src/plugins/wireguard/wireguard_peer.c

   1 /*
   2  * Copyright (c) 2020 Doc.ai and/or its affiliates.
   3  * Copyright (c) 2020 Cisco and/or its affiliates.
   4  * Licensed under the Apache License, Version 2.0 (the "License");
   5  * you may not use this file except in compliance with the License.
   6  * You may obtain a copy of the License at:
   7  *
   8  *     http://www.apache.org/licenses/LICENSE-2.0
   9  *
  10  * Unless required by applicable law or agreed to in writing, software
  11  * distributed under the License is distributed on an "AS IS" BASIS,
  12  * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  13  * See the License for the specific language governing permissions and
  14  * limitations under the License.
  15  */
  16
  17 #include <vnet/adj/adj_midchain.h>
  18 #include <vnet/fib/fib_table.h>
  19 #include <wireguard/wireguard_peer.h>
  20 #include <wireguard/wireguard_if.h>
  21 #include <wireguard/wireguard_messages.h>
  22 #include <wireguard/wireguard_key.h>
  23 #include <wireguard/wireguard_send.h>
  24 #include <wireguard/wireguard.h>
  25
  26 static fib_source_t wg_fib_source;
  27 wg_peer_t *wg_peer_pool;
  28
  29 index_t *wg_peer_by_adj_index;
  30
  31 static void
  32 wg_peer_endpoint_reset (wg_peer_endpoint_t * ep)
  33 {
  34   ip46_address_reset (&ep->addr);
  35   ep->port = 0;
  36 }
  37
  38 static void
  39 wg_peer_endpoint_init (wg_peer_endpoint_t * ep,
  40                        const ip46_address_t * addr, u16 port)
  41 {
  42   ip46_address_copy (&ep->addr, addr);
  43   ep->port = port;
  44 }
  45
  46 static void
  47 wg_peer_fib_flush (wg_peer_t * peer)
  48 {
  49   wg_peer_allowed_ip_t *allowed_ip;
  50
  51   vec_foreach (allowed_ip, peer->allowed_ips)
  52   {
  53     fib_table_entry_delete_index (allowed_ip->fib_entry_index, wg_fib_source);
  54     allowed_ip->fib_entry_index = FIB_NODE_INDEX_INVALID;
  55   }
  56 }
  57
  58 static void
  59 wg_peer_fib_populate (wg_peer_t * peer, u32 fib_index)
  60 {
  61   wg_peer_allowed_ip_t *allowed_ip;
  62
  63   vec_foreach (allowed_ip, peer->allowed_ips)
  64   {
  65     allowed_ip->fib_entry_index =
  66       fib_table_entry_path_add (fib_index,
  67                                 &allowed_ip->prefix,
  68                                 wg_fib_source,
  69                                 FIB_ENTRY_FLAG_NONE,
  70                                 fib_proto_to_dpo (allowed_ip->
  71                                                   prefix.fp_proto),
  72                                 &peer->dst.addr, peer->wg_sw_if_index, ~0, 1,
  73                                 NULL, FIB_ROUTE_PATH_FLAG_NONE);
  74   }
  75 }
  76
  77 static void
  78 wg_peer_clear (vlib_main_t * vm, wg_peer_t * peer)
  79 {
  80   wg_timers_stop (peer);
  81   for (int i = 0; i < WG_N_TIMERS; i++)
  82     {
  83       peer->timers[i] = ~0;
  84       peer->timers_dispatched[i] = 0;
  85     }
  86
  87   peer->last_sent_handshake = vlib_time_now (vm) - (REKEY_TIMEOUT + 1);
  88
  89   clib_memset (&peer->cookie_maker, 0, sizeof (peer->cookie_maker));
  90
  91   wg_peer_endpoint_reset (&peer->src);
  92   wg_peer_endpoint_reset (&peer->dst);
  93
  94   if (INDEX_INVALID != peer->adj_index)
  95     {
  96       adj_unlock (peer->adj_index);
  97       wg_peer_by_adj_index[peer->adj_index] = INDEX_INVALID;
  98     }
  99   wg_peer_fib_flush (peer);
 100
 101   peer->input_thread_index = ~0;
