net/netfilter/Kconfig

   1 menu "Core Netfilter Configuration"
   2         depends on NET && INET && NETFILTER
   3
   4 config NETFILTER_INGRESS
   5         bool "Netfilter ingress support"
   6         default y
   7         select NET_INGRESS
   8         help
   9           This allows you to classify packets from ingress using the Netfilter
  10           infrastructure.
  11
  12 config NETFILTER_NETLINK
  13         tristate
  14
  15 config NETFILTER_FAMILY_BRIDGE
  16         bool
  17
  18 config NETFILTER_FAMILY_ARP
  19         bool
  20
  21 config NETFILTER_NETLINK_ACCT
  22 tristate "Netfilter NFACCT over NFNETLINK interface"
  23         depends on NETFILTER_ADVANCED
  24         select NETFILTER_NETLINK
  25         help
  26           If this option is enabled, the kernel will include support
  27           for extended accounting via NFNETLINK.
  28
  29 config NETFILTER_NETLINK_QUEUE
  30         tristate "Netfilter NFQUEUE over NFNETLINK interface"
  31         depends on NETFILTER_ADVANCED
  32         select NETFILTER_NETLINK
  33         help
  34           If this option is enabled, the kernel will include support
  35           for queueing packets via NFNETLINK.
  36
  37 config NETFILTER_NETLINK_LOG
  38         tristate "Netfilter LOG over NFNETLINK interface"
  39         default m if NETFILTER_ADVANCED=n
  40         select NETFILTER_NETLINK
  41         help
  42           If this option is enabled, the kernel will include support
  43           for logging packets via NFNETLINK.
  44
  45           This obsoletes the existing ipt_ULOG and ebg_ulog mechanisms,
  46           and is also scheduled to replace the old syslog-based ipt_LOG
  47           and ip6t_LOG modules.
  48
  49 config NF_CONNTRACK
  50         tristate "Netfilter connection tracking support"
  51         default m if NETFILTER_ADVANCED=n
  52         help
  53           Connection tracking keeps a record of what packets have passed
  54           through your machine, in order to figure out how they are related
  55           into connections.
  56
  57           This is required to do Masquerading or other kinds of Network
  58           Address Translation.  It can also be used to enhance packet
  59           filtering (see `Connection state match support' below).
  60
  61           To compile it as a module, choose M here.  If unsure, say N.
  62
  63 config NF_LOG_COMMON
  64         tristate
  65
  66 config NF_LOG_NETDEV
  67         tristate "Netdev packet logging"
  68         select NF_LOG_COMMON
  69
  70 if NF_CONNTRACK
  71 config NETFILTER_CONNCOUNT
  72         tristate
  73
  74 config NF_CONNTRACK_MARK
  75         bool  'Connection mark tracking support'
  76         depends on NETFILTER_ADVANCED
  77         help
  78           This option enables support for connection marks, used by the
  79           `CONNMARK' target and `connmark' match. Similar to the mark value
  80           of packets, but this mark value is kept in the conntrack session
  81           instead of the individual packets.
  82
  83 config NF_CONNTRACK_SECMARK
  84         bool  'Connection tracking security mark support'
  85         depends on NETWORK_SECMARK
  86         default m if NETFILTER_ADVANCED=n
  87         help
  88           This option enables security markings to be applied to
  89           connections.  Typically they are copied to connections from
  90           packets using the CONNSECMARK target and copied back from
  91           connections to packets with the same target, with the packets
  92           being originally labeled via SECMARK.
  93
  94           If unsure, say 'N'.
  95
  96 config NF_CONNTRACK_ZONES
  97         bool  'Connection tracking zones'
  98         depends on NETFILTER_ADVANCED
  99         depends on NETFILTER_XT_TARGET_CT
 100         help
 101           This option enables support for connection tracking zones.
 102           Normally, each connection needs to have a unique system wide
 103           identity. Connection tracking zones allow to have multiple
 104           connections using the same identity, as long as they are
 105           contained in different zones.
 106
 107           If unsure, say `N'.
 108
 109 config NF_CONNTRACK_PROCFS
 110         bool "Supply CT list in procfs (OBSOLETE)"
 111         default y
 112         depends on PROC_FS
 113         ---help---
 114         This option enables for the list of known conntrack entries
 115         to be shown in procfs under net/netfilter/nf_conntrack. This
 116         is considered obsolete in favor of using the conntrack(8)
 117         tool which uses Netlink.
 118
 119 config NF_CONNTRACK_EVENTS
 120         bool "Connection tracking events"
 121         depends on NETFILTER_ADVANCED
 122         help
 123           If this option is enabled, the connection tracking code will
 124           provide a notifier chain that can be used by other kernel code
 125           to get notified about changes in the connection tracking state.
