src/vnet/ipsec/ipsec.h

   1 /*
   2  * Copyright (c) 2015 Cisco and/or its affiliates.
   3  * Licensed under the Apache License, Version 2.0 (the "License");
   4  * you may not use this file except in compliance with the License.
   5  * You may obtain a copy of the License at:
   6  *
   7  *     http://www.apache.org/licenses/LICENSE-2.0
   8  *
   9  * Unless required by applicable law or agreed to in writing, software
  10  * distributed under the License is distributed on an "AS IS" BASIS,
  11  * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  12  * See the License for the specific language governing permissions and
  13  * limitations under the License.
  14  */
  15 #ifndef __IPSEC_H__
  16 #define __IPSEC_H__
  17
  18 #define IPSEC_FLAG_IPSEC_GRE_TUNNEL (1 << 0)
  19
  20
  21 #define foreach_ipsec_output_next                \
  22 _(DROP, "error-drop")                            \
  23 _(ESP_ENCRYPT, "esp-encrypt")
  24
  25 #define _(v, s) IPSEC_OUTPUT_NEXT_##v,
  26 typedef enum
  27 {
  28   foreach_ipsec_output_next
  29 #undef _
  30     IPSEC_OUTPUT_N_NEXT,
  31 } ipsec_output_next_t;
  32
  33
  34 #define foreach_ipsec_input_next                \
  35 _(DROP, "error-drop")                           \
  36 _(ESP_DECRYPT, "esp-decrypt")
  37
  38 #define _(v, s) IPSEC_INPUT_NEXT_##v,
  39 typedef enum
  40 {
  41   foreach_ipsec_input_next
  42 #undef _
  43     IPSEC_INPUT_N_NEXT,
  44 } ipsec_input_next_t;
  45
  46
  47 #define foreach_ipsec_policy_action \
  48   _(0, BYPASS,  "bypass")          \
  49   _(1, DISCARD, "discard")         \
  50   _(2, RESOLVE, "resolve")         \
  51   _(3, PROTECT, "protect")
  52
  53 typedef enum
  54 {
  55 #define _(v,f,s) IPSEC_POLICY_ACTION_##f = v,
  56   foreach_ipsec_policy_action
  57 #undef _
  58     IPSEC_POLICY_N_ACTION,
  59 } ipsec_policy_action_t;
  60
  61 #define foreach_ipsec_crypto_alg \
  62   _(0, NONE,  "none")               \
  63   _(1, AES_CBC_128, "aes-cbc-128")  \
  64   _(2, AES_CBC_192, "aes-cbc-192")  \
  65   _(3, AES_CBC_256, "aes-cbc-256")  \
  66   _(4, AES_GCM_128, "aes-gcm-128")
  67
  68 typedef enum
  69 {
  70 #define _(v,f,s) IPSEC_CRYPTO_ALG_##f = v,
  71   foreach_ipsec_crypto_alg
  72 #undef _
  73     IPSEC_CRYPTO_N_ALG,
  74 } ipsec_crypto_alg_t;
  75
  76 #define foreach_ipsec_integ_alg \
  77   _(0, NONE,  "none")                                                     \
  78   _(1, MD5_96, "md5-96")           /* RFC2403 */                          \
  79   _(2, SHA1_96, "sha1-96")         /* RFC2404 */                          \
  80   _(3, SHA_256_96, "sha-256-96")   /* draft-ietf-ipsec-ciph-sha-256-00 */ \
  81   _(4, SHA_256_128, "sha-256-128") /* RFC4868 */                          \
  82   _(5, SHA_384_192, "sha-384-192") /* RFC4868 */                          \
  83   _(6, SHA_512_256, "sha-512-256") /* RFC4868 */                          \
  84   _(7, AES_GCM_128, "aes-gcm-128")      /* RFC4106 */
  85
  86 typedef enum
  87 {
  88 #define _(v,f,s) IPSEC_INTEG_ALG_##f = v,
  89   foreach_ipsec_integ_alg
  90 #undef _
  91     IPSEC_INTEG_N_ALG,
  92 } ipsec_integ_alg_t;
  93
  94 typedef enum
  95 {
  96   IPSEC_PROTOCOL_AH = 0,
  97   IPSEC_PROTOCOL_ESP = 1
  98 } ipsec_protocol_t;
  99
 100 typedef struct
 101 {
 102   u32 id;
 103   u32 spi;
 104   ipsec_protocol_t protocol;
 105
 106   ipsec_crypto_alg_t crypto_alg;
 107   u8 crypto_key_len;
 108   u8 crypto_key[128];
 109
 110   ipsec_integ_alg_t integ_alg;
 111   u8 integ_key_len;
 112   u8 integ_key[128];
 113
 114   u8 use_esn;
 115   u8 use_anti_replay;
 116
 117   u8 is_tunnel;
 118   u8 is_tunnel_ip6;
