src/plugins/wireguard/wireguard_peer.c

   1 /*
   2  * Copyright (c) 2020 Doc.ai and/or its affiliates.
   3  * Copyright (c) 2020 Cisco and/or its affiliates.
   4  * Licensed under the Apache License, Version 2.0 (the "License");
   5  * you may not use this file except in compliance with the License.
   6  * You may obtain a copy of the License at:
   7  *
   8  *     http://www.apache.org/licenses/LICENSE-2.0
   9  *
  10  * Unless required by applicable law or agreed to in writing, software
  11  * distributed under the License is distributed on an "AS IS" BASIS,
  12  * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  13  * See the License for the specific language governing permissions and
  14  * limitations under the License.
  15  */
  16
  17 #include <vnet/adj/adj_midchain.h>
  18 #include <vnet/fib/fib_table.h>
  19 #include <wireguard/wireguard_peer.h>
  20 #include <wireguard/wireguard_if.h>
  21 #include <wireguard/wireguard_messages.h>
  22 #include <wireguard/wireguard_key.h>
  23 #include <wireguard/wireguard_send.h>
  24 #include <wireguard/wireguard.h>
  25 #include <vnet/tunnel/tunnel_dp.h>
  26
  27 wg_peer_t *wg_peer_pool;
  28
  29 index_t *wg_peer_by_adj_index;
  30
  31 static void
  32 wg_peer_endpoint_reset (wg_peer_endpoint_t * ep)
  33 {
  34   ip46_address_reset (&ep->addr);
  35   ep->port = 0;
  36 }
  37
  38 static void
  39 wg_peer_endpoint_init (wg_peer_endpoint_t *ep, const ip46_address_t *addr,
  40                        u16 port)
  41 {
  42   ip46_address_copy (&ep->addr, addr);
  43   ep->port = port;
  44 }
  45
  46 static void
  47 wg_peer_clear (vlib_main_t * vm, wg_peer_t * peer)
  48 {
  49   index_t perri = peer - wg_peer_pool;
  50   wg_timers_stop (peer);
  51   wg_peer_update_flags (perri, WG_PEER_ESTABLISHED, false);
  52   wg_peer_update_flags (perri, WG_PEER_STATUS_DEAD, true);
  53   for (int i = 0; i < WG_N_TIMERS; i++)
  54     {
  55       peer->timers[i] = ~0;
  56       peer->timers_dispatched[i] = 0;
  57     }
  58
  59   peer->last_sent_handshake = vlib_time_now (vm) - (REKEY_TIMEOUT + 1);
  60
  61   clib_memset (&peer->cookie_maker, 0, sizeof (peer->cookie_maker));
  62
  63   wg_peer_endpoint_reset (&peer->src);
  64   wg_peer_endpoint_reset (&peer->dst);
  65
  66   adj_index_t *adj_index;
  67   vec_foreach (adj_index, peer->adj_indices)
  68     {
  69       if (INDEX_INVALID != *adj_index)
  70         {
  71           wg_peer_by_adj_index[*adj_index] = INDEX_INVALID;
  72         }
  73     }
  74   peer->input_thread_index = ~0;
  75   peer->output_thread_index = ~0;
  76   peer->timer_wheel = 0;
  77   peer->persistent_keepalive_interval = 0;
  78   peer->timer_handshake_attempts = 0;
  79   peer->last_sent_packet = 0;
  80   peer->last_received_packet = 0;
  81   peer->session_derived = 0;
  82   peer->rehandshake_started = 0;
  83   peer->new_handshake_interval_tick = 0;
  84   peer->rehandshake_interval_tick = 0;
  85   peer->timer_need_another_keepalive = false;
  86   vec_free (peer->allowed_ips);
  87   vec_free (peer->adj_indices);
  88 }
  89
  90 static void
  91 wg_peer_init (vlib_main_t * vm, wg_peer_t * peer)
  92 {
  93   peer->api_client_by_client_index = hash_create (0, sizeof (u32));
