src/vnet/ipsec/ipsec.h

   1 /*
   2  * Copyright (c) 2015 Cisco and/or its affiliates.
   3  * Licensed under the Apache License, Version 2.0 (the "License");
   4  * you may not use this file except in compliance with the License.
   5  * You may obtain a copy of the License at:
   6  *
   7  *     http://www.apache.org/licenses/LICENSE-2.0
   8  *
   9  * Unless required by applicable law or agreed to in writing, software
  10  * distributed under the License is distributed on an "AS IS" BASIS,
  11  * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  12  * See the License for the specific language governing permissions and
  13  * limitations under the License.
  14  */
  15 #ifndef __IPSEC_H__
  16 #define __IPSEC_H__
  17
  18 #include <vnet/ip/ip.h>
  19 #include <vnet/feature/feature.h>
  20
  21 #define IPSEC_FLAG_IPSEC_GRE_TUNNEL (1 << 0)
  22
  23 #define foreach_ipsec_output_next  \
  24   _ (DROP, "error-drop")           \
  25   _ (ESP4_ENCRYPT, "esp4-encrypt") \
  26   _ (AH4_ENCRYPT, "ah4-encrypt")   \
  27   _ (ESP6_ENCRYPT, "esp6-encrypt") \
  28   _ (AH6_ENCRYPT, "ah6-encrypt")
  29
  30 #define _(v, s) IPSEC_OUTPUT_NEXT_##v,
  31 typedef enum
  32 {
  33   foreach_ipsec_output_next
  34 #undef _
  35     IPSEC_OUTPUT_N_NEXT,
  36 } ipsec_output_next_t;
  37
  38 #define foreach_ipsec_input_next   \
  39   _ (DROP, "error-drop")           \
  40   _ (ESP4_DECRYPT, "esp4-decrypt") \
  41   _ (AH4_DECRYPT, "ah4-decrypt")   \
  42   _ (ESP6_DECRYPT, "esp6-decrypt") \
  43   _ (AH6_DECRYPT, "ah6-decrypt")
  44
  45 #define _(v, s) IPSEC_INPUT_NEXT_##v,
  46 typedef enum
  47 {
  48   foreach_ipsec_input_next
  49 #undef _
  50     IPSEC_INPUT_N_NEXT,
  51 } ipsec_input_next_t;
  52
  53 #define foreach_ipsec_policy_action \
  54   _ (0, BYPASS, "bypass")           \
  55   _ (1, DISCARD, "discard")         \
  56   _ (2, RESOLVE, "resolve")         \
  57   _ (3, PROTECT, "protect")
  58
  59 typedef enum
  60 {
  61 #define _(v, f, s) IPSEC_POLICY_ACTION_##f = v,
  62   foreach_ipsec_policy_action
  63 #undef _
  64     IPSEC_POLICY_N_ACTION,
  65 } ipsec_policy_action_t;
  66
  67 #define foreach_ipsec_crypto_alg    \
  68   _ (0, NONE, "none")               \
  69   _ (1, AES_CBC_128, "aes-cbc-128") \
  70   _ (2, AES_CBC_192, "aes-cbc-192") \
  71   _ (3, AES_CBC_256, "aes-cbc-256") \
  72   _ (4, AES_CTR_128, "aes-ctr-128") \
  73   _ (5, AES_CTR_192, "aes-ctr-192") \
  74   _ (6, AES_CTR_256, "aes-ctr-256") \
  75   _ (7, AES_GCM_128, "aes-gcm-128") \
  76   _ (8, AES_GCM_192, "aes-gcm-192") \
  77   _ (9, AES_GCM_256, "aes-gcm-256") \
  78   _ (10, DES_CBC, "des-cbc")        \
  79   _ (11, 3DES_CBC, "3des-cbc")
  80
  81 typedef enum
  82 {
  83 #define _(v, f, s) IPSEC_CRYPTO_ALG_##f = v,
  84   foreach_ipsec_crypto_alg
  85 #undef _
  86     IPSEC_CRYPTO_N_ALG,
  87 } ipsec_crypto_alg_t;
  88
  89 #define foreach_ipsec_integ_alg                                            \
  90   _ (0, NONE, "none")                                                      \
  91   _ (1, MD5_96, "md5-96")           /* RFC2403 */                          \
