src/plugins/wireguard/wireguard_send.c

   1 /*
   2  * Copyright (c) 2020 Doc.ai and/or its affiliates.
   3  * Copyright (c) 2020 Cisco and/or its affiliates.
   4  * Licensed under the Apache License, Version 2.0 (the "License");
   5  * you may not use this file except in compliance with the License.
   6  * You may obtain a copy of the License at:
   7  *
   8  *     http://www.apache.org/licenses/LICENSE-2.0
   9  *
  10  * Unless required by applicable law or agreed to in writing, software
  11  * distributed under the License is distributed on an "AS IS" BASIS,
  12  * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  13  * See the License for the specific language governing permissions and
  14  * limitations under the License.
  15  */
  16
  17 #include <vnet/vnet.h>
  18 #include <vnet/ip/ip6_link.h>
  19 #include <vppinfra/error.h>
  20 #include <vlibmemory/api.h>
  21 #include <wireguard/wireguard.h>
  22 #include <wireguard/wireguard_send.h>
  23
  24 static int
  25 ip46_enqueue_packet (vlib_main_t *vm, u32 bi0, int is_ip4)
  26 {
  27   vlib_frame_t *f = 0;
  28   u32 lookup_node_index =
  29     is_ip4 ? ip4_lookup_node.index : ip6_lookup_node.index;
  30
  31   f = vlib_get_frame_to_node (vm, lookup_node_index);
  32   /* f can not be NULL here - frame allocation failure causes panic */
  33
  34   u32 *to_next = vlib_frame_vector_args (f);
  35   f->n_vectors = 1;
  36   to_next[0] = bi0;
  37
  38   vlib_put_frame_to_node (vm, lookup_node_index, f);
  39
  40   return f->n_vectors;
  41 }
  42
  43 static void
  44 wg_buffer_prepend_rewrite (vlib_main_t *vm, vlib_buffer_t *b0,
  45                            const u8 *rewrite, u8 is_ip4)
  46 {
  47   if (is_ip4)
  48     {
  49       ip4_udp_header_t *hdr4;
  50
  51       vlib_buffer_advance (b0, -sizeof (*hdr4));
  52
  53       hdr4 = vlib_buffer_get_current (b0);
  54
  55       /* copy only ip4 and udp header; wireguard header not needed */
  56       clib_memcpy (hdr4, rewrite, sizeof (ip4_udp_header_t));
  57
  58       hdr4->udp.length =
  59         clib_host_to_net_u16 (b0->current_length - sizeof (ip4_header_t));
  60       ip4_header_set_len_w_chksum (&hdr4->ip4,
  61                                    clib_host_to_net_u16 (b0->current_length));
  62     }
  63   else
  64     {
  65       ip6_udp_header_t *hdr6;
  66
  67       vlib_buffer_advance (b0, -sizeof (*hdr6));
  68
  69       hdr6 = vlib_buffer_get_current (b0);
  70
  71       /* copy only ip6 and udp header; wireguard header not needed */
  72       clib_memcpy (hdr6, rewrite, sizeof (ip6_udp_header_t));
  73
  74       hdr6->ip6.payload_length = hdr6->udp.length =
  75         clib_host_to_net_u16 (b0->current_length - sizeof (ip6_header_t));
  76
  77       /* IPv6 UDP checksum is mandatory */
  78       int bogus = 0;
  79       ip6_header_t *ip6_0 = &(hdr6->ip6);
  80       hdr6->udp.checksum =
  81         ip6_tcp_udp_icmp_compute_checksum (vm, b0, ip6_0, &bogus);
  82       ASSERT (bogus == 0);
  83     }
  84 }
  85
  86 static bool
  87 wg_create_buffer (vlib_main_t *vm, const u8 *rewrite, const u8 *packet,
  88                   u32 packet_len, u32 *bi, u8 is_ip4)
  89 {
  90   u32 n_buf0 = 0;
  91   vlib_buffer_t *b0;
  92
  93   n_buf0 = vlib_buffer_alloc (vm, bi, 1);
  94   if (!n_buf0)
  95     return false;
  96
  97   b0 = vlib_get_buffer (vm, *bi);
  98
  99   u8 *payload = vlib_buffer_get_current (b0);
 100   clib_memcpy (payload, packet, packet_len);
 101
 102   b0->current_length = packet_len;
 103
 104   wg_buffer_prepend_rewrite (vm, b0, rewrite, is_ip4);
 105
 106   return true;
 107 }
 108
 109 u8 *
 110 wg_build_rewrite (ip46_address_t *src_addr, u16 src_port,
 111                   ip46_address_t *dst_addr, u16 dst_port, u8 is_ip4)
 112 {
 113   if (ip46_address_is_zero (dst_addr) || 0 == dst_port)
 114     return NULL;
 115
 116   u8 *rewrite = NULL;
 117   if (is_ip4)
 118     {
 119       ip4_udp_header_t *hdr;
 120
 121       /* reserve space for ip4, udp and wireguard headers */
 122       vec_validate (rewrite, sizeof (ip4_udp_wg_header_t) - 1);
 123       hdr = (ip4_udp_header_t *) rewrite;
 124
 125       hdr->ip4.ip_version_and_header_length = 0x45;
