
 154
 155   if (!wg_peer_can_send (peer))
 156     return false;
 157
 158   message_handshake_initiation_t packet;
 159
 160   if (!is_retry)
 161     peer->timer_handshake_attempts = 0;
 162
 163   if (!wg_birthdate_has_expired (peer->last_sent_handshake, REKEY_TIMEOUT) ||
 164       wg_peer_is_dead (peer))
 165     return true;
 166
 167   if (noise_create_initiation (vm,
 168                                &peer->remote,
 169                                &packet.sender_index,
 170                                packet.unencrypted_ephemeral,
 171                                packet.encrypted_static,
 172                                packet.encrypted_timestamp))
 173     {
 174       packet.header.type = MESSAGE_HANDSHAKE_INITIATION;
 175       cookie_maker_mac (&peer->cookie_maker, &packet.macs, &packet,
 176                         sizeof (packet));
 177       wg_timers_any_authenticated_packet_sent (peer);
 178       wg_timers_handshake_initiated (peer);
 179       wg_timers_any_authenticated_packet_traversal (peer);
 180
 181       peer->last_sent_handshake = vlib_time_now (vm);
 182     }
 183   else
 184     return false;
 185
 186   u8 is_ip4 = ip46_address_is_ip4 (&peer->dst.addr);
 187   u32 bi0 = 0;
 188   if (!wg_create_buffer (vm, peer->rewrite, (u8 *) &packet, sizeof (packet),
 189                          &bi0, is_ip4))
 190     return false;
 191
 192   ip46_enqueue_packet (vm, bi0, is_ip4);
 193   return true;
 194 }
 195
 196 typedef struct
 197 {
 198   u32 peer_idx;
 199   bool is_retry;
 200 } wg_send_args_t;
 201
 202 static void *
 203 wg_send_handshake_thread_fn (void *arg)
 204 {
 205   wg_send_args_t *a = arg;
 206
 207   wg_main_t *wmp = &wg_main;
 208   wg_peer_t *peer = wg_peer_get (a->peer_idx);
 209
 210   wg_send_handshake (wmp->vlib_main, peer, a->is_retry);
 211   return 0;
 212 }
 213
 214 void
 215 wg_send_handshake_from_mt (u32 peer_idx, bool is_retry)
 216 {
 217   wg_send_args_t a = {
 218     .peer_idx = peer_idx,
 219     .is_retry = is_retry,
 220   };
 221
 222   vl_api_rpc_call_main_thread (wg_send_handshake_thread_fn,
 223                                (u8 *) & a, sizeof (a));
 224 }
 225
 226 bool
 227 wg_send_keepalive (vlib_main_t * vm, wg_peer_t * peer)
 228 {
 229   ASSERT (vm->thread_index == 0);
 230
 231   if (!wg_peer_can_send (peer))
 232     return false;
 233
 234   u32 size_of_packet = message_data_len (0);
 235   message_data_t *packet =
 236     (message_data_t *) wg_main.per_thread_data[vm->thread_index].data;
 237   u32 bi0 = 0;
 238   bool ret = true;
 239   enum noise_state_crypt state;
 240
 241   if (!peer->remote.r_current)
 242     {
 243       wg_send_handshake (vm, peer, false);
 244       goto out;
 245     }
 246
 247   state =
 248     noise_remote_encrypt (vm,
 249                           &peer->remote,
 250                           &packet->receiver_index,
 251                           &packet->counter, NULL, 0, packet->encrypted_data);
 252
 253   if (PREDICT_FALSE (state == SC_KEEP_KEY_FRESH))
 254     {
 255       wg_send_handshake (vm, peer, false);
 256     }
 257   else if (PREDICT_FALSE (state == SC_FAILED))
 258     {
 259       wg_peer_update_flags (peer - wg_peer_pool, WG_PEER_ESTABLISHED, false);
 260       ret = false;
 261       goto out;
 262     }
 263
 264   u8 is_ip4 = ip46_address_is_ip4 (&peer->dst.addr);
 265   packet->header.type = MESSAGE_DATA;
 266
 267   if (!wg_create_buffer (vm, peer->rewrite, (u8 *) packet, size_of_packet,
 268                          &bi0, is_ip4))
 269     {
 270       ret = false;
 271       goto out;
 272     }
 273
 274   ip46_enqueue_packet (vm, bi0, is_ip4);
 275
 276   wg_timers_any_authenticated_packet_sent (peer);
 277   wg_timers_any_authenticated_packet_traversal (peer);
 278
 279 out:
 280   return ret;
 281 }
 282
 283 bool
 284 wg_send_handshake_response (vlib_main_t * vm, wg_peer_t * peer)
 285 {
 286   message_handshake_response_t packet;
 287
 288   if (!wg_peer_can_send (peer))
 289     return false;
 290
 291   if (noise_create_response (vm,
 292                              &peer->remote,
 293                              &packet.sender_index,
 294                              &packet.receiver_index,
 295                              packet.unencrypted_ephemeral,
 296                              packet.encrypted_nothing))
 297     {
 298       packet.header.type = MESSAGE_HANDSHAKE_RESPONSE;
 299       cookie_maker_mac (&peer->cookie_maker, &packet.macs, &packet,
 300                         sizeof (packet));
 301
 302       if (noise_remote_begin_session (vm, &peer->remote))
 303         {
 304           wg_timers_session_derived (peer);
 305           wg_timers_any_authenticated_packet_sent (peer);
 306           wg_timers_any_authenticated_packet_traversal (peer);
 307
 308           u32 bi0 = 0;
 309           u8 is_ip4 = ip46_address_is_ip4 (&peer->dst.addr);
 310           if (!wg_create_buffer (vm, peer->rewrite, (u8 *) &packet,
 311                                  sizeof (packet), &bi0, is_ip4))
 312             return false;
 313
 314           ip46_enqueue_packet (vm, bi0, is_ip4);
 315           return true;
 316         }
 317       return false;
 318     }
 319   return false;
 320 }
 321
 322 bool
 323 wg_send_handshake_cookie (vlib_main_t *vm, u32 sender_index,
 324                           cookie_checker_t *cookie_checker,
 325                           message_macs_t *macs, ip46_address_t *wg_if_addr,
 326                           u16 wg_if_port, ip46_address_t *remote_addr,
 327                           u16 remote_port)
 328 {
 329   message_handshake_cookie_t packet;
 330   u8 *rewrite;
 331
 332   packet.header.type = MESSAGE_HANDSHAKE_COOKIE;
 333   packet.receiver_index = sender_index;
 334
 335   cookie_checker_create_payload (vm, cookie_checker, macs, packet.nonce,
 336                                  packet.encrypted_cookie, remote_addr,
 337                                  remote_port);
 338
 339   u32 bi0 = 0;
 340   u8 is_ip4 = ip46_address_is_ip4 (remote_addr);
 341   bool ret;
 342   rewrite = wg_build_rewrite (wg_if_addr, wg_if_port, remote_addr, remote_port,
 343                               is_ip4);
 344
 345   ret = wg_create_buffer (vm, rewrite, (u8 *) &packet, sizeof (packet), &bi0,
 346                           is_ip4);
 347   vec_free (rewrite);
 348   if (!ret)
 349     return false;
 350
 351   ip46_enqueue_packet (vm, bi0, is_ip4);
 352
 353   return true;
 354 }
 355
 356 /*
 357  * fd.io coding-style-patch-verification: ON
 358  *
 359  * Local Variables:
 360  * eval: (c-set-style "gnu")
 361  * End:
 362  */