  92   _ (2, SHA1_96, "sha1-96")         /* RFC2404 */                          \
  93   _ (3, SHA_256_96, "sha-256-96")   /* draft-ietf-ipsec-ciph-sha-256-00 */ \
  94   _ (4, SHA_256_128, "sha-256-128") /* RFC4868 */                          \
  95   _ (5, SHA_384_192, "sha-384-192") /* RFC4868 */                          \
  96   _ (6, SHA_512_256, "sha-512-256")     /* RFC4868 */
  97
  98 typedef enum
  99 {
 100 #define _(v, f, s) IPSEC_INTEG_ALG_##f = v,
 101   foreach_ipsec_integ_alg
 102 #undef _
 103     IPSEC_INTEG_N_ALG,
 104 } ipsec_integ_alg_t;
 105
 106 typedef enum
 107 {
 108   IPSEC_PROTOCOL_AH = 0,
 109   IPSEC_PROTOCOL_ESP = 1
 110 } ipsec_protocol_t;
 111
 112 typedef struct
 113 {
 114   u32 id;
 115   u32 spi;
 116   ipsec_protocol_t protocol;
 117
 118   ipsec_crypto_alg_t crypto_alg;
 119   u8 crypto_key_len;
 120   u8 crypto_key[128];
 121
 122   ipsec_integ_alg_t integ_alg;
 123   u8 integ_key_len;
 124   u8 integ_key[128];
 125
 126   u8 use_esn;
 127   u8 use_anti_replay;
 128
 129   u8 is_tunnel;
 130   u8 is_tunnel_ip6;
 131   u8 udp_encap;
 132   ip46_address_t tunnel_src_addr;
 133   ip46_address_t tunnel_dst_addr;
 134
 135   u32 salt;
 136
 137   /* runtime */
 138   u32 seq;
 139   u32 seq_hi;
 140   u32 last_seq;
 141   u32 last_seq_hi;
 142   u64 replay_window;
 143
 144   /* lifetime data */
 145   u64 total_data_size;
 146 } ipsec_sa_t;
 147
 148 typedef struct
 149 {
 150   ip46_address_t start, stop;
 151 } ip46_address_range_t;
 152
 153 typedef struct
 154 {
 155   u16 start, stop;
 156 } port_range_t;
 157
 158 typedef struct
 159 {
 160   u8 is_add;
 161   u8 esn;
 162   u8 anti_replay;
 163   ip4_address_t local_ip, remote_ip;
 164   u32 local_spi;
 165   u32 remote_spi;
 166   ipsec_crypto_alg_t crypto_alg;
 167   u8 local_crypto_key_len;
 168   u8 local_crypto_key[128];
 169   u8 remote_crypto_key_len;
 170   u8 remote_crypto_key[128];
 171   ipsec_integ_alg_t integ_alg;
 172   u8 local_integ_key_len;
 173   u8 local_integ_key[128];
 174   u8 remote_integ_key_len;
 175   u8 remote_integ_key[128];
 176   u8 renumber;
 177   u32 show_instance;
 178   u8 udp_encap;
 179 } ipsec_add_del_tunnel_args_t;
 180
 181 typedef struct
 182 {
 183   u8 is_add;
 184   u32 local_sa_id;
 185   u32 remote_sa_id;
 186   ip4_address_t local_ip;
 187   ip4_address_t remote_ip;
 188 } ipsec_add_del_ipsec_gre_tunnel_args_t;
 189
 190 typedef enum
 191 {
 192   IPSEC_IF_SET_KEY_TYPE_NONE,
 193   IPSEC_IF_SET_KEY_TYPE_LOCAL_CRYPTO,
 194   IPSEC_IF_SET_KEY_TYPE_REMOTE_CRYPTO,
 195   IPSEC_IF_SET_KEY_TYPE_LOCAL_INTEG,
 196   IPSEC_IF_SET_KEY_TYPE_REMOTE_INTEG,
 197 } ipsec_if_set_key_type_t;
 198
 199 typedef struct
 200 {
 201   u32 id;
 202   i32 priority;
 203   u8 is_outbound;
 204
 205   // Selector
 206   u8 is_ipv6;
 207   ip46_address_range_t laddr;
 208   ip46_address_range_t raddr;
 209   u8 protocol;
 210   port_range_t lport;
 211   port_range_t rport;
 212
 213   // Policy
 214   u8 policy;
 215   u32 sa_id;
 216   u32 sa_index;
 217
 218   // Counter
