Home | History | Annotate | Line # | Download | only in net
pf_norm.c revision 1.9.2.2
      1  1.9.2.2    yamt /*	$NetBSD: pf_norm.c,v 1.9.2.2 2006/12/30 20:49:56 yamt Exp $	*/
      2      1.9   peter /*	$OpenBSD: pf_norm.c,v 1.97 2004/09/21 16:59:12 aaron Exp $ */
      3      1.1  itojun 
      4      1.1  itojun /*
      5      1.1  itojun  * Copyright 2001 Niels Provos <provos (at) citi.umich.edu>
      6      1.1  itojun  * All rights reserved.
      7      1.1  itojun  *
      8      1.1  itojun  * Redistribution and use in source and binary forms, with or without
      9      1.1  itojun  * modification, are permitted provided that the following conditions
     10      1.1  itojun  * are met:
     11      1.1  itojun  * 1. Redistributions of source code must retain the above copyright
     12      1.1  itojun  *    notice, this list of conditions and the following disclaimer.
     13      1.1  itojun  * 2. Redistributions in binary form must reproduce the above copyright
     14      1.1  itojun  *    notice, this list of conditions and the following disclaimer in the
     15      1.1  itojun  *    documentation and/or other materials provided with the distribution.
     16      1.1  itojun  *
     17      1.1  itojun  * THIS SOFTWARE IS PROVIDED BY THE AUTHOR ``AS IS'' AND ANY EXPRESS OR
     18      1.1  itojun  * IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED WARRANTIES
     19      1.1  itojun  * OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE DISCLAIMED.
     20      1.1  itojun  * IN NO EVENT SHALL THE AUTHOR BE LIABLE FOR ANY DIRECT, INDIRECT,
     21      1.1  itojun  * INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT
     22      1.1  itojun  * NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; LOSS OF USE,
     23      1.1  itojun  * DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND ON ANY
     24      1.1  itojun  * THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY, OR TORT
     25      1.1  itojun  * (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF
     26      1.1  itojun  * THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE.
     27      1.1  itojun  */
     28      1.1  itojun 
     29      1.2  itojun #ifdef _KERNEL_OPT
     30      1.2  itojun #include "opt_inet.h"
     31      1.2  itojun #endif
     32      1.2  itojun 
     33      1.1  itojun #include "pflog.h"
     34      1.1  itojun 
     35      1.1  itojun #include <sys/param.h>
     36      1.1  itojun #include <sys/systm.h>
     37      1.1  itojun #include <sys/mbuf.h>
     38      1.1  itojun #include <sys/filio.h>
     39      1.1  itojun #include <sys/fcntl.h>
     40      1.1  itojun #include <sys/socket.h>
     41      1.1  itojun #include <sys/kernel.h>
     42      1.1  itojun #include <sys/time.h>
     43      1.1  itojun #include <sys/pool.h>
     44      1.1  itojun 
     45      1.2  itojun #ifdef __OpenBSD__
     46      1.1  itojun #include <dev/rndvar.h>
     47      1.2  itojun #else
     48      1.2  itojun #include <sys/rnd.h>
     49      1.2  itojun #endif
     50      1.1  itojun #include <net/if.h>
     51      1.1  itojun #include <net/if_types.h>
     52      1.1  itojun #include <net/bpf.h>
     53      1.1  itojun #include <net/route.h>
     54      1.1  itojun #include <net/if_pflog.h>
     55      1.1  itojun 
     56      1.1  itojun #include <netinet/in.h>
     57      1.1  itojun #include <netinet/in_var.h>
     58      1.1  itojun #include <netinet/in_systm.h>
     59      1.1  itojun #include <netinet/ip.h>
     60      1.1  itojun #include <netinet/ip_var.h>
     61      1.1  itojun #include <netinet/tcp.h>
     62      1.1  itojun #include <netinet/tcp_seq.h>
     63      1.1  itojun #include <netinet/udp.h>
     64      1.1  itojun #include <netinet/ip_icmp.h>
     65      1.1  itojun 
     66      1.1  itojun #ifdef INET6
     67      1.1  itojun #include <netinet/ip6.h>
     68      1.1  itojun #endif /* INET6 */
     69      1.1  itojun 
     70      1.1  itojun #include <net/pfvar.h>
     71      1.1  itojun 
     72      1.1  itojun struct pf_frent {
     73      1.1  itojun 	LIST_ENTRY(pf_frent) fr_next;
     74      1.1  itojun 	struct ip *fr_ip;
     75      1.1  itojun 	struct mbuf *fr_m;
     76      1.1  itojun };
     77      1.1  itojun 
     78      1.1  itojun struct pf_frcache {
     79      1.1  itojun 	LIST_ENTRY(pf_frcache) fr_next;
     80      1.1  itojun 	uint16_t	fr_off;
     81      1.1  itojun 	uint16_t	fr_end;
     82      1.1  itojun };
     83      1.1  itojun 
     84      1.1  itojun #define PFFRAG_SEENLAST	0x0001		/* Seen the last fragment for this */
     85      1.1  itojun #define PFFRAG_NOBUFFER	0x0002		/* Non-buffering fragment cache */
     86      1.1  itojun #define PFFRAG_DROP	0x0004		/* Drop all fragments */
     87      1.1  itojun #define BUFFER_FRAGMENTS(fr)	(!((fr)->fr_flags & PFFRAG_NOBUFFER))
     88      1.1  itojun 
     89      1.1  itojun struct pf_fragment {
     90      1.1  itojun 	RB_ENTRY(pf_fragment) fr_entry;
     91      1.1  itojun 	TAILQ_ENTRY(pf_fragment) frag_next;
     92      1.1  itojun 	struct in_addr	fr_src;
     93      1.1  itojun 	struct in_addr	fr_dst;
     94      1.1  itojun 	u_int8_t	fr_p;		/* protocol of this fragment */
     95      1.1  itojun 	u_int8_t	fr_flags;	/* status flags */
     96      1.1  itojun 	u_int16_t	fr_id;		/* fragment id for reassemble */
     97      1.1  itojun 	u_int16_t	fr_max;		/* fragment data max */
     98      1.1  itojun 	u_int32_t	fr_timeout;
     99      1.1  itojun #define fr_queue	fr_u.fru_queue
    100      1.1  itojun #define fr_cache	fr_u.fru_cache
    101      1.1  itojun 	union {
    102      1.1  itojun 		LIST_HEAD(pf_fragq, pf_frent) fru_queue;	/* buffering */
    103      1.1  itojun 		LIST_HEAD(pf_cacheq, pf_frcache) fru_cache;	/* non-buf */
    104      1.1  itojun 	} fr_u;
    105      1.1  itojun };
    106      1.1  itojun 
    107      1.1  itojun TAILQ_HEAD(pf_fragqueue, pf_fragment)	pf_fragqueue;
    108      1.1  itojun TAILQ_HEAD(pf_cachequeue, pf_fragment)	pf_cachequeue;
    109      1.1  itojun 
    110      1.1  itojun static __inline int	 pf_frag_compare(struct pf_fragment *,
    111      1.1  itojun 			    struct pf_fragment *);
    112      1.1  itojun RB_HEAD(pf_frag_tree, pf_fragment)	pf_frag_tree, pf_cache_tree;
    113      1.1  itojun RB_PROTOTYPE(pf_frag_tree, pf_fragment, fr_entry, pf_frag_compare);
    114      1.1  itojun RB_GENERATE(pf_frag_tree, pf_fragment, fr_entry, pf_frag_compare);
    115      1.1  itojun 
    116      1.1  itojun /* Private prototypes */
    117      1.1  itojun void			 pf_ip2key(struct pf_fragment *, struct ip *);
    118      1.1  itojun void			 pf_remove_fragment(struct pf_fragment *);
    119      1.1  itojun void			 pf_flush_fragments(void);
    120      1.1  itojun void			 pf_free_fragment(struct pf_fragment *);
    121      1.1  itojun struct pf_fragment	*pf_find_fragment(struct ip *, struct pf_frag_tree *);
    122      1.1  itojun struct mbuf		*pf_reassemble(struct mbuf **, struct pf_fragment **,
    123      1.1  itojun 			    struct pf_frent *, int);
    124      1.1  itojun struct mbuf		*pf_fragcache(struct mbuf **, struct ip*,
    125      1.1  itojun 			    struct pf_fragment **, int, int, int *);
    126      1.1  itojun int			 pf_normalize_tcpopt(struct pf_rule *, struct mbuf *,
    127      1.1  itojun 			    struct tcphdr *, int);
    128      1.1  itojun 
    129      1.6    yamt #define	DPFPRINTF(x) do {				\
    130      1.6    yamt 	if (pf_status.debug >= PF_DEBUG_MISC) {		\
    131      1.6    yamt 		printf("%s: ", __func__);		\
    132      1.6    yamt 		printf x ;				\
    133      1.6    yamt 	}						\
    134      1.6    yamt } while(0)
    135      1.1  itojun 
    136      1.1  itojun /* Globals */
    137      1.1  itojun struct pool		 pf_frent_pl, pf_frag_pl, pf_cache_pl, pf_cent_pl;
    138      1.1  itojun struct pool		 pf_state_scrub_pl;
    139      1.1  itojun int			 pf_nfrents, pf_ncache;
    140      1.1  itojun 
    141      1.1  itojun void
    142      1.1  itojun pf_normalize_init(void)
    143      1.1  itojun {
    144      1.1  itojun 	pool_init(&pf_frent_pl, sizeof(struct pf_frent), 0, 0, 0, "pffrent",
    145      1.1  itojun 	    NULL);
    146      1.1  itojun 	pool_init(&pf_frag_pl, sizeof(struct pf_fragment), 0, 0, 0, "pffrag",
    147      1.1  itojun 	    NULL);
    148      1.1  itojun 	pool_init(&pf_cache_pl, sizeof(struct pf_fragment), 0, 0, 0,
    149      1.1  itojun 	    "pffrcache", NULL);
    150      1.1  itojun 	pool_init(&pf_cent_pl, sizeof(struct pf_frcache), 0, 0, 0, "pffrcent",
    151      1.1  itojun 	    NULL);
    152      1.1  itojun 	pool_init(&pf_state_scrub_pl, sizeof(struct pf_state_scrub), 0, 0, 0,
    153      1.1  itojun 	    "pfstscr", NULL);
    154      1.1  itojun 
    155      1.1  itojun 	pool_sethiwat(&pf_frag_pl, PFFRAG_FRAG_HIWAT);
    156      1.1  itojun 	pool_sethardlimit(&pf_frent_pl, PFFRAG_FRENT_HIWAT, NULL, 0);
    157      1.1  itojun 	pool_sethardlimit(&pf_cache_pl, PFFRAG_FRCACHE_HIWAT, NULL, 0);
    158      1.1  itojun 	pool_sethardlimit(&pf_cent_pl, PFFRAG_FRCENT_HIWAT, NULL, 0);
    159      1.1  itojun 
    160      1.1  itojun 	TAILQ_INIT(&pf_fragqueue);
    161      1.1  itojun 	TAILQ_INIT(&pf_cachequeue);
    162      1.1  itojun }
    163      1.1  itojun 
    164      1.3  itojun #ifdef _LKM
    165      1.3  itojun void
    166      1.3  itojun pf_normalize_destroy(void)
    167      1.3  itojun {
    168      1.3  itojun 	pool_destroy(&pf_state_scrub_pl);
    169      1.3  itojun 	pool_destroy(&pf_cent_pl);
    170      1.3  itojun 	pool_destroy(&pf_cache_pl);
    171      1.3  itojun 	pool_destroy(&pf_frag_pl);
    172      1.3  itojun 	pool_destroy(&pf_frent_pl);
    173      1.3  itojun }
    174      1.3  itojun #endif
    175      1.3  itojun 
    176      1.1  itojun static __inline int
    177      1.1  itojun pf_frag_compare(struct pf_fragment *a, struct pf_fragment *b)
    178      1.1  itojun {
    179      1.1  itojun 	int	diff;
    180      1.1  itojun 
    181      1.1  itojun 	if ((diff = a->fr_id - b->fr_id))
    182      1.1  itojun 		return (diff);
    183      1.1  itojun 	else if ((diff = a->fr_p - b->fr_p))
    184      1.1  itojun 		return (diff);
    185      1.1  itojun 	else if (a->fr_src.s_addr < b->fr_src.s_addr)
    186      1.1  itojun 		return (-1);
    187      1.1  itojun 	else if (a->fr_src.s_addr > b->fr_src.s_addr)
    188      1.1  itojun 		return (1);
    189      1.1  itojun 	else if (a->fr_dst.s_addr < b->fr_dst.s_addr)
    190      1.1  itojun 		return (-1);
    191      1.1  itojun 	else if (a->fr_dst.s_addr > b->fr_dst.s_addr)
    192      1.1  itojun 		return (1);
    193      1.1  itojun 	return (0);
    194      1.1  itojun }
    195      1.1  itojun 
    196      1.1  itojun void
    197      1.1  itojun pf_purge_expired_fragments(void)
    198      1.1  itojun {
    199      1.1  itojun 	struct pf_fragment	*frag;
    200      1.6    yamt 	u_int32_t		 expire = time_second -
    201      1.1  itojun 				    pf_default_rule.timeout[PFTM_FRAG];
    202      1.1  itojun 
    203      1.1  itojun 	while ((frag = TAILQ_LAST(&pf_fragqueue, pf_fragqueue)) != NULL) {
    204      1.1  itojun 		KASSERT(BUFFER_FRAGMENTS(frag));
    205      1.1  itojun 		if (frag->fr_timeout > expire)
    206      1.1  itojun 			break;
    207      1.1  itojun 
    208      1.1  itojun 		DPFPRINTF(("expiring %d(%p)\n", frag->fr_id, frag));
    209      1.1  itojun 		pf_free_fragment(frag);
    210      1.1  itojun 	}
    211      1.1  itojun 
    212      1.1  itojun 	while ((frag = TAILQ_LAST(&pf_cachequeue, pf_cachequeue)) != NULL) {
    213      1.1  itojun 		KASSERT(!BUFFER_FRAGMENTS(frag));
    214      1.1  itojun 		if (frag->fr_timeout > expire)
    215      1.1  itojun 			break;
    216      1.1  itojun 
    217      1.1  itojun 		DPFPRINTF(("expiring %d(%p)\n", frag->fr_id, frag));
    218      1.1  itojun 		pf_free_fragment(frag);
    219      1.1  itojun 		KASSERT(TAILQ_EMPTY(&pf_cachequeue) ||
    220      1.1  itojun 		    TAILQ_LAST(&pf_cachequeue, pf_cachequeue) != frag);
    221      1.1  itojun 	}
    222      1.1  itojun }
    223      1.1  itojun 
    224      1.1  itojun /*
    225      1.1  itojun  * Try to flush old fragments to make space for new ones
    226      1.1  itojun  */
    227      1.1  itojun 
    228      1.1  itojun void
    229      1.1  itojun pf_flush_fragments(void)
    230      1.1  itojun {
    231      1.1  itojun 	struct pf_fragment	*frag;
    232      1.1  itojun 	int			 goal;
    233      1.1  itojun 
    234      1.1  itojun 	goal = pf_nfrents * 9 / 10;
    235      1.1  itojun 	DPFPRINTF(("trying to free > %d frents\n",
    236      1.1  itojun 	    pf_nfrents - goal));
    237      1.1  itojun 	while (goal < pf_nfrents) {
    238      1.1  itojun 		frag = TAILQ_LAST(&pf_fragqueue, pf_fragqueue);
    239      1.1  itojun 		if (frag == NULL)
    240      1.1  itojun 			break;
    241      1.1  itojun 		pf_free_fragment(frag);
    242      1.1  itojun 	}
    243      1.1  itojun 
    244      1.1  itojun 
    245      1.1  itojun 	goal = pf_ncache * 9 / 10;
    246      1.1  itojun 	DPFPRINTF(("trying to free > %d cache entries\n",
    247      1.1  itojun 	    pf_ncache - goal));
    248      1.1  itojun 	while (goal < pf_ncache) {
    249      1.1  itojun 		frag = TAILQ_LAST(&pf_cachequeue, pf_cachequeue);
