src/plugins/wireguard/wireguard_send.c

   1 /*
   2  * Copyright (c) 2020 Doc.ai and/or its affiliates.
   3  * Copyright (c) 2020 Cisco and/or its affiliates.
   4  * Licensed under the Apache License, Version 2.0 (the "License");
   5  * you may not use this file except in compliance with the License.
   6  * You may obtain a copy of the License at:
   7  *
   8  *     http://www.apache.org/licenses/LICENSE-2.0
   9  *
  10  * Unless required by applicable law or agreed to in writing, software
  11  * distributed under the License is distributed on an "AS IS" BASIS,
  12  * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  13  * See the License for the specific language governing permissions and
  14  * limitations under the License.
  15  */
  16
  17 #include <vnet/vnet.h>
  18 #include <vnet/ip/ip6_link.h>
  19 #include <vppinfra/error.h>
  20 #include <vlibmemory/api.h>
  21 #include <wireguard/wireguard.h>
  22 #include <wireguard/wireguard_send.h>
  23
  24 static int
  25 ip46_enqueue_packet (vlib_main_t *vm, u32 bi0, int is_ip4)
  26 {
  27   vlib_frame_t *f = 0;
  28   u32 lookup_node_index =
  29     is_ip4 ? ip4_lookup_node.index : ip6_lookup_node.index;
  30
  31   f = vlib_get_frame_to_node (vm, lookup_node_index);
  32   /* f can not be NULL here - frame allocation failure causes panic */
  33
  34   u32 *to_next = vlib_frame_vector_args (f);
  35   f->n_vectors = 1;
  36   to_next[0] = bi0;
  37
  38   vlib_put_frame_to_node (vm, lookup_node_index, f);
  39
  40   return f->n_vectors;
  41 }
  42
  43 static void
  44 wg_buffer_prepend_rewrite (vlib_buffer_t *b0, const wg_peer_t *peer, u8 is_ip4)
  45 {
  46   if (is_ip4)
  47     {
  48       ip4_udp_header_t *hdr4;
  49
  50       vlib_buffer_advance (b0, -sizeof (*hdr4));
  51
  52       hdr4 = vlib_buffer_get_current (b0);
  53       clib_memcpy (hdr4, peer->rewrite, vec_len (peer->rewrite));
  54
  55       hdr4->udp.length =
  56         clib_host_to_net_u16 (b0->current_length - sizeof (ip4_header_t));
  57       ip4_header_set_len_w_chksum (&hdr4->ip4,
  58                                    clib_host_to_net_u16 (b0->current_length));
  59     }
  60   else
  61     {
  62       ip6_udp_header_t *hdr6;
  63
  64       vlib_buffer_advance (b0, -sizeof (*hdr6));
  65
  66       hdr6 = vlib_buffer_get_current (b0);
  67       clib_memcpy (hdr6, peer->rewrite, vec_len (peer->rewrite));
  68
  69       hdr6->udp.length =
  70         clib_host_to_net_u16 (b0->current_length - sizeof (ip6_header_t));
  71
  72       hdr6->ip6.payload_length = clib_host_to_net_u16 (b0->current_length);
  73     }
  74 }
  75
  76 static bool
  77 wg_create_buffer (vlib_main_t *vm, const wg_peer_t *peer, const u8 *packet,
  78                   u32 packet_len, u32 *bi, u8 is_ip4)
  79 {
  80   u32 n_buf0 = 0;
  81   vlib_buffer_t *b0;
  82
  83   n_buf0 = vlib_buffer_alloc (vm, bi, 1);
  84   if (!n_buf0)
  85     return false;
  86
  87   b0 = vlib_get_buffer (vm, *bi);
  88
  89   u8 *payload = vlib_buffer_get_current (b0);
  90   clib_memcpy (payload, packet, packet_len);
  91
  92   b0->current_length = packet_len;
  93
  94   wg_buffer_prepend_rewrite (b0, peer, is_ip4);
  95
  96   return true;
  97 }
  98
  99 bool
 100 wg_send_handshake (vlib_main_t * vm, wg_peer_t * peer, bool is_retry)
 101 {
 102   ASSERT (vm->thread_index == 0);
 103
 104   message_handshake_initiation_t packet;
 105
 106   if (!is_retry)
 107     peer->timer_handshake_attempts = 0;
 108
 109   if (!wg_birthdate_has_expired (peer->last_sent_handshake, REKEY_TIMEOUT) ||
 110       wg_peer_is_dead (peer))
 111     return true;
 112
 113   if (noise_create_initiation (vm,
 114                                &peer->remote,
 115                                &packet.sender_index,
 116                                packet.unencrypted_ephemeral,
 117                                packet.encrypted_static,
 118                                packet.encrypted_timestamp))
 119     {
 120       packet.header.type = MESSAGE_HANDSHAKE_INITIATION;
 121       cookie_maker_mac (&peer->cookie_maker, &packet.macs, &packet,
 122                         sizeof (packet));
 123       wg_timers_any_authenticated_packet_sent (peer);
 124       wg_timers_handshake_initiated (peer);