  94   peer->api_clients = NULL;
  95   wg_peer_clear (vm, peer);
  96 }
  97
  98 static u8 *
  99 wg_peer_build_rewrite (const wg_peer_t *peer, u8 is_ip4)
 100 {
 101   u8 *rewrite = NULL;
 102   if (is_ip4)
 103     {
 104       ip4_udp_header_t *hdr;
 105
 106       /* reserve space for ip4, udp and wireguard headers */
 107       vec_validate (rewrite, sizeof (ip4_udp_wg_header_t) - 1);
 108       hdr = (ip4_udp_header_t *) rewrite;
 109
 110       hdr->ip4.ip_version_and_header_length = 0x45;
 111       hdr->ip4.ttl = 64;
 112       hdr->ip4.src_address = peer->src.addr.ip4;
 113       hdr->ip4.dst_address = peer->dst.addr.ip4;
 114       hdr->ip4.protocol = IP_PROTOCOL_UDP;
 115       hdr->ip4.checksum = ip4_header_checksum (&hdr->ip4);
 116
 117       hdr->udp.src_port = clib_host_to_net_u16 (peer->src.port);
 118       hdr->udp.dst_port = clib_host_to_net_u16 (peer->dst.port);
 119       hdr->udp.checksum = 0;
 120     }
 121   else
 122     {
 123       ip6_udp_header_t *hdr;
 124
 125       /* reserve space for ip6, udp and wireguard headers */
 126       vec_validate (rewrite, sizeof (ip6_udp_wg_header_t) - 1);
 127       hdr = (ip6_udp_header_t *) rewrite;
 128
 129       hdr->ip6.ip_version_traffic_class_and_flow_label = 0x60;
 130       ip6_address_copy (&hdr->ip6.src_address, &peer->src.addr.ip6);
 131       ip6_address_copy (&hdr->ip6.dst_address, &peer->dst.addr.ip6);
 132       hdr->ip6.protocol = IP_PROTOCOL_UDP;
 133       hdr->ip6.hop_limit = 64;
 134
 135       hdr->udp.src_port = clib_host_to_net_u16 (peer->src.port);
 136       hdr->udp.dst_port = clib_host_to_net_u16 (peer->dst.port);
 137       hdr->udp.checksum = 0;
 138     }
 139
 140   return (rewrite);
 141 }
 142
 143 static void
 144 wg_peer_adj_stack (wg_peer_t *peer, adj_index_t ai)
 145 {
 146   ip_adjacency_t *adj;
 147   u32 sw_if_index;
 148   wg_if_t *wgi;
 149   fib_protocol_t fib_proto;
 150
 151   if (!adj_is_valid (ai))
 152     return;
 153
 154   adj = adj_get (ai);
 155   sw_if_index = adj->rewrite_header.sw_if_index;
 156   u8 is_ip4 = ip46_address_is_ip4 (&peer->src.addr);
 157   fib_proto = is_ip4 ? FIB_PROTOCOL_IP4 : FIB_PROTOCOL_IP6;
 158
 159   wgi = wg_if_get (wg_if_find_by_sw_if_index (sw_if_index));
 160
 161   if (!wgi)
 162     return;
 163
 164   if (!vnet_sw_interface_is_admin_up (vnet_get_main (), wgi->sw_if_index))
 165     {
 166       adj_midchain_delegate_unstack (ai);
 167     }
 168   else
 169     {
 170       /* *INDENT-OFF* */
 171       fib_prefix_t dst = {
 172         .fp_len = is_ip4 ? 32 : 128,
 173         .fp_proto = fib_proto,
 174         .fp_addr = peer->dst.addr,
 175       };
 176       /* *INDENT-ON* */
 177       u32 fib_index;
 178
 179       fib_index = fib_table_find (fib_proto, peer->table_id);
 180
 181       adj_midchain_delegate_stack (ai, fib_index, &dst);
 182     }
 183 }
 184
 185 static void
 186 wg_peer_66_fixup (vlib_main_t *vm, const ip_adjacency_t *adj, vlib_buffer_t *b,
 187                   const void *data)
 188 {
 189   u8 iph_offset = 0;
 190   ip6_header_t *ip6_out;
 191   ip6_header_t *ip6_in;
 192
 193   /* Must set locally originated otherwise we're not allowed to
 194      fragment the packet later */
 195   b->flags |= VNET_BUFFER_F_LOCALLY_ORIGINATED;
