src/plugins/acl/acl.api

   1 /* Hey Emacs use -*- mode: C -*- */
   2 /*
   3  * Copyright (c) 2016 Cisco and/or its affiliates.
   4  * Licensed under the Apache License, Version 2.0 (the "License");
   5  * you may not use this file except in compliance with the License.
   6  * You may obtain a copy of the License at:
   7  *
   8  *     http://www.apache.org/licenses/LICENSE-2.0
   9  *
  10  * Unless required by applicable law or agreed to in writing, software
  11  * distributed under the License is distributed on an "AS IS" BASIS,
  12  * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  13  * See the License for the specific language governing permissions and
  14  * limitations under the License.
  15  */
  16
  17 /** \file
  18     This file defines the vpp control-plane API messages
  19     used to control the ACL plugin
  20 */
  21
  22
  23 /** \brief Get the plugin version
  24     @param client_index - opaque cookie to identify the sender
  25     @param context - sender context, to match reply w/ request
  26 */
  27
  28 define acl_plugin_get_version
  29 {
  30   u32 client_index;
  31   u32 context;
  32 };
  33
  34 /** \brief Reply to get the plugin version
  35     @param context - returned sender context, to match reply w/ request
  36     @param major - Incremented every time a known breaking behavior change is introduced
  37     @param minor - Incremented with small changes, may be used to avoid buggy versions
  38 */
  39
  40 define acl_plugin_get_version_reply
  41 {
  42   u32 context;
  43   u32 major;
  44   u32 minor;
  45 };
  46
  47 /** \brief Access List Rule entry
  48     @param is_permit - deny (0), permit (1), or permit+reflect(2) action on this rule.
  49     @param is_ipv6   - IP addresses in this rule are IPv6 (1) or IPv4 (0)
  50     @param src_ip_addr - Source prefix value
  51     @param src_ip_prefix_len - Source prefix length
  52     @param dst_ip_addr - Destination prefix value
  53     @param dst_ip_prefix_len - Destination prefix length
  54     @param proto - L4 protocol (http://www.iana.org/assignments/protocol-numbers/protocol-numbers.xhtml)
  55     @param srcport_or_icmptype_first - beginning of source port or ICMP4/6 type range
  56     @param srcport_or_icmptype_last - end of source port or ICMP4/6 type range
  57     @param dstport_or_icmpcode_first - beginning of destination port or ICMP4/6 code range
  58     @param dstport_or_icmpcode_last - end of destination port or ICMP4/6 code range
  59     @param tcp_flags_mask - if proto==6, match masked TCP flags with this value
  60     @param tcp_flags_value - if proto==6, mask to AND the TCP flags in the packet with
  61 */
  62
  63 typeonly manual_print define acl_rule
  64 {
  65   u8 is_permit;
  66   u8 is_ipv6;
  67   u8 src_ip_addr[16];
  68   u8 src_ip_prefix_len;
  69   u8 dst_ip_addr[16];
  70   u8 dst_ip_prefix_len;
  71 /*
  72  * L4 protocol. IANA number. 1 = ICMP, 58 = ICMPv6, 6 = TCP, 17 = UDP.
  73  * 0 => ignore L4 and ignore the ports/tcpflags when matching.
  74  */
  75   u8 proto;
  76 /*
  77  * If the L4 protocol is TCP or UDP, the below
  78  * hold ranges of ports, else if the L4 is ICMP/ICMPv6
  79  * they hold ranges of ICMP(v6) types/codes.
  80  *
  81  * Ranges are inclusive, i.e. to match "any" TCP/UDP port,
  82  * use first=0,last=65535. For ICMP(v6),
  83  * use first=0,last=255.
  84  */
  85   u16 srcport_or_icmptype_first;
  86   u16 srcport_or_icmptype_last;
  87   u16 dstport_or_icmpcode_first;
  88   u16 dstport_or_icmpcode_last;
  89 /*
  90  * for proto = 6, this matches if the
  91  * TCP flags in the packet, ANDed with tcp_flags_mask,
  92  * is equal to tcp_flags_value.
  93  */
  94   u8 tcp_flags_mask;
  95   u8 tcp_flags_value;
  96 };
  97
  98 /** \brief MACIP Access List Rule entry
  99     @param is_permit - deny (0), permit (1) action on this rule.
 100     @param is_ipv6   - IP addresses in this rule are IPv6 (1) or IPv4 (0)
 101     @param src_mac - match masked source MAC address against this value
 102     @param src_mac_mask - AND source MAC address with this value before matching
 103     @param src_ip_addr - Source prefix value
 104     @param src_ip_prefix_len - Source prefix length
 105 */
 106
 107 typeonly manual_print define macip_acl_rule
 108 {
 109   u8 is_permit;
 110   u8 is_ipv6;
 111 /*
 112  * The source mac of the packet ANDed with src_mac_mask.
 113  * The source ip[46] address in the packet is matched
 114  * against src_ip_addr, with src_ip_prefix_len set to 0.
