devbox
小桥流水78
这个屌丝很懒，什么也没留下！
关注作者
热门标签
热门文章
当前位置:   article > 正文

一文带你走进Linux内核之XFRM框架

作者：小桥流水78 | 2024-07-12 15:19:38

赞

踩

xfrm

概述：什么是XFRM框架

XFRM的正确读音是transform(转换), 这表示内核协议栈收到的IPsec报文需要经过转换才能还原为原始报文；

同样地，要发送的原始报文也需要转换为IPsec报文才能发送出去。

Psec（Internet协议安全）应该很多人都听过，IPsec是一组协议，他们通过对通信会话中的每个数据包进行身份验证和加密，以确保IP流量的安全。

XFRM框架是IPsec的“基础设施”，IPsec通过XFRM框架实现的。XFRM源自USAGI项目，该项目旨在提供适用于生产环境的IPv6和IPsec协议栈。自内核2.5之后引入了XFRM框架，这个“基础设施”独立于协议簇，包含可同时应用于IPv4和IPv6的通用部分，位于源代码的net/xfrm/目录下。

XFRM框架支持网络命名空间。这是一种轻型的进程虚拟化，它可以使得一个或者一组进程有属于自己的网络栈。每个网络命名空间都含有一个名为xfrm的成员——一个netns_xfrm结构实例。这个对象包含着许多的数据结构和变量，例如：XFRM策略散列表、XFRM状态散列表、sysctl参数、XFRM状态垃圾收集器、计数器等。

netns_xfrm结构体定义，文件路径include/net/netns/xfrm.h

  1. struct netns_xfrm {
  2.         struct hlist_head       *state_bydst;
  3.         struct hlist_head       *state_bysrc;
  4.         struct hlist_head       *state_byspi;
  5.         . . .
  6.         unsigned int            state_num;
  7.         . . .
  8.  
  9.         struct work_struct      state_gc_work;
  10.  
  11.         . . .
  12.  
  13.         u32                     sysctl_aevent_etime;
  14.         u32                     sysctl_aevent_rseqth;
  15.         int                     sysctl_larval_drop;
  16.         u32                     sysctl_acq_expires;
  17. };

好文推荐：为什么选择.NETCore

XFRM初始：XFRM Init

在IPv4中，XFRM初始化是通过在ip_rt_init()函数（位于net/ipv4/route.c文件）调用相关函数完成，函数调用结构为：ip_rt_init()->xfrm4_init()->xfrm_init()。

而在IPv6中，在ipv6_route_init()函数中调用xfrm6_init()方法实现了XFRM的初始化。

用户空间和内核之间的通信创建NETLINK_XFRM类型netlink套接字(socket)以及发送和接收netlink消息来完成。内核NETLINK_XFRM Netlink套接字是在下面的函数中完成创建。

  1. static int __net_init xfrm_user_net_init(struct net *net)
  2. {
  3.         struct sock *nlsk;
  4.         struct netlink_kernel_cfg cfg = {
  5.                 .groups = XFRMNLGRP_MAX,
  6.                 .input  = xfrm_netlink_rcv,
  7.         };
  8.  
  9.         nlsk = netlink_kernel_create(net, NETLINK_XFRM, &cfg);
  10.         . . .
  11.         return 0;
  12. }

从用户空间发出的消息（比如XFRM_MSG_NEWPOLICY创建新的安全策略或者XFRM_MSG_NEWSA创建新的安全联盟）会被xfrm_netlink_rcv()方法处理，该方法又会被xfrm_user_rcv_msg()方法调用（第二章曾讨论过netlink套接字）。

XFRM策略和XFRM状态是XFRM框架的基础数据结构，接下来我将陆续介绍什么是XFRM策略以及XFRM状态。

XFRM策略：XFRM Policy

安全策略是一种规则，告诉IPsec一条特定流量是否应该处理或者旁路，xfrm_policy结构用来描述IPsec策略。一个安全策略包含一个选择器（一个xfrm_selector对象）。当其选择器匹配一条流时会提供一种策略。XFRM选择器有一系列属性组成：比如source和destination address、source和destination port、protocol等等，用这些属性来识别一条流：

