net/ipv4/netfilter/nf_nat_snmp_basic_main.c

   1 /*
   2  * nf_nat_snmp_basic.c
   3  *
   4  * Basic SNMP Application Layer Gateway
   5  *
   6  * This IP NAT module is intended for use with SNMP network
   7  * discovery and monitoring applications where target networks use
   8  * conflicting private address realms.
   9  *
  10  * Static NAT is used to remap the networks from the view of the network
  11  * management system at the IP layer, and this module remaps some application
  12  * layer addresses to match.
  13  *
  14  * The simplest form of ALG is performed, where only tagged IP addresses
  15  * are modified.  The module does not need to be MIB aware and only scans
  16  * messages at the ASN.1/BER level.
  17  *
  18  * Currently, only SNMPv1 and SNMPv2 are supported.
  19  *
  20  * More information on ALG and associated issues can be found in
  21  * RFC 2962
  22  *
  23  * The ASB.1/BER parsing code is derived from the gxsnmp package by Gregory
  24  * McLean & Jochen Friedrich, stripped down for use in the kernel.
  25  *
  26  * Copyright (c) 2000 RP Internet (www.rpi.net.au).
  27  *
  28  * This program is free software; you can redistribute it and/or modify
  29  * it under the terms of the GNU General Public License as published by
  30  * the Free Software Foundation; either version 2 of the License, or
  31  * (at your option) any later version.
  32  * This program is distributed in the hope that it will be useful,
  33  * but WITHOUT ANY WARRANTY; without even the implied warranty of
  34  * MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
  35  * GNU General Public License for more details.
  36  * You should have received a copy of the GNU General Public License
  37  * along with this program; if not, see <http://www.gnu.org/licenses/>.
  38  *
  39  * Author: James Morris <jmorris@intercode.com.au>
  40  *
  41  * Copyright (c) 2006-2010 Patrick McHardy <kaber@trash.net>
  42  */
  43 #include <linux/module.h>
  44 #include <linux/moduleparam.h>
  45 #include <linux/types.h>
  46 #include <linux/kernel.h>
  47 #include <linux/in.h>
  48 #include <linux/ip.h>
  49 #include <linux/udp.h>
  50 #include <net/checksum.h>
  51 #include <net/udp.h>
  52
  53 #include <net/netfilter/nf_nat.h>
  54 #include <net/netfilter/nf_conntrack_expect.h>
  55 #include <net/netfilter/nf_conntrack_helper.h>
  56 #include <linux/netfilter/nf_conntrack_snmp.h>
  57 #include "nf_nat_snmp_basic.asn1.h"
  58
  59 MODULE_LICENSE("GPL");
  60 MODULE_AUTHOR("James Morris <jmorris@intercode.com.au>");
  61 MODULE_DESCRIPTION("Basic SNMP Application Layer Gateway");
  62 MODULE_ALIAS("ip_nat_snmp_basic");
  63
  64 #define SNMP_PORT 161
  65 #define SNMP_TRAP_PORT 162
  66
  67 static DEFINE_SPINLOCK(snmp_lock);
  68
  69 struct snmp_ctx {
  70         unsigned char *begin;
  71         __sum16 *check;
  72         __be32 from;
  73         __be32 to;
  74 };
  75
  76 static void fast_csum(struct snmp_ctx *ctx, unsigned char offset)
  77 {
  78         unsigned char s[12] = {0,};
  79         int size;
  80
  81         if (offset & 1) {
  82                 memcpy(&s[1], &ctx->from, 4);
  83                 memcpy(&s[7], &ctx->to, 4);
  84                 s[0] = ~0;
  85                 s[1] = ~s[1];
  86                 s[2] = ~s[2];
  87                 s[3] = ~s[3];
  88                 s[4] = ~s[4];
  89                 s[5] = ~0;
  90                 size = 12;
  91         } else {
  92                 memcpy(&s[0], &ctx->from, 4);
  93                 memcpy(&s[4], &ctx->to, 4);
  94                 s[0] = ~s[0];
  95                 s[1] = ~s[1];
  96                 s[2] = ~s[2];
  97                 s[3] = ~s[3];
  98                 size = 8;
  99         }
 100         *ctx->check = csum_fold(csum_partial(s, size,
 101                                              ~csum_unfold(*ctx->check)));
 102 }
 103
 104 int snmp_version(void *context, size_t hdrlen, unsigned char tag,
 105                  const void *data, size_t datalen)
 106 {
 107         if (datalen != 1)
 108                 return -EINVAL;
 109         if (*(unsigned char *)data > 1)
 110                 return -ENOTSUPP;
 111         return 1;
 112 }
 113
 114 int snmp_helper(void *context, size_t hdrlen, unsigned char tag,
 115                 const void *data, size_t datalen)
 116 {
 117         struct snmp_ctx *ctx = (struct snmp_ctx *)context;
 118         __be32 *pdata;
 119
 120         if (datalen != 4)
 121                 return -EINVAL;
 122         pdata = (__be32 *)data;
 123         if (*pdata == ctx->from) {