 126       hdr->ip4.ttl = 64;
 127       hdr->ip4.src_address = src_addr->ip4;
 128       hdr->ip4.dst_address = dst_addr->ip4;
 129       hdr->ip4.protocol = IP_PROTOCOL_UDP;
 130       hdr->ip4.checksum = ip4_header_checksum (&hdr->ip4);
 131
 132       hdr->udp.src_port = clib_host_to_net_u16 (src_port);
 133       hdr->udp.dst_port = clib_host_to_net_u16 (dst_port);
 134       hdr->udp.checksum = 0;
 135     }
 136   else
 137     {
 138       ip6_udp_header_t *hdr;
 139
 140       /* reserve space for ip6, udp and wireguard headers */
 141       vec_validate (rewrite, sizeof (ip6_udp_wg_header_t) - 1);
 142       hdr = (ip6_udp_header_t *) rewrite;
 143
 144       hdr->ip6.ip_version_traffic_class_and_flow_label = 0x60;
 145       ip6_address_copy (&hdr->ip6.src_address, &src_addr->ip6);
 146       ip6_address_copy (&hdr->ip6.dst_address, &dst_addr->ip6);
 147       hdr->ip6.protocol = IP_PROTOCOL_UDP;
 148       hdr->ip6.hop_limit = 64;
 149
 150       hdr->udp.src_port = clib_host_to_net_u16 (src_port);
 151       hdr->udp.dst_port = clib_host_to_net_u16 (dst_port);
 152       hdr->udp.checksum = 0;
 153     }
 154
 155   return (rewrite);
 156 }
 157
 158 bool
 159 wg_send_handshake (vlib_main_t * vm, wg_peer_t * peer, bool is_retry)
 160 {
 161   ASSERT (vm->thread_index == 0);
 162
 163   if (!wg_peer_can_send (peer))
 164     return false;
 165
 166   message_handshake_initiation_t packet;
 167
 168   if (!is_retry)
 169     peer->timer_handshake_attempts = 0;
 170
 171   if (!wg_birthdate_has_expired (peer->last_sent_handshake, REKEY_TIMEOUT) ||
 172       wg_peer_is_dead (peer))
 173     return true;
 174
 175   if (noise_create_initiation (vm,
 176                                &peer->remote,
 177                                &packet.sender_index,
 178                                packet.unencrypted_ephemeral,
 179                                packet.encrypted_static,
 180                                packet.encrypted_timestamp))
 181     {
 182       packet.header.type = MESSAGE_HANDSHAKE_INITIATION;
 183       cookie_maker_mac (&peer->cookie_maker, &packet.macs, &packet,
 184                         sizeof (packet));
 185       wg_timers_any_authenticated_packet_sent (peer);
 186       wg_timers_handshake_initiated (peer);
 187       wg_timers_any_authenticated_packet_traversal (peer);
 188
 189       peer->last_sent_handshake = vlib_time_now (vm);
 190     }
 191   else
 192     return false;
 193
 194   u8 is_ip4 = ip46_address_is_ip4 (&peer->dst.addr);
 195   u32 bi0 = 0;
 196   if (!wg_create_buffer (vm, peer->rewrite, (u8 *) &packet, sizeof (packet),
 197                          &bi0, is_ip4))
 198     return false;
 199
 200   ip46_enqueue_packet (vm, bi0, is_ip4);
 201   return true;
 202 }
 203
 204 typedef struct
 205 {
 206   u32 peer_idx;
 207   bool is_retry;
 208 } wg_send_args_t;
 209
 210 static void *
 211 wg_send_handshake_thread_fn (void *arg)
 212 {
 213   wg_send_args_t *a = arg;
 214
 215   wg_main_t *wmp = &wg_main;
 216   wg_peer_t *peer = wg_peer_get (a->peer_idx);
 217   bool handshake;
 218
 219   wg_send_handshake (wmp->vlib_main, peer, a->is_retry);
 220   handshake = false;
 221   __atomic_store_n (&peer->handshake_is_sent, handshake, __ATOMIC_RELEASE);
 222   return 0;
 223 }
 224
 225 void
 226 wg_send_handshake_from_mt (u32 peer_idx, bool is_retry)
 227 {
 228   wg_send_args_t a = {
 229     .peer_idx = peer_idx,
 230     .is_retry = is_retry,
 231   };
 232
 233   wg_peer_t *peer = wg_peer_get (peer_idx);
 234
 235   bool handshake =
 236     __atomic_load_n (&peer->handshake_is_sent, __ATOMIC_ACQUIRE);
 237
 238   if (handshake == false)
 239     {
 240       handshake = true;
 241       __atomic_store_n (&peer->handshake_is_sent, handshake, __ATOMIC_RELEASE);
 242       vl_api_rpc_call_main_thread (wg_send_handshake_thread_fn, (u8 *) &a,
 243                                    sizeof (a));
 244     }
 245 }
 246
 247 bool
 248 wg_send_keepalive (vlib_main_t * vm, wg_peer_t * peer)
 249 {
 250   ASSERT (vm->thread_index == 0);
 251
 252   if (!wg_peer_can_send (peer))
 253     return false;
 254
 255   u32 size_of_packet = message_data_len (0);
 256   message_data_t *packet =