 115  *
 116  * For better performance, minimize the number of
 117  * (src_mac_mask, src_ip_prefix_len) combinations
 118  * in a MACIP ACL.
 119  */
 120   u8 src_mac[6];
 121   u8 src_mac_mask[6];
 122   u8 src_ip_addr[16];
 123   u8 src_ip_prefix_len;
 124 };
 125
 126 /** \brief Replace an existing ACL in-place or create a new ACL
 127     @param client_index - opaque cookie to identify the sender
 128     @param context - sender context, to match reply w/ request
 129     @param acl_index - an existing ACL entry (0..0xfffffffe) to replace, or 0xffffffff to make new ACL
 130     @param tag - a string value stored along with the ACL, for descriptive purposes
 131     @param count - number of ACL rules
 132     @r - Rules for this access-list
 133 */
 134
 135 manual_print manual_endian define acl_add_replace
 136 {
 137   u32 client_index;
 138   u32 context;
 139   u32 acl_index; /* ~0 to add, existing ACL# to replace */
 140   u8 tag[64]; /* What gets in here gets out in the corresponding tag field when dumping the ACLs. */
 141   u32 count;
 142   vl_api_acl_rule_t r[count];
 143 };
 144
 145 /** \brief Reply to add/replace ACL
 146     @param context - returned sender context, to match reply w/ request
 147     @param acl_index - index of the updated or newly created ACL
 148     @param retval 0 - no error
 149 */
 150
 151 define acl_add_replace_reply
 152 {
 153   u32 context;
 154   u32 acl_index;
 155   i32 retval;
 156 };
 157
 158 /** \brief Delete an ACL
 159     @param client_index - opaque cookie to identify the sender
 160     @param context - sender context, to match reply w/ request
 161     @param acl_index - ACL index to delete
 162 */
 163
 164 autoreply manual_print define acl_del
 165 {
 166   u32 client_index;
 167   u32 context;
 168   u32 acl_index;
 169 };
 170
 171 /* acl_interface_add_del(_reply) to be deprecated in lieu of acl_interface_set_acl_list */
 172 /** \brief Use acl_interface_set_acl_list instead
 173     Append/remove an ACL index to/from the list of ACLs checked for an interface
 174     @param client_index - opaque cookie to identify the sender
 175     @param context - sender context, to match reply w/ request
 176     @param is_add - add or delete the ACL index from the list
 177     @param is_input - check the ACL on input (1) or output (0)
 178     @param sw_if_index - the interface to alter the list of ACLs on
 179     @param acl_index - index of ACL for the operation
 180 */
 181
 182 autoreply manual_print define acl_interface_add_del
 183 {
 184   u32 client_index;
 185   u32 context;
 186   u8 is_add;
 187 /*
 188  * is_input = 0 => ACL applied on interface egress
 189  * is_input = 1 => ACL applied on interface ingress
 190  */
 191   u8 is_input;
 192   u32 sw_if_index;
 193   u32 acl_index;
 194 };
 195
 196 /** \brief Set the vector of input/output ACLs checked for an interface
 197     @param client_index - opaque cookie to identify the sender
 198     @param context - sender context, to match reply w/ request
 199     @param sw_if_index - the interface to alter the list of ACLs on
 200     @param count - total number of ACL indices in the vector
 201     @param n_input - this many first elements correspond to input ACLs, the rest - output
 202     @param acls - vector of ACL indices
 203 */
 204
 205 autoreply manual_print define acl_interface_set_acl_list
 206 {
 207   u32 client_index;
 208   u32 context;
 209   u32 sw_if_index;
 210   u8 count;
 211   u8 n_input; /* First n_input ACLs are set as a list of input ACLs, the rest are applied as output */
 212   u32 acls[count];
 213 };
 214
 215 /** \brief Reply to set the ACL list on an interface
 216     @param context - returned sender context, to match reply w/ request
 217     @param retval 0 - no error
 218 */
 219
 220 /** \brief Dump the specific ACL contents or all of the ACLs' contents
 221     @param client_index - opaque cookie to identify the sender
 222     @param context - sender context, to match reply w/ request
 223     @param acl_index - ACL index to dump, ~0 to dump all ACLs
 224 */
 225
 226 define acl_dump
 227 {
 228   u32 client_index;
 229   u32 context;
 230   u32 acl_index; /* ~0 for all ACLs */
 231 };
 232
 233 /** \brief Details about a single ACL contents
 234     @param context - returned sender context, to match reply w/ request
 235     @param acl_index - ACL index whose contents are being sent in this message
 236     @param tag - Descriptive tag value which was supplied at ACL creation
 237     @param count - Number of rules in this ACL
 238     @param r - Array of rules within this ACL
 239 */
 240
 241 manual_endian manual_print define acl_details
 242 {
 243   u32 context;
 244   u32 acl_index;