    250      1.1  itojun 		if (frag == NULL)
    251      1.1  itojun 			break;
    252      1.1  itojun 		pf_free_fragment(frag);
    253      1.1  itojun 	}
    254      1.1  itojun }
    255      1.1  itojun 
    256      1.1  itojun /* Frees the fragments and all associated entries */
    257      1.1  itojun 
    258      1.1  itojun void
    259      1.1  itojun pf_free_fragment(struct pf_fragment *frag)
    260      1.1  itojun {
    261      1.1  itojun 	struct pf_frent		*frent;
    262      1.1  itojun 	struct pf_frcache	*frcache;
    263      1.1  itojun 
    264      1.1  itojun 	/* Free all fragments */
    265      1.1  itojun 	if (BUFFER_FRAGMENTS(frag)) {
    266      1.1  itojun 		for (frent = LIST_FIRST(&frag->fr_queue); frent;
    267      1.1  itojun 		    frent = LIST_FIRST(&frag->fr_queue)) {
    268      1.1  itojun 			LIST_REMOVE(frent, fr_next);
    269      1.1  itojun 
    270      1.1  itojun 			m_freem(frent->fr_m);
    271      1.1  itojun 			pool_put(&pf_frent_pl, frent);
    272      1.1  itojun 			pf_nfrents--;
    273      1.1  itojun 		}
    274      1.1  itojun 	} else {
    275      1.1  itojun 		for (frcache = LIST_FIRST(&frag->fr_cache); frcache;
    276      1.1  itojun 		    frcache = LIST_FIRST(&frag->fr_cache)) {
    277      1.1  itojun 			LIST_REMOVE(frcache, fr_next);
    278      1.1  itojun 
    279      1.1  itojun 			KASSERT(LIST_EMPTY(&frag->fr_cache) ||
    280      1.1  itojun 			    LIST_FIRST(&frag->fr_cache)->fr_off >
    281      1.1  itojun 			    frcache->fr_end);
    282      1.1  itojun 
    283      1.1  itojun 			pool_put(&pf_cent_pl, frcache);
    284      1.1  itojun 			pf_ncache--;
    285      1.1  itojun 		}
    286      1.1  itojun 	}
    287      1.1  itojun 
    288      1.1  itojun 	pf_remove_fragment(frag);
    289      1.1  itojun }
    290      1.1  itojun 
    291      1.1  itojun void
    292      1.1  itojun pf_ip2key(struct pf_fragment *key, struct ip *ip)
    293      1.1  itojun {
    294      1.1  itojun 	key->fr_p = ip->ip_p;
    295      1.1  itojun 	key->fr_id = ip->ip_id;
    296      1.1  itojun 	key->fr_src.s_addr = ip->ip_src.s_addr;
    297      1.1  itojun 	key->fr_dst.s_addr = ip->ip_dst.s_addr;
    298      1.1  itojun }
    299      1.1  itojun 
    300      1.1  itojun struct pf_fragment *
    301      1.1  itojun pf_find_fragment(struct ip *ip, struct pf_frag_tree *tree)
    302      1.1  itojun {
    303      1.1  itojun 	struct pf_fragment	 key;
    304      1.1  itojun 	struct pf_fragment	*frag;
    305      1.1  itojun 
    306      1.1  itojun 	pf_ip2key(&key, ip);
    307      1.1  itojun 
    308      1.1  itojun 	frag = RB_FIND(pf_frag_tree, tree, &key);
    309      1.1  itojun 	if (frag != NULL) {
    310      1.1  itojun 		/* XXX Are we sure we want to update the timeout? */
    311      1.6    yamt 		frag->fr_timeout = time_second;
    312      1.1  itojun 		if (BUFFER_FRAGMENTS(frag)) {
    313      1.1  itojun 			TAILQ_REMOVE(&pf_fragqueue, frag, frag_next);
    314      1.1  itojun 			TAILQ_INSERT_HEAD(&pf_fragqueue, frag, frag_next);
    315      1.1  itojun 		} else {
    316      1.1  itojun 			TAILQ_REMOVE(&pf_cachequeue, frag, frag_next);
    317      1.1  itojun 			TAILQ_INSERT_HEAD(&pf_cachequeue, frag, frag_next);
    318      1.1  itojun 		}
    319      1.1  itojun 	}
    320      1.1  itojun 
    321      1.1  itojun 	return (frag);
    322      1.1  itojun }
    323      1.1  itojun 
    324      1.1  itojun /* Removes a fragment from the fragment queue and frees the fragment */
    325      1.1  itojun 
    326      1.1  itojun void
    327      1.1  itojun pf_remove_fragment(struct pf_fragment *frag)
    328      1.1  itojun {
    329      1.1  itojun 	if (BUFFER_FRAGMENTS(frag)) {
    330      1.1  itojun 		RB_REMOVE(pf_frag_tree, &pf_frag_tree, frag);
    331      1.1  itojun 		TAILQ_REMOVE(&pf_fragqueue, frag, frag_next);
    332      1.1  itojun 		pool_put(&pf_frag_pl, frag);
    333      1.1  itojun 	} else {
    334      1.1  itojun 		RB_REMOVE(pf_frag_tree, &pf_cache_tree, frag);
    335      1.1  itojun 		TAILQ_REMOVE(&pf_cachequeue, frag, frag_next);
    336      1.1  itojun 		pool_put(&pf_cache_pl, frag);
    337      1.1  itojun 	}
    338      1.1  itojun }
    339      1.1  itojun 
    340      1.1  itojun #define FR_IP_OFF(fr)	((ntohs((fr)->fr_ip->ip_off) & IP_OFFMASK) << 3)
    341      1.1  itojun struct mbuf *
    342      1.1  itojun pf_reassemble(struct mbuf **m0, struct pf_fragment **frag,
    343      1.1  itojun     struct pf_frent *frent, int mff)
    344      1.1  itojun {
    345      1.1  itojun 	struct mbuf	*m = *m0, *m2;
    346      1.1  itojun 	struct pf_frent	*frea, *next;
    347      1.1  itojun 	struct pf_frent	*frep = NULL;
    348      1.1  itojun 	struct ip	*ip = frent->fr_ip;
    349      1.1  itojun 	int		 hlen = ip->ip_hl << 2;
    350      1.1  itojun 	u_int16_t	 off = (ntohs(ip->ip_off) & IP_OFFMASK) << 3;
    351      1.1  itojun 	u_int16_t	 ip_len = ntohs(ip->ip_len) - ip->ip_hl * 4;
    352      1.1  itojun 	u_int16_t	 max = ip_len + off;
    353      1.1  itojun 
    354      1.1  itojun 	KASSERT(*frag == NULL || BUFFER_FRAGMENTS(*frag));
    355      1.1  itojun 
    356      1.1  itojun 	/* Strip off ip header */
    357      1.1  itojun 	m->m_data += hlen;
    358      1.1  itojun 	m->m_len -= hlen;
    359      1.1  itojun 
    360      1.1  itojun 	/* Create a new reassembly queue for this packet */
    361      1.1  itojun 	if (*frag == NULL) {
    362      1.1  itojun 		*frag = pool_get(&pf_frag_pl, PR_NOWAIT);
    363      1.1  itojun 		if (*frag == NULL) {
    364      1.1  itojun 			pf_flush_fragments();
    365      1.1  itojun 			*frag = pool_get(&pf_frag_pl, PR_NOWAIT);
    366      1.1  itojun 			if (*frag == NULL)
    367      1.1  itojun 				goto drop_fragment;
    368      1.1  itojun 		}
    369      1.1  itojun 
    370      1.1  itojun 		(*frag)->fr_flags = 0;
    371      1.1  itojun 		(*frag)->fr_max = 0;
    372      1.1  itojun 		(*frag)->fr_src = frent->fr_ip->ip_src;
    373      1.1  itojun 		(*frag)->fr_dst = frent->fr_ip->ip_dst;
    374      1.1  itojun 		(*frag)->fr_p = frent->fr_ip->ip_p;
    375      1.1  itojun 		(*frag)->fr_id = frent->fr_ip->ip_id;
    376      1.6    yamt 		(*frag)->fr_timeout = time_second;
    377      1.1  itojun 		LIST_INIT(&(*frag)->fr_queue);
    378      1.1  itojun 
    379      1.1  itojun 		RB_INSERT(pf_frag_tree, &pf_frag_tree, *frag);
    380      1.1  itojun 		TAILQ_INSERT_HEAD(&pf_fragqueue, *frag, frag_next);
    381      1.1  itojun 
    382      1.1  itojun 		/* We do not have a previous fragment */
    383      1.1  itojun 		frep = NULL;
    384      1.1  itojun 		goto insert;
    385      1.1  itojun 	}
    386      1.1  itojun 
    387      1.1  itojun 	/*
    388      1.1  itojun 	 * Find a fragment after the current one:
    389      1.1  itojun 	 *  - off contains the real shifted offset.
    390      1.1  itojun 	 */
    391      1.1  itojun 	LIST_FOREACH(frea, &(*frag)->fr_queue, fr_next) {
    392      1.1  itojun 		if (FR_IP_OFF(frea) > off)
    393      1.1  itojun 			break;
    394      1.1  itojun 		frep = frea;
    395      1.1  itojun 	}
    396      1.1  itojun 
    397      1.1  itojun 	KASSERT(frep != NULL || frea != NULL);
    398      1.1  itojun 
    399      1.1  itojun 	if (frep != NULL &&
    400      1.1  itojun 	    FR_IP_OFF(frep) + ntohs(frep->fr_ip->ip_len) - frep->fr_ip->ip_hl *
    401      1.1  itojun 	    4 > off)
    402      1.1  itojun 	{
    403      1.1  itojun 		u_int16_t	precut;
    404      1.1  itojun 
    405      1.1  itojun 		precut = FR_IP_OFF(frep) + ntohs(frep->fr_ip->ip_len) -
    406      1.1  itojun 		    frep->fr_ip->ip_hl * 4 - off;
    407      1.1  itojun 		if (precut >= ip_len)
    408      1.1  itojun 			goto drop_fragment;
    409      1.1  itojun 		m_adj(frent->fr_m, precut);
    410      1.1  itojun 		DPFPRINTF(("overlap -%d\n", precut));
    411      1.1  itojun 		/* Enforce 8 byte boundaries */
    412      1.1  itojun 		ip->ip_off = htons(ntohs(ip->ip_off) + (precut >> 3));
    413      1.1  itojun 		off = (ntohs(ip->ip_off) & IP_OFFMASK) << 3;
    414      1.1  itojun 		ip_len -= precut;
    415      1.1  itojun 		ip->ip_len = htons(ip_len);
    416      1.1  itojun 	}
    417      1.1  itojun 
    418      1.1  itojun 	for (; frea != NULL && ip_len + off > FR_IP_OFF(frea);
    419      1.1  itojun 	    frea = next)
    420      1.1  itojun 	{
    421      1.1  itojun 		u_int16_t	aftercut;
    422      1.1  itojun 
    423      1.1  itojun 		aftercut = ip_len + off - FR_IP_OFF(frea);
    424      1.1  itojun 		DPFPRINTF(("adjust overlap %d\n", aftercut));
    425      1.1  itojun 		if (aftercut < ntohs(frea->fr_ip->ip_len) - frea->fr_ip->ip_hl
    426      1.1  itojun 		    * 4)
    427      1.1  itojun 		{
    428      1.1  itojun 			frea->fr_ip->ip_len =
    429      1.1  itojun 			    htons(ntohs(frea->fr_ip->ip_len) - aftercut);
    430      1.1  itojun 			frea->fr_ip->ip_off = htons(ntohs(frea->fr_ip->ip_off) +
    431      1.1  itojun 			    (aftercut >> 3));
    432      1.1  itojun 			m_adj(frea->fr_m, aftercut);
    433      1.1  itojun 			break;
    434      1.1  itojun 		}
    435      1.1  itojun 
    436      1.1  itojun 		/* This fragment is completely overlapped, loose it */
    437      1.1  itojun 		next = LIST_NEXT(frea, fr_next);
    438      1.1  itojun 		m_freem(frea->fr_m);
    439      1.1  itojun 		LIST_REMOVE(frea, fr_next);
    440      1.1  itojun 		pool_put(&pf_frent_pl, frea);
    441      1.1  itojun 		pf_nfrents--;
    442      1.1  itojun 	}
    443      1.1  itojun 
    444      1.1  itojun  insert:
    445      1.1  itojun 	/* Update maximum data size */
    446      1.1  itojun 	if ((*frag)->fr_max < max)
    447      1.1  itojun 		(*frag)->fr_max = max;
    448      1.1  itojun 	/* This is the last segment */
    449      1.1  itojun 	if (!mff)
    450      1.1  itojun 		(*frag)->fr_flags |= PFFRAG_SEENLAST;
    451      1.1  itojun 
    452      1.1  itojun 	if (frep == NULL)
    453      1.1  itojun 		LIST_INSERT_HEAD(&(*frag)->fr_queue, frent, fr_next);
    454      1.1  itojun 	else
    455      1.1  itojun 		LIST_INSERT_AFTER(frep, frent, fr_next);
    456      1.1  itojun 
    457      1.1  itojun 	/* Check if we are completely reassembled */
    458      1.1  itojun 	if (!((*frag)->fr_flags & PFFRAG_SEENLAST))
    459      1.1  itojun 		return (NULL);
    460      1.1  itojun 
    461      1.1  itojun 	/* Check if we have all the data */
    462      1.1  itojun 	off = 0;
    463      1.1  itojun 	for (frep = LIST_FIRST(&(*frag)->fr_queue); frep; frep = next) {
    464      1.1  itojun 		next = LIST_NEXT(frep, fr_next);
    465      1.1  itojun 
    466      1.1  itojun 		off += ntohs(frep->fr_ip->ip_len) - frep->fr_ip->ip_hl * 4;
    467      1.1  itojun 		if (off < (*frag)->fr_max &&
    468      1.1  itojun 		    (next == NULL || FR_IP_OFF(next) != off))
    469      1.1  itojun 		{
    470      1.1  itojun 			DPFPRINTF(("missing fragment at %d, next %d, max %d\n",
    471      1.1  itojun 			    off, next == NULL ? -1 : FR_IP_OFF(next),
    472      1.1  itojun 			    (*frag)->fr_max));
    473      1.1  itojun 			return (NULL);
    474      1.1  itojun 		}
    475      1.1  itojun 	}
    476      1.1  itojun 	DPFPRINTF(("%d < %d?\n", off, (*frag)->fr_max));
    477      1.1  itojun 	if (off < (*frag)->fr_max)
    478      1.1  itojun 		return (NULL);
    479      1.1  itojun 
    480      1.1  itojun 	/* We have all the data */
    481      1.1  itojun 	frent = LIST_FIRST(&(*frag)->fr_queue);
    482      1.1  itojun 	KASSERT(frent != NULL);
    483      1.1  itojun 	if ((frent->fr_ip->ip_hl << 2) + off > IP_MAXPACKET) {
    484      1.1  itojun 		DPFPRINTF(("drop: too big: %d\n", off));
    485      1.1  itojun 		pf_free_fragment(*frag);
    486      1.1  itojun 		*frag = NULL;
    487      1.1  itojun 		return (NULL);
    488      1.1  itojun 	}
    489      1.1  itojun 	next = LIST_NEXT(frent, fr_next);
    490      1.1  itojun 
    491      1.1  itojun 	/* Magic from ip_input */
    492      1.1  itojun 	ip = frent->fr_ip;
    493      1.1  itojun 	m = frent->fr_m;
    494      1.1  itojun 	m2 = m->m_next;
    495      1.1  itojun 	m->m_next = NULL;
    496      1.1  itojun 	m_cat(m, m2);
    497      1.1  itojun 	pool_put(&pf_frent_pl, frent);
    498      1.1  itojun 	pf_nfrents--;
    499      1.1  itojun 	for (frent = next; frent != NULL; frent = next) {
    500      1.1  itojun 		next = LIST_NEXT(frent, fr_next);
    501      1.1  itojun 
    502      1.1  itojun 		m2 = frent->fr_m;
    503      1.1  itojun 		pool_put(&pf_frent_pl, frent);
    504      1.1  itojun 		pf_nfrents--;
    505      1.1  itojun 		m_cat(m, m2);
    506      1.1  itojun 	}
    507      1.1  itojun 
    508      1.1  itojun 	ip->ip_src = (*frag)->fr_src;
    509      1.1  itojun 	ip->ip_dst = (*frag)->fr_dst;
    510      1.1  itojun 
    511      1.1  itojun 	/* Remove from fragment queue */
    512      1.1  itojun 	pf_remove_fragment(*frag);
    513      1.1  itojun 	*frag = NULL;
    514      1.1  itojun 
    515      1.1  itojun 	hlen = ip->ip_hl << 2;
    516      1.1  itojun 	ip->ip_len = htons(off + hlen);
    517      1.1  itojun 	m->m_len += hlen;
    518      1.1  itojun 	m->m_data -= hlen;
    519      1.1  itojun 
