src/vnet/ipsec/ipsec.h

   1 /*
   2  * Copyright (c) 2015 Cisco and/or its affiliates.
   3  * Licensed under the Apache License, Version 2.0 (the "License");
   4  * you may not use this file except in compliance with the License.
   5  * You may obtain a copy of the License at:
   6  *
   7  *     http://www.apache.org/licenses/LICENSE-2.0
   8  *
   9  * Unless required by applicable law or agreed to in writing, software
  10  * distributed under the License is distributed on an "AS IS" BASIS,
  11  * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  12  * See the License for the specific language governing permissions and
  13  * limitations under the License.
  14  */
  15 #ifndef __IPSEC_H__
  16 #define __IPSEC_H__
  17
  18 #include <vnet/ip/ip.h>
  19 #include <vnet/feature/feature.h>
  20
  21 #define IPSEC_FLAG_IPSEC_GRE_TUNNEL (1 << 0)
  22
  23
  24 #define foreach_ipsec_output_next                \
  25 _(DROP, "error-drop")                            \
  26 _(ESP_ENCRYPT, "esp-encrypt")                    \
  27 _(AH_ENCRYPT, "ah-encrypt")
  28
  29 #define _(v, s) IPSEC_OUTPUT_NEXT_##v,
  30 typedef enum
  31 {
  32   foreach_ipsec_output_next
  33 #undef _
  34     IPSEC_OUTPUT_N_NEXT,
  35 } ipsec_output_next_t;
  36
  37
  38 #define foreach_ipsec_input_next                \
  39 _(DROP, "error-drop")                           \
  40 _(ESP_DECRYPT, "esp-decrypt")                   \
  41 _(AH_DECRYPT, "ah-decrypt")
  42
  43 #define _(v, s) IPSEC_INPUT_NEXT_##v,
  44 typedef enum
  45 {
  46   foreach_ipsec_input_next
  47 #undef _
  48     IPSEC_INPUT_N_NEXT,
  49 } ipsec_input_next_t;
  50
  51
  52 #define foreach_ipsec_policy_action \
  53   _(0, BYPASS,  "bypass")          \
  54   _(1, DISCARD, "discard")         \
  55   _(2, RESOLVE, "resolve")         \
  56   _(3, PROTECT, "protect")
  57
  58 typedef enum
  59 {
  60 #define _(v,f,s) IPSEC_POLICY_ACTION_##f = v,
  61   foreach_ipsec_policy_action
  62 #undef _
  63     IPSEC_POLICY_N_ACTION,
  64 } ipsec_policy_action_t;
  65
  66 #define foreach_ipsec_crypto_alg \
  67   _(0, NONE,  "none")               \
  68   _(1, AES_CBC_128, "aes-cbc-128")  \
  69   _(2, AES_CBC_192, "aes-cbc-192")  \
  70   _(3, AES_CBC_256, "aes-cbc-256")  \
  71   _(4, AES_CTR_128, "aes-ctr-128")  \
  72   _(5, AES_CTR_192, "aes-ctr-192")  \
  73   _(6, AES_CTR_256, "aes-ctr-256")  \
  74   _(7, AES_GCM_128, "aes-gcm-128")  \
  75   _(8, AES_GCM_192, "aes-gcm-192")  \
  76   _(9, AES_GCM_256, "aes-gcm-256")  \
  77   _(10, DES_CBC, "des-cbc")         \
  78   _(11, 3DES_CBC, "3des-cbc")
  79
  80 typedef enum
  81 {
  82 #define _(v,f,s) IPSEC_CRYPTO_ALG_##f = v,
  83   foreach_ipsec_crypto_alg
  84 #undef _
  85     IPSEC_CRYPTO_N_ALG,
  86 } ipsec_crypto_alg_t;
  87
  88 #define foreach_ipsec_integ_alg \
  89   _(0, NONE,  "none")                                                     \
  90   _(1, MD5_96, "md5-96")           /* RFC2403 */                          \
  91   _(2, SHA1_96, "sha1-96")         /* RFC2404 */                          \
