基于openswan klips的IPsec实现分析（七）内核SADB维护(1)

最新推荐文章于 2024-03-25 16:20:33 发布
原创 最新推荐文章于 2024-03-25 16:20:33 发布 · 2.1k 阅读 · 3 ·
本内容遵循CC 4.0 BY-SA版权协议
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
标签
#klips #sadb
本文详细介绍了Linux内核中如何使用klips实现IPsec的安全关联数据库（SADB）维护，包括通过三元组（SPI、目的地址、协议）标识SA，查找、添加和删除SA的过程，以及涉及到的数据结构和哈希表操作。

基于openswan klips的IPsec实现分析（七）内核SADB维护(1)

转载请注明出处：http://blog.csdn.net/rosetta

    上一节讲了应用层pluto是如何构造SADB消息发送给内核的，这节将讲内核对SADB的维护，所有SA处理函数都在指针数组msg_parsers[]中。

SADB(SA Database)即SA数据库，一般听到数据库三字就会想到众所周知的Mysql、Oracle等，但klips对于SA的维护使用的数据库其实就是一个哈希表ipsec_sadb_hash[]（以下称sa哈希表），其每一个成员都是structipsec_sa结构，定义在ipsec_sa.c里：

struct ipsec_sa *ipsec_sadb_hash[SADB_HASHMOD];

结构体struct ipsec_sa成员比较多就不给出了。

三元组said (spi,目的地址，协议)，用以唯一标识SA

typedefstruct {        /* to identify an SA, weneed: */

        ip_address dst;     /* A. destination host */

        ipsec_spi_t spi;    /* B. 32-bit SPI, assigned by dest. host */

#       define SPI_PASS    256 /* magic values...*/

#       define SPI_DROP    257 /* ...for use...*/

#       define SPI_REJECT  258 /* ...with SA_INT*/

#       define SPI_HOLD    259

#       define SPI_TRAP    260    

#       define SPI_TRAPSUBNET  261

    int proto;      /* C. protocol */

#       define SA_ESP  50  /* IPPROTO_ESP */

#       define SA_AH   51  /* IPPROTO_AH */

#       define SA_IPIP 4   /* IPPROTO_IPIP */

#       define SA_COMP 108 /* IPPROTO_COMP */

#       define SA_INT  61  /* IANA reserved for internal use */

} ip_said;

 

隧道协商成功后最终形成的三元组例子比如：

tun0x1002@192.168.2.1和ah0x235cc2d7@192.168.2.3

spi:0x1002，0x235cc2d7

协议:tun(ESP或AH)，AH

目的地址:192.168.2.1, 192.168.2.3

 

通过said查找SA.

structipsec_sa *

ipsec_sa_getbyid(ip_said*said)

{

         int hashval;

         struct ipsec_sa *ips;

        char sa[SATOT_BUF];

         size_t sa_len;

 

         if(said == NULL) {

                   KLIPS_PRINT(debug_xform,

                                "klips_error:ipsec_sa_getbyid: "

                                "null pointer passed in!\n");

                   return NULL;

         }

 

         sa_len = satot(said, 0, sa, sizeof(sa));//通过said获取以上三元组例子的长度，只为调试使用。

 

         hashval = IPS_HASH(said);

        

         KLIPS_PRINT(debug_xform,

                       "klips_debug:ipsec_sa_getbyid: "

                       "linked entry in ipsec_sa table forhash=%d of SA:%s requested.\n",

                       hashval,

                       sa_len ? sa : " (error)");

 

         if((ips = ipsec_sadb_hash[hashval]) ==NULL) {//sa哈希表中无此sa节点，出错。

                   KLIPS_PRINT(debug_xform,

                                "klips_debug:ipsec_sa_getbyid: "

                                "no entries in ipsec_sa table forhash=%d of SA:%s.\n",

                                hashval,

                                sa_len ? sa : " (error)");

                   return NULL;

