net: vrf: Drop conntrack data after pass through VRF device on Tx
authorDavid Ahern <dsa@cumulusnetworks.com>
Wed, 14 Dec 2016 22:31:11 +0000 (14:31 -0800)
committerDavid S. Miller <davem@davemloft.net>
Sat, 17 Dec 2016 15:47:31 +0000 (10:47 -0500)
commiteb63ecc1706b3e094d0f57438b6c2067cfc299f2
tree71250ff90a98632327742bfcd6b232b850ec2f91
parenta0f37efa82253994b99623dbf41eea8dd0ba169b
net: vrf: Drop conntrack data after pass through VRF device on Tx

Locally originated traffic in a VRF fails in the presence of a POSTROUTING
rule. For example,

    $ iptables -t nat -A POSTROUTING -s 11.1.1.0/24  -j MASQUERADE
    $ ping -I red -c1 11.1.1.3
    ping: Warning: source address might be selected on device other than red.
    PING 11.1.1.3 (11.1.1.3) from 11.1.1.2 red: 56(84) bytes of data.
    ping: sendmsg: Operation not permitted

Worse, the above causes random corruption resulting in a panic in random
places (I have not seen a consistent backtrace).

Call nf_reset to drop the conntrack info following the pass through the
VRF device.  The nf_reset is needed on Tx but not Rx because of the order
in which NF_HOOK's are hit: on Rx the VRF device is after the real ingress
device and on Tx it is is before the real egress device. Connection
tracking should be tied to the real egress device and not the VRF device.

Fixes: 8f58336d3f78a ("net: Add ethernet header for pass through VRF device")
Fixes: 35402e3136634 ("net: Add IPv6 support to VRF device")
Signed-off-by: David Ahern <dsa@cumulusnetworks.com>
Signed-off-by: David S. Miller <davem@davemloft.net>
drivers/net/vrf.c