src/vnet/ipsec/ipsec.h

   1 /*
   2  * Copyright (c) 2015 Cisco and/or its affiliates.
   3  * Licensed under the Apache License, Version 2.0 (the "License");
   4  * you may not use this file except in compliance with the License.
   5  * You may obtain a copy of the License at:
   6  *
   7  *     http://www.apache.org/licenses/LICENSE-2.0
   8  *
   9  * Unless required by applicable law or agreed to in writing, software
  10  * distributed under the License is distributed on an "AS IS" BASIS,
  11  * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  12  * See the License for the specific language governing permissions and
  13  * limitations under the License.
  14  */
  15 #ifndef __IPSEC_H__
  16 #define __IPSEC_H__
  17
  18 #include <vnet/ip/ip.h>
  19 #include <vnet/feature/feature.h>
  20
  21 #define IPSEC_FLAG_IPSEC_GRE_TUNNEL (1 << 0)
  22
  23 #define foreach_ipsec_output_next        \
  24   _ (DROP, "error-drop")                 \
  25   _ (ESP4_ENCRYPT, "esp4-encrypt") \
  26   _ (AH4_ENCRYPT, "ah4-encrypt")   \
  27   _ (ESP6_ENCRYPT, "esp6-encrypt") \
  28   _ (AH6_ENCRYPT, "ah6-encrypt")
  29
  30 #define _(v, s) IPSEC_OUTPUT_NEXT_##v,
  31 typedef enum
  32 {
  33   foreach_ipsec_output_next
  34 #undef _
  35     IPSEC_OUTPUT_N_NEXT,
  36 } ipsec_output_next_t;
  37
  38 #define foreach_ipsec_input_next         \
  39   _ (DROP, "error-drop")                 \
  40   _ (ESP4_DECRYPT, "esp4-decrypt") \
  41   _ (AH4_DECRYPT, "ah4-decrypt")   \
  42   _ (ESP6_DECRYPT, "esp6-decrypt") \
  43   _ (AH6_DECRYPT, "ah6-decrypt")
  44
  45 #define _(v, s) IPSEC_INPUT_NEXT_##v,
  46 typedef enum
  47 {
  48   foreach_ipsec_input_next
  49 #undef _
  50     IPSEC_INPUT_N_NEXT,
  51 } ipsec_input_next_t;
  52
  53
  54 #define foreach_ipsec_policy_action \
  55   _(0, BYPASS,  "bypass")          \
  56   _(1, DISCARD, "discard")         \
  57   _(2, RESOLVE, "resolve")         \
  58   _(3, PROTECT, "protect")
  59
  60 typedef enum
  61 {
  62 #define _(v,f,s) IPSEC_POLICY_ACTION_##f = v,
  63   foreach_ipsec_policy_action
  64 #undef _
  65     IPSEC_POLICY_N_ACTION,
  66 } ipsec_policy_action_t;
  67
  68 #define foreach_ipsec_crypto_alg \
  69   _(0, NONE,  "none")               \
  70   _(1, AES_CBC_128, "aes-cbc-128")  \
  71   _(2, AES_CBC_192, "aes-cbc-192")  \
  72   _(3, AES_CBC_256, "aes-cbc-256")  \
  73   _(4, AES_CTR_128, "aes-ctr-128")  \
  74   _(5, AES_CTR_192, "aes-ctr-192")  \
  75   _(6, AES_CTR_256, "aes-ctr-256")  \
  76   _(7, AES_GCM_128, "aes-gcm-128")  \
  77   _(8, AES_GCM_192, "aes-gcm-192")  \
  78   _(9, AES_GCM_256, "aes-gcm-256")  \
  79   _(10, DES_CBC, "des-cbc")         \
  80   _(11, 3DES_CBC, "3des-cbc")
  81
  82 typedef enum
  83 {
  84 #define _(v,f,s) IPSEC_CRYPTO_ALG_##f = v,
  85   foreach_ipsec_crypto_alg
  86 #undef _
  87     IPSEC_CRYPTO_N_ALG,
  88 } ipsec_crypto_alg_t;
  89
  90 #define foreach_ipsec_integ_alg \
  91   _(0, NONE,  "none")                                                     \
  92   _(1, MD5_96, "md5-96")           /* RFC2403 */                          \
