include/net/xfrm.h

   1 #ifndef _NET_XFRM_H
   2 #define _NET_XFRM_H
   3
   4 #include <linux/compiler.h>
   5 #include <linux/xfrm.h>
   6 #include <linux/spinlock.h>
   7 #include <linux/list.h>
   8 #include <linux/skbuff.h>
   9 #include <linux/socket.h>
  10 #include <linux/pfkeyv2.h>
  11 #include <linux/ipsec.h>
  12 #include <linux/in6.h>
  13 #include <linux/mutex.h>
  14 #include <linux/audit.h>
  15
  16 #include <net/sock.h>
  17 #include <net/dst.h>
  18 #include <net/ip.h>
  19 #include <net/route.h>
  20 #include <net/ipv6.h>
  21 #include <net/ip6_fib.h>
  22 #ifdef CONFIG_XFRM_STATISTICS
  23 #include <net/snmp.h>
  24 #endif
  25
  26 #define XFRM_PROTO_ESP          50
  27 #define XFRM_PROTO_AH           51
  28 #define XFRM_PROTO_COMP         108
  29 #define XFRM_PROTO_IPIP         4
  30 #define XFRM_PROTO_IPV6         41
  31 #define XFRM_PROTO_ROUTING      IPPROTO_ROUTING
  32 #define XFRM_PROTO_DSTOPTS      IPPROTO_DSTOPTS
  33
  34 #define XFRM_ALIGN8(len)        (((len) + 7) & ~7)
  35 #define MODULE_ALIAS_XFRM_MODE(family, encap) \
  36         MODULE_ALIAS("xfrm-mode-" __stringify(family) "-" __stringify(encap))
  37 #define MODULE_ALIAS_XFRM_TYPE(family, proto) \
  38         MODULE_ALIAS("xfrm-type-" __stringify(family) "-" __stringify(proto))
  39
  40 #ifdef CONFIG_XFRM_STATISTICS
  41 DECLARE_SNMP_STAT(struct linux_xfrm_mib, xfrm_statistics);
  42 #define XFRM_INC_STATS(field)           SNMP_INC_STATS(xfrm_statistics, field)
  43 #define XFRM_INC_STATS_BH(field)        SNMP_INC_STATS_BH(xfrm_statistics, field)
  44 #define XFRM_INC_STATS_USER(field)      SNMP_INC_STATS_USER(xfrm_statistics, field)
  45 #else
  46 #define XFRM_INC_STATS(field)
  47 #define XFRM_INC_STATS_BH(field)
  48 #define XFRM_INC_STATS_USER(field)
  49 #endif
  50
  51 extern u32 sysctl_xfrm_aevent_etime;
  52 extern u32 sysctl_xfrm_aevent_rseqth;
  53 extern int sysctl_xfrm_larval_drop;
  54 extern u32 sysctl_xfrm_acq_expires;
  55
  56 extern struct mutex xfrm_cfg_mutex;
  57
  58 /* Organization of SPD aka "XFRM rules"
  59    ------------------------------------
  60
  61    Basic objects:
  62    - policy rule, struct xfrm_policy (=SPD entry)
  63    - bundle of transformations, struct dst_entry == struct xfrm_dst (=SA bundle)
  64    - instance of a transformer, struct xfrm_state (=SA)
  65    - template to clone xfrm_state, struct xfrm_tmpl
  66
  67    SPD is plain linear list of xfrm_policy rules, ordered by priority.
  68    (To be compatible with existing pfkeyv2 implementations,
  69    many rules with priority of 0x7fffffff are allowed to exist and
  70    such rules are ordered in an unpredictable way, thanks to bsd folks.)
  71
  72    Lookup is plain linear search until the first match with selector.
  73
  74    If "action" is "block", then we prohibit the flow, otherwise:
  75    if "xfrms_nr" is zero, the flow passes untransformed. Otherwise,
  76    policy entry has list of up to XFRM_MAX_DEPTH transformations,
  77    described by templates xfrm_tmpl. Each template is resolved
  78    to a complete xfrm_state (see below) and we pack bundle of transformations
  79    to a dst_entry returned to requestor.
  80
  81    dst -. xfrm  .-> xfrm_state #1
  82     |---. child .-> dst -. xfrm .-> xfrm_state #2
  83                      |---. child .-> dst -. xfrm .-> xfrm_state #3
  84                                       |---. child .-> NULL
  85
  86    Bundles are cached at xrfm_policy struct (field ->bundles).
  87
  88
  89    Resolution of xrfm_tmpl
  90    -----------------------
  91    Template contains:
  92    1. ->mode            Mode: transport or tunnel
  93    2. ->id.proto        Protocol: AH/ESP/IPCOMP
  94    3. ->id.daddr        Remote tunnel endpoint, ignored for transport mode.
  95       Q: allow to resolve security gateway?
  96    4. ->id.spi          If not zero, static SPI.
  97    5. ->saddr           Local tunnel endpoint, ignored for transport mode.
  98    6. ->algos           List of allowed algos. Plain bitmask now.
  99       Q: ealgos, aalgos, calgos. What a mess...
 100    7. ->share           Sharing mode.
 101       Q: how to implement private sharing mode? To add struct sock* to
 102       flow id?
 103
 104    Having this template we search through SAD searching for entries
 105    with appropriate mode/proto/algo, permitted by selector.
 106    If no appropriate entry found, it is requested from key manager.
 107
 108    PROBLEMS:
 109    Q: How to find all the bundles referring to a physical path for
 110       PMTU discovery? Seems, dst should contain list of all parents...
 111       and enter to infinite locking hierarchy disaster.
 112       No! It is easier, we will not search for them, let them find us.
 113       We add genid to each dst plus pointer to genid of raw IP route,
 114       pmtu disc will update pmtu on raw IP route and increase its genid.
 115       dst_check() will see this for top level and trigger resyncing
 116       metrics. Plus, it will be made via sk->sk_dst_cache. Solved.