 102   peer->output_thread_index = ~0;
 103   peer->adj_index = INDEX_INVALID;
 104   peer->timer_wheel = 0;
 105   peer->persistent_keepalive_interval = 0;
 106   peer->timer_handshake_attempts = 0;
 107   peer->last_sent_packet = 0;
 108   peer->last_received_packet = 0;
 109   peer->session_derived = 0;
 110   peer->rehandshake_started = 0;
 111   peer->new_handshake_interval_tick = 0;
 112   peer->rehandshake_interval_tick = 0;
 113   peer->timer_need_another_keepalive = false;
 114   peer->is_dead = true;
 115   vec_free (peer->allowed_ips);
 116 }
 117
 118 static void
 119 wg_peer_init (vlib_main_t * vm, wg_peer_t * peer)
 120 {
 121   peer->adj_index = INDEX_INVALID;
 122   wg_peer_clear (vm, peer);
 123 }
 124
 125 static u8 *
 126 wg_peer_build_rewrite (const wg_peer_t * peer)
 127 {
 128   // v4 only for now
 129   ip4_udp_header_t *hdr;
 130   u8 *rewrite = NULL;
 131
 132   vec_validate (rewrite, sizeof (*hdr) - 1);
 133   hdr = (ip4_udp_header_t *) rewrite;
 134
 135   hdr->ip4.ip_version_and_header_length = 0x45;
 136   hdr->ip4.ttl = 64;
 137   hdr->ip4.src_address = peer->src.addr.ip4;
 138   hdr->ip4.dst_address = peer->dst.addr.ip4;
 139   hdr->ip4.protocol = IP_PROTOCOL_UDP;
 140   hdr->ip4.checksum = ip4_header_checksum (&hdr->ip4);
 141
 142   hdr->udp.src_port = clib_host_to_net_u16 (peer->src.port);
 143   hdr->udp.dst_port = clib_host_to_net_u16 (peer->dst.port);
 144   hdr->udp.checksum = 0;
 145
 146   return (rewrite);
 147 }
 148
 149 static void
 150 wg_peer_adj_stack (wg_peer_t * peer)
 151 {
 152   ip_adjacency_t *adj;
 153   u32 sw_if_index;
 154   wg_if_t *wgi;
 155
 156   adj = adj_get (peer->adj_index);
 157   sw_if_index = adj->rewrite_header.sw_if_index;
 158
 159   wgi = wg_if_get (wg_if_find_by_sw_if_index (sw_if_index));
 160
 161   if (!wgi)
 162     return;
 163
 164   if (!vnet_sw_interface_is_admin_up (vnet_get_main (), wgi->sw_if_index))
 165     {
 166       adj_midchain_delegate_unstack (peer->adj_index);
 167     }
 168   else
 169     {
 170       /* *INDENT-OFF* */
 171       fib_prefix_t dst = {
 172         .fp_len = 32,
 173         .fp_proto = FIB_PROTOCOL_IP4,
 174         .fp_addr = peer->dst.addr,
 175       };
 176       /* *INDENT-ON* */
 177       u32 fib_index;
 178
 179       fib_index = fib_table_find (FIB_PROTOCOL_IP4, peer->table_id);
 180
 181       adj_midchain_delegate_stack (peer->adj_index, fib_index, &dst);
 182     }
 183 }
 184
 185 walk_rc_t
 186 wg_peer_if_admin_state_change (wg_if_t * wgi, index_t peeri, void *data)
 187 {
 188   wg_peer_adj_stack (wg_peer_get (peeri));
 189
 190   return (WALK_CONTINUE);
 191 }
 192
 193 walk_rc_t
 194 wg_peer_if_table_change (wg_if_t * wgi, index_t peeri, void *data)
 195 {
 196   wg_peer_table_bind_ctx_t *ctx = data;
 197   wg_peer_t *peer;
 198
 199   peer = wg_peer_get (peeri);
 200
 201   wg_peer_fib_flush (peer);
 202   wg_peer_fib_populate (peer, ctx->new_fib_index);
 203
 204   return (WALK_CONTINUE);
 205 }
 206
 207 static int
 208 wg_peer_fill (vlib_main_t * vm, wg_peer_t * peer,
 209               u32 table_id,
 210               const ip46_address_t * dst,
 211               u16 port,
 212               u16 persistent_keepalive_interval,
 213               const fib_prefix_t * allowed_ips, u32 wg_sw_if_index)
 214 {
 215   wg_peer_endpoint_init (&peer->dst, dst, port);
 216
 217   peer->table_id = table_id;
 218   peer->wg_sw_if_index = wg_sw_if_index;