 125       wg_timers_any_authenticated_packet_traversal (peer);
 126
 127       peer->last_sent_handshake = vlib_time_now (vm);
 128     }
 129   else
 130     return false;
 131
 132   u8 is_ip4 = ip46_address_is_ip4 (&peer->dst.addr);
 133   u32 bi0 = 0;
 134   if (!wg_create_buffer (vm, peer, (u8 *) &packet, sizeof (packet), &bi0,
 135                          is_ip4))
 136     return false;
 137
 138   ip46_enqueue_packet (vm, bi0, is_ip4);
 139   return true;
 140 }
 141
 142 typedef struct
 143 {
 144   u32 peer_idx;
 145   bool is_retry;
 146 } wg_send_args_t;
 147
 148 static void *
 149 wg_send_handshake_thread_fn (void *arg)
 150 {
 151   wg_send_args_t *a = arg;
 152
 153   wg_main_t *wmp = &wg_main;
 154   wg_peer_t *peer = wg_peer_get (a->peer_idx);
 155
 156   wg_send_handshake (wmp->vlib_main, peer, a->is_retry);
 157   return 0;
 158 }
 159
 160 void
 161 wg_send_handshake_from_mt (u32 peer_idx, bool is_retry)
 162 {
 163   wg_send_args_t a = {
 164     .peer_idx = peer_idx,
 165     .is_retry = is_retry,
 166   };
 167
 168   vl_api_rpc_call_main_thread (wg_send_handshake_thread_fn,
 169                                (u8 *) & a, sizeof (a));
 170 }
 171
 172 bool
 173 wg_send_keepalive (vlib_main_t * vm, wg_peer_t * peer)
 174 {
 175   ASSERT (vm->thread_index == 0);
 176
 177   u32 size_of_packet = message_data_len (0);
 178   message_data_t *packet =
 179     (message_data_t *) wg_main.per_thread_data[vm->thread_index].data;
 180   u32 bi0 = 0;
 181   bool ret = true;
 182   enum noise_state_crypt state;
 183
 184   if (!peer->remote.r_current)
 185     {
 186       wg_send_handshake (vm, peer, false);
 187       goto out;
 188     }
 189
 190   state =
 191     noise_remote_encrypt (vm,
 192                           &peer->remote,
 193                           &packet->receiver_index,
 194                           &packet->counter, NULL, 0, packet->encrypted_data);
 195
 196   if (PREDICT_FALSE (state == SC_KEEP_KEY_FRESH))
 197     {
 198       wg_send_handshake (vm, peer, false);
 199     }
 200   else if (PREDICT_FALSE (state == SC_FAILED))
 201     {
 202       wg_peer_update_flags (peer - wg_peer_pool, WG_PEER_ESTABLISHED, false);
 203       ret = false;
 204       goto out;
 205     }
 206
 207   u8 is_ip4 = ip46_address_is_ip4 (&peer->dst.addr);
 208   packet->header.type = MESSAGE_DATA;
 209
 210   if (!wg_create_buffer (vm, peer, (u8 *) packet, size_of_packet, &bi0,
 211                          is_ip4))
 212     {
 213       ret = false;
 214       goto out;
 215     }
 216
 217   ip46_enqueue_packet (vm, bi0, is_ip4);
 218
 219   wg_timers_any_authenticated_packet_sent (peer);
 220   wg_timers_any_authenticated_packet_traversal (peer);
 221
 222 out:
 223   return ret;
 224 }
 225
 226 bool
 227 wg_send_handshake_response (vlib_main_t * vm, wg_peer_t * peer)
 228 {
 229   message_handshake_response_t packet;
 230
 231   if (noise_create_response (vm,
 232                              &peer->remote,
 233                              &packet.sender_index,
 234                              &packet.receiver_index,
 235                              packet.unencrypted_ephemeral,
 236                              packet.encrypted_nothing))
 237     {
 238       packet.header.type = MESSAGE_HANDSHAKE_RESPONSE;
 239       cookie_maker_mac (&peer->cookie_maker, &packet.macs, &packet,
 240                         sizeof (packet));
 241
 242       if (noise_remote_begin_session (vm, &peer->remote))
 243         {
 244           wg_timers_session_derived (peer);
 245           wg_timers_any_authenticated_packet_sent (peer);
 246           wg_timers_any_authenticated_packet_traversal (peer);
 247           peer->last_sent_handshake = vlib_time_now (vm);
 248
 249           u32 bi0 = 0;
 250           u8 is_ip4 = ip46_address_is_ip4 (&peer->dst.addr);
 251           if (!wg_create_buffer (vm, peer, (u8 *) &packet, sizeof (packet),
 252                                  &bi0, is_ip4))
 253             return false;
 254
 255           ip46_enqueue_packet (vm, bi0, is_ip4);
 256           return true;
 257         }
 258       return false;
 259     }
 260   return false;
 261 }
 262
 263 /*
 264  * fd.io coding-style-patch-verification: ON
 265  *
 266  * Local Variables:
 267  * eval: (c-set-style "gnu")
 268  * End:
 269  */