 117  */
 118
 119 struct xfrm_state_walk {
 120         struct list_head        all;
 121         u8                      state;
 122         union {
 123                 u8              dying;
 124                 u8              proto;
 125         };
 126         u32                     seq;
 127 };
 128
 129 /* Full description of state of transformer. */
 130 struct xfrm_state
 131 {
 132 #ifdef CONFIG_NET_NS
 133         struct net              *xs_net;
 134 #endif
 135         union {
 136                 struct hlist_node       gclist;
 137                 struct hlist_node       bydst;
 138         };
 139         struct hlist_node       bysrc;
 140         struct hlist_node       byspi;
 141
 142         atomic_t                refcnt;
 143         spinlock_t              lock;
 144
 145         struct xfrm_id          id;
 146         struct xfrm_selector    sel;
 147
 148         u32                     genid;
 149
 150         /* Key manager bits */
 151         struct xfrm_state_walk  km;
 152
 153         /* Parameters of this state. */
 154         struct {
 155                 u32             reqid;
 156                 u8              mode;
 157                 u8              replay_window;
 158                 u8              aalgo, ealgo, calgo;
 159                 u8              flags;
 160                 u16             family;
 161                 xfrm_address_t  saddr;
 162                 int             header_len;
 163                 int             trailer_len;
 164         } props;
 165
 166         struct xfrm_lifetime_cfg lft;
 167
 168         /* Data for transformer */
 169         struct xfrm_algo        *aalg;
 170         struct xfrm_algo        *ealg;
 171         struct xfrm_algo        *calg;
 172         struct xfrm_algo_aead   *aead;
 173
 174         /* Data for encapsulator */
 175         struct xfrm_encap_tmpl  *encap;
 176
 177         /* Data for care-of address */
 178         xfrm_address_t  *coaddr;
 179
 180         /* IPComp needs an IPIP tunnel for handling uncompressed packets */
 181         struct xfrm_state       *tunnel;
 182
 183         /* If a tunnel, number of users + 1 */
 184         atomic_t                tunnel_users;
 185
 186         /* State for replay detection */
 187         struct xfrm_replay_state replay;
 188
 189         /* Replay detection state at the time we sent the last notification */
 190         struct xfrm_replay_state preplay;
 191
 192         /* internal flag that only holds state for delayed aevent at the
 193          * moment
 194         */
 195         u32                     xflags;
 196
 197         /* Replay detection notification settings */
 198         u32                     replay_maxage;
 199         u32                     replay_maxdiff;
 200
 201         /* Replay detection notification timer */
 202         struct timer_list       rtimer;
 203
 204         /* Statistics */
 205         struct xfrm_stats       stats;
 206
 207         struct xfrm_lifetime_cur curlft;
 208         struct timer_list       timer;
 209
 210         /* Last used time */
 211         unsigned long           lastused;
 212
 213         /* Reference to data common to all the instances of this
 214          * transformer. */
 215         const struct xfrm_type  *type;
 216         struct xfrm_mode        *inner_mode;
 217         struct xfrm_mode        *inner_mode_iaf;
 218         struct xfrm_mode        *outer_mode;
 219
 220         /* Security context */
 221         struct xfrm_sec_ctx     *security;
 222
 223         /* Private data of this transformer, format is opaque,
 224          * interpreted by xfrm_type methods. */
 225         void                    *data;
 226 };
 227
 228 static inline struct net *xs_net(struct xfrm_state *x)
 229 {
 230         return read_pnet(&x->xs_net);
 231 }
 232
 233 /* xflags - make enum if more show up */
 234 #define XFRM_TIME_DEFER 1
 235
 236 enum {
 237         XFRM_STATE_VOID,
 238         XFRM_STATE_ACQ,
 239         XFRM_STATE_VALID,
 240         XFRM_STATE_ERROR,
 241         XFRM_STATE_EXPIRED,
 242         XFRM_STATE_DEAD
 243 };
 244
 245 /* callback structure passed from either netlink or pfkey */
 246 struct km_event
 247 {
 248         union {
 249                 u32 hard;
 250                 u32 proto;
 251                 u32 byid;
 252                 u32 aevent;
 253                 u32 type;
 254         } data;
 255
 256         u32     seq;
 257         u32     pid;
 258         u32     event;
 259         struct net *net;
 260 };
 261
 262 struct net_device;
 263 struct xfrm_type;
 264 struct xfrm_dst;
 265 struct xfrm_policy_afinfo {
 266         unsigned short          family;
 267         struct dst_ops          *dst_ops;
 268         void                    (*garbage_collect)(struct net *net);
 269         struct dst_entry        *(*dst_lookup)(struct net *net, int tos,
 270                                                xfrm_address_t *saddr,
 271                                                xfrm_address_t *daddr);
 272         int                     (*get_saddr)(struct net *net, xfrm_address_t *saddr, xfrm_address_t *daddr);
 273         struct dst_entry        *(*find_bundle)(struct flowi *fl, struct xfrm_policy *policy);
 274         void                    (*decode_session)(struct sk_buff *skb,
 275                                                   struct flowi *fl,
 276                                                   int reverse);
 277         int                     (*get_tos)(struct flowi *fl);
 278         int                     (*init_path)(struct xfrm_dst *path,
 279                                              struct dst_entry *dst,
 280                                              int nfheader_len);
 281         int                     (*fill_dst)(struct xfrm_dst *xdst,
 282                                             struct net_device *dev);
 283 };
 284
 285 extern int xfrm_policy_register_afinfo(struct xfrm_policy_afinfo *afinfo);
 286 extern int xfrm_policy_unregister_afinfo(struct xfrm_policy_afinfo *afinfo);
 287 extern void km_policy_notify(struct xfrm_policy *xp, int dir, struct km_event *c);
 288 extern void km_state_notify(struct xfrm_state *x, struct km_event *c);
 289
 290 struct xfrm_tmpl;
 291 extern int km_query(struct xfrm_state *x, struct xfrm_tmpl *t, struct xfrm_policy *pol);
 292 extern void km_state_expired(struct xfrm_state *x, int hard, u32 pid);
 293 extern int __xfrm_state_delete(struct xfrm_state *x);
 294
 295 struct xfrm_state_afinfo {
 296         unsigned int            family;
 297         unsigned int            proto;
 298         __be16                  eth_proto;
 299         struct module           *owner;
 300         const struct xfrm_type  *type_map[IPPROTO_MAX];
 301         struct xfrm_mode        *mode_map[XFRM_MODE_MAX];
 302         int                     (*init_flags)(struct xfrm_state *x);
 303         void                    (*init_tempsel)(struct xfrm_state *x, struct flowi *fl,
 304                                                 struct xfrm_tmpl *tmpl,
 305                                                 xfrm_address_t *daddr, xfrm_address_t *saddr);
 306         int                     (*tmpl_sort)(struct xfrm_tmpl **dst, struct xfrm_tmpl **src, int n);
 307         int                     (*state_sort)(struct xfrm_state **dst, struct xfrm_state **src, int n);
 308         int                     (*output)(struct sk_buff *skb);
 309         int                     (*extract_input)(struct xfrm_state *x,
 310                                                  struct sk_buff *skb);
 311         int                     (*extract_output)(struct xfrm_state *x,
 312                                                   struct sk_buff *skb);
 313         int                     (*transport_finish)(struct sk_buff *skb,
 314                                                     int async);
 315 };
 316
 317 extern int xfrm_state_register_afinfo(struct xfrm_state_afinfo *afinfo);
 318 extern int xfrm_state_unregister_afinfo(struct xfrm_state_afinfo *afinfo);
 319
 320 extern void xfrm_state_delete_tunnel(struct xfrm_state *x);
 321
 322 struct xfrm_type
 323 {
 324         char                    *description;
 325         struct module           *owner;
 326         __u8                    proto;
 327         __u8                    flags;
 328 #define XFRM_TYPE_NON_FRAGMENT  1
 329 #define XFRM_TYPE_REPLAY_PROT   2
 330 #define XFRM_TYPE_LOCAL_COADDR  4
 331 #define XFRM_TYPE_REMOTE_COADDR 8
 332
 333         int                     (*init_state)(struct xfrm_state *x);
 334         void                    (*destructor)(struct xfrm_state *);
 335         int                     (*input)(struct xfrm_state *, struct sk_buff *skb);
 336         int                     (*output)(struct xfrm_state *, struct sk_buff *pskb);
 337         int                     (*reject)(struct xfrm_state *, struct sk_buff *, struct flowi *);
 338         int                     (*hdr_offset)(struct xfrm_state *, struct sk_buff *, u8 **);
 339         /* Estimate maximal size of result of transformation of a dgram */
 340         u32                     (*get_mtu)(struct xfrm_state *, int size);
 341 };
 342
 343 extern int xfrm_register_type(const struct xfrm_type *type, unsigned short family);
 344 extern int xfrm_unregister_type(const struct xfrm_type *type, unsigned short family);
 345
 346 struct xfrm_mode {
 347         /*
 348          * Remove encapsulation header.
 349          *
 350          * The IP header will be moved over the top of the encapsulation
 351          * header.
 352          *
 353          * On entry, the transport header shall point to where the IP header
 354          * should be and the network header shall be set to where the IP
 355          * header currently is.  skb->data shall point to the start of the
 356          * payload.
 357          */
 358         int (*input2)(struct xfrm_state *x, struct sk_buff *skb);
 359
 360         /*
 361          * This is the actual input entry point.
 362          *
 363          * For transport mode and equivalent this would be identical to
 364          * input2 (which does not need to be set).  While tunnel mode
 365          * and equivalent would set this to the tunnel encapsulation function
 366          * xfrm4_prepare_input that would in turn call input2.
 367          */
 368         int (*input)(struct xfrm_state *x, struct sk_buff *skb);
 369
 370         /*
 371          * Add encapsulation header.
 372          *
 373          * On exit, the transport header will be set to the start of the
 374          * encapsulation header to be filled in by x->type->output and
 375          * the mac header will be set to the nextheader (protocol for
 376          * IPv4) field of the extension header directly preceding the
 377          * encapsulation header, or in its absence, that of the top IP
 378          * header.  The value of the network header will always point
 379          * to the top IP header while skb->data will point to the payload.
 380          */
 381         int (*output2)(struct xfrm_state *x,struct sk_buff *skb);
 382
 383         /*
 384          * This is the actual output entry point.
 385          *
 386          * For transport mode and equivalent this would be identical to
 387          * output2 (which does not need to be set).  While tunnel mode
 388          * and equivalent would set this to a tunnel encapsulation function
 389          * (xfrm4_prepare_output or xfrm6_prepare_output) that would in turn
 390          * call output2.
