771f1a4f3376300710d6319de5b04abe96848ad6
[sfrench/cifs-2.6.git] / net / netfilter / Kconfig
1 menu "Core Netfilter Configuration"
2         depends on NET && INET && NETFILTER
3
4 config NETFILTER_INGRESS
5         bool "Netfilter ingress support"
6         default y
7         select NET_INGRESS
8         help
9           This allows you to classify packets from ingress using the Netfilter
10           infrastructure.
11
12 config NETFILTER_NETLINK
13         tristate
14
15 config NETFILTER_FAMILY_BRIDGE
16         bool
17
18 config NETFILTER_FAMILY_ARP
19         bool
20
21 config NETFILTER_NETLINK_ACCT
22 tristate "Netfilter NFACCT over NFNETLINK interface"
23         depends on NETFILTER_ADVANCED
24         select NETFILTER_NETLINK
25         help
26           If this option is enabled, the kernel will include support
27           for extended accounting via NFNETLINK.
28
29 config NETFILTER_NETLINK_QUEUE
30         tristate "Netfilter NFQUEUE over NFNETLINK interface"
31         depends on NETFILTER_ADVANCED
32         select NETFILTER_NETLINK
33         help
34           If this option is enabled, the kernel will include support
35           for queueing packets via NFNETLINK.
36           
37 config NETFILTER_NETLINK_LOG
38         tristate "Netfilter LOG over NFNETLINK interface"
39         default m if NETFILTER_ADVANCED=n
40         select NETFILTER_NETLINK
41         help
42           If this option is enabled, the kernel will include support
43           for logging packets via NFNETLINK.
44
45           This obsoletes the existing ipt_ULOG and ebg_ulog mechanisms,
46           and is also scheduled to replace the old syslog-based ipt_LOG
47           and ip6t_LOG modules.
48
49 config NF_CONNTRACK
50         tristate "Netfilter connection tracking support"
51         default m if NETFILTER_ADVANCED=n
52         help
53           Connection tracking keeps a record of what packets have passed
54           through your machine, in order to figure out how they are related
55           into connections.
56
57           This is required to do Masquerading or other kinds of Network
58           Address Translation.  It can also be used to enhance packet
59           filtering (see `Connection state match support' below).
60
61           To compile it as a module, choose M here.  If unsure, say N.
62
63 config NF_LOG_COMMON
64         tristate
65
66 config NF_LOG_NETDEV
67         tristate "Netdev packet logging"
68         select NF_LOG_COMMON
69
70 if NF_CONNTRACK
71 config NETFILTER_CONNCOUNT
72         tristate
73
74 config NF_CONNTRACK_MARK
75         bool  'Connection mark tracking support'
76         depends on NETFILTER_ADVANCED
77         help
78           This option enables support for connection marks, used by the
79           `CONNMARK' target and `connmark' match. Similar to the mark value
80           of packets, but this mark value is kept in the conntrack session
81           instead of the individual packets.
82
83 config NF_CONNTRACK_SECMARK
84         bool  'Connection tracking security mark support'
85         depends on NETWORK_SECMARK
86         default m if NETFILTER_ADVANCED=n
87         help
88           This option enables security markings to be applied to
89           connections.  Typically they are copied to connections from
90           packets using the CONNSECMARK target and copied back from
91           connections to packets with the same target, with the packets
92           being originally labeled via SECMARK.
93
94           If unsure, say 'N'.
95
96 config NF_CONNTRACK_ZONES
97         bool  'Connection tracking zones'
98         depends on NETFILTER_ADVANCED
99         depends on NETFILTER_XT_TARGET_CT
100         help
101           This option enables support for connection tracking zones.
102           Normally, each connection needs to have a unique system wide
103           identity. Connection tracking zones allow to have multiple
104           connections using the same identity, as long as they are
105           contained in different zones.
106
107           If unsure, say `N'.
108
109 config NF_CONNTRACK_PROCFS
110         bool "Supply CT list in procfs (OBSOLETE)"
111         default y
112         depends on PROC_FS
113         ---help---
114         This option enables for the list of known conntrack entries
115         to be shown in procfs under net/netfilter/nf_conntrack. This
116         is considered obsolete in favor of using the conntrack(8)
117         tool which uses Netlink.
118
119 config NF_CONNTRACK_EVENTS
120         bool "Connection tracking events"
121         depends on NETFILTER_ADVANCED
122         help
123           If this option is enabled, the connection tracking code will
124           provide a notifier chain that can be used by other kernel code
125           to get notified about changes in the connection tracking state.
126
127           If unsure, say `N'.
128
129 config NF_CONNTRACK_TIMEOUT
130         bool  'Connection tracking timeout'
131         depends on NETFILTER_ADVANCED
132         help
133           This option enables support for connection tracking timeout
134           extension. This allows you to attach timeout policies to flow
135           via the CT target.
136
137           If unsure, say `N'.
138
139 config NF_CONNTRACK_TIMESTAMP
140         bool  'Connection tracking timestamping'
141         depends on NETFILTER_ADVANCED
142         help
143           This option enables support for connection tracking timestamping.
144           This allows you to store the flow start-time and to obtain
145           the flow-stop time (once it has been destroyed) via Connection
146           tracking events.
147
148           If unsure, say `N'.
149
150 config NF_CONNTRACK_LABELS
151         bool
152         help
153           This option enables support for assigning user-defined flag bits
154           to connection tracking entries.  It selected by the connlabel match.
155
156 config NF_CT_PROTO_DCCP
157         bool 'DCCP protocol connection tracking support'
158         depends on NETFILTER_ADVANCED
159         default y
160         help
161           With this option enabled, the layer 3 independent connection
162           tracking code will be able to do state tracking on DCCP connections.
163
164           If unsure, say Y.
165
166 config NF_CT_PROTO_GRE
167         tristate
168
169 config NF_CT_PROTO_SCTP
170         bool 'SCTP protocol connection tracking support'
171         depends on NETFILTER_ADVANCED
172         default y
173         select LIBCRC32C
174         help
175           With this option enabled, the layer 3 independent connection
176           tracking code will be able to do state tracking on SCTP connections.
177
178           If unsure, say Y.
179
180 config NF_CT_PROTO_UDPLITE
181         bool 'UDP-Lite protocol connection tracking support'
182         depends on NETFILTER_ADVANCED
183         default y
184         help
185           With this option enabled, the layer 3 independent connection
186           tracking code will be able to do state tracking on UDP-Lite
187           connections.
188
189           If unsure, say Y.
190
191 config NF_CONNTRACK_AMANDA
192         tristate "Amanda backup protocol support"
193         depends on NETFILTER_ADVANCED
194         select TEXTSEARCH
195         select TEXTSEARCH_KMP
196         help
197           If you are running the Amanda backup package <http://www.amanda.org/>
198           on this machine or machines that will be MASQUERADED through this
199           machine, then you may want to enable this feature.  This allows the
200           connection tracking and natting code to allow the sub-channels that
201           Amanda requires for communication of the backup data, messages and
202           index.
203
204           To compile it as a module, choose M here.  If unsure, say N.
205
206 config NF_CONNTRACK_FTP
207         tristate "FTP protocol support"
208         default m if NETFILTER_ADVANCED=n
209         help
210           Tracking FTP connections is problematic: special helpers are
211           required for tracking them, and doing masquerading and other forms
212           of Network Address Translation on them.
213
214           This is FTP support on Layer 3 independent connection tracking.
215           Layer 3 independent connection tracking is experimental scheme
216           which generalize ip_conntrack to support other layer 3 protocols.