 126
 127           If unsure, say `N'.
 128
 129 config NF_CONNTRACK_TIMEOUT
 130         bool  'Connection tracking timeout'
 131         depends on NETFILTER_ADVANCED
 132         help
 133           This option enables support for connection tracking timeout
 134           extension. This allows you to attach timeout policies to flow
 135           via the CT target.
 136
 137           If unsure, say `N'.
 138
 139 config NF_CONNTRACK_TIMESTAMP
 140         bool  'Connection tracking timestamping'
 141         depends on NETFILTER_ADVANCED
 142         help
 143           This option enables support for connection tracking timestamping.
 144           This allows you to store the flow start-time and to obtain
 145           the flow-stop time (once it has been destroyed) via Connection
 146           tracking events.
 147
 148           If unsure, say `N'.
 149
 150 config NF_CONNTRACK_LABELS
 151         bool
 152         help
 153           This option enables support for assigning user-defined flag bits
 154           to connection tracking entries.  It selected by the connlabel match.
 155
 156 config NF_CT_PROTO_DCCP
 157         bool 'DCCP protocol connection tracking support'
 158         depends on NETFILTER_ADVANCED
 159         default y
 160         help
 161           With this option enabled, the layer 3 independent connection
 162           tracking code will be able to do state tracking on DCCP connections.
 163
 164           If unsure, say Y.
 165
 166 config NF_CT_PROTO_GRE
 167         tristate
 168
 169 config NF_CT_PROTO_SCTP
 170         bool 'SCTP protocol connection tracking support'
 171         depends on NETFILTER_ADVANCED
 172         default y
 173         select LIBCRC32C
 174         help
 175           With this option enabled, the layer 3 independent connection
 176           tracking code will be able to do state tracking on SCTP connections.
 177
 178           If unsure, say Y.
 179
 180 config NF_CT_PROTO_UDPLITE
 181         bool 'UDP-Lite protocol connection tracking support'
 182         depends on NETFILTER_ADVANCED
 183         default y
 184         help
 185           With this option enabled, the layer 3 independent connection
 186           tracking code will be able to do state tracking on UDP-Lite
 187           connections.
 188
 189           If unsure, say Y.
 190
 191 config NF_CONNTRACK_AMANDA
 192         tristate "Amanda backup protocol support"
 193         depends on NETFILTER_ADVANCED
 194         select TEXTSEARCH
 195         select TEXTSEARCH_KMP
 196         help
 197           If you are running the Amanda backup package <http://www.amanda.org/>
 198           on this machine or machines that will be MASQUERADED through this
 199           machine, then you may want to enable this feature.  This allows the
 200           connection tracking and natting code to allow the sub-channels that
 201           Amanda requires for communication of the backup data, messages and
 202           index.
 203
 204           To compile it as a module, choose M here.  If unsure, say N.
 205
 206 config NF_CONNTRACK_FTP
 207         tristate "FTP protocol support"
 208         default m if NETFILTER_ADVANCED=n
 209         help
 210           Tracking FTP connections is problematic: special helpers are
 211           required for tracking them, and doing masquerading and other forms
 212           of Network Address Translation on them.
 213
 214           This is FTP support on Layer 3 independent connection tracking.
 215           Layer 3 independent connection tracking is experimental scheme
 216           which generalize ip_conntrack to support other layer 3 protocols.
 217
 218           To compile it as a module, choose M here.  If unsure, say N.
 219
 220 config NF_CONNTRACK_H323
 221         tristate "H.323 protocol support"
 222         depends on IPV6 || IPV6=n
 223         depends on NETFILTER_ADVANCED
 224         help
 225           H.323 is a VoIP signalling protocol from ITU-T. As one of the most
 226           important VoIP protocols, it is widely used by voice hardware and
 227           software including voice gateways, IP phones, Netmeeting, OpenPhone,
 228           Gnomemeeting, etc.
 229
 230           With this module you can support H.323 on a connection tracking/NAT
 231           firewall.
 232
 233           This module supports RAS, Fast Start, H.245 Tunnelling, Call
 234           Forwarding, RTP/RTCP and T.120 based audio, video, fax, chat,
 235           whiteboard, file transfer, etc. For more information, please
 236           visit http://nath323.sourceforge.net/.