文件路径：include/uapi/linux/xfrm.h

  1.  struct xfrm_selector {
  2.         xfrm_address_t  daddr;
  3.         xfrm_address_t  saddr;
  4.         __be16  dport;
  5.         __be16  dport_mask;
  6.         __be16  sport;
  7.         __be16  sport_mask;
  8.         __u16   family;
  9.         __u8    prefixlen_d;
  10.         __u8    prefixlen_s;
  11.         __u8    proto;
  12.         int     ifindex;
  13.         __kernel_uid32_t        user;
  14. };

xfrm_selector_match()方法使用XFRM selector、flow和family（IPv4对应AF_INET，IPv6对应AF_INET6）作为参数，当特定XFRM流量匹配中特定选择器时返回true。注意xfrm_selector结构同样用在XFRM状态中。

安全策略（Security Policy）使用xfrm_policy结构表示,xfrm_policy结构用于描述SP在内核内部的具体实现:

文件路径：include/net/xfrm.h

  1.  struct xfrm_policy
  2. {
  3.  struct xfrm_policy *next; // 下一个策略
  4.  struct hlist_node bydst; // 按目的地址HASH的链表
  5.  struct hlist_node byidx; // 按索引号HASH的链表
  6.  /* This lock only affects elements except for entry. */
  7.  rwlock_t  lock;  // 策略结构锁
  8.  atomic_t  refcnt; // 引用次数
  9.  struct timer_list timer; // 策略定时器
  10.  u8   type;     // 类型
  11.  u32   priority; // 策略优先级
  12.  u32   index;    // 策略索引号
  13.  struct xfrm_selector selector; // 选择子
  14.  struct xfrm_lifetime_cfg lft;     // 策略生命期
  15.  struct xfrm_lifetime_cur curlft;  // 当前的生命期数据
  16.  struct dst_entry       *bundles;  // 路由链表
  17.  __u16   family;   // 协议族
  18.  __u8   action;   // 策略动作, 接受/加密/阻塞...
  19.  __u8   flags;    // 标志
  20.  __u8   dead;     // 策略死亡标志
  21.  __u8   xfrm_nr;  // 使用的xfrm_vec的数量
  22.  struct xfrm_sec_ctx *security; // 安全上下文
  23.  struct xfrm_tmpl        xfrm_vec[XFRM_MAX_DEPTH]; // 状态模板
  24. };

这个结构的字段很多，但大部分并不用关心，我们重点关注下面列举出的这几个字段就行:

  • selector：表示该Policy匹配的流的特征
  • action：取值为XFRM_POLICY_ALLOW(0)或XFRM_POLICY_BLOCK(1)，前者表示允许该流量，后者表示不允许。
  • xfrm_nr: 表示与这条Policy关联的template的数量，template可以理解为xfrm_state的简化版本，xfrm_nr决定了流量进行转换的次数，通常这个值为1
  • xfrm_vec: 表示与这条Policy关联的template，数组的每个元素是xfrm_tmpl, 一个xfrm_tmpl可以还原(resolve)成一个完成state.

用户可以通过下面命令，列出当前主机上的xfrm_policy

ip xfrm policy ls

  1. src 10.1.0.0/16 dst 10.2.0.0/16 uid 0
  2. 	dir out action allow index 5025 priority 383615 ptype main share any flag  (0x00000000)
  3. 	lifetime config:
  4. 	  limit: soft (INF)(bytes), hard (INF)(bytes)
  5. 	  limit: soft (INF)(packets), hard (INF)(packets)
  6. 	  expire add: soft 0(sec), hard 0(sec)
  7. 	  expire use: soft 0(sec), hard 0(sec)
  8. 	lifetime current:
  9. 	  0(bytes), 0(packets)
  10. 	  add 2019-09-02 10:25:39 use 2019-09-02 10:25:39
  11. 	tmpl src 192.168.0.1 dst 192.168.0.2
  12. 		proto esp spi 0xc420a5ed(3290473965) reqid 1(0x00000001) mode tunnel
  13. 		level required share any 
  14. 		enc-mask ffffffff auth-mask ffffffff comp-mask ffffffff

