xref: /netbsd-src/usr.sbin/npf/npftest/libnpftest/npf_nat_test.c (revision b899bfd96fd2cbaf2befc9ce4aaed9b9c230837a)
163f44833Srmind /*
23d9a792dSrmind  * NPF NAT tests.
363f44833Srmind  *
463f44833Srmind  * Public Domain.
563f44833Srmind  */
663f44833Srmind 
7f75d79ebSchristos #ifdef _KERNEL
863f44833Srmind #include <sys/types.h>
9f75d79ebSchristos #endif
1063f44833Srmind 
1163f44833Srmind #include "npf_impl.h"
1263f44833Srmind #include "npf_test.h"
1363f44833Srmind 
1463f44833Srmind #define	RESULT_PASS	0
1563f44833Srmind #define	RESULT_BLOCK	ENETUNREACH
1663f44833Srmind 
1763f44833Srmind #define	NPF_BINAT	(NPF_NATIN | NPF_NATOUT)
1863f44833Srmind 
19*b899bfd9Srmind #define	RANDOM_PORT	18791
20bb1fedd1Srmind 
2163f44833Srmind static const struct test_case {
2263f44833Srmind 	const char *	src;
2363f44833Srmind 	in_port_t	sport;
2463f44833Srmind 	const char *	dst;
2563f44833Srmind 	in_port_t	dport;
2663f44833Srmind 	int		ttype;
2763f44833Srmind 	const char *	ifname;
2863f44833Srmind 	int		di;
2963f44833Srmind 	int		ret;
30068cee29Srmind 	int		af;
3163f44833Srmind 	const char *	taddr;
3263f44833Srmind 	in_port_t	tport;
3363f44833Srmind } test_cases[] = {
3463f44833Srmind 
3563f44833Srmind 	/*
3663f44833Srmind 	 * Traditional NAPT (outbound NAT):
3763f44833Srmind 	 *	map $ext_if dynamic $local_net -> $pub_ip1
3863f44833Srmind 	 */
3963f44833Srmind 	{
4063f44833Srmind 		LOCAL_IP1,	15000,		REMOTE_IP1,	7000,
4163f44833Srmind 		NPF_NATOUT,	IFNAME_EXT,	PFIL_OUT,
42068cee29Srmind 		RESULT_PASS,	AF_INET,	PUB_IP1,	RANDOM_PORT
4363f44833Srmind 	},
4463f44833Srmind 	{
4563f44833Srmind 		LOCAL_IP1,	15000,		REMOTE_IP1,	7000,
4663f44833Srmind 		NPF_NATOUT,	IFNAME_EXT,	PFIL_OUT,
47068cee29Srmind 		RESULT_PASS,	AF_INET,	PUB_IP1,	RANDOM_PORT
4863f44833Srmind 	},
4963f44833Srmind 	{
5063f44833Srmind 		LOCAL_IP1,	15000,		REMOTE_IP1,	7000,
5163f44833Srmind 		NPF_NATOUT,	IFNAME_EXT,	PFIL_IN,
52068cee29Srmind 		RESULT_BLOCK,	AF_INET,	NULL,		0
5363f44833Srmind 	},
5463f44833Srmind 	{
5563f44833Srmind 		REMOTE_IP1,	7000,		LOCAL_IP1,	15000,
5663f44833Srmind 		NPF_NATOUT,	IFNAME_EXT,	PFIL_IN,
57068cee29Srmind 		RESULT_BLOCK,	AF_INET,	NULL,		0