 391          */
 392         int (*output)(struct xfrm_state *x, struct sk_buff *skb);
 393
 394         struct xfrm_state_afinfo *afinfo;
 395         struct module *owner;
 396         unsigned int encap;
 397         int flags;
 398 };
 399
 400 /* Flags for xfrm_mode. */
 401 enum {
 402         XFRM_MODE_FLAG_TUNNEL = 1,
 403 };
 404
 405 extern int xfrm_register_mode(struct xfrm_mode *mode, int family);
 406 extern int xfrm_unregister_mode(struct xfrm_mode *mode, int family);
 407
 408 static inline int xfrm_af2proto(unsigned int family)
 409 {
 410         switch(family) {
 411         case AF_INET:
 412                 return IPPROTO_IPIP;
 413         case AF_INET6:
 414                 return IPPROTO_IPV6;
 415         default:
 416                 return 0;
 417         }
 418 }
 419
 420 static inline struct xfrm_mode *xfrm_ip2inner_mode(struct xfrm_state *x, int ipproto)
 421 {
 422         if ((ipproto == IPPROTO_IPIP && x->props.family == AF_INET) ||
 423             (ipproto == IPPROTO_IPV6 && x->props.family == AF_INET6))
 424                 return x->inner_mode;
 425         else
 426                 return x->inner_mode_iaf;
 427 }
 428
 429 struct xfrm_tmpl
 430 {
 431 /* id in template is interpreted as:
 432  * daddr - destination of tunnel, may be zero for transport mode.
 433  * spi   - zero to acquire spi. Not zero if spi is static, then
 434  *         daddr must be fixed too.
 435  * proto - AH/ESP/IPCOMP
 436  */
 437         struct xfrm_id          id;
 438
 439 /* Source address of tunnel. Ignored, if it is not a tunnel. */
 440         xfrm_address_t          saddr;
 441
 442         unsigned short          encap_family;
 443
 444         __u32                   reqid;
 445
 446 /* Mode: transport, tunnel etc. */
 447         __u8                    mode;
 448
 449 /* Sharing mode: unique, this session only, this user only etc. */
 450         __u8                    share;
 451
 452 /* May skip this transfomration if no SA is found */
 453         __u8                    optional;
 454
 455 /* Skip aalgos/ealgos/calgos checks. */
 456         __u8                    allalgs;
 457
 458 /* Bit mask of algos allowed for acquisition */
 459         __u32                   aalgos;
 460         __u32                   ealgos;
 461         __u32                   calgos;
 462 };
 463
 464 #define XFRM_MAX_DEPTH          6
 465
 466 struct xfrm_policy_walk_entry {
 467         struct list_head        all;
 468         u8                      dead;
 469 };
 470
 471 struct xfrm_policy_walk {
 472         struct xfrm_policy_walk_entry walk;
 473         u8 type;
 474         u32 seq;
 475 };
 476
 477 struct xfrm_policy
 478 {
 479 #ifdef CONFIG_NET_NS
 480         struct net              *xp_net;
 481 #endif
 482         struct hlist_node       bydst;
 483         struct hlist_node       byidx;
 484
 485         /* This lock only affects elements except for entry. */
 486         rwlock_t                lock;
 487         atomic_t                refcnt;
 488         struct timer_list       timer;
 489
 490         u32                     priority;
 491         u32                     index;
 492         struct xfrm_selector    selector;
 493         struct xfrm_lifetime_cfg lft;
 494         struct xfrm_lifetime_cur curlft;
 495         struct dst_entry       *bundles;
 496         struct xfrm_policy_walk_entry walk;
 497         u8                      type;
 498         u8                      action;
 499         u8                      flags;
 500         u8                      xfrm_nr;
 501         u16                     family;
 502         struct xfrm_sec_ctx     *security;
 503         struct xfrm_tmpl        xfrm_vec[XFRM_MAX_DEPTH];
 504 };
 505
 506 static inline struct net *xp_net(struct xfrm_policy *xp)
 507 {
 508         return read_pnet(&xp->xp_net);
 509 }
 510
 511 struct xfrm_kmaddress {
 512         xfrm_address_t          local;
 513         xfrm_address_t          remote;
 514         u32                     reserved;
 515         u16                     family;
 516 };
 517
 518 struct xfrm_migrate {
 519         xfrm_address_t          old_daddr;
 520         xfrm_address_t          old_saddr;
 521         xfrm_address_t          new_daddr;
 522         xfrm_address_t          new_saddr;
 523         u8                      proto;
 524         u8                      mode;
 525         u16                     reserved;
 526         u32                     reqid;
 527         u16                     old_family;
 528         u16                     new_family;
 529 };
 530
 531 #define XFRM_KM_TIMEOUT                30
 532 /* which seqno */
 533 #define XFRM_REPLAY_SEQ         1
 534 #define XFRM_REPLAY_OSEQ        2
 535 #define XFRM_REPLAY_SEQ_MASK    3
 536 /* what happened */
 537 #define XFRM_REPLAY_UPDATE      XFRM_AE_CR
 538 #define XFRM_REPLAY_TIMEOUT     XFRM_AE_CE
 539
 540 /* default aevent timeout in units of 100ms */
 541 #define XFRM_AE_ETIME                   10
 542 /* Async Event timer multiplier */
 543 #define XFRM_AE_ETH_M                   10
 544 /* default seq threshold size */
 545 #define XFRM_AE_SEQT_SIZE               2
 546
 547 struct xfrm_mgr
 548 {
 549         struct list_head        list;
 550         char                    *id;
 551         int                     (*notify)(struct xfrm_state *x, struct km_event *c);
 552         int                     (*acquire)(struct xfrm_state *x, struct xfrm_tmpl *, struct xfrm_policy *xp, int dir);
 553         struct xfrm_policy      *(*compile_policy)(struct sock *sk, int opt, u8 *data, int len, int *dir);
 554         int                     (*new_mapping)(struct xfrm_state *x, xfrm_address_t *ipaddr, __be16 sport);
 555         int                     (*notify_policy)(struct xfrm_policy *x, int dir, struct km_event *c);
 556         int                     (*report)(struct net *net, u8 proto, struct xfrm_selector *sel, xfrm_address_t *addr);
 557         int                     (*migrate)(struct xfrm_selector *sel, u8 dir, u8 type, struct xfrm_migrate *m, int num_bundles, struct xfrm_kmaddress *k);
 558 };
 559
 560 extern int xfrm_register_km(struct xfrm_mgr *km);
 561 extern int xfrm_unregister_km(struct xfrm_mgr *km);
 562
 563 /*
 564  * This structure is used for the duration where packets are being
 565  * transformed by IPsec.  As soon as the packet leaves IPsec the
 566  * area beyond the generic IP part may be overwritten.
 567  */
 568 struct xfrm_skb_cb {
 569         union {
 570                 struct inet_skb_parm h4;
 571                 struct inet6_skb_parm h6;
 572         } header;
 573
 574         /* Sequence number for replay protection. */
 575         union {
 576                 u64 output;
 577                 __be32 input;
 578         } seq;
 579 };
 580
 581 #define XFRM_SKB_CB(__skb) ((struct xfrm_skb_cb *)&((__skb)->cb[0]))
 582
 583 /*
 584  * This structure is used by the afinfo prepare_input/prepare_output functions
 585  * to transmit header information to the mode input/output functions.
 586  */
 587 struct xfrm_mode_skb_cb {
 588         union {
 589                 struct inet_skb_parm h4;
 590                 struct inet6_skb_parm h6;
 591         } header;
 592
 593         /* Copied from header for IPv4, always set to zero and DF for IPv6. */
 594         __be16 id;
 595         __be16 frag_off;
 596
 597         /* IP header length (excluding options or extension headers). */
 598         u8 ihl;
 599
 600         /* TOS for IPv4, class for IPv6. */
 601         u8 tos;
 602
 603         /* TTL for IPv4, hop limitfor IPv6. */
 604         u8 ttl;
 605
 606         /* Protocol for IPv4, NH for IPv6. */
 607         u8 protocol;
 608
 609         /* Option length for IPv4, zero for IPv6. */
 610         u8 optlen;
 611
 612         /* Used by IPv6 only, zero for IPv4. */
 613         u8 flow_lbl[3];
 614 };
 615
 616 #define XFRM_MODE_SKB_CB(__skb) ((struct xfrm_mode_skb_cb *)&((__skb)->cb[0]))
 617
 618 /*
 619  * This structure is used by the input processing to locate the SPI and
 620  * related information.