 237
 238           To compile it as a module, choose M here.  If unsure, say N.
 239
 240 config NF_CONNTRACK_IRC
 241         tristate "IRC protocol support"
 242         default m if NETFILTER_ADVANCED=n
 243         help
 244           There is a commonly-used extension to IRC called
 245           Direct Client-to-Client Protocol (DCC).  This enables users to send
 246           files to each other, and also chat to each other without the need
 247           of a server.  DCC Sending is used anywhere you send files over IRC,
 248           and DCC Chat is most commonly used by Eggdrop bots.  If you are
 249           using NAT, this extension will enable you to send files and initiate
 250           chats.  Note that you do NOT need this extension to get files or
 251           have others initiate chats, or everything else in IRC.
 252
 253           To compile it as a module, choose M here.  If unsure, say N.
 254
 255 config NF_CONNTRACK_BROADCAST
 256         tristate
 257
 258 config NF_CONNTRACK_NETBIOS_NS
 259         tristate "NetBIOS name service protocol support"
 260         select NF_CONNTRACK_BROADCAST
 261         help
 262           NetBIOS name service requests are sent as broadcast messages from an
 263           unprivileged port and responded to with unicast messages to the
 264           same port. This make them hard to firewall properly because connection
 265           tracking doesn't deal with broadcasts. This helper tracks locally
 266           originating NetBIOS name service requests and the corresponding
 267           responses. It relies on correct IP address configuration, specifically
 268           netmask and broadcast address. When properly configured, the output
 269           of "ip address show" should look similar to this:
 270
 271           $ ip -4 address show eth0
 272           4: eth0: <BROADCAST,MULTICAST,UP> mtu 1500 qdisc pfifo_fast qlen 1000
 273               inet 172.16.2.252/24 brd 172.16.2.255 scope global eth0
 274
 275           To compile it as a module, choose M here.  If unsure, say N.
 276
 277 config NF_CONNTRACK_SNMP
 278         tristate "SNMP service protocol support"
 279         depends on NETFILTER_ADVANCED
 280         select NF_CONNTRACK_BROADCAST
 281         help
 282           SNMP service requests are sent as broadcast messages from an
 283           unprivileged port and responded to with unicast messages to the
 284           same port. This make them hard to firewall properly because connection
 285           tracking doesn't deal with broadcasts. This helper tracks locally
 286           originating SNMP service requests and the corresponding
 287           responses. It relies on correct IP address configuration, specifically
 288           netmask and broadcast address.
 289
 290           To compile it as a module, choose M here.  If unsure, say N.
 291
 292 config NF_CONNTRACK_PPTP
 293         tristate "PPtP protocol support"
 294         depends on NETFILTER_ADVANCED
 295         select NF_CT_PROTO_GRE
 296         help
 297           This module adds support for PPTP (Point to Point Tunnelling
 298           Protocol, RFC2637) connection tracking and NAT.
 299
 300           If you are running PPTP sessions over a stateful firewall or NAT
 301           box, you may want to enable this feature.
 302
 303           Please note that not all PPTP modes of operation are supported yet.
 304           Specifically these limitations exist:
 305             - Blindly assumes that control connections are always established
 306               in PNS->PAC direction. This is a violation of RFC2637.
 307             - Only supports a single call within each session
 308
 309           To compile it as a module, choose M here.  If unsure, say N.
 310
 311 config NF_CONNTRACK_SANE
 312         tristate "SANE protocol support"
 313         depends on NETFILTER_ADVANCED
 314         help
 315           SANE is a protocol for remote access to scanners as implemented
 316           by the 'saned' daemon. Like FTP, it uses separate control and
 317           data connections.
 318
 319           With this module you can support SANE on a connection tracking
 320           firewall.
 321
 322           To compile it as a module, choose M here.  If unsure, say N.
 323
 324 config NF_CONNTRACK_SIP
 325         tristate "SIP protocol support"
 326         default m if NETFILTER_ADVANCED=n
 327         help
 328           SIP is an application-layer control protocol that can establish,
 329           modify, and terminate multimedia sessions (conferences) such as
 330           Internet telephony calls. With the ip_conntrack_sip and
 331           the nf_nat_sip modules you can support the protocol on a connection
 332           tracking/NATing firewall.
 333
 334           To compile it as a module, choose M here.  If unsure, say N.
 335
 336 config NF_CONNTRACK_TFTP
 337         tristate "TFTP protocol support"
 338         depends on NETFILTER_ADVANCED
 339         help
 340           TFTP connection tracking helper, this is required depending
 341           on how restrictive your ruleset is.
 342           If you are using a tftp client behind -j SNAT or -j MASQUERADING
 343           you will need this.