 196
 197   ip6_out = vlib_buffer_get_current (b);
 198   iph_offset = vnet_buffer (b)->ip.save_rewrite_length;
 199   ip6_in = vlib_buffer_get_current (b) + iph_offset;
 200
 201   ip6_out->ip_version_traffic_class_and_flow_label =
 202     ip6_in->ip_version_traffic_class_and_flow_label;
 203 }
 204
 205 static void
 206 wg_peer_46_fixup (vlib_main_t *vm, const ip_adjacency_t *adj, vlib_buffer_t *b,
 207                   const void *data)
 208 {
 209   u8 iph_offset = 0;
 210   ip6_header_t *ip6_out;
 211   ip4_header_t *ip4_in;
 212
 213   /* Must set locally originated otherwise we're not allowed to
 214      fragment the packet later */
 215   b->flags |= VNET_BUFFER_F_LOCALLY_ORIGINATED;
 216
 217   ip6_out = vlib_buffer_get_current (b);
 218   iph_offset = vnet_buffer (b)->ip.save_rewrite_length;
 219   ip4_in = vlib_buffer_get_current (b) + iph_offset;
 220
 221   u32 vtcfl = 0x6 << 28;
 222   vtcfl |= ip4_in->tos << 20;
 223   vtcfl |= vnet_buffer (b)->ip.flow_hash & 0x000fffff;
 224
 225   ip6_out->ip_version_traffic_class_and_flow_label =
 226     clib_host_to_net_u32 (vtcfl);
 227 }
 228
 229 static adj_midchain_fixup_t
 230 wg_peer_get_fixup (wg_peer_t *peer, vnet_link_t lt)
 231 {
 232   if (!ip46_address_is_ip4 (&peer->dst.addr))
 233     {
 234       if (lt == VNET_LINK_IP4)
 235         return (wg_peer_46_fixup);
 236       if (lt == VNET_LINK_IP6)
 237         return (wg_peer_66_fixup);
 238     }
 239   return (NULL);
 240 }
 241
 242 walk_rc_t
 243 wg_peer_if_admin_state_change (index_t peeri, void *data)
 244 {
 245   wg_peer_t *peer;
 246   adj_index_t *adj_index;
 247   peer = wg_peer_get (peeri);
 248   vec_foreach (adj_index, peer->adj_indices)
 249     {
 250       wg_peer_adj_stack (peer, *adj_index);
 251     }
 252   return (WALK_CONTINUE);
 253 }
 254
 255 walk_rc_t
 256 wg_peer_if_adj_change (index_t peeri, void *data)
 257 {
 258   adj_index_t *adj_index = data;
 259   adj_midchain_fixup_t fixup;
 260   ip_adjacency_t *adj;
 261   wg_peer_t *peer;
 262   fib_prefix_t *allowed_ip;
 263
 264   adj = adj_get (*adj_index);
 265
 266   peer = wg_peer_get (peeri);
 267   vec_foreach (allowed_ip, peer->allowed_ips)
 268     {
 269       if (fib_prefix_is_cover_addr_46 (allowed_ip,
 270                                        &adj->sub_type.nbr.next_hop))
 271         {
 272           vec_add1 (peer->adj_indices, *adj_index);
 273           vec_validate_init_empty (wg_peer_by_adj_index, *adj_index,
 274                                    INDEX_INVALID);
 275           wg_peer_by_adj_index[*adj_index] = peer - wg_peer_pool;
 276
 277           fixup = wg_peer_get_fixup (peer, adj_get_link_type (*adj_index));
 278           adj_nbr_midchain_update_rewrite (*adj_index, fixup, NULL,
 279                                            ADJ_FLAG_MIDCHAIN_IP_STACK,
 280                                            vec_dup (peer->rewrite));
 281
 282           wg_peer_adj_stack (peer, *adj_index);
 283           return (WALK_STOP);
 284         }
 285     }
 286
 287   return (WALK_CONTINUE);
 288 }
 289
 290 adj_walk_rc_t
 291 wg_peer_adj_walk (adj_index_t ai, void *data)
 292 {
 293   return wg_peer_if_adj_change ((*(index_t *) (data)), &ai) == WALK_CONTINUE ?