 621  */
 622 struct xfrm_spi_skb_cb {
 623         union {
 624                 struct inet_skb_parm h4;
 625                 struct inet6_skb_parm h6;
 626         } header;
 627
 628         unsigned int daddroff;
 629         unsigned int family;
 630 };
 631
 632 #define XFRM_SPI_SKB_CB(__skb) ((struct xfrm_spi_skb_cb *)&((__skb)->cb[0]))
 633
 634 /* Audit Information */
 635 struct xfrm_audit
 636 {
 637         u32     secid;
 638         uid_t   loginuid;
 639         u32     sessionid;
 640 };
 641
 642 #ifdef CONFIG_AUDITSYSCALL
 643 static inline struct audit_buffer *xfrm_audit_start(const char *op)
 644 {
 645         struct audit_buffer *audit_buf = NULL;
 646
 647         if (audit_enabled == 0)
 648                 return NULL;
 649         audit_buf = audit_log_start(current->audit_context, GFP_ATOMIC,
 650                                     AUDIT_MAC_IPSEC_EVENT);
 651         if (audit_buf == NULL)
 652                 return NULL;
 653         audit_log_format(audit_buf, "op=%s", op);
 654         return audit_buf;
 655 }
 656
 657 static inline void xfrm_audit_helper_usrinfo(uid_t auid, u32 ses, u32 secid,
 658                                              struct audit_buffer *audit_buf)
 659 {
 660         char *secctx;
 661         u32 secctx_len;
 662
 663         audit_log_format(audit_buf, " auid=%u ses=%u", auid, ses);
 664         if (secid != 0 &&
 665             security_secid_to_secctx(secid, &secctx, &secctx_len) == 0) {
 666                 audit_log_format(audit_buf, " subj=%s", secctx);
 667                 security_release_secctx(secctx, secctx_len);
 668         } else
 669                 audit_log_task_context(audit_buf);
 670 }
 671
 672 extern void xfrm_audit_policy_add(struct xfrm_policy *xp, int result,
 673                                   u32 auid, u32 ses, u32 secid);
 674 extern void xfrm_audit_policy_delete(struct xfrm_policy *xp, int result,
 675                                   u32 auid, u32 ses, u32 secid);
 676 extern void xfrm_audit_state_add(struct xfrm_state *x, int result,
 677                                  u32 auid, u32 ses, u32 secid);
 678 extern void xfrm_audit_state_delete(struct xfrm_state *x, int result,
 679                                     u32 auid, u32 ses, u32 secid);
 680 extern void xfrm_audit_state_replay_overflow(struct xfrm_state *x,
 681                                              struct sk_buff *skb);
 682 extern void xfrm_audit_state_notfound_simple(struct sk_buff *skb, u16 family);
 683 extern void xfrm_audit_state_notfound(struct sk_buff *skb, u16 family,
 684                                       __be32 net_spi, __be32 net_seq);
 685 extern void xfrm_audit_state_icvfail(struct xfrm_state *x,
 686                                      struct sk_buff *skb, u8 proto);
 687 #else
 688
 689 static inline void xfrm_audit_policy_add(struct xfrm_policy *xp, int result,
 690                                   u32 auid, u32 ses, u32 secid)
 691 {
 692 }
 693
 694 static inline void xfrm_audit_policy_delete(struct xfrm_policy *xp, int result,
 695                                   u32 auid, u32 ses, u32 secid)
 696 {
 697 }
 698
 699 static inline void xfrm_audit_state_add(struct xfrm_state *x, int result,
 700                                  u32 auid, u32 ses, u32 secid)
 701 {
 702 }
 703
 704 static inline void xfrm_audit_state_delete(struct xfrm_state *x, int result,
 705                                     u32 auid, u32 ses, u32 secid)
 706 {
 707 }
 708
 709 static inline void xfrm_audit_state_replay_overflow(struct xfrm_state *x,
 710                                              struct sk_buff *skb)
 711 {
 712 }
 713
 714 static inline void xfrm_audit_state_notfound_simple(struct sk_buff *skb,
 715                                       u16 family)
 716 {
 717 }
 718
 719 static inline void xfrm_audit_state_notfound(struct sk_buff *skb, u16 family,
 720                                       __be32 net_spi, __be32 net_seq)
 721 {
 722 }
 723
 724 static inline void xfrm_audit_state_icvfail(struct xfrm_state *x,
 725                                      struct sk_buff *skb, u8 proto)
 726 {
 727 }
 728 #endif /* CONFIG_AUDITSYSCALL */
 729
 730 static inline void xfrm_pol_hold(struct xfrm_policy *policy)
 731 {
 732         if (likely(policy != NULL))
 733                 atomic_inc(&policy->refcnt);
 734 }
 735
 736 extern void xfrm_policy_destroy(struct xfrm_policy *policy);
 737
 738 static inline void xfrm_pol_put(struct xfrm_policy *policy)
 739 {
 740         if (atomic_dec_and_test(&policy->refcnt))
 741                 xfrm_policy_destroy(policy);
 742 }
 743
 744 #ifdef CONFIG_XFRM_SUB_POLICY
 745 static inline void xfrm_pols_put(struct xfrm_policy **pols, int npols)
 746 {
 747         int i;
 748         for (i = npols - 1; i >= 0; --i)
 749                 xfrm_pol_put(pols[i]);
 750 }
 751 #else
 752 static inline void xfrm_pols_put(struct xfrm_policy **pols, int npols)
 753 {
 754         xfrm_pol_put(pols[0]);
 755 }
 756 #endif
 757
 758 extern void __xfrm_state_destroy(struct xfrm_state *);
 759
 760 static inline void __xfrm_state_put(struct xfrm_state *x)
 761 {
 762         atomic_dec(&x->refcnt);
 763 }
 764
 765 static inline void xfrm_state_put(struct xfrm_state *x)
 766 {
 767         if (atomic_dec_and_test(&x->refcnt))
 768                 __xfrm_state_destroy(x);
 769 }
 770
 771 static inline void xfrm_state_hold(struct xfrm_state *x)
 772 {
 773         atomic_inc(&x->refcnt);
 774 }
 775
 776 static __inline__ int addr_match(void *token1, void *token2, int prefixlen)
 777 {
 778         __be32 *a1 = token1;
 779         __be32 *a2 = token2;
 780         int pdw;
 781         int pbi;
 782
 783         pdw = prefixlen >> 5;     /* num of whole __u32 in prefix */
 784         pbi = prefixlen &  0x1f;  /* num of bits in incomplete u32 in prefix */
 785
 786         if (pdw)
 787                 if (memcmp(a1, a2, pdw << 2))
 788                         return 0;
 789
 790         if (pbi) {
 791                 __be32 mask;
 792
 793                 mask = htonl((0xffffffff) << (32 - pbi));
 794
 795                 if ((a1[pdw] ^ a2[pdw]) & mask)
 796                         return 0;
 797         }
 798
 799         return 1;
 800 }
 801
 802 static __inline__
 803 __be16 xfrm_flowi_sport(struct flowi *fl)
 804 {
 805         __be16 port;
 806         switch(fl->proto) {
 807         case IPPROTO_TCP:
 808         case IPPROTO_UDP:
 809         case IPPROTO_UDPLITE:
 810         case IPPROTO_SCTP:
 811                 port = fl->fl_ip_sport;
 812                 break;
 813         case IPPROTO_ICMP:
 814         case IPPROTO_ICMPV6:
 815                 port = htons(fl->fl_icmp_type);
 816                 break;
 817         case IPPROTO_MH:
 818                 port = htons(fl->fl_mh_type);
 819                 break;
 820         default:
 821                 port = 0;       /*XXX*/
 822         }
 823         return port;
 824 }
 825
 826 static __inline__
 827 __be16 xfrm_flowi_dport(struct flowi *fl)
 828 {
 829         __be16 port;
 830         switch(fl->proto) {
 831         case IPPROTO_TCP:
 832         case IPPROTO_UDP:
 833         case IPPROTO_UDPLITE:
 834         case IPPROTO_SCTP:
 835                 port = fl->fl_ip_dport;
 836                 break;
 837         case IPPROTO_ICMP:
 838         case IPPROTO_ICMPV6:
 839                 port = htons(fl->fl_icmp_code);
 840                 break;
 841         default:
 842                 port = 0;       /*XXX*/
 843         }
 844         return port;
 845 }
 846
 847 extern int xfrm_selector_match(struct xfrm_selector *sel, struct flowi *fl,
 848                                unsigned short family);
 849
 850 #ifdef CONFIG_SECURITY_NETWORK_XFRM
 851 /*      If neither has a context --> match
 852  *      Otherwise, both must have a context and the sids, doi, alg must match
 853  */
 854 static inline int xfrm_sec_ctx_match(struct xfrm_sec_ctx *s1, struct xfrm_sec_ctx *s2)
 855 {
 856         return ((!s1 && !s2) ||
 857                 (s1 && s2 &&
 858                  (s1->ctx_sid == s2->ctx_sid) &&
 859                  (s1->ctx_doi == s2->ctx_doi) &&
 860                  (s1->ctx_alg == s2->ctx_alg)));
 861 }
 862 #else
 863 static inline int xfrm_sec_ctx_match(struct xfrm_sec_ctx *s1, struct xfrm_sec_ctx *s2)
 864 {
 865         return 1;
 866 }
 867 #endif
 868
 869 /* A struct encoding bundle of transformations to apply to some set of flow.