217
218           To compile it as a module, choose M here.  If unsure, say N.
219
220 config NF_CONNTRACK_H323
221         tristate "H.323 protocol support"
222         depends on IPV6 || IPV6=n
223         depends on NETFILTER_ADVANCED
224         help
225           H.323 is a VoIP signalling protocol from ITU-T. As one of the most
226           important VoIP protocols, it is widely used by voice hardware and
227           software including voice gateways, IP phones, Netmeeting, OpenPhone,
228           Gnomemeeting, etc.
229
230           With this module you can support H.323 on a connection tracking/NAT
231           firewall.
232
233           This module supports RAS, Fast Start, H.245 Tunnelling, Call
234           Forwarding, RTP/RTCP and T.120 based audio, video, fax, chat,
235           whiteboard, file transfer, etc. For more information, please
236           visit http://nath323.sourceforge.net/.
237
238           To compile it as a module, choose M here.  If unsure, say N.
239
240 config NF_CONNTRACK_IRC
241         tristate "IRC protocol support"
242         default m if NETFILTER_ADVANCED=n
243         help
244           There is a commonly-used extension to IRC called
245           Direct Client-to-Client Protocol (DCC).  This enables users to send
246           files to each other, and also chat to each other without the need
247           of a server.  DCC Sending is used anywhere you send files over IRC,
248           and DCC Chat is most commonly used by Eggdrop bots.  If you are
249           using NAT, this extension will enable you to send files and initiate
250           chats.  Note that you do NOT need this extension to get files or
251           have others initiate chats, or everything else in IRC.
252
253           To compile it as a module, choose M here.  If unsure, say N.
254
255 config NF_CONNTRACK_BROADCAST
256         tristate
257
258 config NF_CONNTRACK_NETBIOS_NS
259         tristate "NetBIOS name service protocol support"
260         select NF_CONNTRACK_BROADCAST
261         help
262           NetBIOS name service requests are sent as broadcast messages from an
263           unprivileged port and responded to with unicast messages to the
264           same port. This make them hard to firewall properly because connection
265           tracking doesn't deal with broadcasts. This helper tracks locally
266           originating NetBIOS name service requests and the corresponding
267           responses. It relies on correct IP address configuration, specifically
268           netmask and broadcast address. When properly configured, the output
269           of "ip address show" should look similar to this:
270
271           $ ip -4 address show eth0
272           4: eth0: <BROADCAST,MULTICAST,UP> mtu 1500 qdisc pfifo_fast qlen 1000
273               inet 172.16.2.252/24 brd 172.16.2.255 scope global eth0
274
275           To compile it as a module, choose M here.  If unsure, say N.
276
277 config NF_CONNTRACK_SNMP
278         tristate "SNMP service protocol support"
279         depends on NETFILTER_ADVANCED
280         select NF_CONNTRACK_BROADCAST
281         help
282           SNMP service requests are sent as broadcast messages from an
283           unprivileged port and responded to with unicast messages to the
284           same port. This make them hard to firewall properly because connection
285           tracking doesn't deal with broadcasts. This helper tracks locally
286           originating SNMP service requests and the corresponding
287           responses. It relies on correct IP address configuration, specifically
288           netmask and broadcast address.
289
290           To compile it as a module, choose M here.  If unsure, say N.
291
292 config NF_CONNTRACK_PPTP
293         tristate "PPtP protocol support"
294         depends on NETFILTER_ADVANCED
295         select NF_CT_PROTO_GRE
296         help
297           This module adds support for PPTP (Point to Point Tunnelling
298           Protocol, RFC2637) connection tracking and NAT.
299
300           If you are running PPTP sessions over a stateful firewall or NAT
301           box, you may want to enable this feature.
302
303           Please note that not all PPTP modes of operation are supported yet.
304           Specifically these limitations exist:
305             - Blindly assumes that control connections are always established
306               in PNS->PAC direction. This is a violation of RFC2637.
307             - Only supports a single call within each session
308
309           To compile it as a module, choose M here.  If unsure, say N.
310
311 config NF_CONNTRACK_SANE
312         tristate "SANE protocol support"
313         depends on NETFILTER_ADVANCED
314         help
315           SANE is a protocol for remote access to scanners as implemented
316           by the 'saned' daemon. Like FTP, it uses separate control and
317           data connections.
318
319           With this module you can support SANE on a connection tracking
320           firewall.
321
322           To compile it as a module, choose M here.  If unsure, say N.
323
324 config NF_CONNTRACK_SIP
325         tristate "SIP protocol support"
326         default m if NETFILTER_ADVANCED=n
327         help
328           SIP is an application-layer control protocol that can establish,
329           modify, and terminate multimedia sessions (conferences) such as
330           Internet telephony calls. With the ip_conntrack_sip and
331           the nf_nat_sip modules you can support the protocol on a connection
332           tracking/NATing firewall.
333
334           To compile it as a module, choose M here.  If unsure, say N.
335
336 config NF_CONNTRACK_TFTP
337         tristate "TFTP protocol support"
338         depends on NETFILTER_ADVANCED
339         help
340           TFTP connection tracking helper, this is required depending
341           on how restrictive your ruleset is.
342           If you are using a tftp client behind -j SNAT or -j MASQUERADING
343           you will need this.
344
345           To compile it as a module, choose M here.  If unsure, say N.
346
347 config NF_CT_NETLINK
348         tristate 'Connection tracking netlink interface'
349         select NETFILTER_NETLINK
350         default m if NETFILTER_ADVANCED=n
351         help
352           This option enables support for a netlink-based userspace interface
353
354 config NF_CT_NETLINK_TIMEOUT
355         tristate  'Connection tracking timeout tuning via Netlink'
356         select NETFILTER_NETLINK
357         depends on NETFILTER_ADVANCED
358         help
359           This option enables support for connection tracking timeout
360           fine-grain tuning. This allows you to attach specific timeout
361           policies to flows, instead of using the global timeout policy.
362
363           If unsure, say `N'.
364
365 config NF_CT_NETLINK_HELPER
366         tristate 'Connection tracking helpers in user-space via Netlink'
367         select NETFILTER_NETLINK
368         depends on NF_CT_NETLINK
369         depends on NETFILTER_NETLINK_QUEUE
370         depends on NETFILTER_NETLINK_GLUE_CT
371         depends on NETFILTER_ADVANCED
372         help
373           This option enables the user-space connection tracking helpers
374           infrastructure.
375
376           If unsure, say `N'.
377
378 config NETFILTER_NETLINK_GLUE_CT
379         bool "NFQUEUE and NFLOG integration with Connection Tracking"
380         default n
381         depends on (NETFILTER_NETLINK_QUEUE || NETFILTER_NETLINK_LOG) && NF_CT_NETLINK
382         help
383           If this option is enabled, NFQUEUE and NFLOG can include
384           Connection Tracking information together with the packet is
385           the enqueued via NFNETLINK.