5863f44833Srmind 	},
5963f44833Srmind 	{
60bb1fedd1Srmind 		REMOTE_IP1,	7000,		PUB_IP1,	RANDOM_PORT,
6163f44833Srmind 		NPF_NATOUT,	IFNAME_INT,	PFIL_IN,
62068cee29Srmind 		RESULT_BLOCK,	AF_INET,	NULL,		0
6363f44833Srmind 	},
6463f44833Srmind 	{
65bb1fedd1Srmind 		REMOTE_IP1,	7000,		PUB_IP1,	RANDOM_PORT,
6663f44833Srmind 		NPF_NATOUT,	IFNAME_EXT,	PFIL_IN,
67068cee29Srmind 		RESULT_PASS,	AF_INET,	LOCAL_IP1,	15000
6863f44833Srmind 	},
6963f44833Srmind 
7063f44833Srmind 	/*
7163f44833Srmind 	 * NAT redirect (inbound NAT):
728274d601Srmind 	 *	map $ext_if dynamic $local_ip1 port 6000 <- $pub_ip1 port 8000
7363f44833Srmind 	 */
7463f44833Srmind 	{
7563f44833Srmind 		REMOTE_IP2,	16000,		PUB_IP1,	8000,
7663f44833Srmind 		NPF_NATIN,	IFNAME_EXT,	PFIL_IN,
77068cee29Srmind 		RESULT_PASS,	AF_INET,	LOCAL_IP1,	6000
7863f44833Srmind 	},
7963f44833Srmind 	{
8063f44833Srmind 		LOCAL_IP1,	6000,		REMOTE_IP2,	16000,
8163f44833Srmind 		NPF_NATIN,	IFNAME_EXT,	PFIL_OUT,
82068cee29Srmind 		RESULT_PASS,	AF_INET,	PUB_IP1,	8000
8363f44833Srmind 	},
8463f44833Srmind 
8563f44833Srmind 	/*
8663f44833Srmind 	 * Bi-directional NAT (inbound + outbound NAT):
8763f44833Srmind 	 *	map $ext_if dynamic $local_ip2 <-> $pub_ip2
8863f44833Srmind 	 */
8963f44833Srmind 	{
9063f44833Srmind 		REMOTE_IP2,	17000,		PUB_IP2,	9000,
9163f44833Srmind 		NPF_BINAT,	IFNAME_EXT,	PFIL_IN,
92068cee29Srmind 		RESULT_PASS,	AF_INET,	LOCAL_IP2,	9000
9363f44833Srmind 	},
9463f44833Srmind 	{
9563f44833Srmind 		LOCAL_IP2,	9000,		REMOTE_IP2,	17000,
9663f44833Srmind 		NPF_BINAT,	IFNAME_EXT,	PFIL_OUT,
97068cee29Srmind 		RESULT_PASS,	AF_INET,	PUB_IP2,	9000
9863f44833Srmind 	},
9963f44833Srmind 	{
10063f44833Srmind 		LOCAL_IP2,	18000,		REMOTE_IP2,	9000,
10163f44833Srmind 		NPF_BINAT,	IFNAME_EXT,	PFIL_OUT,
102068cee29Srmind 		RESULT_PASS,	AF_INET,	PUB_IP2,	18000
10363f44833Srmind 	},
10463f44833Srmind 	{
10563f44833Srmind 		REMOTE_IP2,	9000,		PUB_IP2,	18000,
10663f44833Srmind 		NPF_BINAT,	IFNAME_EXT,	PFIL_IN,
107068cee29Srmind 		RESULT_PASS,	AF_INET,	LOCAL_IP2,	18000
10863f44833Srmind 	},
10963f44833Srmind 
1108274d601Srmind 	/*
1118274d601Srmind 	 * Static NAT: plain translation both ways.