    520      1.1  itojun 	/* some debugging cruft by sklower, below, will go away soon */
    521      1.1  itojun 	/* XXX this should be done elsewhere */
    522      1.1  itojun 	if (m->m_flags & M_PKTHDR) {
    523      1.1  itojun 		int plen = 0;
    524      1.1  itojun 		for (m2 = m; m2; m2 = m2->m_next)
    525      1.1  itojun 			plen += m2->m_len;
    526      1.1  itojun 		m->m_pkthdr.len = plen;
    527      1.8    yamt #if defined(__NetBSD__)
    528      1.8    yamt 		m->m_pkthdr.csum_flags = 0;
    529      1.8    yamt #endif /* defined(__NetBSD__) */
    530      1.1  itojun 	}
    531      1.1  itojun 
    532      1.1  itojun 	DPFPRINTF(("complete: %p(%d)\n", m, ntohs(ip->ip_len)));
    533      1.1  itojun 	return (m);
    534      1.1  itojun 
    535      1.1  itojun  drop_fragment:
    536      1.1  itojun 	/* Oops - fail safe - drop packet */
    537      1.1  itojun 	pool_put(&pf_frent_pl, frent);
    538      1.1  itojun 	pf_nfrents--;
    539      1.1  itojun 	m_freem(m);
    540      1.1  itojun 	return (NULL);
    541      1.1  itojun }
    542      1.1  itojun 
    543      1.1  itojun struct mbuf *
    544      1.1  itojun pf_fragcache(struct mbuf **m0, struct ip *h, struct pf_fragment **frag, int mff,
    545      1.1  itojun     int drop, int *nomem)
    546      1.1  itojun {
    547      1.1  itojun 	struct mbuf		*m = *m0;
    548      1.1  itojun 	struct pf_frcache	*frp, *fra, *cur = NULL;
    549      1.1  itojun 	int			 ip_len = ntohs(h->ip_len) - (h->ip_hl << 2);
    550      1.1  itojun 	u_int16_t		 off = ntohs(h->ip_off) << 3;
    551      1.1  itojun 	u_int16_t		 max = ip_len + off;
    552      1.1  itojun 	int			 hosed = 0;
    553      1.1  itojun 
    554      1.1  itojun 	KASSERT(*frag == NULL || !BUFFER_FRAGMENTS(*frag));
    555      1.1  itojun 
    556      1.1  itojun 	/* Create a new range queue for this packet */
    557      1.1  itojun 	if (*frag == NULL) {
    558      1.1  itojun 		*frag = pool_get(&pf_cache_pl, PR_NOWAIT);
    559      1.1  itojun 		if (*frag == NULL) {
    560      1.1  itojun 			pf_flush_fragments();
    561      1.1  itojun 			*frag = pool_get(&pf_cache_pl, PR_NOWAIT);
    562      1.1  itojun 			if (*frag == NULL)
    563      1.1  itojun 				goto no_mem;
    564      1.1  itojun 		}
    565      1.1  itojun 
    566      1.1  itojun 		/* Get an entry for the queue */
    567      1.1  itojun 		cur = pool_get(&pf_cent_pl, PR_NOWAIT);
    568      1.1  itojun 		if (cur == NULL) {
    569      1.1  itojun 			pool_put(&pf_cache_pl, *frag);
    570      1.1  itojun 			*frag = NULL;
    571      1.1  itojun 			goto no_mem;
    572      1.1  itojun 		}
    573      1.1  itojun 		pf_ncache++;
    574      1.1  itojun 
    575      1.1  itojun 		(*frag)->fr_flags = PFFRAG_NOBUFFER;
    576      1.1  itojun 		(*frag)->fr_max = 0;
    577      1.1  itojun 		(*frag)->fr_src = h->ip_src;
    578      1.1  itojun 		(*frag)->fr_dst = h->ip_dst;
    579      1.1  itojun 		(*frag)->fr_p = h->ip_p;
    580      1.1  itojun 		(*frag)->fr_id = h->ip_id;
    581      1.6    yamt 		(*frag)->fr_timeout = time_second;
    582      1.1  itojun 
    583      1.1  itojun 		cur->fr_off = off;
    584      1.1  itojun 		cur->fr_end = max;
    585      1.1  itojun 		LIST_INIT(&(*frag)->fr_cache);
    586      1.1  itojun 		LIST_INSERT_HEAD(&(*frag)->fr_cache, cur, fr_next);
    587      1.1  itojun 
    588      1.1  itojun 		RB_INSERT(pf_frag_tree, &pf_cache_tree, *frag);
    589      1.1  itojun 		TAILQ_INSERT_HEAD(&pf_cachequeue, *frag, frag_next);
    590      1.1  itojun 
    591      1.1  itojun 		DPFPRINTF(("fragcache[%d]: new %d-%d\n", h->ip_id, off, max));
    592      1.1  itojun 
    593      1.1  itojun 		goto pass;
    594      1.1  itojun 	}
    595      1.1  itojun 
    596      1.1  itojun 	/*
    597      1.1  itojun 	 * Find a fragment after the current one:
    598      1.1  itojun 	 *  - off contains the real shifted offset.
    599      1.1  itojun 	 */
    600      1.1  itojun 	frp = NULL;
    601      1.1  itojun 	LIST_FOREACH(fra, &(*frag)->fr_cache, fr_next) {
    602      1.1  itojun 		if (fra->fr_off > off)
    603      1.1  itojun 			break;
    604      1.1  itojun 		frp = fra;
    605      1.1  itojun 	}
    606      1.1  itojun 
    607      1.1  itojun 	KASSERT(frp != NULL || fra != NULL);
    608      1.1  itojun 
    609      1.1  itojun 	if (frp != NULL) {
    610      1.1  itojun 		int	precut;
    611      1.1  itojun 
    612      1.1  itojun 		precut = frp->fr_end - off;
    613      1.1  itojun 		if (precut >= ip_len) {
    614      1.1  itojun 			/* Fragment is entirely a duplicate */
    615      1.1  itojun 			DPFPRINTF(("fragcache[%d]: dead (%d-%d) %d-%d\n",
    616      1.1  itojun 			    h->ip_id, frp->fr_off, frp->fr_end, off, max));
    617      1.1  itojun 			goto drop_fragment;
    618      1.1  itojun 		}
    619      1.1  itojun 		if (precut == 0) {
    620      1.1  itojun 			/* They are adjacent.  Fixup cache entry */
    621      1.1  itojun 			DPFPRINTF(("fragcache[%d]: adjacent (%d-%d) %d-%d\n",
    622      1.1  itojun 			    h->ip_id, frp->fr_off, frp->fr_end, off, max));
    623      1.1  itojun 			frp->fr_end = max;
    624      1.1  itojun 		} else if (precut > 0) {
    625      1.1  itojun 			/* The first part of this payload overlaps with a
    626      1.1  itojun 			 * fragment that has already been passed.
    627      1.1  itojun 			 * Need to trim off the first part of the payload.
    628      1.1  itojun 			 * But to do so easily, we need to create another
    629      1.1  itojun 			 * mbuf to throw the original header into.
    630      1.1  itojun 			 */
    631      1.1  itojun 
    632      1.1  itojun 			DPFPRINTF(("fragcache[%d]: chop %d (%d-%d) %d-%d\n",
    633      1.1  itojun 			    h->ip_id, precut, frp->fr_off, frp->fr_end, off,
    634      1.1  itojun 			    max));
    635      1.1  itojun 
    636      1.1  itojun 			off += precut;
    637      1.1  itojun 			max -= precut;
    638      1.1  itojun 			/* Update the previous frag to encompass this one */
    639      1.1  itojun 			frp->fr_end = max;
    640      1.1  itojun 
    641      1.1  itojun 			if (!drop) {
    642      1.1  itojun 				/* XXX Optimization opportunity
    643      1.1  itojun 				 * This is a very heavy way to trim the payload.
    644      1.1  itojun 				 * we could do it much faster by diddling mbuf
    645      1.1  itojun 				 * internals but that would be even less legible
    646      1.1  itojun 				 * than this mbuf magic.  For my next trick,
    647      1.1  itojun 				 * I'll pull a rabbit out of my laptop.
    648      1.1  itojun 				 */
    649      1.1  itojun 				*m0 = m_copym2(m, 0, h->ip_hl << 2, M_NOWAIT);
    650      1.1  itojun 				if (*m0 == NULL)
    651      1.1  itojun 					goto no_mem;
    652      1.1  itojun 				KASSERT((*m0)->m_next == NULL);
    653      1.1  itojun 				m_adj(m, precut + (h->ip_hl << 2));
    654      1.1  itojun 				m_cat(*m0, m);
    655      1.1  itojun 				m = *m0;
    656      1.1  itojun 				if (m->m_flags & M_PKTHDR) {
    657      1.1  itojun 					int plen = 0;
    658      1.1  itojun 					struct mbuf *t;
    659      1.1  itojun 					for (t = m; t; t = t->m_next)
    660      1.1  itojun 						plen += t->m_len;
    661      1.1  itojun 					m->m_pkthdr.len = plen;
    662      1.1  itojun 				}
    663      1.1  itojun 
    664      1.1  itojun 
    665      1.1  itojun 				h = mtod(m, struct ip *);
    666      1.1  itojun 
    667      1.1  itojun 
    668      1.1  itojun 				KASSERT((int)m->m_len ==
    669      1.1  itojun 				    ntohs(h->ip_len) - precut);
    670      1.1  itojun 				h->ip_off = htons(ntohs(h->ip_off) +
    671      1.1  itojun 				    (precut >> 3));
    672      1.1  itojun 				h->ip_len = htons(ntohs(h->ip_len) - precut);
    673      1.1  itojun 			} else {
    674      1.1  itojun 				hosed++;
    675      1.1  itojun 			}
    676      1.1  itojun 		} else {
    677      1.1  itojun 			/* There is a gap between fragments */
    678      1.1  itojun 
    679      1.1  itojun 			DPFPRINTF(("fragcache[%d]: gap %d (%d-%d) %d-%d\n",
    680      1.1  itojun 			    h->ip_id, -precut, frp->fr_off, frp->fr_end, off,
    681      1.1  itojun 			    max));
    682      1.1  itojun 
    683      1.1  itojun 			cur = pool_get(&pf_cent_pl, PR_NOWAIT);
    684      1.1  itojun 			if (cur == NULL)
    685      1.1  itojun 				goto no_mem;
    686      1.1  itojun 			pf_ncache++;
    687      1.1  itojun 
    688      1.1  itojun 			cur->fr_off = off;
    689      1.1  itojun 			cur->fr_end = max;
    690      1.1  itojun 			LIST_INSERT_AFTER(frp, cur, fr_next);
    691      1.1  itojun 		}
    692      1.1  itojun 	}
    693      1.1  itojun 
    694      1.1  itojun 	if (fra != NULL) {
    695      1.1  itojun 		int	aftercut;
    696      1.1  itojun 		int	merge = 0;
    697      1.1  itojun 
    698      1.1  itojun 		aftercut = max - fra->fr_off;
    699      1.1  itojun 		if (aftercut == 0) {
    700      1.1  itojun 			/* Adjacent fragments */
    701      1.1  itojun 			DPFPRINTF(("fragcache[%d]: adjacent %d-%d (%d-%d)\n",
    702      1.1  itojun 			    h->ip_id, off, max, fra->fr_off, fra->fr_end));
    703      1.1  itojun 			fra->fr_off = off;
    704      1.1  itojun 			merge = 1;
    705      1.1  itojun 		} else if (aftercut > 0) {
    706      1.1  itojun 			/* Need to chop off the tail of this fragment */
    707      1.1  itojun 			DPFPRINTF(("fragcache[%d]: chop %d %d-%d (%d-%d)\n",
    708      1.1  itojun 			    h->ip_id, aftercut, off, max, fra->fr_off,
    709      1.1  itojun 			    fra->fr_end));
    710      1.1  itojun 			fra->fr_off = off;
    711      1.1  itojun 			max -= aftercut;
    712      1.1  itojun 
    713      1.1  itojun 			merge = 1;
    714      1.1  itojun 
    715      1.1  itojun 			if (!drop) {
    716      1.1  itojun 				m_adj(m, -aftercut);
    717      1.1  itojun 				if (m->m_flags & M_PKTHDR) {
    718      1.1  itojun 					int plen = 0;
    719      1.1  itojun 					struct mbuf *t;
    720      1.1  itojun 					for (t = m; t; t = t->m_next)
    721      1.1  itojun 						plen += t->m_len;
    722      1.1  itojun 					m->m_pkthdr.len = plen;
    723      1.1  itojun 				}
    724      1.1  itojun 				h = mtod(m, struct ip *);
    725      1.1  itojun 				KASSERT((int)m->m_len ==
    726      1.1  itojun 				    ntohs(h->ip_len) - aftercut);
    727      1.1  itojun 				h->ip_len = htons(ntohs(h->ip_len) - aftercut);
    728      1.1  itojun 			} else {
    729      1.1  itojun 				hosed++;
    730      1.1  itojun 			}
    731  1.9.2.1    yamt 		} else if (frp == NULL) {
    732      1.1  itojun 			/* There is a gap between fragments */
    733      1.1  itojun 			DPFPRINTF(("fragcache[%d]: gap %d %d-%d (%d-%d)\n",
    734      1.1  itojun 			    h->ip_id, -aftercut, off, max, fra->fr_off,
    735      1.1  itojun 			    fra->fr_end));
    736      1.1  itojun 
    737      1.1  itojun 			cur = pool_get(&pf_cent_pl, PR_NOWAIT);
    738      1.1  itojun 			if (cur == NULL)
    739      1.1  itojun 				goto no_mem;
    740      1.1  itojun 			pf_ncache++;
    741      1.1  itojun 
    742      1.1  itojun 			cur->fr_off = off;
    743      1.1  itojun 			cur->fr_end = max;
    744      1.1  itojun 			LIST_INSERT_BEFORE(fra, cur, fr_next);
    745      1.1  itojun 		}
    746      1.1  itojun 
    747      1.1  itojun 
    748      1.1  itojun 		/* Need to glue together two separate fragment descriptors */
    749      1.1  itojun 		if (merge) {
    750      1.1  itojun 			if (cur && fra->fr_off <= cur->fr_end) {
    751      1.1  itojun 				/* Need to merge in a previous 'cur' */
    752      1.1  itojun 				DPFPRINTF(("fragcache[%d]: adjacent(merge "
    753      1.1  itojun 				    "%d-%d) %d-%d (%d-%d)\n",
    754      1.1  itojun 				    h->ip_id, cur->fr_off, cur->fr_end, off,
    755      1.1  itojun 				    max, fra->fr_off, fra->fr_end));
    756      1.1  itojun 				fra->fr_off = cur->fr_off;
    757      1.1  itojun 				LIST_REMOVE(cur, fr_next);
    758      1.1  itojun 				pool_put(&pf_cent_pl, cur);
    759      1.1  itojun 				pf_ncache--;
    760      1.1  itojun 				cur = NULL;
    761      1.1  itojun 
    762      1.1  itojun 			} else if (frp && fra->fr_off <= frp->fr_end) {
    763      1.1  itojun 				/* Need to merge in a modified 'frp' */
    764      1.1  itojun 				KASSERT(cur == NULL);
    765      1.1  itojun 				DPFPRINTF(("fragcache[%d]: adjacent(merge "
    766      1.1  itojun 				    "%d-%d) %d-%d (%d-%d)\n",
    767      1.1  itojun 				    h->ip_id, frp->fr_off, frp->fr_end, off,
    768      1.1  itojun 				    max, fra->fr_off, fra->fr_end));
    769      1.1  itojun 				fra->fr_off = frp->fr_off;
    770      1.1  itojun 				LIST_REMOVE(frp, fr_next);
    771      1.1  itojun 				pool_put(&pf_cent_pl, frp);
    772      1.1  itojun 				pf_ncache--;
    773      1.1  itojun 				frp = NULL;
    774      1.1  itojun 
    775      1.1  itojun 			}
    776      1.1  itojun 		}
    777      1.1  itojun 	}
    778      1.1  itojun 
    779      1.1  itojun 	if (hosed) {
    780      1.1  itojun 		/*
    781      1.1  itojun 		 * We must keep tracking the overall fragment even when
    782      1.1  itojun 		 * we're going to drop it anyway so that we know when to
    783      1.1  itojun 		 * free the overall descriptor.  Thus we drop the frag late.