 219   vlib_counter_t counter;
 220 } ipsec_policy_t;
 221
 222 typedef struct
 223 {
 224   u32 id;
 225   /* pool of policies */
 226   ipsec_policy_t *policies;
 227   /* vectors of policy indices */
 228   u32 *ipv4_outbound_policies;
 229   u32 *ipv6_outbound_policies;
 230   u32 *ipv4_inbound_protect_policy_indices;
 231   u32 *ipv4_inbound_policy_discard_and_bypass_indices;
 232   u32 *ipv6_inbound_protect_policy_indices;
 233   u32 *ipv6_inbound_policy_discard_and_bypass_indices;
 234 } ipsec_spd_t;
 235
 236 typedef struct
 237 {
 238   u32 spd_index;
 239 } ip4_ipsec_config_t;
 240
 241 typedef struct
 242 {
 243   u32 spd_index;
 244 } ip6_ipsec_config_t;
 245
 246 typedef struct
 247 {
 248   /* Required for pool_get_aligned */
 249   CLIB_CACHE_LINE_ALIGN_MARK (cacheline0);
 250   u32 input_sa_index;
 251   u32 output_sa_index;
 252   u32 hw_if_index;
 253   u32 show_instance;
 254 } ipsec_tunnel_if_t;
 255
 256 typedef clib_error_t *(*add_del_sa_sess_cb_t) (u32 sa_index, u8 is_add);
 257 typedef clib_error_t *(*check_support_cb_t) (ipsec_sa_t * sa);
 258
 259 typedef struct
 260 {
 261   u8 *name;
 262   /* add/del callback */
 263   add_del_sa_sess_cb_t add_del_sa_sess_cb;
 264   /* check support function */
 265   check_support_cb_t check_support_cb;
 266   u32 ah4_encrypt_node_index;
 267   u32 ah4_decrypt_node_index;
 268   u32 ah4_encrypt_next_index;
 269   u32 ah4_decrypt_next_index;
 270   u32 ah6_encrypt_node_index;
 271   u32 ah6_decrypt_node_index;
 272   u32 ah6_encrypt_next_index;
 273   u32 ah6_decrypt_next_index;
 274 } ipsec_ah_backend_t;
 275
 276 typedef struct
 277 {
 278   u8 *name;
 279   /* add/del callback */
 280   add_del_sa_sess_cb_t add_del_sa_sess_cb;
 281   /* check support function */
 282   check_support_cb_t check_support_cb;
 283   u32 esp4_encrypt_node_index;
 284   u32 esp4_decrypt_node_index;
 285   u32 esp4_encrypt_next_index;
 286   u32 esp4_decrypt_next_index;
 287   u32 esp6_encrypt_node_index;
 288   u32 esp6_decrypt_node_index;
 289   u32 esp6_encrypt_next_index;
 290   u32 esp6_decrypt_next_index;
 291 } ipsec_esp_backend_t;
 292
 293 typedef struct
 294 {
 295   /* pool of tunnel instances */
 296   ipsec_spd_t *spds;
 297   ipsec_sa_t *sad;
 298
 299   /* pool of tunnel interfaces */
 300   ipsec_tunnel_if_t *tunnel_interfaces;
 301   u32 *free_tunnel_if_indices;
 302
 303   u32 **empty_buffers;
 304
 305   uword *tunnel_index_by_key;
 306
 307   /* convenience */
 308   vlib_main_t *vlib_main;
 309   vnet_main_t *vnet_main;
 310
 311   /* next node indices */
 312   u32 feature_next_node_index[32];
 313
 314   /* hashes */
 315   uword *spd_index_by_spd_id;
 316   uword *spd_index_by_sw_if_index;
 317   uword *sa_index_by_sa_id;
 318   uword *ipsec_if_pool_index_by_key;
 319   uword *ipsec_if_real_dev_by_show_dev;
 320
 321   /* node indices */
 322   u32 error_drop_node_index;
 323   u32 esp4_encrypt_node_index;
 324   u32 esp4_decrypt_node_index;
 325   u32 ah4_encrypt_node_index;
 326   u32 ah4_decrypt_node_index;
 327   u32 esp6_encrypt_node_index;
 328   u32 esp6_decrypt_node_index;