 870  *
 871  * dst->child points to the next element of bundle.
 872  * dst->xfrm  points to an instanse of transformer.
 873  *
 874  * Due to unfortunate limitations of current routing cache, which we
 875  * have no time to fix, it mirrors struct rtable and bound to the same
 876  * routing key, including saddr,daddr. However, we can have many of
 877  * bundles differing by session id. All the bundles grow from a parent
 878  * policy rule.
 879  */
 880 struct xfrm_dst
 881 {
 882         union {
 883                 struct dst_entry        dst;
 884                 struct rtable           rt;
 885                 struct rt6_info         rt6;
 886         } u;
 887         struct dst_entry *route;
 888 #ifdef CONFIG_XFRM_SUB_POLICY
 889         struct flowi *origin;
 890         struct xfrm_selector *partner;
 891 #endif
 892         u32 genid;
 893         u32 route_mtu_cached;
 894         u32 child_mtu_cached;
 895         u32 route_cookie;
 896         u32 path_cookie;
 897 };
 898
 899 #ifdef CONFIG_XFRM
 900 static inline void xfrm_dst_destroy(struct xfrm_dst *xdst)
 901 {
 902         dst_release(xdst->route);
 903         if (likely(xdst->u.dst.xfrm))
 904                 xfrm_state_put(xdst->u.dst.xfrm);
 905 #ifdef CONFIG_XFRM_SUB_POLICY
 906         kfree(xdst->origin);
 907         xdst->origin = NULL;
 908         kfree(xdst->partner);
 909         xdst->partner = NULL;
 910 #endif
 911 }
 912 #endif
 913
 914 extern void xfrm_dst_ifdown(struct dst_entry *dst, struct net_device *dev);
 915
 916 struct sec_path
 917 {
 918         atomic_t                refcnt;
 919         int                     len;
 920         struct xfrm_state       *xvec[XFRM_MAX_DEPTH];
 921 };
 922
 923 static inline struct sec_path *
 924 secpath_get(struct sec_path *sp)
 925 {
 926         if (sp)
 927                 atomic_inc(&sp->refcnt);
 928         return sp;
 929 }
 930
 931 extern void __secpath_destroy(struct sec_path *sp);
 932
 933 static inline void
 934 secpath_put(struct sec_path *sp)
 935 {
 936         if (sp && atomic_dec_and_test(&sp->refcnt))
 937                 __secpath_destroy(sp);
 938 }
 939
 940 extern struct sec_path *secpath_dup(struct sec_path *src);
 941
 942 static inline void
 943 secpath_reset(struct sk_buff *skb)
 944 {
 945 #ifdef CONFIG_XFRM
 946         secpath_put(skb->sp);
 947         skb->sp = NULL;
 948 #endif
 949 }
 950
 951 static inline int
 952 xfrm_addr_any(xfrm_address_t *addr, unsigned short family)
 953 {
 954         switch (family) {
 955         case AF_INET:
 956                 return addr->a4 == 0;
 957         case AF_INET6:
 958                 return ipv6_addr_any((struct in6_addr *)&addr->a6);
 959         }
 960         return 0;
 961 }
 962
 963 static inline int
 964 __xfrm4_state_addr_cmp(struct xfrm_tmpl *tmpl, struct xfrm_state *x)
 965 {
 966         return  (tmpl->saddr.a4 &&
 967                  tmpl->saddr.a4 != x->props.saddr.a4);
 968 }
 969
 970 static inline int
 971 __xfrm6_state_addr_cmp(struct xfrm_tmpl *tmpl, struct xfrm_state *x)
 972 {
 973         return  (!ipv6_addr_any((struct in6_addr*)&tmpl->saddr) &&
 974                  ipv6_addr_cmp((struct in6_addr *)&tmpl->saddr, (struct in6_addr*)&x->props.saddr));
 975 }
 976
 977 static inline int
 978 xfrm_state_addr_cmp(struct xfrm_tmpl *tmpl, struct xfrm_state *x, unsigned short family)
 979 {
 980         switch (family) {
 981         case AF_INET:
 982                 return __xfrm4_state_addr_cmp(tmpl, x);
 983         case AF_INET6:
 984                 return __xfrm6_state_addr_cmp(tmpl, x);
 985         }
 986         return !0;
 987 }
 988
 989 #ifdef CONFIG_XFRM
 990 extern int __xfrm_policy_check(struct sock *, int dir, struct sk_buff *skb, unsigned short family);
 991
 992 static inline int __xfrm_policy_check2(struct sock *sk, int dir,
 993                                        struct sk_buff *skb,
 994                                        unsigned int family, int reverse)
 995 {
 996         struct net *net = dev_net(skb->dev);
 997         int ndir = dir | (reverse ? XFRM_POLICY_MASK + 1 : 0);
 998
 999         if (sk && sk->sk_policy[XFRM_POLICY_IN])
1000                 return __xfrm_policy_check(sk, ndir, skb, family);
1001
1002         return  (!net->xfrm.policy_count[dir] && !skb->sp) ||
1003                 (skb->dst->flags & DST_NOPOLICY) ||
1004                 __xfrm_policy_check(sk, ndir, skb, family);
1005 }
1006
1007 static inline int xfrm_policy_check(struct sock *sk, int dir, struct sk_buff *skb, unsigned short family)
1008 {
1009         return __xfrm_policy_check2(sk, dir, skb, family, 0);
1010 }
1011
1012 static inline int xfrm4_policy_check(struct sock *sk, int dir, struct sk_buff *skb)
1013 {
1014         return xfrm_policy_check(sk, dir, skb, AF_INET);
1015 }
1016
1017 static inline int xfrm6_policy_check(struct sock *sk, int dir, struct sk_buff *skb)
1018 {
1019         return xfrm_policy_check(sk, dir, skb, AF_INET6);
1020 }
1021
1022 static inline int xfrm4_policy_check_reverse(struct sock *sk, int dir,
1023                                              struct sk_buff *skb)
1024 {
1025         return __xfrm_policy_check2(sk, dir, skb, AF_INET, 1);
1026 }
1027
1028 static inline int xfrm6_policy_check_reverse(struct sock *sk, int dir,
1029                                              struct sk_buff *skb)
1030 {
1031         return __xfrm_policy_check2(sk, dir, skb, AF_INET6, 1);
1032 }
1033
1034 extern int __xfrm_decode_session(struct sk_buff *skb, struct flowi *fl,
1035                                  unsigned int family, int reverse);
1036
1037 static inline int xfrm_decode_session(struct sk_buff *skb, struct flowi *fl,
1038                                       unsigned int family)
1039 {
1040         return __xfrm_decode_session(skb, fl, family, 0);
1041 }
1042
1043 static inline int xfrm_decode_session_reverse(struct sk_buff *skb,
1044                                               struct flowi *fl,
1045                                               unsigned int family)
1046 {
1047         return __xfrm_decode_session(skb, fl, family, 1);
1048 }
1049
1050 extern int __xfrm_route_forward(struct sk_buff *skb, unsigned short family);
1051
1052 static inline int xfrm_route_forward(struct sk_buff *skb, unsigned short family)
1053 {
1054         struct net *net = dev_net(skb->dev);
1055
1056         return  !net->xfrm.policy_count[XFRM_POLICY_OUT] ||
1057                 (skb->dst->flags & DST_NOXFRM) ||
1058                 __xfrm_route_forward(skb, family);
1059 }
1060
1061 static inline int xfrm4_route_forward(struct sk_buff *skb)
1062 {
1063         return xfrm_route_forward(skb, AF_INET);
1064 }
1065
1066 static inline int xfrm6_route_forward(struct sk_buff *skb)
1067 {
1068         return xfrm_route_forward(skb, AF_INET6);
1069 }
1070
1071 extern int __xfrm_sk_clone_policy(struct sock *sk);
1072
1073 static inline int xfrm_sk_clone_policy(struct sock *sk)
