src/vnet/ipsec/esp.h

   1 /*
   2  * Copyright (c) 2015 Cisco and/or its affiliates.
   3  * Licensed under the Apache License, Version 2.0 (the "License");
   4  * you may not use this file except in compliance with the License.
   5  * You may obtain a copy of the License at:
   6  *
   7  *     http://www.apache.org/licenses/LICENSE-2.0
   8  *
   9  * Unless required by applicable law or agreed to in writing, software
  10  * distributed under the License is distributed on an "AS IS" BASIS,
  11  * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  12  * See the License for the specific language governing permissions and
  13  * limitations under the License.
  14  */
  15 #ifndef __ESP_H__
  16 #define __ESP_H__
  17
  18 #include <vnet/ip/ip.h>
  19 #include <vnet/crypto/crypto.h>
  20 #include <vnet/ipsec/ipsec.h>
  21
  22 typedef struct
  23 {
  24   union
  25   {
  26     u32 spi;
  27     u8 spi_bytes[4];
  28   };
  29   u32 seq;
  30   u8 data[0];
  31 } esp_header_t;
  32
  33 typedef struct
  34 {
  35   u8 pad_length;
  36   u8 next_header;
  37 } esp_footer_t;
  38
  39 /* *INDENT-OFF* */
  40 typedef CLIB_PACKED (struct {
  41   ip4_header_t ip4;
  42   esp_header_t esp;
  43 }) ip4_and_esp_header_t;
  44 /* *INDENT-ON* */
  45
  46 /* *INDENT-OFF* */
  47 typedef CLIB_PACKED (struct {
  48   ip4_header_t ip4;
  49   udp_header_t udp;
  50   esp_header_t esp;
  51 }) ip4_and_udp_and_esp_header_t;
  52 /* *INDENT-ON* */
  53
  54 /* *INDENT-OFF* */
  55 typedef CLIB_PACKED (struct {
  56   ip6_header_t ip6;
  57   esp_header_t esp;
  58 }) ip6_and_esp_header_t;
  59 /* *INDENT-ON* */
  60
  61 /**
  62  * AES GCM Additional Authentication data
  63  */
  64 typedef struct esp_aead_t_
  65 {
  66   /**
  67    * for GCM: when using ESN it's:
  68    *   SPI, seq-hi, seg-low
  69    * else
  70    *   SPI, seq-low
  71    */
  72   u32 data[3];
  73 } __clib_packed esp_aead_t;
  74
  75 #define ESP_SEQ_MAX             (4294967295UL)
  76 #define ESP_MAX_BLOCK_SIZE      (16)
  77 #define ESP_MAX_IV_SIZE         (16)
  78 #define ESP_MAX_ICV_SIZE        (32)
  79
  80 u8 *format_esp_header (u8 * s, va_list * args);
  81
  82 /* TODO seq increment should be atomic to be accessed by multiple workers */
  83 always_inline int
  84 esp_seq_advance (ipsec_sa_t * sa)
  85 {
  86   if (PREDICT_TRUE (ipsec_sa_is_set_USE_ESN (sa)))
  87     {
  88       if (PREDICT_FALSE (sa->seq == ESP_SEQ_MAX))
  89         {
  90           if (PREDICT_FALSE (ipsec_sa_is_set_USE_ANTI_REPLAY (sa) &&
  91                              sa->seq_hi == ESP_SEQ_MAX))
  92             return 1;
  93           sa->seq_hi++;
  94         }
  95       sa->seq++;
  96     }
  97   else
  98     {
  99       if (PREDICT_FALSE (ipsec_sa_is_set_USE_ANTI_REPLAY (sa) &&
 100                          sa->seq == ESP_SEQ_MAX))
 101         return 1;
 102       sa->seq++;
 103     }
 104
 105   return 0;
 106 }
 107
 108 always_inline u16
 109 esp_aad_fill (u8 * data, const esp_header_t * esp, const ipsec_sa_t * sa)
 110 {
 111   esp_aead_t *aad;
 112
 113   aad = (esp_aead_t *) data;
 114   aad->data[0] = esp->spi;
 115
 116   if (ipsec_sa_is_set_USE_ESN (sa))
 117     {
 118       /* SPI, seq-hi, seq-low */
 119       aad->data[1] = (u32) clib_host_to_net_u32 (sa->seq_hi);
 120       aad->data[2] = esp->seq;
 121       return 12;
 122     }
 123   else
 124     {
 125       /* SPI, seq-low */
 126       aad->data[1] = esp->seq;
 127       return 8;
 128     }
 129 }
 130
 131 /**
 132  * The post data structure to for esp_encrypt/decrypt_inline to write to
 133  * vib_buffer_t opaque unused field, and for post nodes to pick up after
 134  * dequeue.
 135  **/
 136 typedef struct
 137 {
 138   union
 139   {
 140     struct
 141     {
 142       u8 icv_sz;
 143       u8 iv_sz;
 144       ipsec_sa_flags_t flags;
 145       u32 sa_index;
 146     };
 147     u64 sa_data;
 148   };
 149
 150   u32 seq;
 151   i16 current_data;
 152   i16 current_length;
 153   u16 hdr_sz;
 154   u16 is_chain;
 155   u32 protect_index;
 156 } esp_decrypt_packet_data_t;
 157
 158 STATIC_ASSERT_SIZEOF (esp_decrypt_packet_data_t, 3 * sizeof (u64));
 159
 160 /* we are forced to store the decrypt post data into 2 separate places -
 161    vlib_opaque and opaque2. */
 162 typedef struct
 163 {
 164   vlib_buffer_t *lb;
 165   u32 free_buffer_index;
 166   u8 icv_removed;
 167 } esp_decrypt_packet_data2_t;
 168
 169 typedef union
 170 {
 171   u16 next_index;
 172   esp_decrypt_packet_data_t decrypt_data;
 173 } esp_post_data_t;
 174
 175 STATIC_ASSERT (sizeof (esp_post_data_t) <=
 176                STRUCT_SIZE_OF (vnet_buffer_opaque_t, unused),
 177                "Custom meta-data too large for vnet_buffer_opaque_t");
 178
 179 #define esp_post_data(b) \
 180     ((esp_post_data_t *)((u8 *)((b)->opaque) \
 181         + STRUCT_OFFSET_OF (vnet_buffer_opaque_t, unused)))
 182
 183 STATIC_ASSERT (sizeof (esp_decrypt_packet_data2_t) <=
 184                STRUCT_SIZE_OF (vnet_buffer_opaque2_t, unused),
 185                "Custom meta-data too large for vnet_buffer_opaque2_t");
 186
 187 #define esp_post_data2(b) \
 188     ((esp_decrypt_packet_data2_t *)((u8 *)((b)->opaque2) \
 189         + STRUCT_OFFSET_OF (vnet_buffer_opaque2_t, unused)))
 190
 191 typedef struct
 192 {
 193   /* esp post node index for async crypto */
 194   u32 esp4_post_next;
 195   u32 esp6_post_next;
 196   u32 esp4_tun_post_next;
 197   u32 esp6_tun_post_next;
 198 } esp_async_post_next_t;
 199
 200 extern esp_async_post_next_t esp_encrypt_async_next;
 201 extern esp_async_post_next_t esp_decrypt_async_next;
 202
 203 #endif /* __ESP_H__ */
 204
 205 /*
 206  * fd.io coding-style-patch-verification: ON
 207  *
 208  * Local Variables:
 209  * eval: (c-set-style "gnu")
 210  * End:
 211  */