 344
 345           To compile it as a module, choose M here.  If unsure, say N.
 346
 347 config NF_CT_NETLINK
 348         tristate 'Connection tracking netlink interface'
 349         select NETFILTER_NETLINK
 350         default m if NETFILTER_ADVANCED=n
 351         help
 352           This option enables support for a netlink-based userspace interface
 353
 354 config NF_CT_NETLINK_TIMEOUT
 355         tristate  'Connection tracking timeout tuning via Netlink'
 356         select NETFILTER_NETLINK
 357         depends on NETFILTER_ADVANCED
 358         help
 359           This option enables support for connection tracking timeout
 360           fine-grain tuning. This allows you to attach specific timeout
 361           policies to flows, instead of using the global timeout policy.
 362
 363           If unsure, say `N'.
 364
 365 config NF_CT_NETLINK_HELPER
 366         tristate 'Connection tracking helpers in user-space via Netlink'
 367         select NETFILTER_NETLINK
 368         depends on NF_CT_NETLINK
 369         depends on NETFILTER_NETLINK_QUEUE
 370         depends on NETFILTER_NETLINK_GLUE_CT
 371         depends on NETFILTER_ADVANCED
 372         help
 373           This option enables the user-space connection tracking helpers
 374           infrastructure.
 375
 376           If unsure, say `N'.
 377
 378 config NETFILTER_NETLINK_GLUE_CT
 379         bool "NFQUEUE and NFLOG integration with Connection Tracking"
 380         default n
 381         depends on (NETFILTER_NETLINK_QUEUE || NETFILTER_NETLINK_LOG) && NF_CT_NETLINK
 382         help
 383           If this option is enabled, NFQUEUE and NFLOG can include
 384           Connection Tracking information together with the packet is
 385           the enqueued via NFNETLINK.
 386
 387 config NF_NAT
 388         tristate
 389
 390 config NF_NAT_NEEDED
 391         bool
 392         depends on NF_NAT
 393         default y
 394
 395 config NF_NAT_PROTO_DCCP
 396         bool
 397         depends on NF_NAT && NF_CT_PROTO_DCCP
 398         default NF_NAT && NF_CT_PROTO_DCCP
 399
 400 config NF_NAT_PROTO_UDPLITE
 401         bool
 402         depends on NF_NAT && NF_CT_PROTO_UDPLITE
 403         default NF_NAT && NF_CT_PROTO_UDPLITE
 404
 405 config NF_NAT_PROTO_SCTP
 406         bool
 407         default NF_NAT && NF_CT_PROTO_SCTP
 408         depends on NF_NAT && NF_CT_PROTO_SCTP
 409
 410 config NF_NAT_AMANDA
 411         tristate
 412         depends on NF_CONNTRACK && NF_NAT
 413         default NF_NAT && NF_CONNTRACK_AMANDA
 414
 415 config NF_NAT_FTP
 416         tristate
 417         depends on NF_CONNTRACK && NF_NAT
 418         default NF_NAT && NF_CONNTRACK_FTP
 419
 420 config NF_NAT_IRC
 421         tristate
 422         depends on NF_CONNTRACK && NF_NAT
 423         default NF_NAT && NF_CONNTRACK_IRC
 424
 425 config NF_NAT_SIP
 426         tristate
 427         depends on NF_CONNTRACK && NF_NAT
 428         default NF_NAT && NF_CONNTRACK_SIP
 429
 430 config NF_NAT_TFTP
 431         tristate
 432         depends on NF_CONNTRACK && NF_NAT
 433         default NF_NAT && NF_CONNTRACK_TFTP
 434
 435 config NF_NAT_REDIRECT
 436         tristate "IPv4/IPv6 redirect support"
 437         depends on NF_NAT
 438         help
 439           This is the kernel functionality to redirect packets to local
 440           machine through NAT.
 441
 442 config NETFILTER_SYNPROXY
 443         tristate
 444
 445 endif # NF_CONNTRACK
 446
 447 config NF_TABLES
 448         select NETFILTER_NETLINK
 449         tristate "Netfilter nf_tables support"
 450         help
 451           nftables is the new packet classification framework that intends to
 452           replace the existing {ip,ip6,arp,eb}_tables infrastructure. It
 453           provides a pseudo-state machine with an extensible instruction-set
 454           (also known as expressions) that the userspace 'nft' utility
 455           (http://www.netfilter.org/projects/nftables) uses to build the
 456           rule-set. It also comes with the generic set infrastructure that
 457           allows you to construct mappings between matchings and actions
 458           for performance lookups.