1074 {
1075         if (unlikely(sk->sk_policy[0] || sk->sk_policy[1]))
1076                 return __xfrm_sk_clone_policy(sk);
1077         return 0;
1078 }
1079
1080 extern int xfrm_policy_delete(struct xfrm_policy *pol, int dir);
1081
1082 static inline void xfrm_sk_free_policy(struct sock *sk)
1083 {
1084         if (unlikely(sk->sk_policy[0] != NULL)) {
1085                 xfrm_policy_delete(sk->sk_policy[0], XFRM_POLICY_MAX);
1086                 sk->sk_policy[0] = NULL;
1087         }
1088         if (unlikely(sk->sk_policy[1] != NULL)) {
1089                 xfrm_policy_delete(sk->sk_policy[1], XFRM_POLICY_MAX+1);
1090                 sk->sk_policy[1] = NULL;
1091         }
1092 }
1093
1094 #else
1095
1096 static inline void xfrm_sk_free_policy(struct sock *sk) {}
1097 static inline int xfrm_sk_clone_policy(struct sock *sk) { return 0; }
1098 static inline int xfrm6_route_forward(struct sk_buff *skb) { return 1; }
1099 static inline int xfrm4_route_forward(struct sk_buff *skb) { return 1; }
1100 static inline int xfrm6_policy_check(struct sock *sk, int dir, struct sk_buff *skb)
1101 {
1102         return 1;
1103 }
1104 static inline int xfrm4_policy_check(struct sock *sk, int dir, struct sk_buff *skb)
1105 {
1106         return 1;
1107 }
1108 static inline int xfrm_policy_check(struct sock *sk, int dir, struct sk_buff *skb, unsigned short family)
1109 {
1110         return 1;
1111 }
1112 static inline int xfrm_decode_session_reverse(struct sk_buff *skb,
1113                                               struct flowi *fl,
1114                                               unsigned int family)
1115 {
1116         return -ENOSYS;
1117 }
1118 static inline int xfrm4_policy_check_reverse(struct sock *sk, int dir,
1119                                              struct sk_buff *skb)
1120 {
1121         return 1;
1122 }
1123 static inline int xfrm6_policy_check_reverse(struct sock *sk, int dir,
1124                                              struct sk_buff *skb)
1125 {
1126         return 1;
1127 }
1128 #endif
1129
1130 static __inline__
1131 xfrm_address_t *xfrm_flowi_daddr(struct flowi *fl, unsigned short family)
1132 {
1133         switch (family){
1134         case AF_INET:
1135                 return (xfrm_address_t *)&fl->fl4_dst;
1136         case AF_INET6:
1137                 return (xfrm_address_t *)&fl->fl6_dst;
1138         }
1139         return NULL;
1140 }
1141
1142 static __inline__
1143 xfrm_address_t *xfrm_flowi_saddr(struct flowi *fl, unsigned short family)
1144 {
1145         switch (family){
1146         case AF_INET:
1147                 return (xfrm_address_t *)&fl->fl4_src;
1148         case AF_INET6:
1149                 return (xfrm_address_t *)&fl->fl6_src;
1150         }
1151         return NULL;
1152 }
1153
1154 static __inline__
1155 void xfrm_flowi_addr_get(struct flowi *fl,
1156                          xfrm_address_t *saddr, xfrm_address_t *daddr,
1157                          unsigned short family)
1158 {
1159         switch(family) {
1160         case AF_INET:
1161                 memcpy(&saddr->a4, &fl->fl4_src, sizeof(saddr->a4));
1162                 memcpy(&daddr->a4, &fl->fl4_dst, sizeof(daddr->a4));
1163                 break;
1164         case AF_INET6:
1165                 ipv6_addr_copy((struct in6_addr *)&saddr->a6, &fl->fl6_src);
1166                 ipv6_addr_copy((struct in6_addr *)&daddr->a6, &fl->fl6_dst);
1167                 break;
1168         }
1169 }
1170
1171 static __inline__ int
1172 __xfrm4_state_addr_check(struct xfrm_state *x,
1173                          xfrm_address_t *daddr, xfrm_address_t *saddr)
1174 {
1175         if (daddr->a4 == x->id.daddr.a4 &&
1176             (saddr->a4 == x->props.saddr.a4 || !saddr->a4 || !x->props.saddr.a4))
1177                 return 1;
1178         return 0;
1179 }
1180
1181 static __inline__ int
1182 __xfrm6_state_addr_check(struct xfrm_state *x,
1183                          xfrm_address_t *daddr, xfrm_address_t *saddr)
1184 {
1185         if (!ipv6_addr_cmp((struct in6_addr *)daddr, (struct in6_addr *)&x->id.daddr) &&
1186             (!ipv6_addr_cmp((struct in6_addr *)saddr, (struct in6_addr *)&x->props.saddr)||
1187              ipv6_addr_any((struct in6_addr *)saddr) ||
1188              ipv6_addr_any((struct in6_addr *)&x->props.saddr)))
1189                 return 1;
1190         return 0;
1191 }
1192
1193 static __inline__ int
1194 xfrm_state_addr_check(struct xfrm_state *x,
1195                       xfrm_address_t *daddr, xfrm_address_t *saddr,
1196                       unsigned short family)
1197 {
1198         switch (family) {
1199         case AF_INET:
1200                 return __xfrm4_state_addr_check(x, daddr, saddr);
1201         case AF_INET6:
1202                 return __xfrm6_state_addr_check(x, daddr, saddr);
1203         }
1204         return 0;
1205 }
1206
1207 static __inline__ int
1208 xfrm_state_addr_flow_check(struct xfrm_state *x, struct flowi *fl,
1209                            unsigned short family)
1210 {
1211         switch (family) {
1212         case AF_INET:
1213                 return __xfrm4_state_addr_check(x,
1214                                                 (xfrm_address_t *)&fl->fl4_dst,
1215                                                 (xfrm_address_t *)&fl->fl4_src);
1216         case AF_INET6:
1217                 return __xfrm6_state_addr_check(x,
1218                                                 (xfrm_address_t *)&fl->fl6_dst,
1219                                                 (xfrm_address_t *)&fl->fl6_src);
1220         }
1221         return 0;
1222 }
1223
1224 static inline int xfrm_state_kern(struct xfrm_state *x)
1225 {
1226         return atomic_read(&x->tunnel_users);
1227 }
1228
1229 static inline int xfrm_id_proto_match(u8 proto, u8 userproto)
1230 {
1231         return (!userproto || proto == userproto ||
1232                 (userproto == IPSEC_PROTO_ANY && (proto == IPPROTO_AH ||
1233                                                   proto == IPPROTO_ESP ||
1234                                                   proto == IPPROTO_COMP)));
1235 }
1236
1237 /*
1238  * xfrm algorithm information
1239  */
1240 struct xfrm_algo_aead_info {
1241         u16 icv_truncbits;
1242 };
1243
1244 struct xfrm_algo_auth_info {
1245         u16 icv_truncbits;
1246         u16 icv_fullbits;
1247 };
1248
1249 struct xfrm_algo_encr_info {
1250         u16 blockbits;
1251         u16 defkeybits;
1252 };
1253
1254 struct xfrm_algo_comp_info {
1255         u16 threshold;
1256 };
1257
1258 struct xfrm_algo_desc {
1259         char *name;
1260         char *compat;
1261         u8 available:1;
1262         union {
1263                 struct xfrm_algo_aead_info aead;
1264                 struct xfrm_algo_auth_info auth;
1265                 struct xfrm_algo_encr_info encr;
1266                 struct xfrm_algo_comp_info comp;