XFRM状态：XFRM State

结构xfrm_state表示IPsec安全关联(include/net/xfrm.h)。它表示的是单向流量，包含加密密钥、标志、请求ID、统计信息、重放参数等信息。要添加XFRM状态，可从用户空间套接字发送请求XFRM_MSG_NEWSA，在内核中，这种请求方法由xfrm_state_add()处理（位于文件net/xfrm/xfrm_user.c）。同样，要删除状态，可发送XFRM_MSG_NEWSAXFRM_MSG_DELSA消息，在内核中，这种请求方法由xfrm_del_sa()处理。 xfrm_state状态结构用来描述SA在内核中的具体实现:

  1. struct xfrm_state\
  2. {\
  3.  /* Note: bydst is re-used during gc */\
  4. // 每个状态结构挂接到三个HASH链表中\
  5.  struct hlist_node bydst; // 按目的地址HASH\
  6.  struct hlist_node bysrc; // 按源地址HASH\
  7.  struct hlist_node byspi; // 按SPI值HASH
  8.  
  9.  atomic_t  refcnt; // 所有使用计数\
  10.  spinlock_t  lock;   // 状态锁
  11.  
  12.  struct xfrm_id  id; // ID结构， 即目的地址，SPI，协议三元组\
  13.  struct xfrm_selector sel; // 状态选择子
  14.  
  15.  u32   genid; // 状态的标志值, 防止发生碰撞
  16.  
  17.  /* Key manger bits */\
  18.  struct {\
  19.   u8  state;\
  20.   u8  dying;\
  21.   u32  seq;\
  22.  } km;  // KEY回调管理处理结构参数
  23.  
  24.  /* Parameters of this state. */\
  25.  struct {\
  26.   u32  reqid; // 请求ID\
  27.   u8  mode;  // 模式: 传输/通道\
  28.   u8  replay_window; // 回放窗口\
  29.   u8  aalgo, ealgo, calgo; // 认证,加密,压缩算法ID值\
  30.   u8  flags; // 一些标准\
  31.   u16  family; // 协议族\
  32.   xfrm_address_t saddr;  // 源地址\
  33.   int  header_len;  // 添加的协议头长度\
  34.   int  trailer_len; //\
  35.  } props; // SA相关参数结构
  36.  
  37.  struct xfrm_lifetime_cfg lft; // 生存时间配置
  38.  
  39.  /* Data for transformer */\
  40.  struct xfrm_algo *aalg; // hash算法\
  41.  struct xfrm_algo *ealg; // 加密算法\
  42.  struct xfrm_algo *calg; // 压缩算法
  43.  
  44.  /* Data for encapsulator */\
  45.  struct xfrm_encap_tmpl *encap; // NAT-T封装信息
  46.  
  47.  /* Data for care-of address */\
  48.  xfrm_address_t *coaddr;
  49.  
  50.  /* IPComp needs an IPIP tunnel for handling uncompressed packets */\
  51.  struct xfrm_state *tunnel;  // 通道, 实际是另一个SA
  52.  
  53.  /* If a tunnel, number of users + 1 */\
  54.  atomic_t  tunnel_users; // 通道的使用数
  55.  
  56.  /* State for replay detection */\
  57.  struct xfrm_replay_state replay; // 回放检测结构,包含各种序列号掩码等信息
  58.  
  59.  /* Replay detection state at the time we sent the last notification */\
  60.  struct xfrm_replay_state preplay; // 上次的回放记录值
  61.  
  62.  /* internal flag that only holds state for delayed aevent at the\
  63.   * moment\
  64.  */\
  65.  u32   xflags; // 标志
  66.  
  67.  /* Replay detection notification settings */\
  68.  u32   replay_maxage; // 回放最大时间间隔\
  69.  u32   replay_maxdiff; // 回放最大差值
  70.  
  71.  /* Replay detection notification timer */\
  72.  struct timer_list rtimer; // 回放检测定时器
  73.  
  74.  /* Statistics */\
  75.  struct xfrm_stats stats; // 统计值
  76.  
  77.  struct xfrm_lifetime_cur curlft; // 当前时间计数器\
  78.  struct timer_list timer;  // SA定时器
  79.  
  80.  /* Last used time */\
  81.  u64   lastused; // 上次使用时间
  82.  
  83.  /* Reference to data common to all the instances of this\
  84.   * transformer. */\
  85.  struct xfrm_type *type;  // 协议, ESP/AH/IPCOMP\
  86.  struct xfrm_mode *mode;  // 模式, 通道或传输
  87.  
  88.  /* Security context */\
  89.  struct xfrm_sec_ctx *security; // 安全上下文, 加密时使用
  90.  
  91.  /* Private data of this transformer, format is opaque,\
  92.   * interpreted by xfrm_type methods. */\
  93.  void   *data; // 内部数据\
  94. };