  92   _(3, SHA_256_96, "sha-256-96")   /* draft-ietf-ipsec-ciph-sha-256-00 */ \
  93   _(4, SHA_256_128, "sha-256-128") /* RFC4868 */                          \
  94   _(5, SHA_384_192, "sha-384-192") /* RFC4868 */                          \
  95   _(6, SHA_512_256, "sha-512-256")      /* RFC4868 */
  96
  97 typedef enum
  98 {
  99 #define _(v,f,s) IPSEC_INTEG_ALG_##f = v,
 100   foreach_ipsec_integ_alg
 101 #undef _
 102     IPSEC_INTEG_N_ALG,
 103 } ipsec_integ_alg_t;
 104
 105 typedef enum
 106 {
 107   IPSEC_PROTOCOL_AH = 0,
 108   IPSEC_PROTOCOL_ESP = 1
 109 } ipsec_protocol_t;
 110
 111 typedef struct
 112 {
 113   u32 id;
 114   u32 spi;
 115   ipsec_protocol_t protocol;
 116
 117   ipsec_crypto_alg_t crypto_alg;
 118   u8 crypto_key_len;
 119   u8 crypto_key[128];
 120
 121   ipsec_integ_alg_t integ_alg;
 122   u8 integ_key_len;
 123   u8 integ_key[128];
 124
 125   u8 use_esn;
 126   u8 use_anti_replay;
 127
 128   u8 is_tunnel;
 129   u8 is_tunnel_ip6;
 130   u8 udp_encap;
 131   ip46_address_t tunnel_src_addr;
 132   ip46_address_t tunnel_dst_addr;
 133
 134   u32 salt;
 135
 136   /* runtime */
 137   u32 seq;
 138   u32 seq_hi;
 139   u32 last_seq;
 140   u32 last_seq_hi;
 141   u64 replay_window;
 142
 143   /*lifetime data */
 144   u64 total_data_size;
 145 } ipsec_sa_t;
 146
 147 typedef struct
 148 {
 149   ip46_address_t start, stop;
 150 } ip46_address_range_t;
 151
 152 typedef struct
 153 {
 154   u16 start, stop;
 155 } port_range_t;
 156
 157 typedef struct
 158 {
 159   u8 is_add;
 160   u8 esn;
 161   u8 anti_replay;
 162   ip4_address_t local_ip, remote_ip;
 163   u32 local_spi;
 164   u32 remote_spi;
 165   ipsec_crypto_alg_t crypto_alg;
 166   u8 local_crypto_key_len;
 167   u8 local_crypto_key[128];
 168   u8 remote_crypto_key_len;
 169   u8 remote_crypto_key[128];
 170   ipsec_integ_alg_t integ_alg;
 171   u8 local_integ_key_len;
 172   u8 local_integ_key[128];
 173   u8 remote_integ_key_len;
 174   u8 remote_integ_key[128];
 175   u8 renumber;
 176   u32 show_instance;
 177 } ipsec_add_del_tunnel_args_t;
 178
 179 typedef struct
 180 {
 181   u8 is_add;
 182   u32 local_sa_id;
 183   u32 remote_sa_id;
 184   ip4_address_t local_ip;
 185   ip4_address_t remote_ip;
 186 } ipsec_add_del_ipsec_gre_tunnel_args_t;
 187
 188 typedef enum
 189 {
 190   IPSEC_IF_SET_KEY_TYPE_NONE,
 191   IPSEC_IF_SET_KEY_TYPE_LOCAL_CRYPTO,
 192   IPSEC_IF_SET_KEY_TYPE_REMOTE_CRYPTO,
 193   IPSEC_IF_SET_KEY_TYPE_LOCAL_INTEG,
 194   IPSEC_IF_SET_KEY_TYPE_REMOTE_INTEG,
 195 } ipsec_if_set_key_type_t;
 196
 197 typedef struct
 198 {
 199   u32 id;
 200   i32 priority;
 201   u8 is_outbound;
 202
 203   // Selector
 204   u8 is_ipv6;
 205   ip46_address_range_t laddr;
 206   ip46_address_range_t raddr;
 207   u8 protocol;
 208   port_range_t lport;
 209   port_range_t rport;
 210
 211   // Policy
 212   u8 policy;
 213   u32 sa_id;
 214   u32 sa_index;
 215
 216   // Counter
 217   vlib_counter_t counter;
 218 } ipsec_policy_t;