386
387 config NF_NAT
388         tristate
389
390 config NF_NAT_NEEDED
391         bool
392         depends on NF_NAT
393         default y
394
395 config NF_NAT_PROTO_DCCP
396         bool
397         depends on NF_NAT && NF_CT_PROTO_DCCP
398         default NF_NAT && NF_CT_PROTO_DCCP
399
400 config NF_NAT_PROTO_UDPLITE
401         bool
402         depends on NF_NAT && NF_CT_PROTO_UDPLITE
403         default NF_NAT && NF_CT_PROTO_UDPLITE
404
405 config NF_NAT_PROTO_SCTP
406         bool
407         default NF_NAT && NF_CT_PROTO_SCTP
408         depends on NF_NAT && NF_CT_PROTO_SCTP
409
410 config NF_NAT_AMANDA
411         tristate
412         depends on NF_CONNTRACK && NF_NAT
413         default NF_NAT && NF_CONNTRACK_AMANDA
414
415 config NF_NAT_FTP
416         tristate
417         depends on NF_CONNTRACK && NF_NAT
418         default NF_NAT && NF_CONNTRACK_FTP
419
420 config NF_NAT_IRC
421         tristate
422         depends on NF_CONNTRACK && NF_NAT
423         default NF_NAT && NF_CONNTRACK_IRC
424
425 config NF_NAT_SIP
426         tristate
427         depends on NF_CONNTRACK && NF_NAT
428         default NF_NAT && NF_CONNTRACK_SIP
429
430 config NF_NAT_TFTP
431         tristate
432         depends on NF_CONNTRACK && NF_NAT
433         default NF_NAT && NF_CONNTRACK_TFTP
434
435 config NF_NAT_REDIRECT
436         tristate "IPv4/IPv6 redirect support"
437         depends on NF_NAT
438         help
439           This is the kernel functionality to redirect packets to local
440           machine through NAT.
441
442 config NETFILTER_SYNPROXY
443         tristate
444
445 endif # NF_CONNTRACK
446
447 config NF_TABLES
448         select NETFILTER_NETLINK
449         tristate "Netfilter nf_tables support"
450         help
451           nftables is the new packet classification framework that intends to
452           replace the existing {ip,ip6,arp,eb}_tables infrastructure. It
453           provides a pseudo-state machine with an extensible instruction-set
454           (also known as expressions) that the userspace 'nft' utility
455           (http://www.netfilter.org/projects/nftables) uses to build the
456           rule-set. It also comes with the generic set infrastructure that
457           allows you to construct mappings between matchings and actions
458           for performance lookups.
459
460           To compile it as a module, choose M here.
461
462 if NF_TABLES
463
464 config NF_TABLES_INET
465         depends on IPV6
466         select NF_TABLES_IPV4
467         select NF_TABLES_IPV6
468         bool "Netfilter nf_tables mixed IPv4/IPv6 tables support"
469         help
470           This option enables support for a mixed IPv4/IPv6 "inet" table.
471
472 config NF_TABLES_NETDEV
473         bool "Netfilter nf_tables netdev tables support"
474         help
475           This option enables support for the "netdev" table.
476
477 config NFT_EXTHDR
478         tristate "Netfilter nf_tables exthdr module"
479         help
480           This option adds the "exthdr" expression that you can use to match
481           IPv6 extension headers and tcp options.
482
483 config NFT_NUMGEN
484         tristate "Netfilter nf_tables number generator module"
485         help
486           This option adds the number generator expression used to perform
487           incremental counting and random numbers bound to a upper limit.
488
489 config NFT_CT
490         depends on NF_CONNTRACK
491         tristate "Netfilter nf_tables conntrack module"
492         help
493           This option adds the "ct" expression that you can use to match
494           connection tracking information such as the flow state.
495
496 config NFT_FLOW_OFFLOAD
497         depends on NF_CONNTRACK && NF_FLOW_TABLE
498         tristate "Netfilter nf_tables hardware flow offload module"
499         help
500           This option adds the "flow_offload" expression that you can use to
501           choose what flows are placed into the hardware.
502
503 config NFT_SET_RBTREE
504         tristate "Netfilter nf_tables rbtree set module"
505         help
506           This option adds the "rbtree" set type (Red Black tree) that is used
507           to build interval-based sets.
508
509 config NFT_SET_HASH
510         tristate "Netfilter nf_tables hash set module"
511         help
512           This option adds the "hash" set type that is used to build one-way
513           mappings between matchings and actions.
514
515 config NFT_SET_BITMAP
516         tristate "Netfilter nf_tables bitmap set module"
517         help
518           This option adds the "bitmap" set type that is used to build sets
519           whose keys are smaller or equal to 16 bits.
520
521 config NFT_COUNTER
522         tristate "Netfilter nf_tables counter module"
523         help
524           This option adds the "counter" expression that you can use to
525           include packet and byte counters in a rule.
526
527 config NFT_LOG
528         tristate "Netfilter nf_tables log module"
529         help
530           This option adds the "log" expression that you can use to log
531           packets matching some criteria.
532
533 config NFT_LIMIT
534         tristate "Netfilter nf_tables limit module"
535         help
536           This option adds the "limit" expression that you can use to
537           ratelimit rule matchings.
538
539 config NFT_MASQ
540         depends on NF_CONNTRACK
541         depends on NF_NAT
542         tristate "Netfilter nf_tables masquerade support"
543         help
544           This option adds the "masquerade" expression that you can use
545           to perform NAT in the masquerade flavour.
546
547 config NFT_REDIR
548         depends on NF_CONNTRACK
549         depends on NF_NAT
550         tristate "Netfilter nf_tables redirect support"
551         help
552           This options adds the "redirect" expression that you can use
553           to perform NAT in the redirect flavour.
554
555 config NFT_NAT
556         depends on NF_CONNTRACK
557         select NF_NAT
558         tristate "Netfilter nf_tables nat module"
559         help
560           This option adds the "nat" expression that you can use to perform
561           typical Network Address Translation (NAT) packet transformations.
562
563 config NFT_OBJREF
564         tristate "Netfilter nf_tables stateful object reference module"
565         help
566           This option adds the "objref" expression that allows you to refer to
567           stateful objects, such as counters and quotas.
568
569 config NFT_QUEUE
570         depends on NETFILTER_NETLINK_QUEUE
571         tristate "Netfilter nf_tables queue module"
572         help
573           This is required if you intend to use the userspace queueing
574           infrastructure (also known as NFQUEUE) from nftables.
575
576 config NFT_QUOTA
577         tristate "Netfilter nf_tables quota module"
578         help
579           This option adds the "quota" expression that you can use to match
580           enforce bytes quotas.
581
582 config NFT_REJECT
583         default m if NETFILTER_ADVANCED=n
584         tristate "Netfilter nf_tables reject support"
585         help
586           This option adds the "reject" expression that you can use to
587           explicitly deny and notify via TCP reset/ICMP informational errors
588           unallowed traffic.
589
590 config NFT_REJECT_INET
591         depends on NF_TABLES_INET
592         default NFT_REJECT
593         tristate
594
595 config NFT_COMPAT
596         depends on NETFILTER_XTABLES
597         tristate "Netfilter x_tables over nf_tables module"
598         help
599           This is required if you intend to use any of existing
600           x_tables match/target extensions over the nf_tables
601           framework.
602
603 config NFT_HASH
604         tristate "Netfilter nf_tables hash module"
605         help
606           This option adds the "hash" expression that you can use to perform
607           a hash operation on registers.
608
609 config NFT_FIB
610         tristate
611
612 config NFT_FIB_INET
613         depends on NF_TABLES_INET
614         depends on NFT_FIB_IPV4
615         depends on NFT_FIB_IPV6
616         tristate "Netfilter nf_tables fib inet support"
617         help
618           This option allows using the FIB expression from the inet table.
619           The lookup will be delegated to the IPv4 or IPv6 FIB depending
620           on the protocol of the packet.