 124                 pr_debug("%s: %pI4 to %pI4\n", __func__,
 125                          (void *)&ctx->from, (void *)&ctx->to);
 126
 127                 if (*ctx->check)
 128                         fast_csum(ctx, (unsigned char *)data - ctx->begin);
 129                 *pdata = ctx->to;
 130         }
 131
 132         return 1;
 133 }
 134
 135 static int snmp_translate(struct nf_conn *ct, int dir, struct sk_buff *skb)
 136 {
 137         struct iphdr *iph = ip_hdr(skb);
 138         struct udphdr *udph = (struct udphdr *)((__be32 *)iph + iph->ihl);
 139         u16 datalen = ntohs(udph->len) - sizeof(struct udphdr);
 140         char *data = (unsigned char *)udph + sizeof(struct udphdr);
 141         struct snmp_ctx ctx;
 142         int ret;
 143
 144         if (dir == IP_CT_DIR_ORIGINAL) {
 145                 ctx.from = ct->tuplehash[dir].tuple.src.u3.ip;
 146                 ctx.to = ct->tuplehash[!dir].tuple.dst.u3.ip;
 147         } else {
 148                 ctx.from = ct->tuplehash[!dir].tuple.src.u3.ip;
 149                 ctx.to = ct->tuplehash[dir].tuple.dst.u3.ip;
 150         }
 151
 152         if (ctx.from == ctx.to)
 153                 return NF_ACCEPT;
 154
 155         ctx.begin = (unsigned char *)udph + sizeof(struct udphdr);
 156         ctx.check = &udph->check;
 157         ret = asn1_ber_decoder(&nf_nat_snmp_basic_decoder, &ctx, data, datalen);
 158         if (ret < 0) {
 159                 nf_ct_helper_log(skb, ct, "parser failed\n");
 160                 return NF_DROP;
 161         }
 162
 163         return NF_ACCEPT;
 164 }
 165
 166 /* We don't actually set up expectations, just adjust internal IP
 167  * addresses if this is being NATted
 168  */
 169 static int help(struct sk_buff *skb, unsigned int protoff,
 170                 struct nf_conn *ct,
 171                 enum ip_conntrack_info ctinfo)
 172 {
 173         int dir = CTINFO2DIR(ctinfo);
 174         unsigned int ret;
 175         const struct iphdr *iph = ip_hdr(skb);
 176         const struct udphdr *udph = (struct udphdr *)((__be32 *)iph + iph->ihl);
 177
 178         /* SNMP replies and originating SNMP traps get mangled */
 179         if (udph->source == htons(SNMP_PORT) && dir != IP_CT_DIR_REPLY)
 180                 return NF_ACCEPT;
 181         if (udph->dest == htons(SNMP_TRAP_PORT) && dir != IP_CT_DIR_ORIGINAL)
 182                 return NF_ACCEPT;
 183
 184         /* No NAT? */
 185         if (!(ct->status & IPS_NAT_MASK))
 186                 return NF_ACCEPT;
 187
 188         /* Make sure the packet length is ok.  So far, we were only guaranteed
 189          * to have a valid length IP header plus 8 bytes, which means we have
 190          * enough room for a UDP header.  Just verify the UDP length field so we
 191          * can mess around with the payload.
 192          */
 193         if (ntohs(udph->len) != skb->len - (iph->ihl << 2)) {
 194                 nf_ct_helper_log(skb, ct, "dropping malformed packet\n");
 195                 return NF_DROP;
 196         }
 197
 198         if (!skb_make_writable(skb, skb->len)) {
 199                 nf_ct_helper_log(skb, ct, "cannot mangle packet");
 200                 return NF_DROP;
 201         }
 202
 203         spin_lock_bh(&snmp_lock);
 204         ret = snmp_translate(ct, dir, skb);
 205         spin_unlock_bh(&snmp_lock);
 206         return ret;
 207 }
 208
 209 static const struct nf_conntrack_expect_policy snmp_exp_policy = {
 210         .max_expected   = 0,
 211         .timeout        = 180,
 212 };
 213
 214 static struct nf_conntrack_helper snmp_trap_helper __read_mostly = {
 215         .me                     = THIS_MODULE,
 216         .help                   = help,
 217         .expect_policy          = &snmp_exp_policy,
 218         .name                   = "snmp_trap",
 219         .tuple.src.l3num        = AF_INET,
 220         .tuple.src.u.udp.port   = cpu_to_be16(SNMP_TRAP_PORT),
 221         .tuple.dst.protonum     = IPPROTO_UDP,
 222 };
 223
 224 static int __init nf_nat_snmp_basic_init(void)
 225 {
 226         BUG_ON(nf_nat_snmp_hook != NULL);
 227         RCU_INIT_POINTER(nf_nat_snmp_hook, help);
 228
 229         return nf_conntrack_helper_register(&snmp_trap_helper);
 230 }
 231
 232 static void __exit nf_nat_snmp_basic_fini(void)
 233 {
 234         RCU_INIT_POINTER(nf_nat_snmp_hook, NULL);
 235         synchronize_rcu();
 236         nf_conntrack_helper_unregister(&snmp_trap_helper);
 237 }
 238
 239 module_init(nf_nat_snmp_basic_init);
 240 module_exit(nf_nat_snmp_basic_fini);