 219
 220 typedef struct
 221 {
 222   u32 id;
 223   /* pool of policies */
 224   ipsec_policy_t *policies;
 225   /* vectors of policy indices */
 226   u32 *ipv4_outbound_policies;
 227   u32 *ipv6_outbound_policies;
 228   u32 *ipv4_inbound_protect_policy_indices;
 229   u32 *ipv4_inbound_policy_discard_and_bypass_indices;
 230   u32 *ipv6_inbound_protect_policy_indices;
 231   u32 *ipv6_inbound_policy_discard_and_bypass_indices;
 232 } ipsec_spd_t;
 233
 234 typedef struct
 235 {
 236   u32 spd_index;
 237 } ip4_ipsec_config_t;
 238
 239 typedef struct
 240 {
 241   u32 spd_index;
 242 } ip6_ipsec_config_t;
 243
 244 typedef struct
 245 {
 246   /* Required for pool_get_aligned */
 247   CLIB_CACHE_LINE_ALIGN_MARK (cacheline0);
 248   u32 input_sa_index;
 249   u32 output_sa_index;
 250   u32 hw_if_index;
 251   u32 show_instance;
 252 } ipsec_tunnel_if_t;
 253
 254 typedef struct
 255 {
 256   clib_error_t *(*add_del_sa_sess_cb) (u32 sa_index, u8 is_add);
 257   clib_error_t *(*check_support_cb) (ipsec_sa_t * sa);
 258 } ipsec_main_callbacks_t;
 259
 260 typedef struct
 261 {
 262   /* pool of tunnel instances */
 263   ipsec_spd_t *spds;
 264   ipsec_sa_t *sad;
 265
 266   /* pool of tunnel interfaces */
 267   ipsec_tunnel_if_t *tunnel_interfaces;
 268   u32 *free_tunnel_if_indices;
 269
 270   u32 **empty_buffers;
 271
 272   uword *tunnel_index_by_key;
 273
 274   /* convenience */
 275   vlib_main_t *vlib_main;
 276   vnet_main_t *vnet_main;
 277
 278   /* next node indices */
 279   u32 feature_next_node_index[32];
 280
 281   /* hashes */
 282   uword *spd_index_by_spd_id;
 283   uword *spd_index_by_sw_if_index;
 284   uword *sa_index_by_sa_id;
 285   uword *ipsec_if_pool_index_by_key;
 286   uword *ipsec_if_real_dev_by_show_dev;
 287
 288   /* node indeces */
 289   u32 error_drop_node_index;
 290   u32 esp_encrypt_node_index;
 291   u32 esp_decrypt_node_index;
 292   u32 ah_encrypt_node_index;
 293   u32 ah_decrypt_node_index;
 294   /* next node indeces */
 295   u32 esp_encrypt_next_index;
 296   u32 esp_decrypt_next_index;
 297   u32 ah_encrypt_next_index;
 298   u32 ah_decrypt_next_index;
 299
 300   /* callbacks */
 301   ipsec_main_callbacks_t cb;
 302
 303   /* helper for sort function */
 304   ipsec_spd_t *spd_to_sort;
 305 } ipsec_main_t;
 306
 307 extern ipsec_main_t ipsec_main;
 308
 309 extern vlib_node_registration_t esp_encrypt_node;
 310 extern vlib_node_registration_t esp_decrypt_node;
 311 extern vlib_node_registration_t ah_encrypt_node;
 312 extern vlib_node_registration_t ah_decrypt_node;
 313 extern vlib_node_registration_t ipsec_if_output_node;
 314 extern vlib_node_registration_t ipsec_if_input_node;
 315
 316
 317 /*
 318  * functions
 319  */
 320 int ipsec_set_interface_spd (vlib_main_t * vm, u32 sw_if_index, u32 spd_id,
 321                              int is_add);
 322 int ipsec_add_del_spd (vlib_main_t * vm, u32 spd_id, int is_add);
 323 int ipsec_add_del_policy (vlib_main_t * vm, ipsec_policy_t * policy,