  93   _(2, SHA1_96, "sha1-96")         /* RFC2404 */                          \
  94   _(3, SHA_256_96, "sha-256-96")   /* draft-ietf-ipsec-ciph-sha-256-00 */ \
  95   _(4, SHA_256_128, "sha-256-128") /* RFC4868 */                          \
  96   _(5, SHA_384_192, "sha-384-192") /* RFC4868 */                          \
  97   _(6, SHA_512_256, "sha-512-256")      /* RFC4868 */
  98
  99 typedef enum
 100 {
 101 #define _(v,f,s) IPSEC_INTEG_ALG_##f = v,
 102   foreach_ipsec_integ_alg
 103 #undef _
 104     IPSEC_INTEG_N_ALG,
 105 } ipsec_integ_alg_t;
 106
 107 typedef enum
 108 {
 109   IPSEC_PROTOCOL_AH = 0,
 110   IPSEC_PROTOCOL_ESP = 1
 111 } ipsec_protocol_t;
 112
 113 typedef struct
 114 {
 115   u32 id;
 116   u32 spi;
 117   ipsec_protocol_t protocol;
 118
 119   ipsec_crypto_alg_t crypto_alg;
 120   u8 crypto_key_len;
 121   u8 crypto_key[128];
 122
 123   ipsec_integ_alg_t integ_alg;
 124   u8 integ_key_len;
 125   u8 integ_key[128];
 126
 127   u8 use_esn;
 128   u8 use_anti_replay;
 129
 130   u8 is_tunnel;
 131   u8 is_tunnel_ip6;
 132   u8 udp_encap;
 133   ip46_address_t tunnel_src_addr;
 134   ip46_address_t tunnel_dst_addr;
 135
 136   u32 salt;
 137
 138   /* runtime */
 139   u32 seq;
 140   u32 seq_hi;
 141   u32 last_seq;
 142   u32 last_seq_hi;
 143   u64 replay_window;
 144
 145   /*lifetime data */
 146   u64 total_data_size;
 147 } ipsec_sa_t;
 148
 149 typedef struct
 150 {
 151   ip46_address_t start, stop;
 152 } ip46_address_range_t;
 153
 154 typedef struct
 155 {
 156   u16 start, stop;
 157 } port_range_t;
 158
 159 typedef struct
 160 {
 161   u8 is_add;
 162   u8 esn;
 163   u8 anti_replay;
 164   ip4_address_t local_ip, remote_ip;
 165   u32 local_spi;
 166   u32 remote_spi;
 167   ipsec_crypto_alg_t crypto_alg;
 168   u8 local_crypto_key_len;
 169   u8 local_crypto_key[128];
 170   u8 remote_crypto_key_len;
 171   u8 remote_crypto_key[128];
 172   ipsec_integ_alg_t integ_alg;
 173   u8 local_integ_key_len;
 174   u8 local_integ_key[128];
 175   u8 remote_integ_key_len;
 176   u8 remote_integ_key[128];
 177   u8 renumber;
 178   u32 show_instance;
 179   u8 udp_encap;
 180 } ipsec_add_del_tunnel_args_t;
 181
 182 typedef struct
 183 {
 184   u8 is_add;
 185   u32 local_sa_id;
 186   u32 remote_sa_id;
 187   ip4_address_t local_ip;
 188   ip4_address_t remote_ip;
 189 } ipsec_add_del_ipsec_gre_tunnel_args_t;
 190
 191 typedef enum
 192 {
 193   IPSEC_IF_SET_KEY_TYPE_NONE,
 194   IPSEC_IF_SET_KEY_TYPE_LOCAL_CRYPTO,
 195   IPSEC_IF_SET_KEY_TYPE_REMOTE_CRYPTO,
 196   IPSEC_IF_SET_KEY_TYPE_LOCAL_INTEG,
 197   IPSEC_IF_SET_KEY_TYPE_REMOTE_INTEG,
 198 } ipsec_if_set_key_type_t;
 199
 200 typedef struct
 201 {
 202   u32 id;
 203   i32 priority;
 204   u8 is_outbound;
 205
 206   // Selector
 207   u8 is_ipv6;
 208   ip46_address_range_t laddr;
 209   ip46_address_range_t raddr;
 210   u8 protocol;
 211   port_range_t lport;
 212   port_range_t rport;
 213
 214   // Policy
 215   u8 policy;
 216   u32 sa_id;
 217   u32 sa_index;
 218
 219   // Counter
 220   vlib_counter_t counter;
 221 } ipsec_policy_t;
 222
 223 typedef struct
 224 {
 225   u32 id;
 226   /* pool of policies */