1267         } uinfo;
1268         struct sadb_alg desc;
1269 };
1270
1271 /* XFRM tunnel handlers.  */
1272 struct xfrm_tunnel {
1273         int (*handler)(struct sk_buff *skb);
1274         int (*err_handler)(struct sk_buff *skb, __u32 info);
1275
1276         struct xfrm_tunnel *next;
1277         int priority;
1278 };
1279
1280 struct xfrm6_tunnel {
1281         int (*handler)(struct sk_buff *skb);
1282         int (*err_handler)(struct sk_buff *skb, struct inet6_skb_parm *opt,
1283                            int type, int code, int offset, __be32 info);
1284         struct xfrm6_tunnel *next;
1285         int priority;
1286 };
1287
1288 extern void xfrm_init(void);
1289 extern void xfrm4_init(void);
1290 extern int xfrm_state_init(struct net *net);
1291 extern void xfrm_state_fini(struct net *net);
1292 extern void xfrm4_state_init(void);
1293 #ifdef CONFIG_XFRM
1294 extern int xfrm6_init(void);
1295 extern void xfrm6_fini(void);
1296 extern int xfrm6_state_init(void);
1297 extern void xfrm6_state_fini(void);
1298 #else
1299 static inline int xfrm6_init(void)
1300 {
1301         return 0;
1302 }
1303 static inline void xfrm6_fini(void)
1304 {
1305         ;
1306 }
1307 #endif
1308
1309 #ifdef CONFIG_XFRM_STATISTICS
1310 extern int xfrm_proc_init(void);
1311 #endif
1312
1313 extern void xfrm_state_walk_init(struct xfrm_state_walk *walk, u8 proto);
1314 extern int xfrm_state_walk(struct net *net, struct xfrm_state_walk *walk,
1315                            int (*func)(struct xfrm_state *, int, void*), void *);
1316 extern void xfrm_state_walk_done(struct xfrm_state_walk *walk);
1317 extern struct xfrm_state *xfrm_state_alloc(struct net *net);
1318 extern struct xfrm_state *xfrm_state_find(xfrm_address_t *daddr, xfrm_address_t *saddr,
1319                                           struct flowi *fl, struct xfrm_tmpl *tmpl,
1320                                           struct xfrm_policy *pol, int *err,
1321                                           unsigned short family);
1322 extern struct xfrm_state * xfrm_stateonly_find(struct net *net,
1323                                                xfrm_address_t *daddr,
1324                                                xfrm_address_t *saddr,
1325                                                unsigned short family,
1326                                                u8 mode, u8 proto, u32 reqid);
1327 extern int xfrm_state_check_expire(struct xfrm_state *x);
1328 extern void xfrm_state_insert(struct xfrm_state *x);
1329 extern int xfrm_state_add(struct xfrm_state *x);
1330 extern int xfrm_state_update(struct xfrm_state *x);
1331 extern struct xfrm_state *xfrm_state_lookup(struct net *net, xfrm_address_t *daddr, __be32 spi, u8 proto, unsigned short family);
1332 extern struct xfrm_state *xfrm_state_lookup_byaddr(struct net *net, xfrm_address_t *daddr, xfrm_address_t *saddr, u8 proto, unsigned short family);
1333 #ifdef CONFIG_XFRM_SUB_POLICY
1334 extern int xfrm_tmpl_sort(struct xfrm_tmpl **dst, struct xfrm_tmpl **src,
1335                           int n, unsigned short family);
1336 extern int xfrm_state_sort(struct xfrm_state **dst, struct xfrm_state **src,
1337                            int n, unsigned short family);
1338 #else
1339 static inline int xfrm_tmpl_sort(struct xfrm_tmpl **dst, struct xfrm_tmpl **src,
1340                                  int n, unsigned short family)
1341 {
1342         return -ENOSYS;
1343 }
1344
1345 static inline int xfrm_state_sort(struct xfrm_state **dst, struct xfrm_state **src,
1346                                   int n, unsigned short family)
1347 {
1348         return -ENOSYS;
1349 }
1350 #endif
1351
1352 struct xfrmk_sadinfo {
1353         u32 sadhcnt; /* current hash bkts */
1354         u32 sadhmcnt; /* max allowed hash bkts */
1355         u32 sadcnt; /* current running count */
1356 };
1357
1358 struct xfrmk_spdinfo {
1359         u32 incnt;
1360         u32 outcnt;
1361         u32 fwdcnt;
1362         u32 inscnt;
1363         u32 outscnt;
1364         u32 fwdscnt;
1365         u32 spdhcnt;
1366         u32 spdhmcnt;
1367 };
1368
1369 extern struct xfrm_state *xfrm_find_acq_byseq(struct net *net, u32 seq);
1370 extern int xfrm_state_delete(struct xfrm_state *x);
1371 extern int xfrm_state_flush(struct net *net, u8 proto, struct xfrm_audit *audit_info);
1372 extern void xfrm_sad_getinfo(struct xfrmk_sadinfo *si);
1373 extern void xfrm_spd_getinfo(struct xfrmk_spdinfo *si);
1374 extern int xfrm_replay_check(struct xfrm_state *x,
1375                              struct sk_buff *skb, __be32 seq);
1376 extern void xfrm_replay_advance(struct xfrm_state *x, __be32 seq);
1377 extern void xfrm_replay_notify(struct xfrm_state *x, int event);
1378 extern int xfrm_state_mtu(struct xfrm_state *x, int mtu);
1379 extern int xfrm_init_state(struct xfrm_state *x);
1380 extern int xfrm_prepare_input(struct xfrm_state *x, struct sk_buff *skb);
1381 extern int xfrm_input(struct sk_buff *skb, int nexthdr, __be32 spi,
1382                       int encap_type);
1383 extern int xfrm_input_resume(struct sk_buff *skb, int nexthdr);
1384 extern int xfrm_output_resume(struct sk_buff *skb, int err);
1385 extern int xfrm_output(struct sk_buff *skb);
1386 extern int xfrm_inner_extract_output(struct xfrm_state *x, struct sk_buff *skb);
1387 extern int xfrm4_extract_header(struct sk_buff *skb);
1388 extern int xfrm4_extract_input(struct xfrm_state *x, struct sk_buff *skb);
1389 extern int xfrm4_rcv_encap(struct sk_buff *skb, int nexthdr, __be32 spi,
1390                            int encap_type);
1391 extern int xfrm4_transport_finish(struct sk_buff *skb, int async);
1392 extern int xfrm4_rcv(struct sk_buff *skb);
1393
1394 static inline int xfrm4_rcv_spi(struct sk_buff *skb, int nexthdr, __be32 spi)
1395 {
1396         return xfrm4_rcv_encap(skb, nexthdr, spi, 0);
1397 }
1398
1399 extern int xfrm4_extract_output(struct xfrm_state *x, struct sk_buff *skb);
1400 extern int xfrm4_prepare_output(struct xfrm_state *x, struct sk_buff *skb);
1401 extern int xfrm4_output(struct sk_buff *skb);
1402 extern int xfrm4_tunnel_register(struct xfrm_tunnel *handler, unsigned short family);
1403 extern int xfrm4_tunnel_deregister(struct xfrm_tunnel *handler, unsigned short family);
1404 extern int xfrm6_extract_header(struct sk_buff *skb);
1405 extern int xfrm6_extract_input(struct xfrm_state *x, struct sk_buff *skb);
1406 extern int xfrm6_rcv_spi(struct sk_buff *skb, int nexthdr, __be32 spi);
1407 extern int xfrm6_transport_finish(struct sk_buff *skb, int async);
1408 extern int xfrm6_rcv(struct sk_buff *skb);
1409 extern int xfrm6_input_addr(struct sk_buff *skb, xfrm_address_t *daddr,
1410                             xfrm_address_t *saddr, u8 proto);
1411 extern int xfrm6_tunnel_register(struct xfrm6_tunnel *handler, unsigned short family);
1412 extern int xfrm6_tunnel_deregister(struct xfrm6_tunnel *handler, unsigned short family);
