xfrm: don't check the default policy if the policy allows the packet
authorSabrina Dubroca <sd@queasysnail.net>
Tue, 4 Apr 2023 13:12:16 +0000 (15:12 +0200)
committerSteffen Klassert <steffen.klassert@secunet.com>
Thu, 6 Apr 2023 10:04:31 +0000 (12:04 +0200)
commit430cac487400494c19a8b85299e979bb07b4671f
tree87017aa943c6ed74db012c7ce9c2a89d712a009b
parent24e3fce00c0b557491ff596c0682a29dee6fe848
xfrm: don't check the default policy if the policy allows the packet

The current code doesn't let a simple "allow" policy counteract a
default policy blocking all incoming packets:

    ip x p setdefault in block
    ip x p a src 192.168.2.1/32 dst 192.168.2.2/32 dir in action allow

At this stage, we have an allow policy (with or without transforms)
for this packet. It doesn't matter what the default policy says, since
the policy we looked up lets the packet through. The case of a
blocking policy is already handled separately, so we can remove this
check.

Fixes: 2d151d39073a ("xfrm: Add possibility to set the default to block if we have no policy")
Signed-off-by: Sabrina Dubroca <sd@queasysnail.net>
Signed-off-by: Steffen Klassert <steffen.klassert@secunet.com>
net/xfrm/xfrm_policy.c