 219   peer->timer_wheel = &wg_main.timer_wheel;
 220   peer->persistent_keepalive_interval = persistent_keepalive_interval;
 221   peer->last_sent_handshake = vlib_time_now (vm) - (REKEY_TIMEOUT + 1);
 222   peer->is_dead = false;
 223
 224   const wg_if_t *wgi = wg_if_get (wg_if_find_by_sw_if_index (wg_sw_if_index));
 225
 226   if (NULL == wgi)
 227     return (VNET_API_ERROR_INVALID_INTERFACE);
 228
 229   ip_address_to_46 (&wgi->src_ip, &peer->src.addr);
 230   peer->src.port = wgi->port;
 231
 232   /*
 233    * and an adjacency for the endpoint address in the overlay
 234    * on the wg interface
 235    */
 236   peer->rewrite = wg_peer_build_rewrite (peer);
 237
 238   peer->adj_index = adj_nbr_add_or_lock (FIB_PROTOCOL_IP4,
 239                                          VNET_LINK_IP4,
 240                                          &peer->dst.addr, wgi->sw_if_index);
 241
 242   vec_validate_init_empty (wg_peer_by_adj_index,
 243                            peer->adj_index, INDEX_INVALID);
 244   wg_peer_by_adj_index[peer->adj_index] = peer - wg_peer_pool;
 245
 246   adj_nbr_midchain_update_rewrite (peer->adj_index,
 247                                    NULL,
 248                                    NULL,
 249                                    ADJ_FLAG_MIDCHAIN_IP_STACK,
 250                                    vec_dup (peer->rewrite));
 251   wg_peer_adj_stack (peer);
 252
 253   /*
 254    * add a route in the overlay to each of the allowed-ips
 255    */
 256   u32 ii;
 257
 258   vec_validate (peer->allowed_ips, vec_len (allowed_ips) - 1);
 259
 260   vec_foreach_index (ii, allowed_ips)
 261   {
 262     peer->allowed_ips[ii].prefix = allowed_ips[ii];
 263   }
 264
 265   wg_peer_fib_populate (peer,
 266                         fib_table_get_index_for_sw_if_index
 267                         (FIB_PROTOCOL_IP4, peer->wg_sw_if_index));
 268
 269   return (0);
 270 }
 271
 272 int
 273 wg_peer_add (u32 tun_sw_if_index,
 274              const u8 public_key[NOISE_PUBLIC_KEY_LEN],
 275              u32 table_id,
 276              const ip46_address_t * endpoint,
 277              const fib_prefix_t * allowed_ips,
 278              u16 port, u16 persistent_keepalive, u32 * peer_index)
 279 {
 280   wg_if_t *wg_if;
 281   wg_peer_t *peer;
 282   int rv;
 283
 284   vlib_main_t *vm = vlib_get_main ();
 285
 286   if (tun_sw_if_index == ~0)
 287     return (VNET_API_ERROR_INVALID_SW_IF_INDEX);
 288
 289   wg_if = wg_if_get (wg_if_find_by_sw_if_index (tun_sw_if_index));
 290   if (!wg_if)
 291     return (VNET_API_ERROR_INVALID_SW_IF_INDEX);
 292
 293   /* *INDENT-OFF* */
 294   pool_foreach (peer, wg_peer_pool)
 295    {
 296     if (!memcmp (peer->remote.r_public, public_key, NOISE_PUBLIC_KEY_LEN))
 297     {
 298       return (VNET_API_ERROR_ENTRY_ALREADY_EXISTS);
 299     }
 300   }
 301   /* *INDENT-ON* */
 302
 303   if (pool_elts (wg_peer_pool) > MAX_PEERS)
 304     return (VNET_API_ERROR_LIMIT_EXCEEDED);
 305
 306   pool_get (wg_peer_pool, peer);
 307
 308   wg_peer_init (vm, peer);
 309
 310   rv = wg_peer_fill (vm, peer, table_id, endpoint, (u16) port,
 311                      persistent_keepalive, allowed_ips, tun_sw_if_index);
 312
 313   if (rv)
 314     {
 315       wg_peer_clear (vm, peer);
 316       pool_put (wg_peer_pool, peer);
 317       return (rv);
 318     }
 319
 320   noise_remote_init (&peer->remote, peer - wg_peer_pool, public_key,
 321                      wg_if->local_idx);