 257     (message_data_t *) wg_main.per_thread_data[vm->thread_index].data;
 258   u32 bi0 = 0;
 259   bool ret = true;
 260   enum noise_state_crypt state;
 261
 262   if (!peer->remote.r_current)
 263     {
 264       wg_send_handshake (vm, peer, false);
 265       goto out;
 266     }
 267
 268   state =
 269     noise_remote_encrypt (vm,
 270                           &peer->remote,
 271                           &packet->receiver_index,
 272                           &packet->counter, NULL, 0, packet->encrypted_data);
 273
 274   if (PREDICT_FALSE (state == SC_KEEP_KEY_FRESH))
 275     {
 276       wg_send_handshake (vm, peer, false);
 277     }
 278   else if (PREDICT_FALSE (state == SC_FAILED))
 279     {
 280       wg_peer_update_flags (peer - wg_peer_pool, WG_PEER_ESTABLISHED, false);
 281       ret = false;
 282       goto out;
 283     }
 284
 285   u8 is_ip4 = ip46_address_is_ip4 (&peer->dst.addr);
 286   packet->header.type = MESSAGE_DATA;
 287
 288   if (!wg_create_buffer (vm, peer->rewrite, (u8 *) packet, size_of_packet,
 289                          &bi0, is_ip4))
 290     {
 291       ret = false;
 292       goto out;
 293     }
 294
 295   ip46_enqueue_packet (vm, bi0, is_ip4);
 296
 297   wg_timers_any_authenticated_packet_sent (peer);
 298   wg_timers_any_authenticated_packet_traversal (peer);
 299
 300 out:
 301   return ret;
 302 }
 303
 304 bool
 305 wg_send_handshake_response (vlib_main_t * vm, wg_peer_t * peer)
 306 {
 307   message_handshake_response_t packet;
 308
 309   if (!wg_peer_can_send (peer))
 310     return false;
 311
 312   if (noise_create_response (vm,
 313                              &peer->remote,
 314                              &packet.sender_index,
 315                              &packet.receiver_index,
 316                              packet.unencrypted_ephemeral,
 317                              packet.encrypted_nothing))
 318     {
 319       packet.header.type = MESSAGE_HANDSHAKE_RESPONSE;
 320       cookie_maker_mac (&peer->cookie_maker, &packet.macs, &packet,
 321                         sizeof (packet));
 322
 323       if (noise_remote_begin_session (vm, &peer->remote))
 324         {
 325           wg_timers_session_derived (peer);
 326           wg_timers_any_authenticated_packet_sent (peer);
 327           wg_timers_any_authenticated_packet_traversal (peer);
 328
 329           u32 bi0 = 0;
 330           u8 is_ip4 = ip46_address_is_ip4 (&peer->dst.addr);
 331           if (!wg_create_buffer (vm, peer->rewrite, (u8 *) &packet,
 332                                  sizeof (packet), &bi0, is_ip4))
 333             return false;
 334
 335           ip46_enqueue_packet (vm, bi0, is_ip4);
 336           return true;
 337         }
 338       return false;
 339     }
 340   return false;
 341 }
 342
 343 bool
 344 wg_send_handshake_cookie (vlib_main_t *vm, u32 sender_index,
 345                           cookie_checker_t *cookie_checker,
 346                           message_macs_t *macs, ip46_address_t *wg_if_addr,
 347                           u16 wg_if_port, ip46_address_t *remote_addr,
 348                           u16 remote_port)
 349 {
 350   message_handshake_cookie_t packet;
 351   u8 *rewrite;
 352
 353   packet.header.type = MESSAGE_HANDSHAKE_COOKIE;
 354   packet.receiver_index = sender_index;
 355
 356   cookie_checker_create_payload (vm, cookie_checker, macs, packet.nonce,
 357                                  packet.encrypted_cookie, remote_addr,
 358                                  remote_port);
 359
 360   u32 bi0 = 0;
 361   u8 is_ip4 = ip46_address_is_ip4 (remote_addr);
 362   bool ret;
 363   rewrite = wg_build_rewrite (wg_if_addr, wg_if_port, remote_addr, remote_port,
 364                               is_ip4);
 365
 366   ret = wg_create_buffer (vm, rewrite, (u8 *) &packet, sizeof (packet), &bi0,
 367                           is_ip4);
 368   vec_free (rewrite);
 369   if (!ret)
 370     return false;
 371
 372   ip46_enqueue_packet (vm, bi0, is_ip4);
 373
 374   return true;
 375 }
 376
 377 /*
 378  * fd.io coding-style-patch-verification: ON
 379  *
 380  * Local Variables:
 381  * eval: (c-set-style "gnu")
 382  * End:
 383  */