Install selectors on transport mode IPsec SAs.
authorJiri Bohac <jbohac@suse.cz>
Mon, 13 Dec 2010 14:28:40 +0000 (15:28 +0100)
committerTobias Brunner <tobias@strongswan.org>
Mon, 13 Dec 2010 14:28:40 +0000 (15:28 +0100)
commit19b7f763b343c000bb271e4a08b1d61165bf7862
tree595cd2ca09e2716b22e5fd40c4f6af0f6d5574c1
parente27554144a1f82d7a0ddb197a962e07a0ed74c03
Install selectors on transport mode IPsec SAs.

This fixes several test cases in IKEv2_Self_Test (part of the IPv6 Ready
Logo Program) which is required for USGv6 certification, namely:

  - IKEv2.EN.I.1.1.7.1, IKEv2.EN.I.1.1.7.1: Narrowing the range of members
    of the set of traffic selectors
  - IKEv2.EN.R.1.1.7.3: Narrowing multiple traffic selector

When traffic selectors of a triggered SA are narrowed by the responder, the
installed policy and the broader trap policy share the same reqid.  Without
selectors on the IPsec SA packets matching the trap policy, but not the
narrowed policy, would incorrectly be handled by that IPsec SA.  Since only
one selector can be specified per IPsec SA, there is currently no solution
for tunnel mode SAs.
src/libcharon/sa/child_sa.c
src/libhydra/plugins/kernel_netlink/kernel_netlink_ipsec.c