 322   cookie_maker_init (&peer->cookie_maker, public_key);
 323
 324   if (peer->persistent_keepalive_interval != 0)
 325     {
 326       wg_send_keepalive (vm, peer);
 327     }
 328
 329   *peer_index = peer - wg_peer_pool;
 330   wg_if_peer_add (wg_if, *peer_index);
 331
 332   return (0);
 333 }
 334
 335 int
 336 wg_peer_remove (index_t peeri)
 337 {
 338   wg_main_t *wmp = &wg_main;
 339   wg_peer_t *peer = NULL;
 340   wg_if_t *wgi;
 341
 342   if (pool_is_free_index (wg_peer_pool, peeri))
 343     return VNET_API_ERROR_NO_SUCH_ENTRY;
 344
 345   peer = pool_elt_at_index (wg_peer_pool, peeri);
 346
 347   wgi = wg_if_get (wg_if_find_by_sw_if_index (peer->wg_sw_if_index));
 348   wg_if_peer_remove (wgi, peeri);
 349
 350   vnet_feature_enable_disable ("ip4-output", "wg-output-tun",
 351                                peer->wg_sw_if_index, 0, 0, 0);
 352
 353   noise_remote_clear (wmp->vlib_main, &peer->remote);
 354   wg_peer_clear (wmp->vlib_main, peer);
 355   pool_put (wg_peer_pool, peer);
 356
 357   return (0);
 358 }
 359
 360 index_t
 361 wg_peer_walk (wg_peer_walk_cb_t fn, void *data)
 362 {
 363   index_t peeri;
 364
 365   /* *INDENT-OFF* */
 366   pool_foreach_index (peeri, wg_peer_pool)
 367   {
 368     if (WALK_STOP == fn(peeri, data))
 369       return peeri;
 370   }
 371   /* *INDENT-ON* */
 372   return INDEX_INVALID;
 373 }
 374
 375 static u8 *
 376 format_wg_peer_endpoint (u8 * s, va_list * args)
 377 {
 378   wg_peer_endpoint_t *ep = va_arg (*args, wg_peer_endpoint_t *);
 379
 380   s = format (s, "%U:%d",
 381               format_ip46_address, &ep->addr, IP46_TYPE_ANY, ep->port);
 382
 383   return (s);
 384 }
 385
 386 u8 *
 387 format_wg_peer (u8 * s, va_list * va)
 388 {
 389   index_t peeri = va_arg (*va, index_t);
 390   wg_peer_allowed_ip_t *allowed_ip;
 391   u8 key[NOISE_KEY_LEN_BASE64];
 392   wg_peer_t *peer;
 393
 394   peer = wg_peer_get (peeri);
 395   key_to_base64 (peer->remote.r_public, NOISE_PUBLIC_KEY_LEN, key);
 396
 397   s = format (s, "[%d] endpoint:[%U->%U] %U keep-alive:%d adj:%d",
 398               peeri,
 399               format_wg_peer_endpoint, &peer->src,
 400               format_wg_peer_endpoint, &peer->dst,
 401               format_vnet_sw_if_index_name, vnet_get_main (),
 402               peer->wg_sw_if_index,
 403               peer->persistent_keepalive_interval, peer->adj_index);
 404   s = format (s, "\n  key:%=s %U",
 405               key, format_hex_bytes, peer->remote.r_public,
 406               NOISE_PUBLIC_KEY_LEN);
 407   s = format (s, "\n  allowed-ips:");
 408   vec_foreach (allowed_ip, peer->allowed_ips)
 409   {
 410     s = format (s, " %U", format_fib_prefix, &allowed_ip->prefix);
 411   }
 412
 413   return s;
 414 }
 415
 416 static clib_error_t *
 417 wg_peer_module_init (vlib_main_t * vm)
 418 {
 419   /*
 420    * use a priority better than interface source, so that
 421    * if the same subnet is added to the wg interface and is
 422    * used as an allowed IP, then the wireguard soueced prefix
 423    * wins and traffic is routed to the endpoint rather than dropped
 424    */
 425   wg_fib_source = fib_source_allocate ("wireguard", 0x2, FIB_SOURCE_BH_API);
 426
 427   return (NULL);
 428 }
 429
 430 VLIB_INIT_FUNCTION (wg_peer_module_init);
 431
 432 /*
 433  * fd.io coding-style-patch-verification: ON
 434  *
 435  * Local Variables:
 436  * eval: (c-set-style "gnu")
 437  * End:
 438  */