 459
 460           To compile it as a module, choose M here.
 461
 462 if NF_TABLES
 463
 464 config NF_TABLES_INET
 465         depends on IPV6
 466         select NF_TABLES_IPV4
 467         select NF_TABLES_IPV6
 468         bool "Netfilter nf_tables mixed IPv4/IPv6 tables support"
 469         help
 470           This option enables support for a mixed IPv4/IPv6 "inet" table.
 471
 472 config NF_TABLES_NETDEV
 473         bool "Netfilter nf_tables netdev tables support"
 474         help
 475           This option enables support for the "netdev" table.
 476
 477 config NFT_NUMGEN
 478         tristate "Netfilter nf_tables number generator module"
 479         help
 480           This option adds the number generator expression used to perform
 481           incremental counting and random numbers bound to a upper limit.
 482
 483 config NFT_CT
 484         depends on NF_CONNTRACK
 485         tristate "Netfilter nf_tables conntrack module"
 486         help
 487           This option adds the "ct" expression that you can use to match
 488           connection tracking information such as the flow state.
 489
 490 config NFT_FLOW_OFFLOAD
 491         depends on NF_CONNTRACK && NF_FLOW_TABLE
 492         tristate "Netfilter nf_tables hardware flow offload module"
 493         help
 494           This option adds the "flow_offload" expression that you can use to
 495           choose what flows are placed into the hardware.
 496
 497 config NFT_SET_RBTREE
 498         tristate "Netfilter nf_tables rbtree set module"
 499         help
 500           This option adds the "rbtree" set type (Red Black tree) that is used
 501           to build interval-based sets.
 502
 503 config NFT_SET_HASH
 504         tristate "Netfilter nf_tables hash set module"
 505         help
 506           This option adds the "hash" set type that is used to build one-way
 507           mappings between matchings and actions.
 508
 509 config NFT_SET_BITMAP
 510         tristate "Netfilter nf_tables bitmap set module"
 511         help
 512           This option adds the "bitmap" set type that is used to build sets
 513           whose keys are smaller or equal to 16 bits.
 514
 515 config NFT_COUNTER
 516         tristate "Netfilter nf_tables counter module"
 517         help
 518           This option adds the "counter" expression that you can use to
 519           include packet and byte counters in a rule.
 520
 521 config NFT_LOG
 522         tristate "Netfilter nf_tables log module"
 523         help
 524           This option adds the "log" expression that you can use to log
 525           packets matching some criteria.
 526
 527 config NFT_LIMIT
 528         tristate "Netfilter nf_tables limit module"
 529         help
 530           This option adds the "limit" expression that you can use to
 531           ratelimit rule matchings.
 532
 533 config NFT_MASQ
 534         depends on NF_CONNTRACK
 535         depends on NF_NAT
 536         tristate "Netfilter nf_tables masquerade support"
 537         help
 538           This option adds the "masquerade" expression that you can use
 539           to perform NAT in the masquerade flavour.
 540
 541 config NFT_REDIR
 542         depends on NF_CONNTRACK
 543         depends on NF_NAT
 544         tristate "Netfilter nf_tables redirect support"
 545         help
 546           This options adds the "redirect" expression that you can use
 547           to perform NAT in the redirect flavour.
 548
 549 config NFT_NAT
 550         depends on NF_CONNTRACK
 551         select NF_NAT
 552         tristate "Netfilter nf_tables nat module"
 553         help
 554           This option adds the "nat" expression that you can use to perform
 555           typical Network Address Translation (NAT) packet transformations.
 556
 557 config NFT_OBJREF
 558         tristate "Netfilter nf_tables stateful object reference module"
 559         help
 560           This option adds the "objref" expression that allows you to refer to
 561           stateful objects, such as counters and quotas.
 562
 563 config NFT_QUEUE
 564         depends on NETFILTER_NETLINK_QUEUE
 565         tristate "Netfilter nf_tables queue module"
 566         help
 567           This is required if you intend to use the userspace queueing
 568           infrastructure (also known as NFQUEUE) from nftables.
 569
 570 config NFT_QUOTA
 571         tristate "Netfilter nf_tables quota module"
 572         help
 573           This option adds the "quota" expression that you can use to match
 574           enforce bytes quotas.
 575
 576 config NFT_REJECT
 577         default m if NETFILTER_ADVANCED=n
 578         tristate "Netfilter nf_tables reject support"
 579         help
 580           This option adds the "reject" expression that you can use to
 581           explicitly deny and notify via TCP reset/ICMP informational errors
 582           unallowed traffic.
 583
 584 config NFT_REJECT_INET
 585         depends on NF_TABLES_INET
 586         default NFT_REJECT
 587         tristate
 588
 589 config NFT_COMPAT
 590         depends on NETFILTER_XTABLES
 591         tristate "Netfilter x_tables over nf_tables module"
 592         help
 593           This is required if you intend to use any of existing
 594           x_tables match/target extensions over the nf_tables
 595           framework.
