tests/sys/netpfil/pf/forward.sh

   1 #
   2 # SPDX-License-Identifier: BSD-2-Clause
   3 #
   4 # Copyright (c) 2017 Kristof Provost <kp@FreeBSD.org>
   5 #
   6 # Redistribution and use in source and binary forms, with or without
   7 # modification, are permitted provided that the following conditions
   8 # are met:
   9 # 1. Redistributions of source code must retain the above copyright
  10 #    notice, this list of conditions and the following disclaimer.
  11 # 2. Redistributions in binary form must reproduce the above copyright
  12 #    notice, this list of conditions and the following disclaimer in the
  13 #    documentation and/or other materials provided with the distribution.
  14 #
  15 # THIS SOFTWARE IS PROVIDED BY THE AUTHOR AND CONTRIBUTORS ``AS IS'' AND
  16 # ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE
  17 # IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE
  18 # ARE DISCLAIMED.  IN NO EVENT SHALL THE AUTHOR OR CONTRIBUTORS BE LIABLE
  19 # FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL
  20 # DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS
  21 # OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION)
  22 # HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT
  23 # LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY
  24 # OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF
  25 # SUCH DAMAGE.
  26
  27 . $(atf_get_srcdir)/utils.subr
  28
  29 common_dir=$(atf_get_srcdir)/../common
  30
  31 atf_test_case "v4" "cleanup"
  32 v4_head()
  33 {
  34         atf_set descr 'Basic forwarding test'
  35         atf_set require.user root
  36
  37         # We need scapy to be installed for out test scripts to work
  38         atf_set require.progs scapy
  39 }
  40
  41 v4_body()
  42 {
  43         pft_init
  44
  45         epair_send=$(vnet_mkepair)
  46         ifconfig ${epair_send}a 192.0.2.1/24 up
  47
  48         epair_recv=$(vnet_mkepair)
  49         ifconfig ${epair_recv}a up
  50
  51         vnet_mkjail alcatraz ${epair_send}b ${epair_recv}b
  52         jexec alcatraz ifconfig ${epair_send}b 192.0.2.2/24 up
  53         jexec alcatraz ifconfig ${epair_recv}b 198.51.100.2/24 up
  54         jexec alcatraz sysctl net.inet.ip.forwarding=1
  55         jexec alcatraz arp -s 198.51.100.3 00:01:02:03:04:05
  56         route add -net 198.51.100.0/24 192.0.2.2
  57
  58         # Sanity check, can we forward ICMP echo requests without pf?
  59         atf_check -s exit:0 ${common_dir}/pft_ping.py \
  60                 --sendif ${epair_send}a \
  61                 --to 198.51.100.3 \
  62                 --recvif ${epair_recv}a
  63
  64         jexec alcatraz pfctl -e
  65
  66         # Forward with pf enabled
  67         pft_set_rules alcatraz "block in"
  68         atf_check -s exit:1 ${common_dir}/pft_ping.py \
  69                 --sendif ${epair_send}a \
  70                 --to 198.51.100.3 \
  71                 --recvif ${epair_recv}a
  72
  73         pft_set_rules alcatraz "block out"
  74         atf_check -s exit:1 ${common_dir}/pft_ping.py \
  75                 --sendif ${epair_send}a \
  76                 --to 198.51.100.3 \
  77                 --recv ${epair_recv}a
  78
  79         # Allow ICMP
  80         pft_set_rules alcatraz "block in" "pass in proto icmp"
  81         atf_check -s exit:0 ${common_dir}/pft_ping.py \
  82                 --sendif ${epair_send}a \
  83                 --to 198.51.100.3 \
  84                 --recvif ${epair_recv}a
  85 }
  86
  87 v4_cleanup()
  88 {
  89         pft_cleanup
  90 }
  91
  92 atf_test_case "v6" "cleanup"
  93 v6_head()
  94 {
  95         atf_set descr 'Basic IPv6 forwarding test'
  96         atf_set require.user root
  97         atf_set require.progs scapy
  98 }
  99
 100 v6_body()
 101 {
 102         pft_init
 103
 104         if [ "$(atf_config_get ci false)" = "true" ]; then
 105                 atf_skip "https://bugs.freebsd.org/260460"
 106         fi
 107
 108         epair_send=$(vnet_mkepair)
 109         epair_recv=$(vnet_mkepair)
 110
 111         ifconfig ${epair_send}a inet6 2001:db8:42::1/64 up no_dad -ifdisabled
 112         ifconfig ${epair_recv}a up
 113
 114         vnet_mkjail alcatraz ${epair_send}b ${epair_recv}b
 115
 116         jexec alcatraz ifconfig ${epair_send}b inet6 2001:db8:42::2/64 up no_dad
 117         jexec alcatraz ifconfig ${epair_recv}b inet6 2001:db8:43::2/64 up no_dad
 118         jexec alcatraz sysctl net.inet6.ip6.forwarding=1
 119         jexec alcatraz ndp -s 2001:db8:43::3 00:01:02:03:04:05
 120         route add -6 2001:db8:43::/64 2001:db8:42::2
 121
 122         # Sanity check, can we forward ICMP echo requests without pf?
 123         atf_check -s exit:0 ${common_dir}/pft_ping.py \
 124                 --sendif ${epair_send}a \
 125                 --to 2001:db8:43::3 \
 126                 --recvif ${epair_recv}a
 127
 128         jexec alcatraz pfctl -e
 129
 130         # Block incoming echo request packets
 131         pft_set_rules alcatraz \
 132                 "block in inet6 proto icmp6 icmp6-type echoreq"
 133         atf_check -s exit:1 ${common_dir}/pft_ping.py \
 134                 --sendif ${epair_send}a \
 135                 --to 2001:db8:43::3 \
 136                 --recvif ${epair_recv}a
 137
 138         # Block outgoing echo request packets
 139         pft_set_rules alcatraz \
 140                 "block out inet6 proto icmp6 icmp6-type echoreq"
 141         atf_check -s exit:1 -e ignore ${common_dir}/pft_ping.py \
 142                 --sendif ${epair_send}a \
 143                 --to 2001:db8:43::3 \
 144                 --recvif ${epair_recv}a
 145
 146         # Allow ICMPv6 but nothing else
 147         pft_set_rules alcatraz \
 148                 "block out" \
 149                 "pass out inet6 proto icmp6"
 150         atf_check -s exit:0 ${common_dir}/pft_ping.py \
 151                 --sendif ${epair_send}a \
 152                 --to 2001:db8:43::3 \
 153                 --recvif ${epair_recv}a
 154
 155         # Allowing ICMPv4 does not allow ICMPv6
 156         pft_set_rules alcatraz \
 157                 "block out inet6 proto icmp6 icmp6-type echoreq" \
 158                 "pass in proto icmp"
 159         atf_check -s exit:1 ${common_dir}/pft_ping.py \
 160                 --sendif ${epair_send}a \
 161                 --to 2001:db8:43::3 \
 162                 --recvif ${epair_recv}a
 163 }
 164
 165 v6_cleanup()
 166 {
 167         pft_cleanup
 168 }
 169
 170 atf_init_test_cases()
 171 {
 172         atf_add_test_case "v4"
 173         atf_add_test_case "v6"
 174 }