 119   ip46_address_t tunnel_src_addr;
 120   ip46_address_t tunnel_dst_addr;
 121
 122   u32 salt;
 123
 124   /* runtime */
 125   u32 seq;
 126   u32 seq_hi;
 127   u32 last_seq;
 128   u32 last_seq_hi;
 129   u64 replay_window;
 130
 131   /*lifetime data */
 132   u64 total_data_size;
 133 } ipsec_sa_t;
 134
 135 typedef struct
 136 {
 137   ip46_address_t start, stop;
 138 } ip46_address_range_t;
 139
 140 typedef struct
 141 {
 142   u16 start, stop;
 143 } port_range_t;
 144
 145 typedef struct
 146 {
 147   u8 is_add;
 148   u8 esn;
 149   u8 anti_replay;
 150   ip4_address_t local_ip, remote_ip;
 151   u32 local_spi;
 152   u32 remote_spi;
 153   ipsec_crypto_alg_t crypto_alg;
 154   u8 local_crypto_key_len;
 155   u8 local_crypto_key[128];
 156   u8 remote_crypto_key_len;
 157   u8 remote_crypto_key[128];
 158   ipsec_integ_alg_t integ_alg;
 159   u8 local_integ_key_len;
 160   u8 local_integ_key[128];
 161   u8 remote_integ_key_len;
 162   u8 remote_integ_key[128];
 163 } ipsec_add_del_tunnel_args_t;
 164
 165 typedef struct
 166 {
 167   u8 is_add;
 168   u32 local_sa_id;
 169   u32 remote_sa_id;
 170   ip4_address_t local_ip;
 171   ip4_address_t remote_ip;
 172 } ipsec_add_del_ipsec_gre_tunnel_args_t;
 173
 174 typedef enum
 175 {
 176   IPSEC_IF_SET_KEY_TYPE_NONE,
 177   IPSEC_IF_SET_KEY_TYPE_LOCAL_CRYPTO,
 178   IPSEC_IF_SET_KEY_TYPE_REMOTE_CRYPTO,
 179   IPSEC_IF_SET_KEY_TYPE_LOCAL_INTEG,
 180   IPSEC_IF_SET_KEY_TYPE_REMOTE_INTEG,
 181 } ipsec_if_set_key_type_t;
 182
 183 typedef struct
 184 {
 185   u32 id;
 186   i32 priority;
 187   u8 is_outbound;
 188
 189   // Selector
 190   u8 is_ipv6;
 191   ip46_address_range_t laddr;
 192   ip46_address_range_t raddr;
 193   u8 protocol;
 194   port_range_t lport;
 195   port_range_t rport;
 196
 197   // Policy
 198   u8 policy;
 199   u32 sa_id;
 200   u32 sa_index;
 201
 202   // Counter
 203   vlib_counter_t counter;
 204 } ipsec_policy_t;
 205
 206 typedef struct
 207 {
 208   u32 id;
 209   /* pool of policies */
 210   ipsec_policy_t *policies;
 211   /* vectors of policy indices */
 212   u32 *ipv4_outbound_policies;
 213   u32 *ipv6_outbound_policies;
 214   u32 *ipv4_inbound_protect_policy_indices;
 215   u32 *ipv4_inbound_policy_discard_and_bypass_indices;
 216   u32 *ipv6_inbound_protect_policy_indices;
 217   u32 *ipv6_inbound_policy_discard_and_bypass_indices;
 218 } ipsec_spd_t;
 219
 220 typedef struct
 221 {
 222   u32 spd_index;
 223 } ip4_ipsec_config_t;
 224
 225 typedef struct
 226 {
 227   u32 spd_index;
 228 } ip6_ipsec_config_t;
 229
 230 typedef struct
 231 {
 232   u32 input_sa_index;
 233   u32 output_sa_index;
 234   u32 hw_if_index;
 235 } ipsec_tunnel_if_t;
 236
 237 typedef struct
 238 {
 239   i32 (*add_del_sa_sess_cb) (u32 sa_index, u8 is_add);
 240   clib_error_t *(*check_support_cb) (ipsec_sa_t * sa);
 241 } ipsec_main_callbacks_t;
 242
 243 typedef struct
 244 {
 245   /* pool of tunnel instances */
 246   ipsec_spd_t *spds;
 247   ipsec_sa_t *sad;
 248
 249   /* pool of tunnel interfaces */
 250   ipsec_tunnel_if_t *tunnel_interfaces;
 251   u32 *free_tunnel_if_indices;
 252
 253   u32 **empty_buffers;
 254
 255   uword *tunnel_index_by_key;
 256
 257   /* convenience */
 258   vlib_main_t *vlib_main;
 259   vnet_main_t *vnet_main;
 260
 261   /* next node indices */
 262   u32 feature_next_node_index[32];
 263
 264   /* hashes */
 265   uword *spd_index_by_spd_id;
 266   uword *spd_index_by_sw_if_index;
 267   uword *sa_index_by_sa_id;
 268   uword *ipsec_if_pool_index_by_key;
 269
 270   /* node indeces */
 271   u32 error_drop_node_index;
 272   u32 esp_encrypt_node_index;