621
622 if NF_TABLES_NETDEV
623
624 config NF_DUP_NETDEV
625         tristate "Netfilter packet duplication support"
626         help
627           This option enables the generic packet duplication infrastructure
628           for Netfilter.
629
630 config NFT_DUP_NETDEV
631         tristate "Netfilter nf_tables netdev packet duplication support"
632         select NF_DUP_NETDEV
633         help
634           This option enables packet duplication for the "netdev" family.
635
636 config NFT_FWD_NETDEV
637         tristate "Netfilter nf_tables netdev packet forwarding support"
638         select NF_DUP_NETDEV
639         help
640           This option enables packet forwarding for the "netdev" family.
641
642 config NFT_FIB_NETDEV
643         depends on NFT_FIB_IPV4
644         depends on NFT_FIB_IPV6
645         tristate "Netfilter nf_tables netdev fib lookups support"
646         help
647           This option allows using the FIB expression from the netdev table.
648           The lookup will be delegated to the IPv4 or IPv6 FIB depending
649           on the protocol of the packet.
650
651 endif # NF_TABLES_NETDEV
652
653 endif # NF_TABLES
654
655 config NF_FLOW_TABLE_INET
656         tristate "Netfilter flow table mixed IPv4/IPv6 module"
657         depends on NF_FLOW_TABLE
658         help
659           This option adds the flow table mixed IPv4/IPv6 support.
660
661           To compile it as a module, choose M here.
662
663 config NF_FLOW_TABLE
664         tristate "Netfilter flow table module"
665         depends on NETFILTER_INGRESS
666         depends on NF_CONNTRACK
667         depends on NF_TABLES
668         help
669           This option adds the flow table core infrastructure.
670
671           To compile it as a module, choose M here.
672
673 config NETFILTER_XTABLES
674         tristate "Netfilter Xtables support (required for ip_tables)"
675         default m if NETFILTER_ADVANCED=n
676         help
677           This is required if you intend to use any of ip_tables,
678           ip6_tables or arp_tables.
679
680 if NETFILTER_XTABLES
681
682 comment "Xtables combined modules"
683
684 config NETFILTER_XT_MARK
685         tristate 'nfmark target and match support'
686         default m if NETFILTER_ADVANCED=n
687         ---help---
688         This option adds the "MARK" target and "mark" match.
689
690         Netfilter mark matching allows you to match packets based on the
691         "nfmark" value in the packet.
692         The target allows you to create rules in the "mangle" table which alter
693         the netfilter mark (nfmark) field associated with the packet.
694
695         Prior to routing, the nfmark can influence the routing method and can
696         also be used by other subsystems to change their behavior.
697
698 config NETFILTER_XT_CONNMARK
699         tristate 'ctmark target and match support'
700         depends on NF_CONNTRACK
701         depends on NETFILTER_ADVANCED
702         select NF_CONNTRACK_MARK
703         ---help---
704         This option adds the "CONNMARK" target and "connmark" match.
705
706         Netfilter allows you to store a mark value per connection (a.k.a.
707         ctmark), similarly to the packet mark (nfmark). Using this
708         target and match, you can set and match on this mark.
709
710 config NETFILTER_XT_SET
711         tristate 'set target and match support'
712         depends on IP_SET
713         depends on NETFILTER_ADVANCED
714         help
715           This option adds the "SET" target and "set" match.
716
717           Using this target and match, you can add/delete and match
718           elements in the sets created by ipset(8).
719
720           To compile it as a module, choose M here.  If unsure, say N.
721
722 # alphabetically ordered list of targets
723
724 comment "Xtables targets"
725
726 config NETFILTER_XT_TARGET_AUDIT
727         tristate "AUDIT target support"
728         depends on AUDIT
729         depends on NETFILTER_ADVANCED
730         ---help---
731           This option adds a 'AUDIT' target, which can be used to create
732           audit records for packets dropped/accepted.
733
734           To compileit as a module, choose M here. If unsure, say N.
735
736 config NETFILTER_XT_TARGET_CHECKSUM
737         tristate "CHECKSUM target support"
738         depends on IP_NF_MANGLE || IP6_NF_MANGLE
739         depends on NETFILTER_ADVANCED
740         ---help---
741           This option adds a `CHECKSUM' target, which can be used in the iptables mangle
742           table.
743
744           You can use this target to compute and fill in the checksum in
745           a packet that lacks a checksum.  This is particularly useful,
746           if you need to work around old applications such as dhcp clients,
747           that do not work well with checksum offloads, but don't want to disable
748           checksum offload in your device.
749
750           To compile it as a module, choose M here.  If unsure, say N.
751
752 config NETFILTER_XT_TARGET_CLASSIFY
753         tristate '"CLASSIFY" target support'
754         depends on NETFILTER_ADVANCED
755         help
756           This option adds a `CLASSIFY' target, which enables the user to set
757           the priority of a packet. Some qdiscs can use this value for
758           classification, among these are:
759
760           atm, cbq, dsmark, pfifo_fast, htb, prio
761
762           To compile it as a module, choose M here.  If unsure, say N.
763
764 config NETFILTER_XT_TARGET_CONNMARK
765         tristate  '"CONNMARK" target support'
766         depends on NF_CONNTRACK
767         depends on NETFILTER_ADVANCED
768         select NETFILTER_XT_CONNMARK
769         ---help---
770         This is a backwards-compat option for the user's convenience
771         (e.g. when running oldconfig). It selects
772         CONFIG_NETFILTER_XT_CONNMARK (combined connmark/CONNMARK module).
773
774 config NETFILTER_XT_TARGET_CONNSECMARK
775         tristate '"CONNSECMARK" target support'
776         depends on NF_CONNTRACK && NF_CONNTRACK_SECMARK
777         default m if NETFILTER_ADVANCED=n
778         help
779           The CONNSECMARK target copies security markings from packets
780           to connections, and restores security markings from connections
781           to packets (if the packets are not already marked).  This would
782           normally be used in conjunction with the SECMARK target.
783
784           To compile it as a module, choose M here.  If unsure, say N.
785
786 config NETFILTER_XT_TARGET_CT
787         tristate '"CT" target support'
788         depends on NF_CONNTRACK
789         depends on IP_NF_RAW || IP6_NF_RAW
790         depends on NETFILTER_ADVANCED
791         help
792           This options adds a `CT' target, which allows to specify initial
793           connection tracking parameters like events to be delivered and
794           the helper to be used.
795
796           To compile it as a module, choose M here.  If unsure, say N.
797
798 config NETFILTER_XT_TARGET_DSCP
799         tristate '"DSCP" and "TOS" target support'
800         depends on IP_NF_MANGLE || IP6_NF_MANGLE
801         depends on NETFILTER_ADVANCED
802         help
803           This option adds a `DSCP' target, which allows you to manipulate
804           the IPv4/IPv6 header DSCP field (differentiated services codepoint).
805
806           The DSCP field can have any value between 0x0 and 0x3f inclusive.
807
808           It also adds the "TOS" target, which allows you to create rules in
809           the "mangle" table which alter the Type Of Service field of an IPv4
810           or the Priority field of an IPv6 packet, prior to routing.
811
812           To compile it as a module, choose M here.  If unsure, say N.
813
814 config NETFILTER_XT_TARGET_HL
815         tristate '"HL" hoplimit target support'
816         depends on IP_NF_MANGLE || IP6_NF_MANGLE
817         depends on NETFILTER_ADVANCED
818         ---help---
819         This option adds the "HL" (for IPv6) and "TTL" (for IPv4)
820         targets, which enable the user to change the
821         hoplimit/time-to-live value of the IP header.