    784      1.1  itojun 		 */
    785      1.1  itojun 		goto drop_fragment;
    786      1.1  itojun 	}
    787      1.1  itojun 
    788      1.1  itojun 
    789      1.1  itojun  pass:
    790      1.1  itojun 	/* Update maximum data size */
    791      1.1  itojun 	if ((*frag)->fr_max < max)
    792      1.1  itojun 		(*frag)->fr_max = max;
    793      1.1  itojun 
    794      1.1  itojun 	/* This is the last segment */
    795      1.1  itojun 	if (!mff)
    796      1.1  itojun 		(*frag)->fr_flags |= PFFRAG_SEENLAST;
    797      1.1  itojun 
    798      1.1  itojun 	/* Check if we are completely reassembled */
    799      1.1  itojun 	if (((*frag)->fr_flags & PFFRAG_SEENLAST) &&
    800      1.1  itojun 	    LIST_FIRST(&(*frag)->fr_cache)->fr_off == 0 &&
    801      1.1  itojun 	    LIST_FIRST(&(*frag)->fr_cache)->fr_end == (*frag)->fr_max) {
    802      1.1  itojun 		/* Remove from fragment queue */
    803      1.1  itojun 		DPFPRINTF(("fragcache[%d]: done 0-%d\n", h->ip_id,
    804      1.1  itojun 		    (*frag)->fr_max));
    805      1.1  itojun 		pf_free_fragment(*frag);
    806      1.1  itojun 		*frag = NULL;
    807      1.1  itojun 	}
    808      1.1  itojun 
    809      1.1  itojun 	return (m);
    810      1.1  itojun 
    811      1.1  itojun  no_mem:
    812      1.1  itojun 	*nomem = 1;
    813      1.1  itojun 
    814      1.1  itojun 	/* Still need to pay attention to !IP_MF */
    815      1.1  itojun 	if (!mff && *frag != NULL)
    816      1.1  itojun 		(*frag)->fr_flags |= PFFRAG_SEENLAST;
    817      1.1  itojun 
    818      1.1  itojun 	m_freem(m);
    819      1.1  itojun 	return (NULL);
    820      1.1  itojun 
    821      1.1  itojun  drop_fragment:
    822      1.1  itojun 
    823      1.1  itojun 	/* Still need to pay attention to !IP_MF */
    824      1.1  itojun 	if (!mff && *frag != NULL)
    825      1.1  itojun 		(*frag)->fr_flags |= PFFRAG_SEENLAST;
    826      1.1  itojun 
    827      1.1  itojun 	if (drop) {
    828      1.1  itojun 		/* This fragment has been deemed bad.  Don't reass */
    829      1.1  itojun 		if (((*frag)->fr_flags & PFFRAG_DROP) == 0)
    830      1.1  itojun 			DPFPRINTF(("fragcache[%d]: dropping overall fragment\n",
    831      1.1  itojun 			    h->ip_id));
    832      1.1  itojun 		(*frag)->fr_flags |= PFFRAG_DROP;
    833      1.1  itojun 	}
    834      1.1  itojun 
    835      1.1  itojun 	m_freem(m);
    836      1.1  itojun 	return (NULL);
    837      1.1  itojun }
    838      1.1  itojun 
    839      1.1  itojun int
    840      1.6    yamt pf_normalize_ip(struct mbuf **m0, int dir, struct pfi_kif *kif, u_short *reason,
    841      1.6    yamt     struct pf_pdesc *pd)
    842      1.1  itojun {
    843      1.1  itojun 	struct mbuf		*m = *m0;
    844      1.1  itojun 	struct pf_rule		*r;
    845      1.1  itojun 	struct pf_frent		*frent;
    846      1.1  itojun 	struct pf_fragment	*frag = NULL;
    847      1.1  itojun 	struct ip		*h = mtod(m, struct ip *);
    848      1.1  itojun 	int			 mff = (ntohs(h->ip_off) & IP_MF);
    849      1.1  itojun 	int			 hlen = h->ip_hl << 2;
    850      1.1  itojun 	u_int16_t		 fragoff = (ntohs(h->ip_off) & IP_OFFMASK) << 3;
    851      1.1  itojun 	u_int16_t		 max;
    852      1.1  itojun 	int			 ip_len;
    853      1.1  itojun 	int			 ip_off;
    854      1.1  itojun 
    855      1.1  itojun 	r = TAILQ_FIRST(pf_main_ruleset.rules[PF_RULESET_SCRUB].active.ptr);
    856      1.1  itojun 	while (r != NULL) {
    857      1.1  itojun 		r->evaluations++;
    858      1.1  itojun 		if (r->kif != NULL &&
    859      1.1  itojun 		    (r->kif != kif && r->kif != kif->pfik_parent) == !r->ifnot)
    860      1.1  itojun 			r = r->skip[PF_SKIP_IFP].ptr;
    861      1.1  itojun 		else if (r->direction && r->direction != dir)
    862      1.1  itojun 			r = r->skip[PF_SKIP_DIR].ptr;
    863      1.1  itojun 		else if (r->af && r->af != AF_INET)
    864      1.1  itojun 			r = r->skip[PF_SKIP_AF].ptr;
    865      1.1  itojun 		else if (r->proto && r->proto != h->ip_p)
    866      1.1  itojun 			r = r->skip[PF_SKIP_PROTO].ptr;
    867      1.1  itojun 		else if (PF_MISMATCHAW(&r->src.addr,
    868      1.6    yamt 		    (struct pf_addr *)&h->ip_src.s_addr, AF_INET, r->src.neg))
    869      1.1  itojun 			r = r->skip[PF_SKIP_SRC_ADDR].ptr;
    870      1.1  itojun 		else if (PF_MISMATCHAW(&r->dst.addr,
    871      1.6    yamt 		    (struct pf_addr *)&h->ip_dst.s_addr, AF_INET, r->dst.neg))
    872      1.1  itojun 			r = r->skip[PF_SKIP_DST_ADDR].ptr;
    873      1.1  itojun 		else
    874      1.1  itojun 			break;
    875      1.1  itojun 	}
    876      1.1  itojun 
    877      1.1  itojun 	if (r == NULL)
    878      1.1  itojun 		return (PF_PASS);
    879      1.1  itojun 	else
    880      1.1  itojun 		r->packets++;
    881      1.1  itojun 
    882      1.1  itojun 	/* Check for illegal packets */
    883      1.1  itojun 	if (hlen < (int)sizeof(struct ip))
    884      1.1  itojun 		goto drop;
    885      1.1  itojun 
    886      1.1  itojun 	if (hlen > ntohs(h->ip_len))
    887      1.1  itojun 		goto drop;
    888      1.1  itojun 
    889      1.1  itojun 	/* Clear IP_DF if the rule uses the no-df option */
    890      1.1  itojun 	if (r->rule_flag & PFRULE_NODF)
    891      1.1  itojun 		h->ip_off &= htons(~IP_DF);
    892      1.1  itojun 
    893      1.1  itojun 	/* We will need other tests here */
    894      1.1  itojun 	if (!fragoff && !mff)
    895      1.1  itojun 		goto no_fragment;
    896      1.1  itojun 
    897      1.1  itojun 	/* We're dealing with a fragment now. Don't allow fragments
    898      1.1  itojun 	 * with IP_DF to enter the cache. If the flag was cleared by
    899      1.1  itojun 	 * no-df above, fine. Otherwise drop it.
    900      1.1  itojun 	 */
    901      1.1  itojun 	if (h->ip_off & htons(IP_DF)) {
    902      1.1  itojun 		DPFPRINTF(("IP_DF\n"));
    903      1.1  itojun 		goto bad;
    904      1.1  itojun 	}
    905      1.1  itojun 
    906      1.1  itojun 	ip_len = ntohs(h->ip_len) - hlen;
    907      1.1  itojun 	ip_off = (ntohs(h->ip_off) & IP_OFFMASK) << 3;
    908      1.1  itojun 
    909      1.1  itojun 	/* All fragments are 8 byte aligned */
    910      1.1  itojun 	if (mff && (ip_len & 0x7)) {
    911      1.1  itojun 		DPFPRINTF(("mff and %d\n", ip_len));
    912      1.1  itojun 		goto bad;
    913      1.1  itojun 	}
    914      1.1  itojun 
    915      1.1  itojun 	/* Respect maximum length */
    916      1.1  itojun 	if (fragoff + ip_len > IP_MAXPACKET) {
    917      1.1  itojun 		DPFPRINTF(("max packet %d\n", fragoff + ip_len));
    918      1.1  itojun 		goto bad;
    919      1.1  itojun 	}
    920      1.1  itojun 	max = fragoff + ip_len;
    921      1.1  itojun 
    922      1.1  itojun 	if ((r->rule_flag & (PFRULE_FRAGCROP|PFRULE_FRAGDROP)) == 0) {
    923      1.1  itojun 		/* Fully buffer all of the fragments */
    924      1.1  itojun 
    925      1.1  itojun 		frag = pf_find_fragment(h, &pf_frag_tree);
    926      1.1  itojun 
    927      1.1  itojun 		/* Check if we saw the last fragment already */
    928      1.1  itojun 		if (frag != NULL && (frag->fr_flags & PFFRAG_SEENLAST) &&
    929      1.1  itojun 		    max > frag->fr_max)
    930      1.1  itojun 			goto bad;
    931      1.1  itojun 
    932      1.1  itojun 		/* Get an entry for the fragment queue */
    933      1.1  itojun 		frent = pool_get(&pf_frent_pl, PR_NOWAIT);
    934      1.1  itojun 		if (frent == NULL) {
    935      1.1  itojun 			REASON_SET(reason, PFRES_MEMORY);
    936      1.1  itojun 			return (PF_DROP);
    937      1.1  itojun 		}
    938      1.1  itojun 		pf_nfrents++;
    939      1.1  itojun 		frent->fr_ip = h;
    940      1.1  itojun 		frent->fr_m = m;
    941      1.1  itojun 
    942      1.1  itojun 		/* Might return a completely reassembled mbuf, or NULL */
    943      1.1  itojun 		DPFPRINTF(("reass frag %d @ %d-%d\n", h->ip_id, fragoff, max));
    944      1.1  itojun 		*m0 = m = pf_reassemble(m0, &frag, frent, mff);
    945      1.1  itojun 
    946      1.1  itojun 		if (m == NULL)
    947      1.1  itojun 			return (PF_DROP);
    948      1.1  itojun 
    949      1.1  itojun 		if (frag != NULL && (frag->fr_flags & PFFRAG_DROP))
    950      1.1  itojun 			goto drop;
    951      1.1  itojun 
    952      1.1  itojun 		h = mtod(m, struct ip *);
    953      1.1  itojun 	} else {
    954      1.1  itojun 		/* non-buffering fragment cache (drops or masks overlaps) */
    955      1.1  itojun 		int	nomem = 0;
    956      1.1  itojun 
    957      1.1  itojun 		if (dir == PF_OUT) {
    958      1.1  itojun 			if (m_tag_find(m, PACKET_TAG_PF_FRAGCACHE, NULL) !=
    959      1.1  itojun 			    NULL) {
    960      1.1  itojun 				/* Already passed the fragment cache in the
    961      1.1  itojun 				 * input direction.  If we continued, it would
    962      1.1  itojun 				 * appear to be a dup and would be dropped.