1128274d601Srmind 	 *	map $ext_if static $local_ip3 <-> $pub_ip3
1138274d601Srmind 	 */
1148274d601Srmind 	{
1158274d601Srmind 		LOCAL_IP3,	19000,		REMOTE_IP3,	10000,
1168274d601Srmind 		NPF_BINAT,	IFNAME_EXT,	PFIL_OUT,
117068cee29Srmind 		RESULT_PASS,	AF_INET,	PUB_IP3,	19000
1188274d601Srmind 	},
1198274d601Srmind 	{
1208274d601Srmind 		REMOTE_IP3,	10000,		PUB_IP3,	19000,
1218274d601Srmind 		NPF_BINAT,	IFNAME_EXT,	PFIL_IN,
122068cee29Srmind 		RESULT_PASS,	AF_INET,	LOCAL_IP3,	19000
123068cee29Srmind 	},
124068cee29Srmind 
125068cee29Srmind 	/*
1263d9a792dSrmind 	 * NETMAP case:
1273d9a792dSrmind 	 *	map $ext_if static algo netmap $net_a <-> $net_b
1283d9a792dSrmind 	 */
1293d9a792dSrmind 	{
1303d9a792dSrmind 		NET_A_IP1,	12345,		REMOTE_IP4,	12345,
1313d9a792dSrmind 		NPF_BINAT,	IFNAME_EXT,	PFIL_OUT,
1323d9a792dSrmind 		RESULT_PASS,	AF_INET,	NET_B_IP1,	12345
1333d9a792dSrmind 	},
1343d9a792dSrmind 
1353d9a792dSrmind 	/*
136068cee29Srmind 	 * NPTv6 case:
137068cee29Srmind 	 *	map $ext_if static algo npt66 $net6_inner <-> $net6_outer
138068cee29Srmind 	 */
139068cee29Srmind 	{
140068cee29Srmind 		LOCAL_IP6,	1000,		REMOTE_IP6,	1001,
141068cee29Srmind 		NPF_BINAT,	IFNAME_EXT,	PFIL_OUT,
142068cee29Srmind 		RESULT_PASS,	AF_INET6,	EXPECTED_IP6,	1000
143068cee29Srmind 	},
144068cee29Srmind 	{
145068cee29Srmind 		REMOTE_IP6,	1001,		EXPECTED_IP6,	1000,
146068cee29Srmind 		NPF_BINAT,	IFNAME_EXT,	PFIL_IN,
147068cee29Srmind 		RESULT_PASS,	AF_INET6,	LOCAL_IP6,	1000
1488274d601Srmind 	},
1498274d601Srmind 
15063f44833Srmind };
15163f44833Srmind 
15263f44833Srmind static bool
match_addr(int af,const char * saddr,const npf_addr_t * addr2)153dadc88e3Srmind match_addr(int af, const char *saddr, const npf_addr_t *addr2)
15463f44833Srmind {
155068cee29Srmind 	npf_addr_t addr1;
156068cee29Srmind 	size_t len;
157068cee29Srmind 
158068cee29Srmind 	npf_inet_pton(af, saddr, &addr1);
159068cee29Srmind 	len = af == AF_INET ? sizeof(struct in_addr) : sizeof(struct in6_addr);
160dadc88e3Srmind 	return memcmp(&addr1, addr2, len) == 0;
16163f44833Srmind }
16263f44833Srmind 
16363f44833Srmind static bool
checkresult(bool verbose,unsigned i,struct mbuf * m,ifnet_t * ifp,int error)164352f1606Srmind checkresult(bool verbose, unsigned i, struct mbuf *m, ifnet_t *ifp, int error)
16563f44833Srmind {
16663f44833Srmind 	const struct test_case *t = &test_cases[i];
167068cee29Srmind 	const int af = t->af;
168*b899bfd9Srmind 	npf_cache_t npc;
169352f1606Srmind 	nbuf_t nbuf;
17063f44833Srmind 
17163f44833Srmind 	if (verbose) {
17263f44833Srmind 		printf("packet %d (expected %d ret %d)\n", i+1, t->ret, error);
17363f44833Srmind 	}
17463f44833Srmind 	if (error) {
17563f44833Srmind 		return error == t->ret;
17663f44833Srmind 	}
177352f1606Srmind 
178f75d79ebSchristos 	nbuf_init(npf_getkernctx(), &nbuf, m, ifp);
179*b899bfd9Srmind 	memset(&npc, 0, sizeof(npf_cache_t));