 245   u8 tag[64]; /* Same blob that was supplied to us when creating the ACL, one hopes. */
 246   u32 count;
 247   vl_api_acl_rule_t r[count];
 248 };
 249
 250 /** \brief Dump the list(s) of ACL applied to specific or all interfaces
 251     @param client_index - opaque cookie to identify the sender
 252     @param context - sender context, to match reply w/ request
 253     @param sw_if_index - interface to dump the ACL list for
 254 */
 255
 256 define acl_interface_list_dump
 257 {
 258   u32 client_index;
 259   u32 context;
 260   u32 sw_if_index; /* ~0 for all interfaces */
 261 };
 262
 263 /** \brief Details about a single ACL contents
 264     @param context - returned sender context, to match reply w/ request
 265     @param sw_if_index - interface for which the list of ACLs is applied
 266     @param count - total length of acl indices vector
 267     @param n_input - this many of indices in the beginning are input ACLs, the rest - output
 268     @param acls - the vector of ACL indices
 269 */
 270
 271 define acl_interface_list_details
 272 {
 273   u32 context;
 274   u32 sw_if_index;
 275   u8 count;
 276   u8 n_input;
 277   u32 acls[count];
 278 };
 279
 280 /** \brief Add a MACIP ACL
 281     @param client_index - opaque cookie to identify the sender
 282     @param context - sender context, to match reply w/ request
 283     @param tag - descriptive value for this MACIP ACL
 284     @param count - number of rules in this ACL
 285     @param r - vector of MACIP ACL rules
 286 */
 287
 288 manual_endian manual_print define macip_acl_add
 289 {
 290   u32 client_index;
 291   u32 context;
 292   u8 tag[64];
 293   u32 count;
 294   vl_api_macip_acl_rule_t r[count];
 295 };
 296
 297 /** \brief Reply to add MACIP ACL
 298     @param context - returned sender context, to match reply w/ request
 299     @param acl_index - index of the newly created ACL
 300     @param retval 0 - no error
 301 */
 302
 303 define macip_acl_add_reply
 304 {
 305   u32 context;
 306   u32 acl_index;
 307   i32 retval;
 308 };
 309
 310 /** \brief Delete a MACIP ACL
 311     @param client_index - opaque cookie to identify the sender
 312     @param context - sender context, to match reply w/ request
 313     @param acl_index - MACIP ACL index to delete
 314 */
 315
 316 autoreply manual_print define macip_acl_del
 317 {
 318   u32 client_index;
 319   u32 context;
 320   u32 acl_index;
 321 };
 322
 323 /** \brief Add or delete a MACIP ACL to/from interface
 324     @param client_index - opaque cookie to identify the sender
 325     @param context - sender context, to match reply w/ request
 326     @param is_add - add (1) or delete (0) ACL from being used on an interface
 327     @param sw_if_index - interface to apply the action to
 328     @param acl_index - MACIP ACL index
 329 */
 330
 331 autoreply manual_print define macip_acl_interface_add_del
 332 {
 333   u32 client_index;
 334   u32 context;
 335   u8 is_add;
 336   /* macip ACLs are always input */
 337   u32 sw_if_index;
 338   u32 acl_index;
 339 };
 340
 341 /** \brief Dump one or all defined MACIP ACLs
 342     @param client_index - opaque cookie to identify the sender
 343     @param context - sender context, to match reply w/ request
 344     @param acl_index - MACIP ACL index or ~0 to dump all ACLs
 345 */
 346
 347 define macip_acl_dump
 348 {
 349   u32 client_index;
 350   u32 context;
 351   u32 acl_index; /* ~0 for all ACLs */
 352 };
 353
 354 /** \brief Details about one MACIP ACL
 355     @param context - returned sender context, to match reply w/ request
 356     @param acl_index - index of this MACIP ACL
 357     @param tag - descriptive tag which was supplied during the creation
 358     @param count - length of the vector of MACIP ACL rules
 359     @param r - rules comprising this ACL
 360 */
 361
 362 manual_endian manual_print define macip_acl_details
 363 {
 364   u32 context;
 365   u32 acl_index;
 366   u8 tag[64];
 367   u32 count;
 368   vl_api_macip_acl_rule_t r[count];
 369 };
 370
 371 /** \brief Get the vector of MACIP ACL IDs applied to the interfaces
 372     @param client_index - opaque cookie to identify the sender
 373     @param context - sender context, to match reply w/ request
 374 */
 375
 376 define macip_acl_interface_get
 377 {
 378   u32 client_index;
 379   u32 context;
 380 };
 381
 382 /** \brief Reply with the vector of MACIP ACLs by sw_if_index
 383     @param context - returned sender context, to match reply w/ request
 384     @param count - total number of elements in the vector
 385     @param acls - the vector of active MACACL indices per sw_if_index
 386 */
 387
 388 define macip_acl_interface_get_reply
 389 {
 390   u32 context;
 391   u32 count;
 392   u32 acls[count];
 393 };
 394