 294            ADJ_WALK_RC_CONTINUE :
 295            ADJ_WALK_RC_STOP;
 296 }
 297
 298 walk_rc_t
 299 wg_peer_if_delete (index_t peeri, void *data)
 300 {
 301   wg_peer_remove (peeri);
 302   return (WALK_CONTINUE);
 303 }
 304
 305 static int
 306 wg_peer_fill (vlib_main_t *vm, wg_peer_t *peer, u32 table_id,
 307               const ip46_address_t *dst, u16 port,
 308               u16 persistent_keepalive_interval,
 309               const fib_prefix_t *allowed_ips, u32 wg_sw_if_index)
 310 {
 311   index_t perri = peer - wg_peer_pool;
 312   wg_peer_endpoint_init (&peer->dst, dst, port);
 313
 314   peer->table_id = table_id;
 315   peer->wg_sw_if_index = wg_sw_if_index;
 316   peer->timer_wheel = &wg_main.timer_wheel;
 317   peer->persistent_keepalive_interval = persistent_keepalive_interval;
 318   peer->last_sent_handshake = vlib_time_now (vm) - (REKEY_TIMEOUT + 1);
 319   wg_peer_update_flags (perri, WG_PEER_STATUS_DEAD, false);
 320
 321   const wg_if_t *wgi = wg_if_get (wg_if_find_by_sw_if_index (wg_sw_if_index));
 322
 323   if (NULL == wgi)
 324     return (VNET_API_ERROR_INVALID_INTERFACE);
 325
 326   ip_address_to_46 (&wgi->src_ip, &peer->src.addr);
 327   peer->src.port = wgi->port;
 328
 329   u8 is_ip4 = ip46_address_is_ip4 (&peer->dst.addr);
 330   peer->rewrite = wg_peer_build_rewrite (peer, is_ip4);
 331
 332   u32 ii;
 333   vec_validate (peer->allowed_ips, vec_len (allowed_ips) - 1);
 334   vec_foreach_index (ii, allowed_ips)
 335   {
 336     peer->allowed_ips[ii] = allowed_ips[ii];
 337   }
 338
 339   fib_protocol_t proto;
 340   FOR_EACH_FIB_IP_PROTOCOL (proto)
 341   {
 342     adj_nbr_walk (wg_sw_if_index, proto, wg_peer_adj_walk, &perri);
 343   }
 344   return (0);
 345 }
 346
 347 void
 348 wg_peer_update_flags (index_t peeri, wg_peer_flags flag, bool add_del)
 349 {
 350   wg_peer_t *peer = wg_peer_get (peeri);
 351   if ((add_del && (peer->flags & flag)) || (!add_del && !(peer->flags & flag)))
 352     {
 353       return;
 354     }
 355
 356   peer->flags ^= flag;
 357   wg_api_peer_event (peeri, peer->flags);
 358 }
 359
 360 int
 361 wg_peer_add (u32 tun_sw_if_index, const u8 public_key[NOISE_PUBLIC_KEY_LEN],
 362              u32 table_id, const ip46_address_t *endpoint,
 363              const fib_prefix_t *allowed_ips, u16 port,
 364              u16 persistent_keepalive, u32 *peer_index)
 365 {
 366   wg_if_t *wg_if;
 367   wg_peer_t *peer;
 368   int rv;
 369
 370   vlib_main_t *vm = vlib_get_main ();
 371
 372   if (tun_sw_if_index == ~0)
 373     return (VNET_API_ERROR_INVALID_SW_IF_INDEX);
 374
 375   wg_if = wg_if_get (wg_if_find_by_sw_if_index (tun_sw_if_index));
 376   if (!wg_if)
 377     return (VNET_API_ERROR_INVALID_SW_IF_INDEX);
 378
 379   /* *INDENT-OFF* */
 380   pool_foreach (peer, wg_peer_pool)
 381    {
 382     if (!memcmp (peer->remote.r_public, public_key, NOISE_PUBLIC_KEY_LEN))
 383     {
 384       return (VNET_API_ERROR_ENTRY_ALREADY_EXISTS);
 385     }
 386   }
 387   /* *INDENT-ON* */
 388
 389   if (pool_elts (wg_peer_pool) > MAX_PEERS)
 390     return (VNET_API_ERROR_LIMIT_EXCEEDED);
 391
 392   pool_get (wg_peer_pool, peer);
 393
 394   wg_peer_init (vm, peer);
 395
 396   rv = wg_peer_fill (vm, peer, table_id, endpoint, (u16) port,