 596
 597 config NFT_HASH
 598         tristate "Netfilter nf_tables hash module"
 599         help
 600           This option adds the "hash" expression that you can use to perform
 601           a hash operation on registers.
 602
 603 config NFT_FIB
 604         tristate
 605
 606 config NFT_FIB_INET
 607         depends on NF_TABLES_INET
 608         depends on NFT_FIB_IPV4
 609         depends on NFT_FIB_IPV6
 610         tristate "Netfilter nf_tables fib inet support"
 611         help
 612           This option allows using the FIB expression from the inet table.
 613           The lookup will be delegated to the IPv4 or IPv6 FIB depending
 614           on the protocol of the packet.
 615
 616 if NF_TABLES_NETDEV
 617
 618 config NF_DUP_NETDEV
 619         tristate "Netfilter packet duplication support"
 620         help
 621           This option enables the generic packet duplication infrastructure
 622           for Netfilter.
 623
 624 config NFT_DUP_NETDEV
 625         tristate "Netfilter nf_tables netdev packet duplication support"
 626         select NF_DUP_NETDEV
 627         help
 628           This option enables packet duplication for the "netdev" family.
 629
 630 config NFT_FWD_NETDEV
 631         tristate "Netfilter nf_tables netdev packet forwarding support"
 632         select NF_DUP_NETDEV
 633         help
 634           This option enables packet forwarding for the "netdev" family.
 635
 636 config NFT_FIB_NETDEV
 637         depends on NFT_FIB_IPV4
 638         depends on NFT_FIB_IPV6
 639         tristate "Netfilter nf_tables netdev fib lookups support"
 640         help
 641           This option allows using the FIB expression from the netdev table.
 642           The lookup will be delegated to the IPv4 or IPv6 FIB depending
 643           on the protocol of the packet.
 644
 645 endif # NF_TABLES_NETDEV
 646
 647 endif # NF_TABLES
 648
 649 config NF_FLOW_TABLE_INET
 650         tristate "Netfilter flow table mixed IPv4/IPv6 module"
 651         depends on NF_FLOW_TABLE
 652         help
 653           This option adds the flow table mixed IPv4/IPv6 support.
 654
 655           To compile it as a module, choose M here.
 656
 657 config NF_FLOW_TABLE
 658         tristate "Netfilter flow table module"
 659         depends on NETFILTER_INGRESS
 660         depends on NF_CONNTRACK
 661         depends on NF_TABLES
 662         help
 663           This option adds the flow table core infrastructure.
 664
 665           To compile it as a module, choose M here.
 666
 667 config NETFILTER_XTABLES
 668         tristate "Netfilter Xtables support (required for ip_tables)"
 669         default m if NETFILTER_ADVANCED=n
 670         help
 671           This is required if you intend to use any of ip_tables,
 672           ip6_tables or arp_tables.
 673
 674 if NETFILTER_XTABLES
 675
 676 comment "Xtables combined modules"
 677
 678 config NETFILTER_XT_MARK
 679         tristate 'nfmark target and match support'
 680         default m if NETFILTER_ADVANCED=n
 681         ---help---
 682         This option adds the "MARK" target and "mark" match.
 683
 684         Netfilter mark matching allows you to match packets based on the
 685         "nfmark" value in the packet.
 686         The target allows you to create rules in the "mangle" table which alter
 687         the netfilter mark (nfmark) field associated with the packet.
 688
 689         Prior to routing, the nfmark can influence the routing method and can
 690         also be used by other subsystems to change their behavior.
 691
 692 config NETFILTER_XT_CONNMARK
 693         tristate 'ctmark target and match support'
 694         depends on NF_CONNTRACK
 695         depends on NETFILTER_ADVANCED
 696         select NF_CONNTRACK_MARK
 697         ---help---
 698         This option adds the "CONNMARK" target and "connmark" match.
 699
 700         Netfilter allows you to store a mark value per connection (a.k.a.
 701         ctmark), similarly to the packet mark (nfmark). Using this
 702         target and match, you can set and match on this mark.
 703
 704 config NETFILTER_XT_SET
 705         tristate 'set target and match support'
 706         depends on IP_SET
 707         depends on NETFILTER_ADVANCED
 708         help
 709           This option adds the "SET" target and "set" match.
 710
 711           Using this target and match, you can add/delete and match
 712           elements in the sets created by ipset(8).
 713
 714           To compile it as a module, choose M here.  If unsure, say N.
 715
 716 # alphabetically ordered list of targets
 717
 718 comment "Xtables targets"
 719
 720 config NETFILTER_XT_TARGET_AUDIT
 721         tristate "AUDIT target support"
 722         depends on AUDIT
 723         depends on NETFILTER_ADVANCED
 724         ---help---
 725           This option adds a 'AUDIT' target, which can be used to create
 726           audit records for packets dropped/accepted.