    963      1.1  itojun 				 */
    964      1.1  itojun 				goto fragment_pass;
    965      1.1  itojun 			}
    966      1.1  itojun 		}
    967      1.1  itojun 
    968      1.1  itojun 		frag = pf_find_fragment(h, &pf_cache_tree);
    969      1.1  itojun 
    970      1.1  itojun 		/* Check if we saw the last fragment already */
    971      1.1  itojun 		if (frag != NULL && (frag->fr_flags & PFFRAG_SEENLAST) &&
    972      1.1  itojun 		    max > frag->fr_max) {
    973      1.1  itojun 			if (r->rule_flag & PFRULE_FRAGDROP)
    974      1.1  itojun 				frag->fr_flags |= PFFRAG_DROP;
    975      1.1  itojun 			goto bad;
    976      1.1  itojun 		}
    977      1.1  itojun 
    978      1.1  itojun 		*m0 = m = pf_fragcache(m0, h, &frag, mff,
    979      1.1  itojun 		    (r->rule_flag & PFRULE_FRAGDROP) ? 1 : 0, &nomem);
    980      1.1  itojun 		if (m == NULL) {
    981      1.1  itojun 			if (nomem)
    982      1.1  itojun 				goto no_mem;
    983      1.1  itojun 			goto drop;
    984      1.1  itojun 		}
    985      1.1  itojun 
    986      1.1  itojun 		if (dir == PF_IN) {
    987      1.1  itojun 			struct m_tag	*mtag;
    988      1.1  itojun 
    989      1.1  itojun 			mtag = m_tag_get(PACKET_TAG_PF_FRAGCACHE, 0, M_NOWAIT);
    990      1.1  itojun 			if (mtag == NULL)
    991      1.1  itojun 				goto no_mem;
    992      1.1  itojun 			m_tag_prepend(m, mtag);
    993      1.1  itojun 		}
    994      1.1  itojun 		if (frag != NULL && (frag->fr_flags & PFFRAG_DROP))
    995      1.1  itojun 			goto drop;
    996      1.1  itojun 		goto fragment_pass;
    997      1.1  itojun 	}
    998      1.1  itojun 
    999      1.1  itojun  no_fragment:
   1000      1.1  itojun 	/* At this point, only IP_DF is allowed in ip_off */
   1001      1.1  itojun 	h->ip_off &= htons(IP_DF);
   1002      1.1  itojun 
   1003      1.1  itojun 	/* Enforce a minimum ttl, may cause endless packet loops */
   1004      1.1  itojun 	if (r->min_ttl && h->ip_ttl < r->min_ttl)
   1005      1.1  itojun 		h->ip_ttl = r->min_ttl;
   1006      1.1  itojun 
   1007      1.6    yamt 	if (r->rule_flag & PFRULE_RANDOMID) {
   1008      1.6    yamt 		u_int16_t ip_id = h->ip_id;
   1009      1.6    yamt 
   1010      1.1  itojun 		h->ip_id = ip_randomid();
   1011      1.6    yamt 		h->ip_sum = pf_cksum_fixup(h->ip_sum, ip_id, h->ip_id, 0);
   1012      1.6    yamt 	}
   1013      1.6    yamt 	if ((r->rule_flag & (PFRULE_FRAGCROP|PFRULE_FRAGDROP)) == 0)
   1014      1.6    yamt 		pd->flags |= PFDESC_IP_REAS;
   1015      1.1  itojun 
   1016      1.1  itojun 	return (PF_PASS);
   1017      1.1  itojun 
   1018      1.1  itojun  fragment_pass:
   1019      1.1  itojun 	/* Enforce a minimum ttl, may cause endless packet loops */
   1020      1.1  itojun 	if (r->min_ttl && h->ip_ttl < r->min_ttl)
   1021      1.1  itojun 		h->ip_ttl = r->min_ttl;
   1022      1.6    yamt 	if ((r->rule_flag & (PFRULE_FRAGCROP|PFRULE_FRAGDROP)) == 0)
   1023      1.6    yamt 		pd->flags |= PFDESC_IP_REAS;
   1024      1.1  itojun 	return (PF_PASS);
   1025      1.1  itojun 
   1026      1.1  itojun  no_mem:
   1027      1.1  itojun 	REASON_SET(reason, PFRES_MEMORY);
   1028      1.1  itojun 	if (r != NULL && r->log)
   1029      1.1  itojun 		PFLOG_PACKET(kif, h, m, AF_INET, dir, *reason, r, NULL, NULL);
   1030      1.1  itojun 	return (PF_DROP);
   1031      1.1  itojun 
   1032      1.1  itojun  drop:
   1033      1.1  itojun 	REASON_SET(reason, PFRES_NORM);
   1034      1.1  itojun 	if (r != NULL && r->log)
   1035      1.1  itojun 		PFLOG_PACKET(kif, h, m, AF_INET, dir, *reason, r, NULL, NULL);
   1036      1.1  itojun 	return (PF_DROP);
   1037      1.1  itojun 
   1038      1.1  itojun  bad:
   1039      1.1  itojun 	DPFPRINTF(("dropping bad fragment\n"));
   1040      1.1  itojun 
   1041      1.1  itojun 	/* Free associated fragments */
   1042      1.1  itojun 	if (frag != NULL)
   1043      1.1  itojun 		pf_free_fragment(frag);
   1044      1.1  itojun 
   1045      1.1  itojun 	REASON_SET(reason, PFRES_FRAG);
   1046      1.1  itojun 	if (r != NULL && r->log)
   1047      1.1  itojun 		PFLOG_PACKET(kif, h, m, AF_INET, dir, *reason, r, NULL, NULL);
   1048      1.1  itojun 
   1049      1.1  itojun 	return (PF_DROP);
   1050      1.1  itojun }
   1051      1.1  itojun 
   1052      1.1  itojun #ifdef INET6
   1053      1.1  itojun int
   1054      1.1  itojun pf_normalize_ip6(struct mbuf **m0, int dir, struct pfi_kif *kif,
   1055      1.6    yamt     u_short *reason, struct pf_pdesc *pd)
   1056      1.1  itojun {
   1057      1.1  itojun 	struct mbuf		*m = *m0;
   1058      1.1  itojun 	struct pf_rule		*r;
   1059      1.1  itojun 	struct ip6_hdr		*h = mtod(m, struct ip6_hdr *);
   1060      1.1  itojun 	int			 off;
   1061      1.1  itojun 	struct ip6_ext		 ext;
   1062      1.1  itojun 	struct ip6_opt		 opt;
   1063      1.1  itojun 	struct ip6_opt_jumbo	 jumbo;
   1064      1.1  itojun 	struct ip6_frag		 frag;
   1065      1.1  itojun 	u_int32_t		 jumbolen = 0, plen;
   1066      1.1  itojun 	u_int16_t		 fragoff = 0;
   1067      1.1  itojun 	int			 optend;
   1068      1.1  itojun 	int			 ooff;
   1069      1.1  itojun 	u_int8_t		 proto;
   1070      1.1  itojun 	int			 terminal;
   1071      1.1  itojun 
   1072      1.1  itojun 	r = TAILQ_FIRST(pf_main_ruleset.rules[PF_RULESET_SCRUB].active.ptr);
   1073      1.1  itojun 	while (r != NULL) {
   1074      1.1  itojun 		r->evaluations++;
   1075      1.1  itojun 		if (r->kif != NULL &&
   1076      1.1  itojun 		    (r->kif != kif && r->kif != kif->pfik_parent) == !r->ifnot)
   1077      1.1  itojun 			r = r->skip[PF_SKIP_IFP].ptr;
   1078      1.1  itojun 		else if (r->direction && r->direction != dir)
   1079      1.1  itojun 			r = r->skip[PF_SKIP_DIR].ptr;
   1080      1.1  itojun 		else if (r->af && r->af != AF_INET6)
   1081      1.1  itojun 			r = r->skip[PF_SKIP_AF].ptr;
   1082      1.1  itojun #if 0 /* header chain! */
   1083      1.1  itojun 		else if (r->proto && r->proto != h->ip6_nxt)
   1084      1.1  itojun 			r = r->skip[PF_SKIP_PROTO].ptr;
   1085      1.1  itojun #endif
   1086      1.1  itojun 		else if (PF_MISMATCHAW(&r->src.addr,
   1087      1.6    yamt 		    (struct pf_addr *)&h->ip6_src, AF_INET6, r->src.neg))
   1088      1.1  itojun 			r = r->skip[PF_SKIP_SRC_ADDR].ptr;
   1089      1.1  itojun 		else if (PF_MISMATCHAW(&r->dst.addr,
   1090      1.6    yamt 		    (struct pf_addr *)&h->ip6_dst, AF_INET6, r->dst.neg))
   1091      1.1  itojun 			r = r->skip[PF_SKIP_DST_ADDR].ptr;
   1092      1.1  itojun 		else
   1093      1.1  itojun 			break;
   1094      1.1  itojun 	}
   1095      1.1  itojun 
   1096      1.1  itojun 	if (r == NULL)
   1097      1.1  itojun 		return (PF_PASS);
   1098      1.1  itojun 	else
   1099      1.1  itojun 		r->packets++;
   1100      1.1  itojun 
   1101      1.1  itojun 	/* Check for illegal packets */
   1102      1.1  itojun 	if (sizeof(struct ip6_hdr) + IPV6_MAXPACKET < m->m_pkthdr.len)
   1103      1.1  itojun 		goto drop;
   1104      1.1  itojun 
   1105      1.1  itojun 	off = sizeof(struct ip6_hdr);
   1106      1.1  itojun 	proto = h->ip6_nxt;
   1107      1.1  itojun 	terminal = 0;
   1108      1.1  itojun 	do {
   1109      1.1  itojun 		switch (proto) {
   1110      1.1  itojun 		case IPPROTO_FRAGMENT:
   1111      1.1  itojun 			goto fragment;
   1112      1.1  itojun 			break;
   1113      1.1  itojun 		case IPPROTO_AH:
   1114      1.1  itojun 		case IPPROTO_ROUTING:
   1115      1.1  itojun 		case IPPROTO_DSTOPTS:
   1116      1.1  itojun 			if (!pf_pull_hdr(m, off, &ext, sizeof(ext), NULL,
   1117      1.1  itojun 			    NULL, AF_INET6))
   1118      1.1  itojun 				goto shortpkt;
   1119      1.1  itojun 			if (proto == IPPROTO_AH)
   1120      1.1  itojun 				off += (ext.ip6e_len + 2) * 4;
   1121      1.1  itojun 			else
   1122      1.1  itojun 				off += (ext.ip6e_len + 1) * 8;
   1123      1.1  itojun 			proto = ext.ip6e_nxt;
   1124      1.1  itojun 			break;
   1125      1.1  itojun 		case IPPROTO_HOPOPTS:
   1126      1.1  itojun 			if (!pf_pull_hdr(m, off, &ext, sizeof(ext), NULL,
   1127      1.1  itojun 			    NULL, AF_INET6))
   1128      1.1  itojun 				goto shortpkt;
   1129      1.1  itojun 			optend = off + (ext.ip6e_len + 1) * 8;
   1130      1.1  itojun 			ooff = off + sizeof(ext);
   1131      1.1  itojun 			do {
   1132      1.1  itojun 				if (!pf_pull_hdr(m, ooff, &opt.ip6o_type,
   1133      1.1  itojun 				    sizeof(opt.ip6o_type), NULL, NULL,
   1134      1.1  itojun 				    AF_INET6))
   1135      1.1  itojun 					goto shortpkt;
   1136      1.1  itojun 				if (opt.ip6o_type == IP6OPT_PAD1) {
   1137      1.1  itojun 					ooff++;
   1138      1.1  itojun 					continue;
   1139      1.1  itojun 				}
   1140      1.1  itojun 				if (!pf_pull_hdr(m, ooff, &opt, sizeof(opt),
   1141      1.1  itojun 				    NULL, NULL, AF_INET6))
   1142      1.1  itojun 					goto shortpkt;
   1143      1.1  itojun 				if (ooff + sizeof(opt) + opt.ip6o_len > optend)
   1144      1.1  itojun 					goto drop;
   1145      1.1  itojun 				switch (opt.ip6o_type) {
   1146      1.1  itojun 				case IP6OPT_JUMBO:
   1147      1.1  itojun 					if (h->ip6_plen != 0)
   1148      1.1  itojun 						goto drop;
   1149      1.1  itojun 					if (!pf_pull_hdr(m, ooff, &jumbo,
   1150      1.1  itojun 					    sizeof(jumbo), NULL, NULL,
   1151      1.1  itojun 					    AF_INET6))
   1152      1.1  itojun 						goto shortpkt;
   1153      1.1  itojun 					memcpy(&jumbolen, jumbo.ip6oj_jumbo_len,
   1154      1.1  itojun 					    sizeof(jumbolen));
   1155      1.1  itojun 					jumbolen = ntohl(jumbolen);
   1156      1.1  itojun 					if (jumbolen <= IPV6_MAXPACKET)
   1157      1.1  itojun 						goto drop;
   1158      1.1  itojun 					if (sizeof(struct ip6_hdr) + jumbolen !=
   1159      1.1  itojun 					    m->m_pkthdr.len)
   1160      1.1  itojun 						goto drop;
   1161      1.1  itojun 					break;
   1162      1.1  itojun 				default:
   1163      1.1  itojun 					break;
   1164      1.1  itojun 				}
   1165      1.1  itojun 				ooff += sizeof(opt) + opt.ip6o_len;
   1166      1.1  itojun 			} while (ooff < optend);
   1167      1.1  itojun 
   1168      1.1  itojun 			off = optend;
   1169      1.1  itojun 			proto = ext.ip6e_nxt;
   1170      1.1  itojun 			break;
   1171      1.1  itojun 		default:
   1172      1.1  itojun 			terminal = 1;
   1173      1.1  itojun 			break;
   1174      1.1  itojun 		}
   1175      1.1  itojun 	} while (!terminal);
   1176      1.1  itojun 
   1177      1.1  itojun 	/* jumbo payload option must be present, or plen > 0 */
   1178      1.1  itojun 	if (ntohs(h->ip6_plen) == 0)
   1179      1.1  itojun 		plen = jumbolen;
   1180      1.1  itojun 	else
   1181      1.1  itojun 		plen = ntohs(h->ip6_plen);
   1182      1.1  itojun 	if (plen == 0)
   1183      1.1  itojun 		goto drop;
   1184      1.1  itojun 	if (sizeof(struct ip6_hdr) + plen > m->m_pkthdr.len)
   1185      1.1  itojun 		goto shortpkt;
   1186      1.1  itojun 
   1187      1.1  itojun 	/* Enforce a minimum ttl, may cause endless packet loops */
   1188      1.1  itojun 	if (r->min_ttl && h->ip6_hlim < r->min_ttl)
   1189      1.1  itojun 		h->ip6_hlim = r->min_ttl;
   1190      1.1  itojun 
   1191      1.1  itojun 	return (PF_PASS);
   1192      1.1  itojun 
   1193      1.1  itojun  fragment:
   1194      1.1  itojun 	if (ntohs(h->ip6_plen) == 0 || jumbolen)
   1195      1.1  itojun 		goto drop;
   1196      1.1  itojun 	plen = ntohs(h->ip6_plen);
   1197      1.1  itojun 
   1198      1.1  itojun 	if (!pf_pull_hdr(m, off, &frag, sizeof(frag), NULL, NULL, AF_INET6))
   1199      1.1  itojun 		goto shortpkt;
   1200      1.1  itojun 	fragoff = ntohs(frag.ip6f_offlg & IP6F_OFF_MASK);
   1201      1.1  itojun 	if (fragoff + (plen - off - sizeof(frag)) > IPV6_MAXPACKET)
   1202      1.1  itojun 		goto badfrag;
   1203      1.1  itojun 
   1204      1.1  itojun 	/* do something about it */
   1205      1.6    yamt 	/* remember to set pd->flags |= PFDESC_IP_REAS */
   1206      1.1  itojun 	return (PF_PASS);
   1207      1.1  itojun 
   1208      1.1  itojun  shortpkt:
   1209      1.1  itojun 	REASON_SET(reason, PFRES_SHORT);
   1210      1.1  itojun 	if (r != NULL && r->log)