         }

 

         for (; ips; ips = ips->ips_hnext) {//循环sa哈希表中获取到的一个节点，匹配三元组。

                   if ((ips->ips_said.spi ==said->spi) &&

                       (ips->ips_said.dst.u.v4.sin_addr.s_addr== said->dst.u.v4.sin_addr.s_addr) &&

                       (ips->ips_said.proto == said->proto)){

                            atomic_inc(&ips->ips_refcount);

                            return ips; //成功匹配，返回。

                   }

         }

        

         KLIPS_PRINT(debug_xform,

                       "klips_debug:ipsec_sa_getbyid: "

                       "no entry in linked list for hash=%dof SA:%s.\n",

                       hashval,

                       sa_len ? sa : " (error)");

         return NULL;

}

 

内核增加SA

int  ipsec_sa_add(structipsec_sa *ips)

{  

   int error = 0;

   unsigned int hashval;

               

   if(ips == NULL) {

       KLIPS_PRINT(debug_xform,

                "klips_error:ipsec_sa_add:"

                "null pointer passedin!\n");

       return -ENODATA;

    }

   hashval = IPS_HASH(&ips->ips_said);//通过said计算HASH值。

           

   atomic_inc(&ips->ips_refcount);//原子增加此sa被引用的次数

   spin_lock_bh(&tdb_lock);//操作哈希数据自旋锁

 

   ips->ips_hnext = ipsec_sadb_hash[hashval];

   ipsec_sadb_hash[hashval] = ips;//增加sa完成。

 

   spin_unlock_bh(&tdb_lock);

 

   return error;

}

 

内核删除SA

/*

  Theipsec_sa table better be locked before it is handed in, or races might happen

*/

int

ipsec_sa_del(struct ipsec_sa *ips)

{

         unsignedint hashval;

         structipsec_sa *ipstp;

    charsa[SATOT_BUF];

         size_tsa_len;

 

         if(ips== NULL) {

                   KLIPS_PRINT(debug_xform,

                                "klips_error:ipsec_sa_del: "

                                "null pointer passed in!\n");

                   return-ENODATA;

         }

        

         sa_len= satot(&ips->ips_said, 0, sa, sizeof(sa));

         if(ips->ips_inext|| ips->ips_onext) {

                   KLIPS_PRINT(debug_xform,

                                "klips_error:ipsec_sa_del: "

                                "SA:%s still linked!\n",

                                sa_len ? sa : " (error)");

                   return-EMLINK;

         }

        

         hashval= IPS_HASH(&ips->ips_said);

        

         KLIPS_PRINT(debug_xform,

                       "klips_debug:ipsec_sa_del: "

                       "deleting SA:%s, hashval=%d.\n",

                       sa_len ? sa : " (error)",

                       hashval);

         if(ipsec_sadb_hash[hashval]== NULL) {

                   KLIPS_PRINT(debug_xform,

                                "klips_debug:ipsec_sa_del: "

                                "no entries in ipsec_sa table forhash=%d of SA:%s.\n",

                                hashval,

                                sa_len ? sa : " (error)");

                   return-ENOENT;

         }

        

         if(ips == ipsec_sadb_hash[hashval]) {//仅从哈希表中移除，具体的释放内存操作会在ipsec_sa_free()函数中进行，都是一些kfree操作，不做具体分析。

                   ipsec_sadb_hash[hashval]= ipsec_sadb_hash[hashval]->ips_hnext;

                   ips->ips_hnext= NULL;

                   atomic_dec(&ips->ips_refcount);//

                   KLIPS_PRINT(debug_xform,

                                "klips_debug:ipsec_sa_del: "

                                "successfully deleted first ipsec_sain chain.\n");

                   return0;

         }else {

                   for(ipstp = ipsec_sadb_hash[hashval];

                        ipstp;

                        ipstp = ipstp->ips_hnext) {

                            if(ipstp->ips_hnext == ips) {

                                     ipstp->ips_hnext= ips->ips_hnext;

                                     ips->ips_hnext= NULL;

                                     atomic_dec(&ips->ips_refcount);