 727
 728           To compileit as a module, choose M here. If unsure, say N.
 729
 730 config NETFILTER_XT_TARGET_CHECKSUM
 731         tristate "CHECKSUM target support"
 732         depends on IP_NF_MANGLE || IP6_NF_MANGLE
 733         depends on NETFILTER_ADVANCED
 734         ---help---
 735           This option adds a `CHECKSUM' target, which can be used in the iptables mangle
 736           table.
 737
 738           You can use this target to compute and fill in the checksum in
 739           a packet that lacks a checksum.  This is particularly useful,
 740           if you need to work around old applications such as dhcp clients,
 741           that do not work well with checksum offloads, but don't want to disable
 742           checksum offload in your device.
 743
 744           To compile it as a module, choose M here.  If unsure, say N.
 745
 746 config NETFILTER_XT_TARGET_CLASSIFY
 747         tristate '"CLASSIFY" target support'
 748         depends on NETFILTER_ADVANCED
 749         help
 750           This option adds a `CLASSIFY' target, which enables the user to set
 751           the priority of a packet. Some qdiscs can use this value for
 752           classification, among these are:
 753
 754           atm, cbq, dsmark, pfifo_fast, htb, prio
 755
 756           To compile it as a module, choose M here.  If unsure, say N.
 757
 758 config NETFILTER_XT_TARGET_CONNMARK
 759         tristate  '"CONNMARK" target support'
 760         depends on NF_CONNTRACK
 761         depends on NETFILTER_ADVANCED
 762         select NETFILTER_XT_CONNMARK
 763         ---help---
 764         This is a backwards-compat option for the user's convenience
 765         (e.g. when running oldconfig). It selects
 766         CONFIG_NETFILTER_XT_CONNMARK (combined connmark/CONNMARK module).
 767
 768 config NETFILTER_XT_TARGET_CONNSECMARK
 769         tristate '"CONNSECMARK" target support'
 770         depends on NF_CONNTRACK && NF_CONNTRACK_SECMARK
 771         default m if NETFILTER_ADVANCED=n
 772         help
 773           The CONNSECMARK target copies security markings from packets
 774           to connections, and restores security markings from connections
 775           to packets (if the packets are not already marked).  This would
 776           normally be used in conjunction with the SECMARK target.
 777
 778           To compile it as a module, choose M here.  If unsure, say N.
 779
 780 config NETFILTER_XT_TARGET_CT
 781         tristate '"CT" target support'
 782         depends on NF_CONNTRACK
 783         depends on IP_NF_RAW || IP6_NF_RAW
 784         depends on NETFILTER_ADVANCED
 785         help
 786           This options adds a `CT' target, which allows to specify initial
 787           connection tracking parameters like events to be delivered and
 788           the helper to be used.
 789
 790           To compile it as a module, choose M here.  If unsure, say N.
 791
 792 config NETFILTER_XT_TARGET_DSCP
 793         tristate '"DSCP" and "TOS" target support'
 794         depends on IP_NF_MANGLE || IP6_NF_MANGLE
 795         depends on NETFILTER_ADVANCED
 796         help
 797           This option adds a `DSCP' target, which allows you to manipulate
 798           the IPv4/IPv6 header DSCP field (differentiated services codepoint).
 799
 800           The DSCP field can have any value between 0x0 and 0x3f inclusive.
 801
 802           It also adds the "TOS" target, which allows you to create rules in
 803           the "mangle" table which alter the Type Of Service field of an IPv4
 804           or the Priority field of an IPv6 packet, prior to routing.
 805
 806           To compile it as a module, choose M here.  If unsure, say N.
 807
 808 config NETFILTER_XT_TARGET_HL
 809         tristate '"HL" hoplimit target support'
 810         depends on IP_NF_MANGLE || IP6_NF_MANGLE
 811         depends on NETFILTER_ADVANCED
 812         ---help---
 813         This option adds the "HL" (for IPv6) and "TTL" (for IPv4)
 814         targets, which enable the user to change the
 815         hoplimit/time-to-live value of the IP header.
 816
 817         While it is safe to decrement the hoplimit/TTL value, the
 818         modules also allow to increment and set the hoplimit value of
 819         the header to arbitrary values. This is EXTREMELY DANGEROUS
 820         since you can easily create immortal packets that loop
 821         forever on the network.