xfrm_state包含的字段很多，这里就不贴了，仅仅列出其中最重要的字段：

  • id: 它是一个xfrm_id结构，包含该SA的目的地址、SPI、和协议(AH/ESP)
  • props：表示该SA的其他属性，包括IPsec Mode(Transport/Tunnel)、源地址等信息

每个xfrm_state在内核中会加入多个哈希表，因此，内核可以从多个特征查找到同一个个SA：

  • xfrm_state_lookup()： 通过指定的SPI信息查找SA
  • xfrm_state_lookup_byaddr(): 通过源地址查找SA
  • xfrm_state_find(): 通过目的地址查找SA

用户可以通过下面命令，列出当前主机上的xfrm_state

ip xfrm state ls

  1. src 192.168.0.1 dst 192.168.0.2
  2. 	proto esp spi 0xc420a5ed(3290473965) reqid 1(0x00000001) mode tunnel
  3. 	replay-window 0 seq 0x00000000 flag af-unspec (0x00100000)
  4. 	auth-trunc hmac(sha256) 0xa65e95de83369bd9f3be3afafc5c363ea5e5e3e12c3017837a7b9dd40fe1901f (256 bits) 128
  5. 	enc cbc(aes) 0x61cd9e16bb8c1d9757852ce1ff46791f (128 bits)
  6. 	anti-replay context: seq 0x0, oseq 0x1, bitmap 0x00000000
  7. 	lifetime config:
  8. 	  limit: soft (INF)(bytes), hard (INF)(bytes)
  9. 	  limit: soft (INF)(packets), hard (INF)(packets)
  10. 	  expire add: soft 1004(sec), hard 1200(sec)
  11. 	  expire use: soft 0(sec), hard 0(sec)
  12. 	lifetime current:
  13. 	  84(bytes), 1(packets)
  14. 	  add 2019-09-02 10:25:39 use 2019-09-02 10:25:39
  15. 	stats:
  16. 	  replay-window 0 replay 0 failed 0

XFRM模板：XFRM TMPL

xfrm模板结构, 用于状态和策略的查询:

  1. struct xfrm_tmpl\
  2. {\
  3. /* id in template is interpreted as:\
  4.  * daddr - destination of tunnel, may be zero for transport mode.\
  5.  * spi   - zero to acquire spi. Not zero if spi is static, then\
  6.  *    daddr must be fixed too.\
  7.  * proto - AH/ESP/IPCOMP\
  8.  */\
  9. // SA三元组, 目的地址, 协议, SOI\
  10.  struct xfrm_id  id;
  11.  
  12. /* Source address of tunnel. Ignored, if it is not a tunnel. */\
  13. // 源地址\
  14.  xfrm_address_t  saddr;
  15.  
  16. // 请求ID\
  17.  __u32   reqid;
  18.  
  19. /* Mode: transport, tunnel etc. */\
  20.  __u8   mode;
  21.  
  22. /* Sharing mode: unique, this session only, this user only etc. */\
  23.  __u8   share;
  24.  
  25. /* May skip this transfomration if no SA is found */\
  26.  __u8   optional;
  27.  
  28. /* Bit mask of algos allowed for acquisition */\
  29.  __u32   aalgos;\
  30.  __u32   ealgos;\
  31.  __u32   calgos;\
  32. };

- - 内核技术中文网 - 构建全国最权威的内核技术交流分享论坛

原文地址：一文带你走进Linux内核之XFRM框架 - 操作系统 - 内核技术中文网 - 构建全国最权威的内核技术交流分享论坛（版权归原作者所有，侵删）

本文内容由网友自发贡献，转载请注明出处：【wpsshop博客】
推荐阅读
相关标签

Copyright © 2003-2013 www.wpsshop.cn 版权所有，并保留所有权利。

  

闽ICP备14008679号