   1211      1.1  itojun 		PFLOG_PACKET(kif, h, m, AF_INET6, dir, *reason, r, NULL, NULL);
   1212      1.1  itojun 	return (PF_DROP);
   1213      1.1  itojun 
   1214      1.1  itojun  drop:
   1215      1.1  itojun 	REASON_SET(reason, PFRES_NORM);
   1216      1.1  itojun 	if (r != NULL && r->log)
   1217      1.1  itojun 		PFLOG_PACKET(kif, h, m, AF_INET6, dir, *reason, r, NULL, NULL);
   1218      1.1  itojun 	return (PF_DROP);
   1219      1.1  itojun 
   1220      1.1  itojun  badfrag:
   1221      1.1  itojun 	REASON_SET(reason, PFRES_FRAG);
   1222      1.1  itojun 	if (r != NULL && r->log)
   1223      1.1  itojun 		PFLOG_PACKET(kif, h, m, AF_INET6, dir, *reason, r, NULL, NULL);
   1224      1.1  itojun 	return (PF_DROP);
   1225      1.1  itojun }
   1226      1.6    yamt #endif /* INET6 */
   1227      1.1  itojun 
   1228      1.1  itojun int
   1229  1.9.2.2    yamt pf_normalize_tcp(int dir, struct pfi_kif *kif, struct mbuf *m,
   1230  1.9.2.2    yamt     int ipoff, int off, void *h, struct pf_pdesc *pd)
   1231      1.1  itojun {
   1232      1.1  itojun 	struct pf_rule	*r, *rm = NULL;
   1233      1.1  itojun 	struct tcphdr	*th = pd->hdr.tcp;
   1234      1.1  itojun 	int		 rewrite = 0;
   1235      1.1  itojun 	u_short		 reason;
   1236      1.1  itojun 	u_int8_t	 flags;
   1237      1.1  itojun 	sa_family_t	 af = pd->af;
   1238      1.1  itojun 
   1239      1.1  itojun 	r = TAILQ_FIRST(pf_main_ruleset.rules[PF_RULESET_SCRUB].active.ptr);
   1240      1.1  itojun 	while (r != NULL) {
   1241      1.1  itojun 		r->evaluations++;
   1242      1.1  itojun 		if (r->kif != NULL &&
   1243      1.1  itojun 		    (r->kif != kif && r->kif != kif->pfik_parent) == !r->ifnot)
   1244      1.1  itojun 			r = r->skip[PF_SKIP_IFP].ptr;
   1245      1.1  itojun 		else if (r->direction && r->direction != dir)
   1246      1.1  itojun 			r = r->skip[PF_SKIP_DIR].ptr;
   1247      1.1  itojun 		else if (r->af && r->af != af)
   1248      1.1  itojun 			r = r->skip[PF_SKIP_AF].ptr;
   1249      1.1  itojun 		else if (r->proto && r->proto != pd->proto)
   1250      1.1  itojun 			r = r->skip[PF_SKIP_PROTO].ptr;
   1251      1.6    yamt 		else if (PF_MISMATCHAW(&r->src.addr, pd->src, af, r->src.neg))
   1252      1.1  itojun 			r = r->skip[PF_SKIP_SRC_ADDR].ptr;
   1253      1.1  itojun 		else if (r->src.port_op && !pf_match_port(r->src.port_op,
   1254      1.1  itojun 			    r->src.port[0], r->src.port[1], th->th_sport))
   1255      1.1  itojun 			r = r->skip[PF_SKIP_SRC_PORT].ptr;
   1256      1.6    yamt 		else if (PF_MISMATCHAW(&r->dst.addr, pd->dst, af, r->dst.neg))
   1257      1.1  itojun 			r = r->skip[PF_SKIP_DST_ADDR].ptr;
   1258      1.1  itojun 		else if (r->dst.port_op && !pf_match_port(r->dst.port_op,
   1259      1.1  itojun 			    r->dst.port[0], r->dst.port[1], th->th_dport))
   1260      1.1  itojun 			r = r->skip[PF_SKIP_DST_PORT].ptr;
   1261      1.1  itojun 		else if (r->os_fingerprint != PF_OSFP_ANY && !pf_osfp_match(
   1262      1.1  itojun 			    pf_osfp_fingerprint(pd, m, off, th),
   1263      1.1  itojun 			    r->os_fingerprint))
   1264      1.1  itojun 			r = TAILQ_NEXT(r, entries);
   1265      1.1  itojun 		else {
   1266      1.1  itojun 			rm = r;
   1267      1.1  itojun 			break;
   1268      1.1  itojun 		}
   1269      1.1  itojun 	}
   1270      1.1  itojun 
   1271      1.9   peter 	if (rm == NULL || rm->action == PF_NOSCRUB)
   1272      1.1  itojun 		return (PF_PASS);
   1273      1.1  itojun 	else
   1274      1.1  itojun 		r->packets++;
   1275      1.1  itojun 
   1276      1.1  itojun 	if (rm->rule_flag & PFRULE_REASSEMBLE_TCP)
   1277      1.1  itojun 		pd->flags |= PFDESC_TCP_NORM;
   1278      1.1  itojun 
   1279      1.1  itojun 	flags = th->th_flags;
   1280      1.1  itojun 	if (flags & TH_SYN) {
   1281      1.1  itojun 		/* Illegal packet */
   1282      1.1  itojun 		if (flags & TH_RST)
   1283      1.1  itojun 			goto tcp_drop;
   1284      1.1  itojun 
   1285      1.1  itojun 		if (flags & TH_FIN)
   1286      1.1  itojun 			flags &= ~TH_FIN;
   1287      1.1  itojun 	} else {
   1288      1.1  itojun 		/* Illegal packet */
   1289      1.1  itojun 		if (!(flags & (TH_ACK|TH_RST)))
   1290      1.1  itojun 			goto tcp_drop;
   1291      1.1  itojun 	}
   1292      1.1  itojun 
   1293      1.1  itojun 	if (!(flags & TH_ACK)) {
   1294      1.1  itojun 		/* These flags are only valid if ACK is set */
   1295      1.1  itojun 		if ((flags & TH_FIN) || (flags & TH_PUSH) || (flags & TH_URG))
   1296      1.1  itojun 			goto tcp_drop;
   1297      1.1  itojun 	}
   1298      1.1  itojun 
   1299      1.1  itojun 	/* Check for illegal header length */
   1300      1.1  itojun 	if (th->th_off < (sizeof(struct tcphdr) >> 2))
   1301      1.1  itojun 		goto tcp_drop;
   1302      1.1  itojun 
   1303      1.1  itojun 	/* If flags changed, or reserved data set, then adjust */
   1304      1.1  itojun 	if (flags != th->th_flags || th->th_x2 != 0) {
   1305      1.1  itojun 		u_int16_t	ov, nv;
   1306      1.1  itojun 
   1307      1.1  itojun 		ov = *(u_int16_t *)(&th->th_ack + 1);
   1308      1.1  itojun 		th->th_flags = flags;
   1309      1.1  itojun 		th->th_x2 = 0;
   1310      1.1  itojun 		nv = *(u_int16_t *)(&th->th_ack + 1);
   1311      1.1  itojun 
   1312      1.6    yamt 		th->th_sum = pf_cksum_fixup(th->th_sum, ov, nv, 0);
   1313      1.1  itojun 		rewrite = 1;
   1314      1.1  itojun 	}
   1315      1.1  itojun 
   1316      1.1  itojun 	/* Remove urgent pointer, if TH_URG is not set */
   1317      1.1  itojun 	if (!(flags & TH_URG) && th->th_urp) {
   1318      1.6    yamt 		th->th_sum = pf_cksum_fixup(th->th_sum, th->th_urp, 0, 0);
   1319      1.1  itojun 		th->th_urp = 0;
   1320      1.1  itojun 		rewrite = 1;
   1321      1.1  itojun 	}
   1322      1.1  itojun 
   1323      1.1  itojun 	/* Process options */
   1324      1.1  itojun 	if (r->max_mss && pf_normalize_tcpopt(r, m, th, off))
   1325      1.1  itojun 		rewrite = 1;
   1326      1.1  itojun 
   1327      1.1  itojun 	/* copy back packet headers if we sanitized */
   1328      1.1  itojun 	if (rewrite)
   1329      1.4    yamt 		m_copyback(m, off, sizeof(*th), th);
   1330      1.1  itojun 
   1331      1.1  itojun 	return (PF_PASS);
   1332      1.1  itojun 
   1333      1.1  itojun  tcp_drop:
   1334      1.1  itojun 	REASON_SET(&reason, PFRES_NORM);
   1335      1.1  itojun 	if (rm != NULL && r->log)
   1336      1.1  itojun 		PFLOG_PACKET(kif, h, m, AF_INET, dir, reason, r, NULL, NULL);
   1337      1.1  itojun 	return (PF_DROP);
   1338      1.1  itojun }
   1339      1.1  itojun 
   1340      1.1  itojun int
   1341      1.1  itojun pf_normalize_tcp_init(struct mbuf *m, int off, struct pf_pdesc *pd,
   1342  1.9.2.2    yamt     struct tcphdr *th, struct pf_state_peer *src,
   1343  1.9.2.2    yamt     struct pf_state_peer *dst)
   1344      1.1  itojun {
   1345      1.6    yamt 	u_int32_t tsval, tsecr;
   1346      1.1  itojun 	u_int8_t hdr[60];
   1347      1.1  itojun 	u_int8_t *opt;
   1348      1.1  itojun 
   1349      1.1  itojun 	KASSERT(src->scrub == NULL);
   1350      1.1  itojun 
   1351      1.1  itojun 	src->scrub = pool_get(&pf_state_scrub_pl, PR_NOWAIT);
   1352      1.1  itojun 	if (src->scrub == NULL)
   1353      1.1  itojun 		return (1);
   1354      1.1  itojun 	bzero(src->scrub, sizeof(*src->scrub));
   1355      1.1  itojun 
   1356      1.1  itojun 	switch (pd->af) {
   1357      1.1  itojun #ifdef INET
   1358      1.1  itojun 	case AF_INET: {
   1359      1.1  itojun 		struct ip *h = mtod(m, struct ip *);
   1360      1.1  itojun 		src->scrub->pfss_ttl = h->ip_ttl;
   1361      1.1  itojun 		break;
   1362      1.1  itojun 	}
   1363      1.1  itojun #endif /* INET */
   1364      1.1  itojun #ifdef INET6
   1365      1.1  itojun 	case AF_INET6: {
   1366      1.1  itojun 		struct ip6_hdr *h = mtod(m, struct ip6_hdr *);
   1367      1.1  itojun 		src->scrub->pfss_ttl = h->ip6_hlim;
   1368      1.1  itojun 		break;
   1369      1.1  itojun 	}
   1370      1.1  itojun #endif /* INET6 */
   1371      1.1  itojun 	}
   1372      1.1  itojun 
   1373      1.1  itojun 
   1374      1.1  itojun 	/*
   1375      1.1  itojun 	 * All normalizations below are only begun if we see the start of
   1376      1.1  itojun 	 * the connections.  They must all set an enabled bit in pfss_flags
   1377      1.1  itojun 	 */
   1378      1.1  itojun 	if ((th->th_flags & TH_SYN) == 0)
   1379      1.1  itojun 		return (0);
   1380      1.1  itojun 
   1381      1.1  itojun 
   1382      1.1  itojun 	if (th->th_off > (sizeof(struct tcphdr) >> 2) && src->scrub &&
   1383      1.1  itojun 	    pf_pull_hdr(m, off, hdr, th->th_off << 2, NULL, NULL, pd->af)) {
   1384      1.1  itojun 		/* Diddle with TCP options */
   1385      1.1  itojun 		int hlen;
   1386      1.1  itojun 		opt = hdr + sizeof(struct tcphdr);
   1387      1.1  itojun 		hlen = (th->th_off << 2) - sizeof(struct tcphdr);
   1388      1.1  itojun 		while (hlen >= TCPOLEN_TIMESTAMP) {
   1389      1.1  itojun 			switch (*opt) {
   1390      1.1  itojun 			case TCPOPT_EOL:	/* FALLTHROUGH */
   1391      1.1  itojun 			case TCPOPT_NOP:
   1392      1.1  itojun 				opt++;
   1393      1.1  itojun 				hlen--;
   1394      1.1  itojun 				break;
   1395      1.1  itojun 			case TCPOPT_TIMESTAMP:
   1396      1.1  itojun 				if (opt[1] >= TCPOLEN_TIMESTAMP) {
   1397      1.1  itojun 					src->scrub->pfss_flags |=
   1398      1.1  itojun 					    PFSS_TIMESTAMP;
   1399      1.6    yamt 					src->scrub->pfss_ts_mod =
   1400      1.6    yamt 					    htonl(arc4random());
   1401      1.6    yamt 
   1402      1.6    yamt 					/* note PFSS_PAWS not set yet */
   1403      1.6    yamt 					memcpy(&tsval, &opt[2],
   1404      1.6    yamt 					    sizeof(u_int32_t));
   1405      1.6    yamt 					memcpy(&tsecr, &opt[6],
   1406      1.6    yamt 					    sizeof(u_int32_t));
   1407      1.6    yamt 					src->scrub->pfss_tsval0 = ntohl(tsval);
   1408      1.6    yamt 					src->scrub->pfss_tsval = ntohl(tsval);
   1409      1.6    yamt 					src->scrub->pfss_tsecr = ntohl(tsecr);
   1410      1.6    yamt 					getmicrouptime(&src->scrub->pfss_last);
   1411      1.1  itojun 				}
   1412      1.1  itojun 				/* FALLTHROUGH */
   1413      1.1  itojun 			default:
   1414      1.6    yamt 				hlen -= MAX(opt[1], 2);
   1415      1.6    yamt 				opt += MAX(opt[1], 2);
   1416      1.1  itojun 				break;
   1417      1.1  itojun 			}
   1418      1.1  itojun 		}
   1419      1.1  itojun 	}
   1420      1.1  itojun 
   1421      1.1  itojun 	return (0);
   1422      1.1  itojun }
   1423      1.1  itojun 
   1424      1.1  itojun void
   1425      1.1  itojun pf_normalize_tcp_cleanup(struct pf_state *state)
   1426      1.1  itojun {
   1427      1.1  itojun 	if (state->src.scrub)
   1428      1.1  itojun 		pool_put(&pf_state_scrub_pl, state->src.scrub);
   1429      1.1  itojun 	if (state->dst.scrub)
   1430      1.1  itojun 		pool_put(&pf_state_scrub_pl, state->dst.scrub);
   1431      1.1  itojun 
   1432      1.1  itojun 	/* Someday... flush the TCP segment reassembly descriptors. */
   1433      1.1  itojun }
   1434      1.1  itojun 
   1435      1.1  itojun int
   1436      1.1  itojun pf_normalize_tcp_stateful(struct mbuf *m, int off, struct pf_pdesc *pd,
   1437      1.6    yamt     u_short *reason, struct tcphdr *th, struct pf_state *state,
   1438      1.6    yamt     struct pf_state_peer *src, struct pf_state_peer *dst, int *writeback)
   1439      1.1  itojun {
   1440      1.6    yamt 	struct timeval uptime;
   1441      1.6    yamt 	u_int32_t tsval, tsecr;
   1442      1.6    yamt 	u_int tsval_from_last;
   1443      1.1  itojun 	u_int8_t hdr[60];
   1444      1.1  itojun 	u_int8_t *opt;
   1445      1.1  itojun 	int copyback = 0;
   1446      1.6    yamt 	int got_ts = 0;
   1447      1.1  itojun 
   1448      1.1  itojun 	KASSERT(src->scrub || dst->scrub);
   1449      1.1  itojun 
   1450      1.1  itojun 	/*
   1451      1.1  itojun 	 * Enforce the minimum TTL seen for this connection.  Negate a common
   1452      1.1  itojun 	 * technique to evade an intrusion detection system and confuse
   1453      1.1  itojun 	 * firewall state code.
