unity: Only do narrowing of responder's TS if we received 0.0.0.0/0
authorTobias Brunner <tobias@strongswan.org>
Thu, 16 Oct 2014 14:16:48 +0000 (16:16 +0200)
committerTobias Brunner <tobias@strongswan.org>
Fri, 5 Dec 2014 09:12:46 +0000 (10:12 +0100)
commit02df52fd2b557ddcecdf250ecb7f32b2c716ebc8
treedbc0d603742b8f3df162d546124b54cf65d36689
parentbf5d0693efe8aca8c1b87457ed2da322d72a23fa
unity: Only do narrowing of responder's TS if we received 0.0.0.0/0

iOS and Mac OS X clients establish individual IPsec SAs for the traffic
selectors received in Split-Include attributes (might have been different
in earlier releases).  If we return 0.0.0.0/0 as TSr that either results
in a bunch of Quick Mode exchanges (for each TS), or with the latest
client releases an error notify (ATTRIBUTES_NOT_SUPPORTED).
We also can't install the IPsec SA with all configured subnets as that
would cause conflicts if the client later negotiates SAs for other subnets,
which iOS 8 does based on traffic to such subnets.

For Shrew and the Cisco client, which propose 0.0.0.0/0, we still need to
override the narrowed TS with 0.0.0.0/0, as they otherwise won't accept
the Quick Mode response.  Likewise, we also have to narrow the TS before
installing the IPsec SAs and policies.

So we basically have to follow the client's proposal and only modify TSr
if we received 0.0.0.0/0.  Since we don't get the original TS in the
narrow hook we handle the inbound QM messages and make note of IKE_SAs on
which we received a TSr of 0.0.0.0/0.

Fixes #737.
src/libcharon/plugins/unity/unity_narrow.c