                                     KLIPS_PRINT(debug_xform,

                                                   "klips_debug:ipsec_sa_del: "

                                                   "successfully deleted link in ipsec_sachain.\n");

                                     return0;

                            }

                   }

         }

        

         KLIPS_PRINT(debug_xform,

                       "klips_debug:ipsec_sa_del: "

                       "no entries in linked list for hash=%dof SA:%s.\n",

                       hashval,

                       sa_len ? sa : " (error)");

         return-ENOENT;

}

Openswan-2.6.41源码包
06-16
该源码包是openswan.org提供的最新版本
openswan的Pluto源码分析以及linux的IPsec内核源码分析
11-08
对openswan的Pluto源码和linux的IPsec内核源码进行了详细的分析，对于理解openswan的运行机制以及linux的IPsec实现很有帮助
基于openswan klips的IPsec实现分析（一）数据发送
终身学习的程序猿
06-18 7175
基于openswan klips的IPsec VPN实现分析之数据发送 转载请注明出处：http://blog.csdn.net/rosetta 　　Klips是openswan自带实现IPsec功能的模块，其主要实现数据加解密、安全关联、密钥管理、身份认证等功能，并以.ko模块插入到内核中运行。 　　Klips对外出数据的处理流程如下： 　　相关函数调用过程如下:
ipsec 加密流程（二）：ipsec初始化操作
遇见你是我最美丽的意外
11-22 6061
《openswan》专栏系列文章主要是记录openswan源码学习过程中的笔记。 Author : Toney Email : vip_13031075266@163.com Date : 2020.11.22 Copyright:未经同意不得转载！！！ Version ： openswan-2.6.51.5 Reference：https://download.openswan.org/openswan/ 1. 加...
基于openswan klips的IPsec实现分析（六）应用层SADB操作
终身学习的程序猿
06-18 3846
基于openswan klips的IPsec VPN实现分析（六）应用层SADB操作 转载请注明出处：http://blog.csdn.net/rosetta 这里的操作是指由openswan的密钥管理守护进程pluto对于内核SADB的操作。如下来至rfc2367的密钥关联程序和PF_KEY的关系图。
IPSec 专栏目录锦集(openswan)
热门推荐
遇见你是我最美丽的意外
12-23 4万+
为了方便查阅现有的文章，特准备一个目录页供后续查询使用 1. openswan任务调度基础知识之信号
openswan源码ubantu下编译、安装、基本环境搭建
遇见你是我最美丽的意外
04-30 9758
openswan的编译过程 1. 下载源码： 对于openswan源码，我们是从官网上下载的。这里提供两个不同的网站： 专门下载openswan源码的网站 ​ openswan官网1源码下载 openswan官网页面 ​ openswan官网2源码下载 2. 在虚拟机上解压后编译： 我解压后的源码目录为：root@ubantu:/usr/src/openswan-2.6.51.5#...
基于openswan klips的IPsec实现分析（八）内核SADB维护(2)
终身学习的程序猿
06-18 8155
基于openswan klips的IPsec VPN实现分析（七）内核SADB维护2 转载请注明出处：http://blog.csdn.net/rosetta 内核完整的消息处理过程，以隧道模式ESP协议增加SA情况为例 接收消息和发送消息的知识涉及到Linux内核了，所以不关注它是怎么收发，而是关注收到消息后对消息本身的处理过程。但为了保证代码的完整性，就把接收和发送的代码全部帖上来了
openswan框架和编译时说明
遇见你是我最美丽的意外
01-21 6117