 329   u32 ah6_encrypt_node_index;
 330   u32 ah6_decrypt_node_index;
 331   /* next node indices */
 332   u32 esp4_encrypt_next_index;
 333   u32 esp4_decrypt_next_index;
 334   u32 ah4_encrypt_next_index;
 335   u32 ah4_decrypt_next_index;
 336   u32 esp6_encrypt_next_index;
 337   u32 esp6_decrypt_next_index;
 338   u32 ah6_encrypt_next_index;
 339   u32 ah6_decrypt_next_index;
 340
 341   /* pool of ah backends */
 342   ipsec_ah_backend_t *ah_backends;
 343   /* pool of esp backends */
 344   ipsec_esp_backend_t *esp_backends;
 345   /* index of current ah backend */
 346   u32 ah_current_backend;
 347   /* index of current esp backend */
 348   u32 esp_current_backend;
 349   /* index of default ah backend */
 350   u32 ah_default_backend;
 351   /* index of default esp backend */
 352   u32 esp_default_backend;
 353
 354   /* helper for sort function */
 355   ipsec_spd_t *spd_to_sort;
 356 } ipsec_main_t;
 357
 358 extern ipsec_main_t ipsec_main;
 359
 360 clib_error_t *ipsec_add_del_sa_sess_cb (ipsec_main_t * im, u32 sa_index,
 361                                         u8 is_add);
 362
 363 clib_error_t *ipsec_check_support_cb (ipsec_main_t * im, ipsec_sa_t * sa);
 364
 365 extern vlib_node_registration_t esp4_encrypt_node;
 366 extern vlib_node_registration_t esp4_decrypt_node;
 367 extern vlib_node_registration_t ah4_encrypt_node;
 368 extern vlib_node_registration_t ah4_decrypt_node;
 369 extern vlib_node_registration_t esp6_encrypt_node;
 370 extern vlib_node_registration_t esp6_decrypt_node;
 371 extern vlib_node_registration_t ah6_encrypt_node;
 372 extern vlib_node_registration_t ah6_decrypt_node;
 373 extern vlib_node_registration_t ipsec_if_input_node;
 374
 375 /*
 376  * functions
 377  */
 378 int ipsec_set_interface_spd (vlib_main_t * vm, u32 sw_if_index, u32 spd_id,
 379                              int is_add);
 380 int ipsec_add_del_spd (vlib_main_t * vm, u32 spd_id, int is_add);
 381 int ipsec_add_del_policy (vlib_main_t * vm, ipsec_policy_t * policy,
 382                           int is_add);
 383 int ipsec_add_del_sa (vlib_main_t * vm, ipsec_sa_t * new_sa, int is_add);
 384 int ipsec_set_sa_key (vlib_main_t * vm, ipsec_sa_t * sa_update);
 385
 386 u32 ipsec_get_sa_index_by_sa_id (u32 sa_id);
 387 u8 ipsec_is_sa_used (u32 sa_index);
 388 u8 *format_ipsec_policy_action (u8 * s, va_list * args);
 389 u8 *format_ipsec_crypto_alg (u8 * s, va_list * args);
 390 u8 *format_ipsec_integ_alg (u8 * s, va_list * args);
 391 u8 *format_ipsec_replay_window (u8 * s, va_list * args);
 392 uword unformat_ipsec_policy_action (unformat_input_t * input, va_list * args);
 393 uword unformat_ipsec_crypto_alg (unformat_input_t * input, va_list * args);
 394 uword unformat_ipsec_integ_alg (unformat_input_t * input, va_list * args);
 395
 396 int ipsec_add_del_tunnel_if_internal (vnet_main_t * vnm,
 397                                       ipsec_add_del_tunnel_args_t * args,
 398                                       u32 * sw_if_index);
 399 int ipsec_add_del_tunnel_if (ipsec_add_del_tunnel_args_t * args);