 397                      persistent_keepalive, allowed_ips, tun_sw_if_index);
 398
 399   if (rv)
 400     {
 401       wg_peer_clear (vm, peer);
 402       pool_put (wg_peer_pool, peer);
 403       return (rv);
 404     }
 405
 406   noise_remote_init (&peer->remote, peer - wg_peer_pool, public_key,
 407                      wg_if->local_idx);
 408   cookie_maker_init (&peer->cookie_maker, public_key);
 409
 410   wg_send_handshake (vm, peer, false);
 411   if (peer->persistent_keepalive_interval != 0)
 412     {
 413       wg_send_keepalive (vm, peer);
 414     }
 415
 416   *peer_index = peer - wg_peer_pool;
 417   wg_if_peer_add (wg_if, *peer_index);
 418
 419   return (0);
 420 }
 421
 422 int
 423 wg_peer_remove (index_t peeri)
 424 {
 425   wg_main_t *wmp = &wg_main;
 426   wg_peer_t *peer = NULL;
 427   wg_if_t *wgi;
 428
 429   if (pool_is_free_index (wg_peer_pool, peeri))
 430     return VNET_API_ERROR_NO_SUCH_ENTRY;
 431
 432   peer = pool_elt_at_index (wg_peer_pool, peeri);
 433
 434   wgi = wg_if_get (wg_if_find_by_sw_if_index (peer->wg_sw_if_index));
 435   wg_if_peer_remove (wgi, peeri);
 436
 437   noise_remote_clear (wmp->vlib_main, &peer->remote);
 438   wg_peer_clear (wmp->vlib_main, peer);
 439   pool_put (wg_peer_pool, peer);
 440
 441   return (0);
 442 }
 443
 444 index_t
 445 wg_peer_walk (wg_peer_walk_cb_t fn, void *data)
 446 {
 447   index_t peeri;
 448
 449   /* *INDENT-OFF* */
 450   pool_foreach_index (peeri, wg_peer_pool)
 451   {
 452     if (WALK_STOP == fn(peeri, data))
 453       return peeri;
 454   }
 455   /* *INDENT-ON* */
 456   return INDEX_INVALID;
 457 }
 458
 459 static u8 *
 460 format_wg_peer_endpoint (u8 * s, va_list * args)
 461 {
 462   wg_peer_endpoint_t *ep = va_arg (*args, wg_peer_endpoint_t *);
 463
 464   s = format (s, "%U:%d", format_ip46_address, &ep->addr, IP46_TYPE_ANY,
 465               ep->port);
 466
 467   return (s);
 468 }
 469
 470 u8 *
 471 format_wg_peer (u8 * s, va_list * va)
 472 {
 473   index_t peeri = va_arg (*va, index_t);
 474   fib_prefix_t *allowed_ip;
 475   adj_index_t *adj_index;
 476   u8 key[NOISE_KEY_LEN_BASE64];
 477   wg_peer_t *peer;
 478
 479   peer = wg_peer_get (peeri);
 480   key_to_base64 (peer->remote.r_public, NOISE_PUBLIC_KEY_LEN, key);
 481
 482   s = format (
 483     s,
 484     "[%d] endpoint:[%U->%U] %U keep-alive:%d flags: %d, api-clients count: %d",
 485     peeri, format_wg_peer_endpoint, &peer->src, format_wg_peer_endpoint,
 486     &peer->dst, format_vnet_sw_if_index_name, vnet_get_main (),
 487     peer->wg_sw_if_index, peer->persistent_keepalive_interval, peer->flags,
 488     pool_elts (peer->api_clients));
 489   s = format (s, "\n  adj:");
 490   vec_foreach (adj_index, peer->adj_indices)
 491     {
 492       s = format (s, " %d", *adj_index);
 493     }
 494   s = format (s, "\n  key:%=s %U", key, format_hex_bytes,
 495               peer->remote.r_public, NOISE_PUBLIC_KEY_LEN);
 496   s = format (s, "\n  allowed-ips:");
 497   vec_foreach (allowed_ip, peer->allowed_ips)
 498   {
 499     s = format (s, " %U", format_fib_prefix, allowed_ip);
 500   }
 501
 502   return s;
 503 }
 504
 505 /*
 506  * fd.io coding-style-patch-verification: ON
 507  *
 508  * Local Variables:
 509  * eval: (c-set-style "gnu")
 510  * End:
 511  */