ipsec: check each packet for no algs in esp-encrypt 57/40457/2
authorMatthew Smith <[email protected]>
Mon, 12 Feb 2024 18:39:21 +0000 (18:39 +0000)
committerAndrew Yourtchenko <[email protected]>
Mon, 11 Mar 2024 20:18:42 +0000 (20:18 +0000)
commita541cfd31dca351a736362b4e06b626236f340dd
tree8ce385d620d960a1a2e5b97a71da4d1c6ee94680
parent1200c799d0b346f28deb76daa8f643e771976da7
ipsec: check each packet for no algs in esp-encrypt

In esp_encrypt_inline(), if two or more consecutive packets are
associated with the same SA which has no crypto or integrity algorithms
set, only the first one gets dropped. Subsequent packets either get sent
(synchronous crypto) or cause a segv (asynchronous crypto).

The current SA's index and pool entry are cached before it can be
determined whether the packet should be dropped due to no algorithms
being set. The check for no algorithms is only performed when the cached
SA index is different than the SA index for the current packet. So
packets after the first one associated with the "none" alg SA aren't
handled properly.

This was broken by my previous commit ("ipsec: keep esp encrypt pointer
and index synced") which fixed a segv that occurred under a different
set of circumstances.

Check whether each packet should be dropped instead of only checking
when a new SA is encountered.

Update unit tests:
- Add a test for no algs on tunnel interface which enables
  asynchronous crypto.
- Send more than one packet in the tests for no algs.

Type: fix
Fixes: dac9e566cd16fc375fff14280b37cb5135584fc6

Signed-off-by: Matthew Smith <[email protected]>
Change-Id: I69e951f22044051eb8557da187cb58f5535b54bf
(cherry picked from commit ff71939c30ae81241808da1843e82cf2dfa92344)
src/vnet/ipsec/esp_encrypt.c
test/test_ipsec_tun_if_esp.py