180*b899bfd9Srmind 	npc.npc_ctx = npf_getkernctx();
181a7d2a608Srmind 	npc.npc_nbuf = &nbuf;
182*b899bfd9Srmind 
183a7d2a608Srmind 	if (!npf_cache_all(&npc)) {
18463f44833Srmind 		printf("error: could not fetch the packet data");
18563f44833Srmind 		return false;
18663f44833Srmind 	}
18763f44833Srmind 
188352f1606Srmind 	const struct udphdr *uh = npc.npc_l4.udp;
18963f44833Srmind 
19063f44833Srmind 	if (verbose) {
191068cee29Srmind 		char sbuf[64], dbuf[64];
192068cee29Srmind 
193068cee29Srmind 		npf_inet_ntop(af, npc.npc_ips[NPF_SRC], sbuf, sizeof(sbuf));
194068cee29Srmind 		npf_inet_ntop(af, npc.npc_ips[NPF_DST], dbuf, sizeof(dbuf));
195068cee29Srmind 
196068cee29Srmind 		printf("\tpost-translation: ");
197068cee29Srmind 		printf("src %s (%d) ", sbuf, ntohs(uh->uh_sport));
198068cee29Srmind 		printf("dst %s (%d)\n", dbuf, ntohs(uh->uh_dport));
19963f44833Srmind 	}
2004e592132Srmind 	if (error != t->ret) {
2014e592132Srmind 		return false;
2024e592132Srmind 	}
20363f44833Srmind 
20463f44833Srmind 	const bool forw = t->di == PFIL_OUT;
20563f44833Srmind 	const char *saddr = forw ? t->taddr : t->src;
20663f44833Srmind 	const char *daddr = forw ? t->dst : t->taddr;
20763f44833Srmind 	in_addr_t sport = forw ? t->tport : t->sport;
20863f44833Srmind 	in_addr_t dport = forw ? t->dport : t->tport;
20963f44833Srmind 
210dadc88e3Srmind 	CHECK_TRUE(match_addr(af, saddr, npc.npc_ips[NPF_SRC]));
211dadc88e3Srmind 	CHECK_TRUE(sport == ntohs(uh->uh_sport));
212dadc88e3Srmind 	CHECK_TRUE(match_addr(af, daddr, npc.npc_ips[NPF_DST]));
213dadc88e3Srmind 	CHECK_TRUE(dport == ntohs(uh->uh_dport));
214068cee29Srmind 
215dadc88e3Srmind 	return true;
21663f44833Srmind }
21763f44833Srmind 
21863f44833Srmind bool
npf_nat_test(bool verbose)21963f44833Srmind npf_nat_test(bool verbose)
22063f44833Srmind {
221f75d79ebSchristos 	npf_t *npf = npf_getkernctx();
222f75d79ebSchristos 
22363f44833Srmind 	for (unsigned i = 0; i < __arraycount(test_cases); i++) {
22463f44833Srmind 		const struct test_case *t = &test_cases[i];
225f75d79ebSchristos 		ifnet_t *ifp = npf_test_getif(t->ifname);
226dadc88e3Srmind 		struct mbuf *m;
22763f44833Srmind 		int error;
22863f44833Srmind 		bool ret;
22963f44833Srmind 
23063f44833Srmind 		if (ifp == NULL) {
23163f44833Srmind 			printf("Interface %s is not configured.\n", t->ifname);
23263f44833Srmind 			return false;
23363f44833Srmind 		}
234dadc88e3Srmind 		m = mbuf_get_pkt(t->af, IPPROTO_UDP,
235dadc88e3Srmind 		    t->src, t->dst, t->sport, t->dport);
23604ad65d9Srmind 		error = npfk_packet_handler(npf, &m, ifp, t->di);
237352f1606Srmind 		ret = checkresult(verbose, i, m, ifp, error);
23863f44833Srmind 		if (m) {
23963f44833Srmind 			m_freem(m);
24063f44833Srmind 		}
241dadc88e3Srmind 		CHECK_TRUE(ret);
24263f44833Srmind 	}
24363f44833Srmind 	return true;
24463f44833Srmind }
245