 400 int ipsec_add_del_ipsec_gre_tunnel (vnet_main_t * vnm,
 401                                     ipsec_add_del_ipsec_gre_tunnel_args_t *
 402                                     args);
 403 int ipsec_set_interface_key (vnet_main_t * vnm, u32 hw_if_index,
 404                              ipsec_if_set_key_type_t type, u8 alg, u8 * key);
 405 int ipsec_set_interface_sa (vnet_main_t * vnm, u32 hw_if_index, u32 sa_id,
 406                             u8 is_outbound);
 407
 408 /*
 409  *  inline functions
 410  */
 411
 412 always_inline void
 413 ipsec_alloc_empty_buffers (vlib_main_t * vm, ipsec_main_t * im)
 414 {
 415   u32 thread_index = vm->thread_index;
 416   uword l = vec_len (im->empty_buffers[thread_index]);
 417   uword n_alloc = 0;
 418
 419   if (PREDICT_FALSE (l < VLIB_FRAME_SIZE))
 420     {
 421       if (!im->empty_buffers[thread_index])
 422         {
 423           vec_alloc (im->empty_buffers[thread_index], 2 * VLIB_FRAME_SIZE);
 424         }
 425
 426       n_alloc = vlib_buffer_alloc (vm, im->empty_buffers[thread_index] + l,
 427                                    2 * VLIB_FRAME_SIZE - l);
 428
 429       _vec_len (im->empty_buffers[thread_index]) = l + n_alloc;
 430     }
 431 }
 432
 433 static_always_inline u32
 434 get_next_output_feature_node_index (vlib_buffer_t * b,
 435                                     vlib_node_runtime_t * nr)
 436 {
 437   u32 next;
 438   vlib_main_t *vm = vlib_get_main ();
 439   vlib_node_t *node = vlib_get_node (vm, nr->node_index);
 440
 441   vnet_feature_next (&next, b);
 442   return node->next_nodes[next];
 443 }
 444
 445 u32 ipsec_register_ah_backend (vlib_main_t * vm, ipsec_main_t * im,
 446                                const char *name,
 447                                const char *ah4_encrypt_node_name,
 448                                const char *ah4_decrypt_node_name,
 449                                const char *ah6_encrypt_node_name,
 450                                const char *ah6_decrypt_node_name,
 451                                check_support_cb_t ah_check_support_cb,
 452                                add_del_sa_sess_cb_t ah_add_del_sa_sess_cb);
 453
 454 u32 ipsec_register_esp_backend (vlib_main_t * vm, ipsec_main_t * im,
 455                                 const char *name,
 456                                 const char *esp4_encrypt_node_name,
 457                                 const char *esp4_decrypt_node_name,
 458                                 const char *esp6_encrypt_node_name,
 459                                 const char *esp6_decrypt_node_name,
 460                                 check_support_cb_t esp_check_support_cb,
 461                                 add_del_sa_sess_cb_t esp_add_del_sa_sess_cb);
 462
 463 int ipsec_select_ah_backend (ipsec_main_t * im, u32 ah_backend_idx);
 464 int ipsec_select_esp_backend (ipsec_main_t * im, u32 esp_backend_idx);
 465 #endif /* __IPSEC_H__ */
 466
 467 /*
 468  * fd.io coding-style-patch-verification: ON
 469  *
 470  * Local Variables:
 471  * eval: (c-set-style "gnu")
 472  * End:
 473  */