   1454      1.1  itojun 	 */
   1455      1.1  itojun 	switch (pd->af) {
   1456      1.1  itojun #ifdef INET
   1457      1.1  itojun 	case AF_INET: {
   1458      1.1  itojun 		if (src->scrub) {
   1459      1.1  itojun 			struct ip *h = mtod(m, struct ip *);
   1460      1.1  itojun 			if (h->ip_ttl > src->scrub->pfss_ttl)
   1461      1.1  itojun 				src->scrub->pfss_ttl = h->ip_ttl;
   1462      1.1  itojun 			h->ip_ttl = src->scrub->pfss_ttl;
   1463      1.1  itojun 		}
   1464      1.1  itojun 		break;
   1465      1.1  itojun 	}
   1466      1.1  itojun #endif /* INET */
   1467      1.1  itojun #ifdef INET6
   1468      1.1  itojun 	case AF_INET6: {
   1469      1.1  itojun 		if (src->scrub) {
   1470      1.1  itojun 			struct ip6_hdr *h = mtod(m, struct ip6_hdr *);
   1471      1.1  itojun 			if (h->ip6_hlim > src->scrub->pfss_ttl)
   1472      1.1  itojun 				src->scrub->pfss_ttl = h->ip6_hlim;
   1473      1.1  itojun 			h->ip6_hlim = src->scrub->pfss_ttl;
   1474      1.1  itojun 		}
   1475      1.1  itojun 		break;
   1476      1.1  itojun 	}
   1477      1.1  itojun #endif /* INET6 */
   1478      1.1  itojun 	}
   1479      1.1  itojun 
   1480      1.1  itojun 	if (th->th_off > (sizeof(struct tcphdr) >> 2) &&
   1481      1.1  itojun 	    ((src->scrub && (src->scrub->pfss_flags & PFSS_TIMESTAMP)) ||
   1482      1.1  itojun 	    (dst->scrub && (dst->scrub->pfss_flags & PFSS_TIMESTAMP))) &&
   1483      1.1  itojun 	    pf_pull_hdr(m, off, hdr, th->th_off << 2, NULL, NULL, pd->af)) {
   1484      1.1  itojun 		/* Diddle with TCP options */
   1485      1.1  itojun 		int hlen;
   1486      1.1  itojun 		opt = hdr + sizeof(struct tcphdr);
   1487      1.1  itojun 		hlen = (th->th_off << 2) - sizeof(struct tcphdr);
   1488      1.1  itojun 		while (hlen >= TCPOLEN_TIMESTAMP) {
   1489      1.1  itojun 			switch (*opt) {
   1490      1.1  itojun 			case TCPOPT_EOL:	/* FALLTHROUGH */
   1491      1.1  itojun 			case TCPOPT_NOP:
   1492      1.1  itojun 				opt++;
   1493      1.1  itojun 				hlen--;
   1494      1.1  itojun 				break;
   1495      1.1  itojun 			case TCPOPT_TIMESTAMP:
   1496      1.1  itojun 				/* Modulate the timestamps.  Can be used for
   1497      1.1  itojun 				 * NAT detection, OS uptime determination or
   1498      1.1  itojun 				 * reboot detection.
   1499      1.1  itojun 				 */
   1500      1.6    yamt 
   1501      1.6    yamt 				if (got_ts) {
   1502      1.6    yamt 					/* Huh?  Multiple timestamps!? */
   1503      1.6    yamt 					if (pf_status.debug >= PF_DEBUG_MISC) {
   1504      1.6    yamt 						DPFPRINTF(("multiple TS??"));
   1505      1.6    yamt 						pf_print_state(state);
   1506      1.6    yamt 						printf("\n");
   1507      1.6    yamt 					}
   1508      1.6    yamt 					REASON_SET(reason, PFRES_TS);
   1509      1.6    yamt 					return (PF_DROP);
   1510      1.6    yamt 				}
   1511      1.1  itojun 				if (opt[1] >= TCPOLEN_TIMESTAMP) {
   1512      1.6    yamt 					memcpy(&tsval, &opt[2],
   1513      1.6    yamt 					    sizeof(u_int32_t));
   1514      1.6    yamt 					if (tsval && src->scrub &&
   1515      1.1  itojun 					    (src->scrub->pfss_flags &
   1516      1.1  itojun 					    PFSS_TIMESTAMP)) {
   1517      1.6    yamt 						tsval = ntohl(tsval);
   1518      1.1  itojun 						pf_change_a(&opt[2],
   1519      1.6    yamt 						    &th->th_sum,
   1520      1.6    yamt 						    htonl(tsval +
   1521      1.6    yamt 						    src->scrub->pfss_ts_mod),
   1522      1.6    yamt 						    0);
   1523      1.1  itojun 						copyback = 1;
   1524      1.1  itojun 					}
   1525      1.1  itojun 
   1526      1.1  itojun 					/* Modulate TS reply iff valid (!0) */
   1527      1.6    yamt 					memcpy(&tsecr, &opt[6],
   1528      1.1  itojun 					    sizeof(u_int32_t));
   1529      1.6    yamt 					if (tsecr && dst->scrub &&
   1530      1.1  itojun 					    (dst->scrub->pfss_flags &
   1531      1.1  itojun 					    PFSS_TIMESTAMP)) {
   1532      1.6    yamt 						tsecr = ntohl(tsecr)
   1533      1.6    yamt 						    - dst->scrub->pfss_ts_mod;
   1534      1.1  itojun 						pf_change_a(&opt[6],
   1535      1.6    yamt 						    &th->th_sum, htonl(tsecr),
   1536      1.6    yamt 						    0);
   1537      1.1  itojun 						copyback = 1;
   1538      1.1  itojun 					}
   1539      1.6    yamt 					got_ts = 1;
   1540      1.1  itojun 				}
   1541      1.1  itojun 				/* FALLTHROUGH */
   1542      1.1  itojun 			default:
   1543      1.6    yamt 				hlen -= MAX(opt[1], 2);
   1544      1.6    yamt 				opt += MAX(opt[1], 2);
   1545      1.1  itojun 				break;
   1546      1.1  itojun 			}
   1547      1.1  itojun 		}
   1548      1.1  itojun 		if (copyback) {
   1549      1.1  itojun 			/* Copyback the options, caller copys back header */
   1550      1.1  itojun 			*writeback = 1;
   1551      1.1  itojun 			m_copyback(m, off + sizeof(struct tcphdr),
   1552      1.4    yamt 			    (th->th_off << 2) - sizeof(struct tcphdr), hdr +
   1553      1.4    yamt 			    sizeof(struct tcphdr));
   1554      1.1  itojun 		}
   1555      1.1  itojun 	}
   1556      1.1  itojun 
   1557      1.1  itojun 
   1558      1.6    yamt 	/*
   1559      1.6    yamt 	 * Must invalidate PAWS checks on connections idle for too long.
   1560      1.6    yamt 	 * The fastest allowed timestamp clock is 1ms.  That turns out to
   1561      1.6    yamt 	 * be about 24 days before it wraps.  XXX Right now our lowerbound
   1562      1.6    yamt 	 * TS echo check only works for the first 12 days of a connection
   1563      1.6    yamt 	 * when the TS has exhausted half its 32bit space
   1564      1.6    yamt 	 */
   1565      1.6    yamt #define TS_MAX_IDLE	(24*24*60*60)
   1566      1.6    yamt #define TS_MAX_CONN	(12*24*60*60)	/* XXX remove when better tsecr check */
   1567      1.6    yamt 
   1568      1.6    yamt 	getmicrouptime(&uptime);
   1569      1.6    yamt 	if (src->scrub && (src->scrub->pfss_flags & PFSS_PAWS) &&
   1570      1.6    yamt 	    (uptime.tv_sec - src->scrub->pfss_last.tv_sec > TS_MAX_IDLE ||
   1571      1.6    yamt 	    time_second - state->creation > TS_MAX_CONN))  {
   1572      1.6    yamt 		if (pf_status.debug >= PF_DEBUG_MISC) {
   1573      1.6    yamt 			DPFPRINTF(("src idled out of PAWS\n"));
   1574      1.6    yamt 			pf_print_state(state);
   1575      1.6    yamt 			printf("\n");
   1576      1.6    yamt 		}
   1577      1.6    yamt 		src->scrub->pfss_flags = (src->scrub->pfss_flags & ~PFSS_PAWS)
   1578      1.6    yamt 		    | PFSS_PAWS_IDLED;
   1579      1.6    yamt 	}
   1580      1.6    yamt 	if (dst->scrub && (dst->scrub->pfss_flags & PFSS_PAWS) &&
   1581      1.6    yamt 	    uptime.tv_sec - dst->scrub->pfss_last.tv_sec > TS_MAX_IDLE) {
   1582      1.6    yamt 		if (pf_status.debug >= PF_DEBUG_MISC) {
   1583      1.6    yamt 			DPFPRINTF(("dst idled out of PAWS\n"));
   1584      1.6    yamt 			pf_print_state(state);
   1585      1.6    yamt 			printf("\n");
   1586      1.6    yamt 		}
   1587      1.6    yamt 		dst->scrub->pfss_flags = (dst->scrub->pfss_flags & ~PFSS_PAWS)
   1588      1.6    yamt 		    | PFSS_PAWS_IDLED;
   1589      1.6    yamt 	}
   1590      1.6    yamt 
   1591      1.6    yamt 	if (got_ts && src->scrub && dst->scrub &&
   1592      1.6    yamt 	    (src->scrub->pfss_flags & PFSS_PAWS) &&
   1593      1.6    yamt 	    (dst->scrub->pfss_flags & PFSS_PAWS)) {
   1594      1.6    yamt 		/* Validate that the timestamps are "in-window".
   1595      1.6    yamt 		 * RFC1323 describes TCP Timestamp options that allow
   1596      1.6    yamt 		 * measurement of RTT (round trip time) and PAWS
   1597      1.6    yamt 		 * (protection against wrapped sequence numbers).  PAWS
   1598      1.6    yamt 		 * gives us a set of rules for rejecting packets on
   1599      1.6    yamt 		 * long fat pipes (packets that were somehow delayed
   1600      1.6    yamt 		 * in transit longer than the time it took to send the
   1601      1.6    yamt 		 * full TCP sequence space of 4Gb).  We can use these
   1602      1.6    yamt 		 * rules and infer a few others that will let us treat
   1603      1.6    yamt 		 * the 32bit timestamp and the 32bit echoed timestamp
   1604      1.6    yamt 		 * as sequence numbers to prevent a blind attacker from
   1605      1.6    yamt 		 * inserting packets into a connection.
   1606      1.6    yamt 		 *
   1607      1.6    yamt 		 * RFC1323 tells us:
   1608      1.6    yamt 		 *  - The timestamp on this packet must be greater than
   1609      1.6    yamt 		 *    or equal to the last value echoed by the other
   1610      1.6    yamt 		 *    endpoint.  The RFC says those will be discarded
   1611      1.6    yamt 		 *    since it is a dup that has already been acked.
   1612      1.6    yamt 		 *    This gives us a lowerbound on the timestamp.
   1613      1.6    yamt 		 *        timestamp >= other last echoed timestamp
   1614      1.6    yamt 		 *  - The timestamp will be less than or equal to
   1615      1.6    yamt 		 *    the last timestamp plus the time between the
   1616      1.6    yamt 		 *    last packet and now.  The RFC defines the max
   1617      1.6    yamt 		 *    clock rate as 1ms.  We will allow clocks to be
   1618      1.6    yamt 		 *    up to 10% fast and will allow a total difference
   1619      1.6    yamt 		 *    or 30 seconds due to a route change.  And this
   1620      1.6    yamt 		 *    gives us an upperbound on the timestamp.
   1621      1.6    yamt 		 *        timestamp <= last timestamp + max ticks
   1622      1.6    yamt 		 *    We have to be careful here.  Windows will send an
   1623      1.6    yamt 		 *    initial timestamp of zero and then initialize it
   1624      1.6    yamt 		 *    to a random value after the 3whs; presumably to
   1625      1.6    yamt 		 *    avoid a DoS by having to call an expensive RNG
   1626      1.6    yamt 		 *    during a SYN flood.  Proof MS has at least one
   1627      1.6    yamt 		 *    good security geek.
   1628      1.6    yamt 		 *
   1629      1.6    yamt 		 *  - The TCP timestamp option must also echo the other
   1630      1.6    yamt 		 *    endpoints timestamp.  The timestamp echoed is the
   1631      1.6    yamt 		 *    one carried on the earliest unacknowledged segment
   1632      1.6    yamt 		 *    on the left edge of the sequence window.  The RFC
   1633      1.6    yamt 		 *    states that the host will reject any echoed
   1634      1.6    yamt 		 *    timestamps that were larger than any ever sent.
   1635      1.6    yamt 		 *    This gives us an upperbound on the TS echo.
   1636      1.6    yamt 		 *        tescr <= largest_tsval
   1637      1.6    yamt 		 *  - The lowerbound on the TS echo is a little more
   1638      1.6    yamt 		 *    tricky to determine.  The other endpoint's echoed
   1639      1.6    yamt 		 *    values will not decrease.  But there may be
   1640      1.6    yamt 		 *    network conditions that re-order packets and
   1641      1.6    yamt 		 *    cause our view of them to decrease.  For now the
   1642      1.6    yamt 		 *    only lowerbound we can safely determine is that
   1643      1.6    yamt 		 *    the TS echo will never be less than the orginal
   1644      1.6    yamt 		 *    TS.  XXX There is probably a better lowerbound.
   1645      1.6    yamt 		 *    Remove TS_MAX_CONN with better lowerbound check.
   1646      1.6    yamt 		 *        tescr >= other original TS
   1647      1.6    yamt 		 *
   1648      1.6    yamt 		 * It is also important to note that the fastest
   1649      1.6    yamt 		 * timestamp clock of 1ms will wrap its 32bit space in
   1650      1.6    yamt 		 * 24 days.  So we just disable TS checking after 24
   1651      1.6    yamt 		 * days of idle time.  We actually must use a 12d
   1652      1.6    yamt 		 * connection limit until we can come up with a better
   1653      1.6    yamt 		 * lowerbound to the TS echo check.
   1654      1.6    yamt 		 */
   1655      1.6    yamt 		struct timeval delta_ts;
   1656      1.6    yamt 		int ts_fudge;
   1657      1.6    yamt 
   1658      1.6    yamt 
   1659      1.6    yamt 		/*
   1660      1.6    yamt 		 * PFTM_TS_DIFF is how many seconds of leeway to allow
   1661      1.6    yamt 		 * a host's timestamp.  This can happen if the previous
   1662      1.6    yamt 		 * packet got delayed in transit for much longer than
   1663      1.6    yamt 		 * this packet.