1413 extern __be32 xfrm6_tunnel_alloc_spi(xfrm_address_t *saddr);
1414 extern void xfrm6_tunnel_free_spi(xfrm_address_t *saddr);
1415 extern __be32 xfrm6_tunnel_spi_lookup(xfrm_address_t *saddr);
1416 extern int xfrm6_extract_output(struct xfrm_state *x, struct sk_buff *skb);
1417 extern int xfrm6_prepare_output(struct xfrm_state *x, struct sk_buff *skb);
1418 extern int xfrm6_output(struct sk_buff *skb);
1419 extern int xfrm6_find_1stfragopt(struct xfrm_state *x, struct sk_buff *skb,
1420                                  u8 **prevhdr);
1421
1422 #ifdef CONFIG_XFRM
1423 extern int xfrm4_udp_encap_rcv(struct sock *sk, struct sk_buff *skb);
1424 extern int xfrm_user_policy(struct sock *sk, int optname, u8 __user *optval, int optlen);
1425 #else
1426 static inline int xfrm_user_policy(struct sock *sk, int optname, u8 __user *optval, int optlen)
1427 {
1428         return -ENOPROTOOPT;
1429 }
1430
1431 static inline int xfrm4_udp_encap_rcv(struct sock *sk, struct sk_buff *skb)
1432 {
1433         /* should not happen */
1434         kfree_skb(skb);
1435         return 0;
1436 }
1437 #endif
1438
1439 struct xfrm_policy *xfrm_policy_alloc(struct net *net, gfp_t gfp);
1440
1441 extern void xfrm_policy_walk_init(struct xfrm_policy_walk *walk, u8 type);
1442 extern int xfrm_policy_walk(struct net *net, struct xfrm_policy_walk *walk,
1443         int (*func)(struct xfrm_policy *, int, int, void*), void *);
1444 extern void xfrm_policy_walk_done(struct xfrm_policy_walk *walk);
1445 int xfrm_policy_insert(int dir, struct xfrm_policy *policy, int excl);
1446 struct xfrm_policy *xfrm_policy_bysel_ctx(struct net *net, u8 type, int dir,
1447                                           struct xfrm_selector *sel,
1448                                           struct xfrm_sec_ctx *ctx, int delete,
1449                                           int *err);
1450 struct xfrm_policy *xfrm_policy_byid(struct net *net, u8, int dir, u32 id, int delete, int *err);
1451 int xfrm_policy_flush(struct net *net, u8 type, struct xfrm_audit *audit_info);
1452 u32 xfrm_get_acqseq(void);
1453 extern int xfrm_alloc_spi(struct xfrm_state *x, u32 minspi, u32 maxspi);
1454 struct xfrm_state * xfrm_find_acq(struct net *net, u8 mode, u32 reqid, u8 proto,
1455                                   xfrm_address_t *daddr, xfrm_address_t *saddr,
1456                                   int create, unsigned short family);
1457 extern int xfrm_sk_policy_insert(struct sock *sk, int dir, struct xfrm_policy *pol);
1458 extern int xfrm_bundle_ok(struct xfrm_policy *pol, struct xfrm_dst *xdst,
1459                           struct flowi *fl, int family, int strict);
1460
1461 #ifdef CONFIG_XFRM_MIGRATE
1462 extern int km_migrate(struct xfrm_selector *sel, u8 dir, u8 type,
1463                       struct xfrm_migrate *m, int num_bundles,
1464                       struct xfrm_kmaddress *k);
1465 extern struct xfrm_state * xfrm_migrate_state_find(struct xfrm_migrate *m);
1466 extern struct xfrm_state * xfrm_state_migrate(struct xfrm_state *x,
1467                                               struct xfrm_migrate *m);
1468 extern int xfrm_migrate(struct xfrm_selector *sel, u8 dir, u8 type,
1469                         struct xfrm_migrate *m, int num_bundles,
1470                         struct xfrm_kmaddress *k);
1471 #endif
1472
1473 extern int km_new_mapping(struct xfrm_state *x, xfrm_address_t *ipaddr, __be16 sport);
1474 extern void km_policy_expired(struct xfrm_policy *pol, int dir, int hard, u32 pid);
1475 extern int km_report(struct net *net, u8 proto, struct xfrm_selector *sel, xfrm_address_t *addr);
1476
1477 extern void xfrm_input_init(void);
1478 extern int xfrm_parse_spi(struct sk_buff *skb, u8 nexthdr, __be32 *spi, __be32 *seq);
1479
1480 extern void xfrm_probe_algs(void);
1481 extern int xfrm_count_auth_supported(void);
1482 extern int xfrm_count_enc_supported(void);
1483 extern struct xfrm_algo_desc *xfrm_aalg_get_byidx(unsigned int idx);
1484 extern struct xfrm_algo_desc *xfrm_ealg_get_byidx(unsigned int idx);
1485 extern struct xfrm_algo_desc *xfrm_aalg_get_byid(int alg_id);
1486 extern struct xfrm_algo_desc *xfrm_ealg_get_byid(int alg_id);
1487 extern struct xfrm_algo_desc *xfrm_calg_get_byid(int alg_id);
1488 extern struct xfrm_algo_desc *xfrm_aalg_get_byname(char *name, int probe);
1489 extern struct xfrm_algo_desc *xfrm_ealg_get_byname(char *name, int probe);
1490 extern struct xfrm_algo_desc *xfrm_calg_get_byname(char *name, int probe);
1491 extern struct xfrm_algo_desc *xfrm_aead_get_byname(char *name, int icv_len,
1492                                                    int probe);
1493
1494 struct hash_desc;
1495 struct scatterlist;
1496 typedef int (icv_update_fn_t)(struct hash_desc *, struct scatterlist *,
1497                               unsigned int);
1498
1499 extern int skb_icv_walk(const struct sk_buff *skb, struct hash_desc *tfm,
1500                         int offset, int len, icv_update_fn_t icv_update);
1501
1502 static inline int xfrm_addr_cmp(xfrm_address_t *a, xfrm_address_t *b,
1503                                 int family)
1504 {
1505         switch (family) {
1506         default:
1507         case AF_INET:
1508                 return (__force __u32)a->a4 - (__force __u32)b->a4;
1509         case AF_INET6:
1510                 return ipv6_addr_cmp((struct in6_addr *)a,
1511                                      (struct in6_addr *)b);
1512         }
1513 }
1514
1515 static inline int xfrm_policy_id2dir(u32 index)
1516 {
1517         return index & 7;
1518 }
1519
1520 #ifdef CONFIG_XFRM
1521 static inline int xfrm_aevent_is_on(struct net *net)
1522 {
1523         struct sock *nlsk;
1524         int ret = 0;
1525
1526         rcu_read_lock();
1527         nlsk = rcu_dereference(net->xfrm.nlsk);
1528         if (nlsk)
1529                 ret = netlink_has_listeners(nlsk, XFRMNLGRP_AEVENTS);
1530         rcu_read_unlock();
1531         return ret;
1532 }
1533 #endif
1534
1535 static inline int xfrm_alg_len(struct xfrm_algo *alg)
1536 {
1537         return sizeof(*alg) + ((alg->alg_key_len + 7) / 8);
1538 }
1539
1540 #ifdef CONFIG_XFRM_MIGRATE
1541 static inline struct xfrm_algo *xfrm_algo_clone(struct xfrm_algo *orig)
1542 {
1543         return kmemdup(orig, xfrm_alg_len(orig), GFP_KERNEL);
1544 }
1545
1546 static inline void xfrm_states_put(struct xfrm_state **states, int n)
1547 {
1548         int i;
1549         for (i = 0; i < n; i++)
1550                 xfrm_state_put(*(states + i));
1551 }
1552
1553 static inline void xfrm_states_delete(struct xfrm_state **states, int n)
1554 {
1555         int i;
1556         for (i = 0; i < n; i++)
1557                 xfrm_state_delete(*(states + i));
1558 }
1559 #endif
1560
1561 #ifdef CONFIG_XFRM
1562 static inline struct xfrm_state *xfrm_input_state(struct sk_buff *skb)
1563 {
1564         return skb->sp->xvec[skb->sp->len - 1];
1565 }
1566 #endif
1567
1568 #endif  /* _NET_XFRM_H */