822
823         While it is safe to decrement the hoplimit/TTL value, the
824         modules also allow to increment and set the hoplimit value of
825         the header to arbitrary values. This is EXTREMELY DANGEROUS
826         since you can easily create immortal packets that loop
827         forever on the network.
828
829 config NETFILTER_XT_TARGET_HMARK
830         tristate '"HMARK" target support'
831         depends on IP6_NF_IPTABLES || IP6_NF_IPTABLES=n
832         depends on NETFILTER_ADVANCED
833         ---help---
834         This option adds the "HMARK" target.
835
836         The target allows you to create rules in the "raw" and "mangle" tables
837         which set the skbuff mark by means of hash calculation within a given
838         range. The nfmark can influence the routing method and can also be used
839         by other subsystems to change their behaviour.
840
841         To compile it as a module, choose M here. If unsure, say N.
842
843 config NETFILTER_XT_TARGET_IDLETIMER
844         tristate  "IDLETIMER target support"
845         depends on NETFILTER_ADVANCED
846         help
847
848           This option adds the `IDLETIMER' target.  Each matching packet
849           resets the timer associated with label specified when the rule is
850           added.  When the timer expires, it triggers a sysfs notification.
851           The remaining time for expiration can be read via sysfs.
852
853           To compile it as a module, choose M here.  If unsure, say N.
854
855 config NETFILTER_XT_TARGET_LED
856         tristate '"LED" target support'
857         depends on LEDS_CLASS && LEDS_TRIGGERS
858         depends on NETFILTER_ADVANCED
859         help
860           This option adds a `LED' target, which allows you to blink LEDs in
861           response to particular packets passing through your machine.
862
863           This can be used to turn a spare LED into a network activity LED,
864           which only flashes in response to FTP transfers, for example.  Or
865           you could have an LED which lights up for a minute or two every time
866           somebody connects to your machine via SSH.
867
868           You will need support for the "led" class to make this work.
869
870           To create an LED trigger for incoming SSH traffic:
871             iptables -A INPUT -p tcp --dport 22 -j LED --led-trigger-id ssh --led-delay 1000
872
873           Then attach the new trigger to an LED on your system:
874             echo netfilter-ssh > /sys/class/leds/<ledname>/trigger
875
876           For more information on the LEDs available on your system, see
877           Documentation/leds/leds-class.txt
878
879 config NETFILTER_XT_TARGET_LOG
880         tristate "LOG target support"
881         select NF_LOG_COMMON
882         select NF_LOG_IPV4
883         select NF_LOG_IPV6 if IPV6
884         default m if NETFILTER_ADVANCED=n
885         help
886           This option adds a `LOG' target, which allows you to create rules in
887           any iptables table which records the packet header to the syslog.
888
889           To compile it as a module, choose M here.  If unsure, say N.
890
891 config NETFILTER_XT_TARGET_MARK
892         tristate '"MARK" target support'
893         depends on NETFILTER_ADVANCED
894         select NETFILTER_XT_MARK
895         ---help---
896         This is a backwards-compat option for the user's convenience
897         (e.g. when running oldconfig). It selects
898         CONFIG_NETFILTER_XT_MARK (combined mark/MARK module).
899
900 config NETFILTER_XT_NAT
901         tristate '"SNAT and DNAT" targets support'
902         depends on NF_NAT
903         ---help---
904         This option enables the SNAT and DNAT targets.
905
906         To compile it as a module, choose M here. If unsure, say N.
907
908 config NETFILTER_XT_TARGET_NETMAP
909         tristate '"NETMAP" target support'
910         depends on NF_NAT
911         ---help---
912         NETMAP is an implementation of static 1:1 NAT mapping of network
913         addresses. It maps the network address part, while keeping the host
914         address part intact.
915
916         To compile it as a module, choose M here. If unsure, say N.
917
918 config NETFILTER_XT_TARGET_NFLOG
919         tristate '"NFLOG" target support'
920         default m if NETFILTER_ADVANCED=n
921         select NETFILTER_NETLINK_LOG
922         help
923           This option enables the NFLOG target, which allows to LOG
924           messages through nfnetlink_log.
925
926           To compile it as a module, choose M here.  If unsure, say N.
927
928 config NETFILTER_XT_TARGET_NFQUEUE
929         tristate '"NFQUEUE" target Support'
930         depends on NETFILTER_ADVANCED
931         select NETFILTER_NETLINK_QUEUE
932         help
933           This target replaced the old obsolete QUEUE target.
934
935           As opposed to QUEUE, it supports 65535 different queues,
936           not just one.
937
938           To compile it as a module, choose M here.  If unsure, say N.
939
940 config NETFILTER_XT_TARGET_NOTRACK
941         tristate  '"NOTRACK" target support (DEPRECATED)'
942         depends on NF_CONNTRACK
943         depends on IP_NF_RAW || IP6_NF_RAW
944         depends on NETFILTER_ADVANCED
945         select NETFILTER_XT_TARGET_CT
946
947 config NETFILTER_XT_TARGET_RATEEST
948         tristate '"RATEEST" target support'
949         depends on NETFILTER_ADVANCED
950         help
951           This option adds a `RATEEST' target, which allows to measure
952           rates similar to TC estimators. The `rateest' match can be
953           used to match on the measured rates.
954
955           To compile it as a module, choose M here.  If unsure, say N.
956
957 config NETFILTER_XT_TARGET_REDIRECT
958         tristate "REDIRECT target support"
959         depends on NF_NAT
960         select NF_NAT_REDIRECT
961         ---help---
962         REDIRECT is a special case of NAT: all incoming connections are
963         mapped onto the incoming interface's address, causing the packets to
964         come to the local machine instead of passing through. This is
965         useful for transparent proxies.
966
967         To compile it as a module, choose M here. If unsure, say N.
968
969 config NETFILTER_XT_TARGET_TEE
970         tristate '"TEE" - packet cloning to alternate destination'
971         depends on NETFILTER_ADVANCED
972         depends on IPV6 || IPV6=n
973         depends on !NF_CONNTRACK || NF_CONNTRACK
974         select NF_DUP_IPV4
975         select NF_DUP_IPV6 if IPV6
976         ---help---
977         This option adds a "TEE" target with which a packet can be cloned and
978         this clone be rerouted to another nexthop.
979
980 config NETFILTER_XT_TARGET_TPROXY
981         tristate '"TPROXY" target transparent proxying support'
982         depends on NETFILTER_XTABLES
983         depends on NETFILTER_ADVANCED
984         depends on IPV6 || IPV6=n
985         depends on IP6_NF_IPTABLES || IP6_NF_IPTABLES=n
986         depends on IP_NF_MANGLE
987         select NF_DEFRAG_IPV4
988         select NF_DEFRAG_IPV6 if IP6_NF_IPTABLES != n
989         help
990           This option adds a `TPROXY' target, which is somewhat similar to
991           REDIRECT.  It can only be used in the mangle table and is useful
992           to redirect traffic to a transparent proxy.  It does _not_ depend
993           on Netfilter connection tracking and NAT, unlike REDIRECT.
994           For it to work you will have to configure certain iptables rules
995           and use policy routing. For more information on how to set it up
996           see Documentation/networking/tproxy.txt.