 227   ipsec_policy_t *policies;
 228   /* vectors of policy indices */
 229   u32 *ipv4_outbound_policies;
 230   u32 *ipv6_outbound_policies;
 231   u32 *ipv4_inbound_protect_policy_indices;
 232   u32 *ipv4_inbound_policy_discard_and_bypass_indices;
 233   u32 *ipv6_inbound_protect_policy_indices;
 234   u32 *ipv6_inbound_policy_discard_and_bypass_indices;
 235 } ipsec_spd_t;
 236
 237 typedef struct
 238 {
 239   u32 spd_index;
 240 } ip4_ipsec_config_t;
 241
 242 typedef struct
 243 {
 244   u32 spd_index;
 245 } ip6_ipsec_config_t;
 246
 247 typedef struct
 248 {
 249   /* Required for pool_get_aligned */
 250   CLIB_CACHE_LINE_ALIGN_MARK (cacheline0);
 251   u32 input_sa_index;
 252   u32 output_sa_index;
 253   u32 hw_if_index;
 254   u32 show_instance;
 255 } ipsec_tunnel_if_t;
 256
 257 typedef struct
 258 {
 259   clib_error_t *(*add_del_sa_sess_cb) (u32 sa_index, u8 is_add);
 260   clib_error_t *(*check_support_cb) (ipsec_sa_t * sa);
 261 } ipsec_main_callbacks_t;
 262
 263 typedef struct
 264 {
 265   /* pool of tunnel instances */
 266   ipsec_spd_t *spds;
 267   ipsec_sa_t *sad;
 268
 269   /* pool of tunnel interfaces */
 270   ipsec_tunnel_if_t *tunnel_interfaces;
 271   u32 *free_tunnel_if_indices;
 272
 273   u32 **empty_buffers;
 274
 275   uword *tunnel_index_by_key;
 276
 277   /* convenience */
 278   vlib_main_t *vlib_main;
 279   vnet_main_t *vnet_main;
 280
 281   /* next node indices */
 282   u32 feature_next_node_index[32];
 283
 284   /* hashes */
 285   uword *spd_index_by_spd_id;
 286   uword *spd_index_by_sw_if_index;
 287   uword *sa_index_by_sa_id;
 288   uword *ipsec_if_pool_index_by_key;
 289   uword *ipsec_if_real_dev_by_show_dev;
 290
 291   /* node indices */
 292   u32 error_drop_node_index;
 293   u32 esp4_encrypt_node_index;
 294   u32 esp4_decrypt_node_index;
 295   u32 ah4_encrypt_node_index;
 296   u32 ah4_decrypt_node_index;
 297   u32 esp6_encrypt_node_index;
 298   u32 esp6_decrypt_node_index;
 299   u32 ah6_encrypt_node_index;
 300   u32 ah6_decrypt_node_index;
 301   /* next node indices */
 302   u32 esp4_encrypt_next_index;
 303   u32 esp4_decrypt_next_index;
 304   u32 ah4_encrypt_next_index;
 305   u32 ah4_decrypt_next_index;
 306   u32 esp6_encrypt_next_index;
 307   u32 esp6_decrypt_next_index;
 308   u32 ah6_encrypt_next_index;
 309   u32 ah6_decrypt_next_index;
 310
 311   /* callbacks */
 312   ipsec_main_callbacks_t cb;
 313
 314   /* helper for sort function */
 315   ipsec_spd_t *spd_to_sort;
 316 } ipsec_main_t;
 317
 318 extern ipsec_main_t ipsec_main;
 319
 320 extern vlib_node_registration_t esp4_encrypt_node;
 321 extern vlib_node_registration_t esp4_decrypt_node;
 322 extern vlib_node_registration_t ah4_encrypt_node;
 323 extern vlib_node_registration_t ah4_decrypt_node;
 324 extern vlib_node_registration_t esp6_encrypt_node;
 325 extern vlib_node_registration_t esp6_decrypt_node;
 326 extern vlib_node_registration_t ah6_encrypt_node;
 327 extern vlib_node_registration_t ah6_decrypt_node;
 328 extern vlib_node_registration_t ipsec_if_input_node;
 329
 330
 331 /*
 332  * functions
 333  */