 324                           int is_add);
 325 int ipsec_add_del_sa (vlib_main_t * vm, ipsec_sa_t * new_sa, int is_add,
 326                       u8 udp_encap);
 327 int ipsec_set_sa_key (vlib_main_t * vm, ipsec_sa_t * sa_update);
 328
 329 u32 ipsec_get_sa_index_by_sa_id (u32 sa_id);
 330 u8 ipsec_is_sa_used (u32 sa_index);
 331 u8 *format_ipsec_if_output_trace (u8 * s, va_list * args);
 332 u8 *format_ipsec_policy_action (u8 * s, va_list * args);
 333 u8 *format_ipsec_crypto_alg (u8 * s, va_list * args);
 334 u8 *format_ipsec_integ_alg (u8 * s, va_list * args);
 335 u8 *format_ipsec_replay_window (u8 * s, va_list * args);
 336 uword unformat_ipsec_policy_action (unformat_input_t * input, va_list * args);
 337 uword unformat_ipsec_crypto_alg (unformat_input_t * input, va_list * args);
 338 uword unformat_ipsec_integ_alg (unformat_input_t * input, va_list * args);
 339
 340 int ipsec_add_del_tunnel_if_internal (vnet_main_t * vnm,
 341                                       ipsec_add_del_tunnel_args_t * args,
 342                                       u32 * sw_if_index);
 343 int ipsec_add_del_tunnel_if (ipsec_add_del_tunnel_args_t * args);
 344 int ipsec_add_del_ipsec_gre_tunnel (vnet_main_t * vnm,
 345                                     ipsec_add_del_ipsec_gre_tunnel_args_t *
 346                                     args);
 347 int ipsec_set_interface_key (vnet_main_t * vnm, u32 hw_if_index,
 348                              ipsec_if_set_key_type_t type, u8 alg, u8 * key);
 349 int ipsec_set_interface_sa (vnet_main_t * vnm, u32 hw_if_index, u32 sa_id,
 350                             u8 is_outbound);
 351
 352
 353 /*
 354  *  inline functions
 355  */
 356
 357 always_inline void
 358 ipsec_alloc_empty_buffers (vlib_main_t * vm, ipsec_main_t * im)
 359 {
 360   u32 thread_index = vlib_get_thread_index ();
 361   uword l = vec_len (im->empty_buffers[thread_index]);
 362   uword n_alloc = 0;
 363
 364   if (PREDICT_FALSE (l < VLIB_FRAME_SIZE))
 365     {
 366       if (!im->empty_buffers[thread_index])
 367         {
 368           vec_alloc (im->empty_buffers[thread_index], 2 * VLIB_FRAME_SIZE);
 369         }
 370
 371       n_alloc = vlib_buffer_alloc (vm, im->empty_buffers[thread_index] + l,
 372                                    2 * VLIB_FRAME_SIZE - l);
 373
 374       _vec_len (im->empty_buffers[thread_index]) = l + n_alloc;
 375     }
 376 }
 377
 378 static_always_inline u32
 379 get_next_output_feature_node_index (vlib_buffer_t * b,
 380                                     vlib_node_runtime_t * nr)
 381 {
 382   u32 next;
 383   u32 sw_if_index = vnet_buffer (b)->sw_if_index[VLIB_TX];
 384   vlib_main_t *vm = vlib_get_main ();
 385   vlib_node_t *node = vlib_get_node (vm, nr->node_index);
 386
 387   vnet_feature_next (sw_if_index, &next, b);
 388   return node->next_nodes[next];
 389 }
 390
 391 #endif /* __IPSEC_H__ */
 392
 393 /*
 394  * fd.io coding-style-patch-verification: ON
 395  *
 396  * Local Variables:
 397  * eval: (c-set-style "gnu")
 398  * End:
 399  */