997
998           To compile it as a module, choose M here.  If unsure, say N.
999
1000 config NETFILTER_XT_TARGET_TRACE
1001         tristate  '"TRACE" target support'
1002         depends on IP_NF_RAW || IP6_NF_RAW
1003         depends on NETFILTER_ADVANCED
1004         help
1005           The TRACE target allows you to mark packets so that the kernel
1006           will log every rule which match the packets as those traverse
1007           the tables, chains, rules.
1008
1009           If you want to compile it as a module, say M here and read
1010           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1011
1012 config NETFILTER_XT_TARGET_SECMARK
1013         tristate '"SECMARK" target support'
1014         depends on NETWORK_SECMARK
1015         default m if NETFILTER_ADVANCED=n
1016         help
1017           The SECMARK target allows security marking of network
1018           packets, for use with security subsystems.
1019
1020           To compile it as a module, choose M here.  If unsure, say N.
1021
1022 config NETFILTER_XT_TARGET_TCPMSS
1023         tristate '"TCPMSS" target support'
1024         depends on IPV6 || IPV6=n
1025         default m if NETFILTER_ADVANCED=n
1026         ---help---
1027           This option adds a `TCPMSS' target, which allows you to alter the
1028           MSS value of TCP SYN packets, to control the maximum size for that
1029           connection (usually limiting it to your outgoing interface's MTU
1030           minus 40).
1031
1032           This is used to overcome criminally braindead ISPs or servers which
1033           block ICMP Fragmentation Needed packets.  The symptoms of this
1034           problem are that everything works fine from your Linux
1035           firewall/router, but machines behind it can never exchange large
1036           packets:
1037                 1) Web browsers connect, then hang with no data received.
1038                 2) Small mail works fine, but large emails hang.
1039                 3) ssh works fine, but scp hangs after initial handshaking.
1040
1041           Workaround: activate this option and add a rule to your firewall
1042           configuration like:
1043
1044           iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN \
1045                          -j TCPMSS --clamp-mss-to-pmtu
1046
1047           To compile it as a module, choose M here.  If unsure, say N.
1048
1049 config NETFILTER_XT_TARGET_TCPOPTSTRIP
1050         tristate '"TCPOPTSTRIP" target support'
1051         depends on IP_NF_MANGLE || IP6_NF_MANGLE
1052         depends on NETFILTER_ADVANCED
1053         help
1054           This option adds a "TCPOPTSTRIP" target, which allows you to strip
1055           TCP options from TCP packets.
1056
1057 # alphabetically ordered list of matches
1058
1059 comment "Xtables matches"
1060
1061 config NETFILTER_XT_MATCH_ADDRTYPE
1062         tristate '"addrtype" address type match support'
1063         default m if NETFILTER_ADVANCED=n
1064         ---help---
1065           This option allows you to match what routing thinks of an address,
1066           eg. UNICAST, LOCAL, BROADCAST, ...
1067
1068           If you want to compile it as a module, say M here and read
1069           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1070
1071 config NETFILTER_XT_MATCH_BPF
1072         tristate '"bpf" match support'
1073         depends on NETFILTER_ADVANCED
1074         help
1075           BPF matching applies a linux socket filter to each packet and
1076           accepts those for which the filter returns non-zero.
1077
1078           To compile it as a module, choose M here.  If unsure, say N.
1079
1080 config NETFILTER_XT_MATCH_CGROUP
1081         tristate '"control group" match support'
1082         depends on NETFILTER_ADVANCED
1083         depends on CGROUPS
1084         select CGROUP_NET_CLASSID
1085         ---help---
1086         Socket/process control group matching allows you to match locally
1087         generated packets based on which net_cls control group processes
1088         belong to.
1089
1090 config NETFILTER_XT_MATCH_CLUSTER
1091         tristate '"cluster" match support'
1092         depends on NF_CONNTRACK
1093         depends on NETFILTER_ADVANCED
1094         ---help---
1095           This option allows you to build work-load-sharing clusters of
1096           network servers/stateful firewalls without having a dedicated
1097           load-balancing router/server/switch. Basically, this match returns
1098           true when the packet must be handled by this cluster node. Thus,
1099           all nodes see all packets and this match decides which node handles
1100           what packets. The work-load sharing algorithm is based on source
1101           address hashing.
1102
1103           If you say Y or M here, try `iptables -m cluster --help` for
1104           more information.
1105
1106 config NETFILTER_XT_MATCH_COMMENT
1107         tristate  '"comment" match support'
1108         depends on NETFILTER_ADVANCED
1109         help
1110           This option adds a `comment' dummy-match, which allows you to put
1111           comments in your iptables ruleset.
1112
1113           If you want to compile it as a module, say M here and read
1114           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1115
1116 config NETFILTER_XT_MATCH_CONNBYTES
1117         tristate  '"connbytes" per-connection counter match support'
1118         depends on NF_CONNTRACK
1119         depends on NETFILTER_ADVANCED
1120         help
1121           This option adds a `connbytes' match, which allows you to match the
1122           number of bytes and/or packets for each direction within a connection.
1123
1124           If you want to compile it as a module, say M here and read
1125           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1126
1127 config NETFILTER_XT_MATCH_CONNLABEL
1128         tristate '"connlabel" match support'
1129         select NF_CONNTRACK_LABELS
1130         depends on NF_CONNTRACK
1131         depends on NETFILTER_ADVANCED
1132         ---help---
1133           This match allows you to test and assign userspace-defined labels names
1134           to a connection.  The kernel only stores bit values - mapping
1135           names to bits is done by userspace.
1136
1137           Unlike connmark, more than 32 flag bits may be assigned to a
1138           connection simultaneously.
1139
1140 config NETFILTER_XT_MATCH_CONNLIMIT
1141         tristate '"connlimit" match support'
1142         depends on NF_CONNTRACK
1143         depends on NETFILTER_ADVANCED
1144         select NETFILTER_CONNCOUNT
1145         ---help---
1146           This match allows you to match against the number of parallel
1147           connections to a server per client IP address (or address block).
1148
1149 config NETFILTER_XT_MATCH_CONNMARK
1150         tristate  '"connmark" connection mark match support'
1151         depends on NF_CONNTRACK
1152         depends on NETFILTER_ADVANCED
1153         select NETFILTER_XT_CONNMARK
1154         ---help---
1155         This is a backwards-compat option for the user's convenience
1156         (e.g. when running oldconfig). It selects
1157         CONFIG_NETFILTER_XT_CONNMARK (combined connmark/CONNMARK module).
1158
1159 config NETFILTER_XT_MATCH_CONNTRACK
1160         tristate '"conntrack" connection tracking match support'
1161         depends on NF_CONNTRACK
1162         default m if NETFILTER_ADVANCED=n
1163         help
1164           This is a general conntrack match module, a superset of the state match.
1165
1166           It allows matching on additional conntrack information, which is
1167           useful in complex configurations, such as NAT gateways with multiple
1168           internet links or tunnels.
1169
1170           To compile it as a module, choose M here.  If unsure, say N.
1171
1172 config NETFILTER_XT_MATCH_CPU
1173         tristate '"cpu" match support'
1174         depends on NETFILTER_ADVANCED
1175         help
1176           CPU matching allows you to match packets based on the CPU
1177           currently handling the packet.
1178
1179           To compile it as a module, choose M here.  If unsure, say N.
1180
1181 config NETFILTER_XT_MATCH_DCCP
1182         tristate '"dccp" protocol match support'
1183         depends on NETFILTER_ADVANCED
1184         default IP_DCCP
1185         help
1186           With this option enabled, you will be able to use the iptables
1187           `dccp' match in order to match on DCCP source/destination ports
1188           and DCCP flags.