 334 int ipsec_set_interface_spd (vlib_main_t * vm, u32 sw_if_index, u32 spd_id,
 335                              int is_add);
 336 int ipsec_add_del_spd (vlib_main_t * vm, u32 spd_id, int is_add);
 337 int ipsec_add_del_policy (vlib_main_t * vm, ipsec_policy_t * policy,
 338                           int is_add);
 339 int ipsec_add_del_sa (vlib_main_t * vm, ipsec_sa_t * new_sa, int is_add);
 340 int ipsec_set_sa_key (vlib_main_t * vm, ipsec_sa_t * sa_update);
 341
 342 u32 ipsec_get_sa_index_by_sa_id (u32 sa_id);
 343 u8 ipsec_is_sa_used (u32 sa_index);
 344 u8 *format_ipsec_policy_action (u8 * s, va_list * args);
 345 u8 *format_ipsec_crypto_alg (u8 * s, va_list * args);
 346 u8 *format_ipsec_integ_alg (u8 * s, va_list * args);
 347 u8 *format_ipsec_replay_window (u8 * s, va_list * args);
 348 uword unformat_ipsec_policy_action (unformat_input_t * input, va_list * args);
 349 uword unformat_ipsec_crypto_alg (unformat_input_t * input, va_list * args);
 350 uword unformat_ipsec_integ_alg (unformat_input_t * input, va_list * args);
 351
 352 int ipsec_add_del_tunnel_if_internal (vnet_main_t * vnm,
 353                                       ipsec_add_del_tunnel_args_t * args,
 354                                       u32 * sw_if_index);
 355 int ipsec_add_del_tunnel_if (ipsec_add_del_tunnel_args_t * args);
 356 int ipsec_add_del_ipsec_gre_tunnel (vnet_main_t * vnm,
 357                                     ipsec_add_del_ipsec_gre_tunnel_args_t *
 358                                     args);
 359 int ipsec_set_interface_key (vnet_main_t * vnm, u32 hw_if_index,
 360                              ipsec_if_set_key_type_t type, u8 alg, u8 * key);
 361 int ipsec_set_interface_sa (vnet_main_t * vnm, u32 hw_if_index, u32 sa_id,
 362                             u8 is_outbound);
 363
 364
 365 /*
 366  *  inline functions
 367  */
 368
 369 always_inline void
 370 ipsec_alloc_empty_buffers (vlib_main_t * vm, ipsec_main_t * im)
 371 {
 372   u32 thread_index = vm->thread_index;
 373   uword l = vec_len (im->empty_buffers[thread_index]);
 374   uword n_alloc = 0;
 375
 376   if (PREDICT_FALSE (l < VLIB_FRAME_SIZE))
 377     {
 378       if (!im->empty_buffers[thread_index])
 379         {
 380           vec_alloc (im->empty_buffers[thread_index], 2 * VLIB_FRAME_SIZE);
 381         }
 382
 383       n_alloc = vlib_buffer_alloc (vm, im->empty_buffers[thread_index] + l,
 384                                    2 * VLIB_FRAME_SIZE - l);
 385
 386       _vec_len (im->empty_buffers[thread_index]) = l + n_alloc;
 387     }
 388 }
 389
 390 static_always_inline u32
 391 get_next_output_feature_node_index (vlib_buffer_t * b,
 392                                     vlib_node_runtime_t * nr)
 393 {
 394   u32 next;
 395   vlib_main_t *vm = vlib_get_main ();
 396   vlib_node_t *node = vlib_get_node (vm, nr->node_index);
 397
 398   vnet_feature_next (&next, b);
 399   return node->next_nodes[next];
 400 }
 401
 402 #endif /* __IPSEC_H__ */
 403
 404 /*
 405  * fd.io coding-style-patch-verification: ON
 406  *
 407  * Local Variables:
 408  * eval: (c-set-style "gnu")
 409  * End:
 410  */