   1664      1.6    yamt 		 */
   1665      1.6    yamt 		if ((ts_fudge = state->rule.ptr->timeout[PFTM_TS_DIFF]) == 0)
   1666      1.6    yamt 			ts_fudge = pf_default_rule.timeout[PFTM_TS_DIFF];
   1667      1.6    yamt 
   1668      1.6    yamt 
   1669      1.6    yamt 		/* Calculate max ticks since the last timestamp */
   1670  1.9.2.1    yamt #define TS_MAXFREQ	1100		/* RFC max TS freq of 1 kHz + 10% skew */
   1671      1.6    yamt #define TS_MICROSECS	1000000		/* microseconds per second */
   1672      1.6    yamt 		timersub(&uptime, &src->scrub->pfss_last, &delta_ts);
   1673      1.6    yamt 		tsval_from_last = (delta_ts.tv_sec + ts_fudge) * TS_MAXFREQ;
   1674      1.6    yamt 		tsval_from_last += delta_ts.tv_usec / (TS_MICROSECS/TS_MAXFREQ);
   1675      1.6    yamt 
   1676      1.6    yamt 
   1677      1.6    yamt 		if ((src->state >= TCPS_ESTABLISHED &&
   1678      1.6    yamt 		    dst->state >= TCPS_ESTABLISHED) &&
   1679      1.6    yamt 		    (SEQ_LT(tsval, dst->scrub->pfss_tsecr) ||
   1680      1.6    yamt 		    SEQ_GT(tsval, src->scrub->pfss_tsval + tsval_from_last) ||
   1681      1.6    yamt 		    (tsecr && (SEQ_GT(tsecr, dst->scrub->pfss_tsval) ||
   1682      1.6    yamt 		    SEQ_LT(tsecr, dst->scrub->pfss_tsval0))))) {
   1683      1.6    yamt 			/* Bad RFC1323 implementation or an insertion attack.
   1684      1.6    yamt 			 *
   1685      1.6    yamt 			 * - Solaris 2.6 and 2.7 are known to send another ACK
   1686      1.6    yamt 			 *   after the FIN,FIN|ACK,ACK closing that carries
   1687      1.6    yamt 			 *   an old timestamp.
   1688      1.6    yamt 			 */
   1689      1.6    yamt 
   1690      1.6    yamt 			DPFPRINTF(("Timestamp failed %c%c%c%c\n",
   1691      1.6    yamt 			    SEQ_LT(tsval, dst->scrub->pfss_tsecr) ? '0' : ' ',
   1692      1.6    yamt 			    SEQ_GT(tsval, src->scrub->pfss_tsval +
   1693      1.6    yamt 			    tsval_from_last) ? '1' : ' ',
   1694      1.6    yamt 			    SEQ_GT(tsecr, dst->scrub->pfss_tsval) ? '2' : ' ',
   1695      1.6    yamt 			    SEQ_LT(tsecr, dst->scrub->pfss_tsval0)? '3' : ' '));
   1696      1.6    yamt 			DPFPRINTF((" tsval: %" PRIu32 "  tsecr: %" PRIu32
   1697      1.6    yamt 			    "  +ticks: %" PRIu32 "  idle: %lus %lums\n",
   1698      1.6    yamt 			    tsval, tsecr, tsval_from_last, delta_ts.tv_sec,
   1699      1.6    yamt 			    delta_ts.tv_usec / 1000));
   1700      1.6    yamt 			DPFPRINTF((" src->tsval: %" PRIu32 "  tsecr: %" PRIu32
   1701      1.6    yamt 			    "\n",
   1702      1.6    yamt 			    src->scrub->pfss_tsval, src->scrub->pfss_tsecr));
   1703      1.6    yamt 			DPFPRINTF((" dst->tsval: %" PRIu32 "  tsecr: %" PRIu32
   1704      1.6    yamt 			    "  tsval0: %" PRIu32 "\n",
   1705      1.6    yamt 			    dst->scrub->pfss_tsval,
   1706      1.6    yamt 			    dst->scrub->pfss_tsecr, dst->scrub->pfss_tsval0));
   1707      1.6    yamt 			if (pf_status.debug >= PF_DEBUG_MISC) {
   1708      1.6    yamt 				pf_print_state(state);
   1709      1.6    yamt 				pf_print_flags(th->th_flags);
   1710      1.6    yamt 				printf("\n");
   1711      1.6    yamt 			}
   1712      1.6    yamt 			REASON_SET(reason, PFRES_TS);
   1713      1.6    yamt 			return (PF_DROP);
   1714      1.6    yamt 		}
   1715      1.6    yamt 
   1716      1.6    yamt 		/* XXX I'd really like to require tsecr but it's optional */
   1717      1.6    yamt 
   1718      1.6    yamt 	} else if (!got_ts && (th->th_flags & TH_RST) == 0 &&
   1719      1.6    yamt 	    ((src->state == TCPS_ESTABLISHED && dst->state == TCPS_ESTABLISHED)
   1720      1.6    yamt 	    || pd->p_len > 0 || (th->th_flags & TH_SYN)) &&
   1721      1.6    yamt 	    src->scrub && dst->scrub &&
   1722      1.6    yamt 	    (src->scrub->pfss_flags & PFSS_PAWS) &&
   1723      1.6    yamt 	    (dst->scrub->pfss_flags & PFSS_PAWS)) {
   1724      1.6    yamt 		/* Didn't send a timestamp.  Timestamps aren't really useful
   1725      1.6    yamt 		 * when:
   1726      1.6    yamt 		 *  - connection opening or closing (often not even sent).
   1727      1.6    yamt 		 *    but we must not let an attacker to put a FIN on a
   1728      1.6    yamt 		 *    data packet to sneak it through our ESTABLISHED check.
   1729      1.6    yamt 		 *  - on a TCP reset.  RFC suggests not even looking at TS.
   1730      1.6    yamt 		 *  - on an empty ACK.  The TS will not be echoed so it will
   1731      1.6    yamt 		 *    probably not help keep the RTT calculation in sync and
   1732      1.6    yamt 		 *    there isn't as much danger when the sequence numbers
   1733      1.6    yamt 		 *    got wrapped.  So some stacks don't include TS on empty
   1734      1.6    yamt 		 *    ACKs :-(
   1735      1.6    yamt 		 *
   1736      1.6    yamt 		 * To minimize the disruption to mostly RFC1323 conformant
   1737      1.6    yamt 		 * stacks, we will only require timestamps on data packets.
   1738      1.6    yamt 		 *
   1739      1.6    yamt 		 * And what do ya know, we cannot require timestamps on data
   1740      1.6    yamt 		 * packets.  There appear to be devices that do legitimate
   1741      1.6    yamt 		 * TCP connection hijacking.  There are HTTP devices that allow
   1742      1.6    yamt 		 * a 3whs (with timestamps) and then buffer the HTTP request.
   1743      1.6    yamt 		 * If the intermediate device has the HTTP response cache, it
   1744      1.6    yamt 		 * will spoof the response but not bother timestamping its
   1745      1.6    yamt 		 * packets.  So we can look for the presence of a timestamp in
   1746      1.6    yamt 		 * the first data packet and if there, require it in all future
   1747      1.6    yamt 		 * packets.
   1748      1.6    yamt 		 */
   1749      1.6    yamt 
   1750      1.6    yamt 		if (pd->p_len > 0 && (src->scrub->pfss_flags & PFSS_DATA_TS)) {
   1751      1.6    yamt 			/*
   1752      1.6    yamt 			 * Hey!  Someone tried to sneak a packet in.  Or the
   1753      1.6    yamt 			 * stack changed its RFC1323 behavior?!?!
   1754      1.6    yamt 			 */
   1755      1.6    yamt 			if (pf_status.debug >= PF_DEBUG_MISC) {
   1756      1.6    yamt 				DPFPRINTF(("Did not receive expected RFC1323 "
   1757      1.6    yamt 				    "timestamp\n"));
   1758      1.6    yamt 				pf_print_state(state);
   1759      1.6    yamt 				pf_print_flags(th->th_flags);
   1760      1.6    yamt 				printf("\n");
   1761      1.6    yamt 			}
   1762      1.6    yamt 			REASON_SET(reason, PFRES_TS);
   1763      1.6    yamt 			return (PF_DROP);
   1764      1.6    yamt 		}
   1765      1.6    yamt 	}
   1766      1.6    yamt 
   1767      1.6    yamt 
   1768      1.6    yamt 	/*
   1769      1.6    yamt 	 * We will note if a host sends his data packets with or without
   1770      1.6    yamt 	 * timestamps.  And require all data packets to contain a timestamp
   1771      1.6    yamt 	 * if the first does.  PAWS implicitly requires that all data packets be
   1772      1.6    yamt 	 * timestamped.  But I think there are middle-man devices that hijack
   1773      1.6    yamt 	 * TCP streams immedietly after the 3whs and don't timestamp their
   1774      1.6    yamt 	 * packets (seen in a WWW accelerator or cache).
   1775      1.6    yamt 	 */
   1776      1.6    yamt 	if (pd->p_len > 0 && src->scrub && (src->scrub->pfss_flags &
   1777      1.6    yamt 	    (PFSS_TIMESTAMP|PFSS_DATA_TS|PFSS_DATA_NOTS)) == PFSS_TIMESTAMP) {
   1778      1.6    yamt 		if (got_ts)
   1779      1.6    yamt 			src->scrub->pfss_flags |= PFSS_DATA_TS;
   1780      1.6    yamt 		else {
   1781      1.6    yamt 			src->scrub->pfss_flags |= PFSS_DATA_NOTS;
   1782      1.6    yamt 			if (pf_status.debug >= PF_DEBUG_MISC && dst->scrub &&
   1783      1.6    yamt 			    (dst->scrub->pfss_flags & PFSS_TIMESTAMP)) {
   1784      1.6    yamt 				/* Don't warn if other host rejected RFC1323 */
   1785      1.6    yamt 				DPFPRINTF(("Broken RFC1323 stack did not "
   1786      1.6    yamt 				    "timestamp data packet. Disabled PAWS "
   1787      1.6    yamt 				    "security.\n"));
   1788      1.6    yamt 				pf_print_state(state);
   1789      1.6    yamt 				pf_print_flags(th->th_flags);
   1790      1.6    yamt 				printf("\n");
   1791      1.6    yamt 			}
   1792      1.6    yamt 		}
   1793      1.6    yamt 	}
   1794      1.6    yamt 
   1795      1.6    yamt 
   1796      1.6    yamt 	/*
   1797      1.6    yamt 	 * Update PAWS values
   1798      1.6    yamt 	 */
   1799      1.6    yamt 	if (got_ts && src->scrub && PFSS_TIMESTAMP == (src->scrub->pfss_flags &
   1800      1.6    yamt 	    (PFSS_PAWS_IDLED|PFSS_TIMESTAMP))) {
   1801      1.6    yamt 		getmicrouptime(&src->scrub->pfss_last);
   1802      1.6    yamt 		if (SEQ_GEQ(tsval, src->scrub->pfss_tsval) ||
   1803      1.6    yamt 		    (src->scrub->pfss_flags & PFSS_PAWS) == 0)
   1804      1.6    yamt 			src->scrub->pfss_tsval = tsval;
   1805      1.6    yamt 
   1806      1.6    yamt 		if (tsecr) {
   1807      1.6    yamt 			if (SEQ_GEQ(tsecr, src->scrub->pfss_tsecr) ||
   1808      1.6    yamt 			    (src->scrub->pfss_flags & PFSS_PAWS) == 0)
   1809      1.6    yamt 				src->scrub->pfss_tsecr = tsecr;
   1810      1.6    yamt 
   1811      1.6    yamt 			if ((src->scrub->pfss_flags & PFSS_PAWS) == 0 &&
   1812      1.6    yamt 			    (SEQ_LT(tsval, src->scrub->pfss_tsval0) ||
   1813      1.6    yamt 			    src->scrub->pfss_tsval0 == 0)) {
   1814      1.6    yamt 				/* tsval0 MUST be the lowest timestamp */
   1815      1.6    yamt 				src->scrub->pfss_tsval0 = tsval;
   1816      1.6    yamt 			}
   1817      1.6    yamt 
   1818      1.6    yamt 			/* Only fully initialized after a TS gets echoed */
   1819      1.6    yamt 			if ((src->scrub->pfss_flags & PFSS_PAWS) == 0)
   1820      1.6    yamt 				src->scrub->pfss_flags |= PFSS_PAWS;
   1821      1.6    yamt 		}
   1822      1.6    yamt 	}
   1823      1.6    yamt 
   1824      1.1  itojun 	/* I have a dream....  TCP segment reassembly.... */
   1825      1.1  itojun 	return (0);
   1826      1.1  itojun }
   1827      1.6    yamt 
   1828      1.1  itojun int
   1829      1.1  itojun pf_normalize_tcpopt(struct pf_rule *r, struct mbuf *m, struct tcphdr *th,
   1830      1.1  itojun     int off)
   1831      1.1  itojun {
   1832      1.1  itojun 	u_int16_t	*mss;
   1833      1.1  itojun 	int		 thoff;
   1834      1.1  itojun 	int		 opt, cnt, optlen = 0;
   1835      1.1  itojun 	int		 rewrite = 0;
   1836      1.1  itojun 	u_char		*optp;
   1837      1.1  itojun 
   1838      1.1  itojun 	thoff = th->th_off << 2;
   1839      1.1  itojun 	cnt = thoff - sizeof(struct tcphdr);
   1840  1.9.2.1    yamt 	optp = mtod(m, u_char *) + off + sizeof(struct tcphdr);
   1841      1.1  itojun 
   1842      1.1  itojun 	for (; cnt > 0; cnt -= optlen, optp += optlen) {
   1843      1.1  itojun 		opt = optp[0];
   1844      1.1  itojun 		if (opt == TCPOPT_EOL)
   1845      1.1  itojun 			break;
   1846      1.1  itojun 		if (opt == TCPOPT_NOP)
   1847      1.1  itojun 			optlen = 1;
   1848      1.1  itojun 		else {
   1849      1.1  itojun 			if (cnt < 2)
   1850      1.1  itojun 				break;
   1851      1.1  itojun 			optlen = optp[1];
   1852      1.1  itojun 			if (optlen < 2 || optlen > cnt)
   1853      1.1  itojun 				break;
   1854      1.1  itojun 		}
   1855      1.1  itojun 		switch (opt) {
   1856      1.1  itojun 		case TCPOPT_MAXSEG:
   1857      1.1  itojun 			mss = (u_int16_t *)(optp + 2);
   1858      1.1  itojun 			if ((ntohs(*mss)) > r->max_mss) {
   1859      1.1  itojun 				th->th_sum = pf_cksum_fixup(th->th_sum,
   1860      1.6    yamt 				    *mss, htons(r->max_mss), 0);
   1861      1.1  itojun 				*mss = htons(r->max_mss);
   1862      1.1  itojun 				rewrite = 1;
   1863      1.1  itojun 			}
   1864      1.1  itojun 			break;
   1865      1.1  itojun 		default:
   1866      1.1  itojun 			break;
   1867      1.1  itojun 		}
   1868      1.1  itojun 	}
   1869      1.1  itojun 
   1870      1.1  itojun 	return (rewrite);
   1871      1.1  itojun }
   1872