刚开始学习openswan项目代码时，自己尝试了在虚拟机上编译、安装、运行openswan代码，由于当时刚开始学习openswan代码，因此对于其构成并不清楚，在编译、运行过程中有了问题，基本是通过百度来解决的。当时遇到的问题虽然不多，最终花了两天时间成功在两台虚拟机之间可以成功协商ipsec隧道，但是对于编译过程中的部分问题也一直不清楚。（关于在虚拟机中编译安装openswan，搭建ipsec环境，我当时写了一篇博客用来记录当时的问题和解决办法openswan源码ubantu下编译、安装、...
通信与网络安全之IPSEC
前后端面试题面试经验分享
03-25 2920
IPSec只能在IP网络中使用。
openswan pluto代码分析--(1)pluto简介
u013920085的专栏
01-20 3003
Pluto是一个守护进程，提供IKEv1服务 Pluto通信消息：网卡数据报文消息；whack命令的消息；内核通信消息 接下来分别介绍上面三种通信消息 1. 网卡数据报文消息 打开UDP500和4500端口监听网卡数据----什么时机可以创建这个socket还没看出来 call_server中遍历所有网卡检查是否可读   2.whack命令的消息 在pluto的主函数
SADB参数定义差异分析
weixin_34252686的博客
05-14 443
本文档的Copyleft归yfydz所有，使用GPL发布，可以自由拷贝，转载，转载时请保持文档的完整性， 严禁用于任何商业用途。msn: yfydz_no1@hotmail.com来源：http://yfydz.cublog.cn 1. 前言 由于RFC2367中只定义了SA的类型，但没有定义安全策略的定义，因此各种IPSEC实现只能自己定义，openswan-2.4.7...
ipsec内核实现分析
07-04
linux的ipsec内核实现源码分析，本人的源码阅读笔记，主要讲解了xfrm模块的实现和源码流程，有需要的可以下载参考
ipsec(linux内核实现)
09-13
讲解linux内核最新代码中ipsec pfkey的实现过程。很具有参考价值。
Pluto 简单的实例包含数据库连接和源码
01-08
Pluto 简单的实例包含数据库连接和源码 Pluto 入门学习必备啊
IPSec手动创建隧道
redwingz的博客
05-21 4091
网络拓扑 |-------------------| |-------------------| | | | | | 192.168.1.115 | <---------> | 192.168.1.142 | ...
Cisco VPP IPSec配置
迷失的专栏
02-27 2888
IPSEC SA： ipsec sa add 10 spi 1001 esp crypto-alg aes-cbc-128 crypto-key 4a506a794f574265564551694d653768 integ-alg sha1-96 integ-key 4339314b55523947594d6d3547666b45764e6a58 ipsec sa add 20 spi 1000...
openswan性能初步分析
遇见你是我最美丽的意外
05-19 1110
openswan性能初步分析 这里相对openswan的性能做个简单的说明。为什么要介绍这个话题呢？ 其实最主要的原因还是想openswan的性能到底如何、极限是多少隧道、会有哪些瓶颈等等？ 比如某个项目，客户需要设备支持1000条隧道，那么首先要考虑自己的产品能否支持到这么多？也就是说需要知道自己的实力。如果不考虑这些实际的问题，只一味的接项目，那么最可能的结果就是白白投入这么多的人力物力时间，最终对于公司来说收效甚微。 另一个原因：openswan的官方也没有给出明确的性能参数，比如说最大能支持多少
基于openswan klips的IPsec实现分析（十一）NAT穿越
终身学习的程序猿
06-18 4464
基于openswan klips的IPsec VPN实现分析（十一）NAT穿越 转载请注明出处：http://blog.csdn.net/rosetta 本节介绍openswan klips的NAT穿越，应用层IKE协商时的NAT在以后的文章再做介绍。 简介 IPsec和NAT的冲突： NAT服务器对内网来的数据包，需要修改其源地址和源端口为服务器自身的地址和端口，然
基于openswan klips的IPsec实现分析（九）加密算法维护
终身学习的程序猿
06-18 3741
基于openswan klips的IPsec VPN实现分析（九）加密算法维护 转载请注明出处：http://blog.csdn.net/rosetta 本节将介绍klips加密算法的维护，并介绍如何增加新加密算法的支持，下一节将讲认证算法维护和增加。 这里说的加密算法是指对称加密算法，是在通信过程中对传送的信息加解密时使用的，比如:AES,3DES,sm4等。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值