 273   u32 esp_decrypt_node_index;
 274   /* next node indeces */
 275   u32 esp_encrypt_next_index;
 276   u32 esp_decrypt_next_index;
 277
 278   /* callbacks */
 279   ipsec_main_callbacks_t cb;
 280 } ipsec_main_t;
 281
 282 ipsec_main_t ipsec_main;
 283
 284 extern vlib_node_registration_t esp_encrypt_node;
 285 extern vlib_node_registration_t esp_decrypt_node;
 286 extern vlib_node_registration_t ipsec_if_output_node;
 287 extern vlib_node_registration_t ipsec_if_input_node;
 288
 289
 290 /*
 291  * functions
 292  */
 293 int ipsec_set_interface_spd (vlib_main_t * vm, u32 sw_if_index, u32 spd_id,
 294                              int is_add);
 295 int ipsec_add_del_spd (vlib_main_t * vm, u32 spd_id, int is_add);
 296 int ipsec_add_del_policy (vlib_main_t * vm, ipsec_policy_t * policy,
 297                           int is_add);
 298 int ipsec_add_del_sa (vlib_main_t * vm, ipsec_sa_t * new_sa, int is_add);
 299 int ipsec_set_sa_key (vlib_main_t * vm, ipsec_sa_t * sa_update);
 300
 301 u32 ipsec_get_sa_index_by_sa_id (u32 sa_id);
 302 u8 *format_ipsec_if_output_trace (u8 * s, va_list * args);
 303 u8 *format_ipsec_policy_action (u8 * s, va_list * args);
 304 u8 *format_ipsec_crypto_alg (u8 * s, va_list * args);
 305 u8 *format_ipsec_integ_alg (u8 * s, va_list * args);
 306 u8 *format_ipsec_replay_window (u8 * s, va_list * args);
 307 uword unformat_ipsec_policy_action (unformat_input_t * input, va_list * args);
 308 uword unformat_ipsec_crypto_alg (unformat_input_t * input, va_list * args);
 309 uword unformat_ipsec_integ_alg (unformat_input_t * input, va_list * args);
 310
 311 int ipsec_add_del_tunnel_if_internal (vnet_main_t * vnm,
 312                                       ipsec_add_del_tunnel_args_t * args,
 313                                       u32 * sw_if_index);
 314 int ipsec_add_del_tunnel_if (ipsec_add_del_tunnel_args_t * args);
 315 int ipsec_add_del_ipsec_gre_tunnel (vnet_main_t * vnm,
 316                                     ipsec_add_del_ipsec_gre_tunnel_args_t *
 317                                     args);
 318 int ipsec_set_interface_key (vnet_main_t * vnm, u32 hw_if_index,
 319                              ipsec_if_set_key_type_t type, u8 alg, u8 * key);
 320
 321
 322 /*
 323  *  inline functions
 324  */
 325
 326 always_inline void
 327 ipsec_alloc_empty_buffers (vlib_main_t * vm, ipsec_main_t * im)
 328 {
 329   u32 thread_index = vlib_get_thread_index ();
 330   uword l = vec_len (im->empty_buffers[thread_index]);
 331   uword n_alloc = 0;
 332
 333   if (PREDICT_FALSE (l < VLIB_FRAME_SIZE))
 334     {
 335       if (!im->empty_buffers[thread_index])
 336         {
 337           vec_alloc (im->empty_buffers[thread_index], 2 * VLIB_FRAME_SIZE);
 338         }
 339
 340       n_alloc = vlib_buffer_alloc (vm, im->empty_buffers[thread_index] + l,
 341                                    2 * VLIB_FRAME_SIZE - l);
 342
 343       _vec_len (im->empty_buffers[thread_index]) = l + n_alloc;
 344     }
 345 }
 346
 347 static_always_inline u32
 348 get_next_output_feature_node_index (vlib_buffer_t * b,
 349                                     vlib_node_runtime_t * nr)
 350 {
 351   u32 next;
 352   u32 sw_if_index = vnet_buffer (b)->sw_if_index[VLIB_TX];
 353   vlib_main_t *vm = vlib_get_main ();
 354   vlib_node_t *node = vlib_get_node (vm, nr->node_index);
 355
 356   vnet_feature_next (sw_if_index, &next, b);
 357   return node->next_nodes[next];
 358 }
 359
 360 #endif /* __IPSEC_H__ */
 361
 362 /*
 363  * fd.io coding-style-patch-verification: ON
 364  *
 365  * Local Variables:
 366  * eval: (c-set-style "gnu")
 367  * End:
 368  */