1189
1190           If you want to compile it as a module, say M here and read
1191           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1192
1193 config NETFILTER_XT_MATCH_DEVGROUP
1194         tristate '"devgroup" match support'
1195         depends on NETFILTER_ADVANCED
1196         help
1197           This options adds a `devgroup' match, which allows to match on the
1198           device group a network device is assigned to.
1199
1200           To compile it as a module, choose M here.  If unsure, say N.
1201
1202 config NETFILTER_XT_MATCH_DSCP
1203         tristate '"dscp" and "tos" match support'
1204         depends on NETFILTER_ADVANCED
1205         help
1206           This option adds a `DSCP' match, which allows you to match against
1207           the IPv4/IPv6 header DSCP field (differentiated services codepoint).
1208
1209           The DSCP field can have any value between 0x0 and 0x3f inclusive.
1210
1211           It will also add a "tos" match, which allows you to match packets
1212           based on the Type Of Service fields of the IPv4 packet (which share
1213           the same bits as DSCP).
1214
1215           To compile it as a module, choose M here.  If unsure, say N.
1216
1217 config NETFILTER_XT_MATCH_ECN
1218         tristate '"ecn" match support'
1219         depends on NETFILTER_ADVANCED
1220         ---help---
1221         This option adds an "ECN" match, which allows you to match against
1222         the IPv4 and TCP header ECN fields.
1223
1224         To compile it as a module, choose M here. If unsure, say N.
1225
1226 config NETFILTER_XT_MATCH_ESP
1227         tristate '"esp" match support'
1228         depends on NETFILTER_ADVANCED
1229         help
1230           This match extension allows you to match a range of SPIs
1231           inside ESP header of IPSec packets.
1232
1233           To compile it as a module, choose M here.  If unsure, say N.
1234
1235 config NETFILTER_XT_MATCH_HASHLIMIT
1236         tristate '"hashlimit" match support'
1237         depends on IP6_NF_IPTABLES || IP6_NF_IPTABLES=n
1238         depends on NETFILTER_ADVANCED
1239         help
1240           This option adds a `hashlimit' match.
1241
1242           As opposed to `limit', this match dynamically creates a hash table
1243           of limit buckets, based on your selection of source/destination
1244           addresses and/or ports.
1245
1246           It enables you to express policies like `10kpps for any given
1247           destination address' or `500pps from any given source address'
1248           with a single rule.
1249
1250 config NETFILTER_XT_MATCH_HELPER
1251         tristate '"helper" match support'
1252         depends on NF_CONNTRACK
1253         depends on NETFILTER_ADVANCED
1254         help
1255           Helper matching allows you to match packets in dynamic connections
1256           tracked by a conntrack-helper, ie. ip_conntrack_ftp
1257
1258           To compile it as a module, choose M here.  If unsure, say Y.
1259
1260 config NETFILTER_XT_MATCH_HL
1261         tristate '"hl" hoplimit/TTL match support'
1262         depends on NETFILTER_ADVANCED
1263         ---help---
1264         HL matching allows you to match packets based on the hoplimit
1265         in the IPv6 header, or the time-to-live field in the IPv4
1266         header of the packet.
1267
1268 config NETFILTER_XT_MATCH_IPCOMP
1269         tristate '"ipcomp" match support'
1270         depends on NETFILTER_ADVANCED
1271         help
1272           This match extension allows you to match a range of CPIs(16 bits)
1273           inside IPComp header of IPSec packets.
1274
1275           To compile it as a module, choose M here.  If unsure, say N.
1276
1277 config NETFILTER_XT_MATCH_IPRANGE
1278         tristate '"iprange" address range match support'
1279         depends on NETFILTER_ADVANCED
1280         ---help---
1281         This option adds a "iprange" match, which allows you to match based on
1282         an IP address range. (Normal iptables only matches on single addresses
1283         with an optional mask.)
1284
1285         If unsure, say M.
1286
1287 config NETFILTER_XT_MATCH_IPVS
1288         tristate '"ipvs" match support'
1289         depends on IP_VS
1290         depends on NETFILTER_ADVANCED
1291         depends on NF_CONNTRACK
1292         help
1293           This option allows you to match against IPVS properties of a packet.
1294
1295           If unsure, say N.
1296
1297 config NETFILTER_XT_MATCH_L2TP
1298         tristate '"l2tp" match support'
1299         depends on NETFILTER_ADVANCED
1300         default L2TP
1301         ---help---
1302         This option adds an "L2TP" match, which allows you to match against
1303         L2TP protocol header fields.
1304
1305         To compile it as a module, choose M here. If unsure, say N.
1306
1307 config NETFILTER_XT_MATCH_LENGTH
1308         tristate '"length" match support'
1309         depends on NETFILTER_ADVANCED
1310         help
1311           This option allows you to match the length of a packet against a
1312           specific value or range of values.
1313
1314           To compile it as a module, choose M here.  If unsure, say N.
1315
1316 config NETFILTER_XT_MATCH_LIMIT
1317         tristate '"limit" match support'
1318         depends on NETFILTER_ADVANCED
1319         help
1320           limit matching allows you to control the rate at which a rule can be
1321           matched: mainly useful in combination with the LOG target ("LOG
1322           target support", below) and to avoid some Denial of Service attacks.
1323
1324           To compile it as a module, choose M here.  If unsure, say N.
1325
1326 config NETFILTER_XT_MATCH_MAC
1327         tristate '"mac" address match support'
1328         depends on NETFILTER_ADVANCED
1329         help
1330           MAC matching allows you to match packets based on the source
1331           Ethernet address of the packet.
1332
1333           To compile it as a module, choose M here.  If unsure, say N.
1334
1335 config NETFILTER_XT_MATCH_MARK
1336         tristate '"mark" match support'
1337         depends on NETFILTER_ADVANCED
1338         select NETFILTER_XT_MARK
1339         ---help---
1340         This is a backwards-compat option for the user's convenience
1341         (e.g. when running oldconfig). It selects
1342         CONFIG_NETFILTER_XT_MARK (combined mark/MARK module).
1343
1344 config NETFILTER_XT_MATCH_MULTIPORT
1345         tristate '"multiport" Multiple port match support'
1346         depends on NETFILTER_ADVANCED
1347         help
1348           Multiport matching allows you to match TCP or UDP packets based on
1349           a series of source or destination ports: normally a rule can only
1350           match a single range of ports.
1351
1352           To compile it as a module, choose M here.  If unsure, say N.
1353
1354 config NETFILTER_XT_MATCH_NFACCT
1355         tristate '"nfacct" match support'
1356         depends on NETFILTER_ADVANCED
1357         select NETFILTER_NETLINK_ACCT
1358         help
1359           This option allows you to use the extended accounting through
1360           nfnetlink_acct.
1361
1362           To compile it as a module, choose M here.  If unsure, say N.
1363
1364 config NETFILTER_XT_MATCH_OSF
1365         tristate '"osf" Passive OS fingerprint match'
1366         depends on NETFILTER_ADVANCED && NETFILTER_NETLINK
1367         help
1368           This option selects the Passive OS Fingerprinting match module
1369           that allows to passively match the remote operating system by
1370           analyzing incoming TCP SYN packets.
