]> git.ipfire.org Git - thirdparty/strongswan.git/commit
kernel-pfkey: Don't use TS from acquire in tunnel mode
authorTobias Brunner <tobias@strongswan.org>
Tue, 8 Apr 2025 07:02:12 +0000 (09:02 +0200)
committerTobias Brunner <tobias@strongswan.org>
Wed, 28 May 2025 08:11:53 +0000 (10:11 +0200)
commit5624f7ffaa52f24b8909a1561d52988b5aec7744
tree29f1df982fbb1e4948ca0e29512d9b40730e5c5b
parentb024b7e9a652f10f45fcbffb2c95edeef36be056
kernel-pfkey: Don't use TS from acquire in tunnel mode

The addresses are actually the endpoints of the SA, not information on
the matched packet (except that the RFC says to set the ports and
protocol of the packet in the source address, which the Linux kernel
doesn't do).  So these are useless, unless transport mode is used, where
the addresses are needed for the wildcard trap policy use case.

The RFC mentions a PROXY address (a single one, not two), that could
apparently be something like the source address in tunnel mode.
However, the description of how this is used in the RFC is quite weird
and neither Linux nor FreeBSD send such an attribute in SADB_ACQUIRE.
src/libcharon/plugins/kernel_pfkey/kernel_pfkey_ipsec.c