1371
1372           Rules and loading software can be downloaded from
1373           http://www.ioremap.net/projects/osf
1374
1375           To compile it as a module, choose M here.  If unsure, say N.
1376
1377 config NETFILTER_XT_MATCH_OWNER
1378         tristate '"owner" match support'
1379         depends on NETFILTER_ADVANCED
1380         ---help---
1381         Socket owner matching allows you to match locally-generated packets
1382         based on who created the socket: the user or group. It is also
1383         possible to check whether a socket actually exists.
1384
1385 config NETFILTER_XT_MATCH_POLICY
1386         tristate 'IPsec "policy" match support'
1387         depends on XFRM
1388         default m if NETFILTER_ADVANCED=n
1389         help
1390           Policy matching allows you to match packets based on the
1391           IPsec policy that was used during decapsulation/will
1392           be used during encapsulation.
1393
1394           To compile it as a module, choose M here.  If unsure, say N.
1395
1396 config NETFILTER_XT_MATCH_PHYSDEV
1397         tristate '"physdev" match support'
1398         depends on BRIDGE && BRIDGE_NETFILTER
1399         depends on NETFILTER_ADVANCED
1400         help
1401           Physdev packet matching matches against the physical bridge ports
1402           the IP packet arrived on or will leave by.
1403
1404           To compile it as a module, choose M here.  If unsure, say N.
1405
1406 config NETFILTER_XT_MATCH_PKTTYPE
1407         tristate '"pkttype" packet type match support'
1408         depends on NETFILTER_ADVANCED
1409         help
1410           Packet type matching allows you to match a packet by
1411           its "class", eg. BROADCAST, MULTICAST, ...
1412
1413           Typical usage:
1414           iptables -A INPUT -m pkttype --pkt-type broadcast -j LOG
1415
1416           To compile it as a module, choose M here.  If unsure, say N.
1417
1418 config NETFILTER_XT_MATCH_QUOTA
1419         tristate '"quota" match support'
1420         depends on NETFILTER_ADVANCED
1421         help
1422           This option adds a `quota' match, which allows to match on a
1423           byte counter.
1424
1425           If you want to compile it as a module, say M here and read
1426           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1427
1428 config NETFILTER_XT_MATCH_RATEEST
1429         tristate '"rateest" match support'
1430         depends on NETFILTER_ADVANCED
1431         select NETFILTER_XT_TARGET_RATEEST
1432         help
1433           This option adds a `rateest' match, which allows to match on the
1434           rate estimated by the RATEEST target.
1435
1436           To compile it as a module, choose M here.  If unsure, say N.
1437
1438 config NETFILTER_XT_MATCH_REALM
1439         tristate  '"realm" match support'
1440         depends on NETFILTER_ADVANCED
1441         select IP_ROUTE_CLASSID
1442         help
1443           This option adds a `realm' match, which allows you to use the realm
1444           key from the routing subsystem inside iptables.
1445
1446           This match pretty much resembles the CONFIG_NET_CLS_ROUTE4 option 
1447           in tc world.
1448
1449           If you want to compile it as a module, say M here and read
1450           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1451
1452 config NETFILTER_XT_MATCH_RECENT
1453         tristate '"recent" match support'
1454         depends on NETFILTER_ADVANCED
1455         ---help---
1456         This match is used for creating one or many lists of recently
1457         used addresses and then matching against that/those list(s).
1458
1459         Short options are available by using 'iptables -m recent -h'
1460         Official Website: <http://snowman.net/projects/ipt_recent/>
1461
1462 config NETFILTER_XT_MATCH_SCTP
1463         tristate  '"sctp" protocol match support'
1464         depends on NETFILTER_ADVANCED
1465         default IP_SCTP
1466         help
1467           With this option enabled, you will be able to use the 
1468           `sctp' match in order to match on SCTP source/destination ports
1469           and SCTP chunk types.
1470
1471           If you want to compile it as a module, say M here and read
1472           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1473
1474 config NETFILTER_XT_MATCH_SOCKET
1475         tristate '"socket" match support'
1476         depends on NETFILTER_XTABLES
1477         depends on NETFILTER_ADVANCED
1478         depends on IPV6 || IPV6=n
1479         depends on IP6_NF_IPTABLES || IP6_NF_IPTABLES=n
1480         depends on NF_SOCKET_IPV4
1481         depends on NF_SOCKET_IPV6
1482         select NF_DEFRAG_IPV4
1483         select NF_DEFRAG_IPV6 if IP6_NF_IPTABLES != n
1484         help
1485           This option adds a `socket' match, which can be used to match
1486           packets for which a TCP or UDP socket lookup finds a valid socket.
1487           It can be used in combination with the MARK target and policy
1488           routing to implement full featured non-locally bound sockets.
1489
1490           To compile it as a module, choose M here.  If unsure, say N.
1491
1492 config NETFILTER_XT_MATCH_STATE
1493         tristate '"state" match support'
1494         depends on NF_CONNTRACK
1495         default m if NETFILTER_ADVANCED=n
1496         help
1497           Connection state matching allows you to match packets based on their
1498           relationship to a tracked connection (ie. previous packets).  This
1499           is a powerful tool for packet classification.
1500
1501           To compile it as a module, choose M here.  If unsure, say N.
1502
1503 config NETFILTER_XT_MATCH_STATISTIC
1504         tristate '"statistic" match support'
1505         depends on NETFILTER_ADVANCED
1506         help
1507           This option adds a `statistic' match, which allows you to match
1508           on packets periodically or randomly with a given percentage.
1509
1510           To compile it as a module, choose M here.  If unsure, say N.
1511
1512 config NETFILTER_XT_MATCH_STRING
1513         tristate  '"string" match support'
1514         depends on NETFILTER_ADVANCED
1515         select TEXTSEARCH
1516         select TEXTSEARCH_KMP
1517         select TEXTSEARCH_BM
1518         select TEXTSEARCH_FSM
1519         help
1520           This option adds a `string' match, which allows you to look for
1521           pattern matchings in packets.
1522
1523           To compile it as a module, choose M here.  If unsure, say N.
1524
1525 config NETFILTER_XT_MATCH_TCPMSS
1526         tristate '"tcpmss" match support'
1527         depends on NETFILTER_ADVANCED
1528         help
1529           This option adds a `tcpmss' match, which allows you to examine the
1530           MSS value of TCP SYN packets, which control the maximum packet size
1531           for that connection.
1532
1533           To compile it as a module, choose M here.  If unsure, say N.
1534
1535 config NETFILTER_XT_MATCH_TIME
1536         tristate '"time" match support'
1537         depends on NETFILTER_ADVANCED
1538         ---help---
1539           This option adds a "time" match, which allows you to match based on
1540           the packet arrival time (at the machine which netfilter is running)
1541           on) or departure time/date (for locally generated packets).
1542
1543           If you say Y here, try `iptables -m time --help` for
1544           more information.
1545
1546           If you want to compile it as a module, say M here.
1547           If unsure, say N.
1548
1549 config NETFILTER_XT_MATCH_U32
1550         tristate '"u32" match support'
1551         depends on NETFILTER_ADVANCED
1552         ---help---
1553           u32 allows you to extract quantities of up to 4 bytes from a packet,
1554           AND them with specified masks, shift them by specified amounts and
1555           test whether the results are in any of a set of specified ranges.
1556           The specification of what to extract is general enough to skip over
1557           headers with lengths stored in the packet, as in IP or TCP header
1558           lengths.
1559
1560           Details and examples are in the kernel module source.
1561
1562 endif # NETFILTER_XTABLES
1563
1564 endmenu
1565
1566 source "net/netfilter/ipset/Kconfig"
1567
1568 source "net/netfilter/ipvs/Kconfig"