 822
 823 config NETFILTER_XT_TARGET_HMARK
 824         tristate '"HMARK" target support'
 825         depends on IP6_NF_IPTABLES || IP6_NF_IPTABLES=n
 826         depends on NETFILTER_ADVANCED
 827         ---help---
 828         This option adds the "HMARK" target.
 829
 830         The target allows you to create rules in the "raw" and "mangle" tables
 831         which set the skbuff mark by means of hash calculation within a given
 832         range. The nfmark can influence the routing method and can also be used
 833         by other subsystems to change their behaviour.
 834
 835         To compile it as a module, choose M here. If unsure, say N.
 836
 837 config NETFILTER_XT_TARGET_IDLETIMER
 838         tristate  "IDLETIMER target support"
 839         depends on NETFILTER_ADVANCED
 840         help
 841
 842           This option adds the `IDLETIMER' target.  Each matching packet
 843           resets the timer associated with label specified when the rule is
 844           added.  When the timer expires, it triggers a sysfs notification.
 845           The remaining time for expiration can be read via sysfs.
 846
 847           To compile it as a module, choose M here.  If unsure, say N.
 848
 849 config NETFILTER_XT_TARGET_LED
 850         tristate '"LED" target support'
 851         depends on LEDS_CLASS && LEDS_TRIGGERS
 852         depends on NETFILTER_ADVANCED
 853         help
 854           This option adds a `LED' target, which allows you to blink LEDs in
 855           response to particular packets passing through your machine.
 856
 857           This can be used to turn a spare LED into a network activity LED,
 858           which only flashes in response to FTP transfers, for example.  Or
 859           you could have an LED which lights up for a minute or two every time
 860           somebody connects to your machine via SSH.
 861
 862           You will need support for the "led" class to make this work.
 863
 864           To create an LED trigger for incoming SSH traffic:
 865             iptables -A INPUT -p tcp --dport 22 -j LED --led-trigger-id ssh --led-delay 1000
 866
 867           Then attach the new trigger to an LED on your system:
 868             echo netfilter-ssh > /sys/class/leds/<ledname>/trigger
 869
 870           For more information on the LEDs available on your system, see
 871           Documentation/leds/leds-class.txt
 872
 873 config NETFILTER_XT_TARGET_LOG
 874         tristate "LOG target support"
 875         select NF_LOG_COMMON
 876         select NF_LOG_IPV4
 877         select NF_LOG_IPV6 if IPV6
 878         default m if NETFILTER_ADVANCED=n
 879         help
 880           This option adds a `LOG' target, which allows you to create rules in
 881           any iptables table which records the packet header to the syslog.
 882
 883           To compile it as a module, choose M here.  If unsure, say N.
 884
 885 config NETFILTER_XT_TARGET_MARK
 886         tristate '"MARK" target support'
 887         depends on NETFILTER_ADVANCED
 888         select NETFILTER_XT_MARK
 889         ---help---
 890         This is a backwards-compat option for the user's convenience
 891         (e.g. when running oldconfig). It selects
 892         CONFIG_NETFILTER_XT_MARK (combined mark/MARK module).
 893
 894 config NETFILTER_XT_NAT
 895         tristate '"SNAT and DNAT" targets support'
 896         depends on NF_NAT
 897         ---help---
 898         This option enables the SNAT and DNAT targets.
 899
 900         To compile it as a module, choose M here. If unsure, say N.
 901
 902 config NETFILTER_XT_TARGET_NETMAP
 903         tristate '"NETMAP" target support'
 904         depends on NF_NAT
 905         ---help---
 906         NETMAP is an implementation of static 1:1 NAT mapping of network
 907         addresses. It maps the network address part, while keeping the host
 908         address part intact.
 909
 910         To compile it as a module, choose M here. If unsure, say N.
 911
 912 config NETFILTER_XT_TARGET_NFLOG
 913         tristate '"NFLOG" target support'
 914         default m if NETFILTER_ADVANCED=n
 915         select NETFILTER_NETLINK_LOG
 916         help
 917           This option enables the NFLOG target, which allows to LOG
 918           messages through nfnetlink_log.
 919
 920           To compile it as a module, choose M here.  If unsure, say N.
 921
 922 config NETFILTER_XT_TARGET_NFQUEUE
 923         tristate '"NFQUEUE" target Support'
 924         depends on NETFILTER_ADVANCED
 925         select NETFILTER_NETLINK_QUEUE
 926         help
 927           This target replaced the old obsolete QUEUE target.
 928
 929           As opposed to QUEUE, it supports 65535 different queues,
 930           not just one.
 931
 932           To compile it as a module, choose M here.  If unsure, say N.
 933
 934 config NETFILTER_XT_TARGET_NOTRACK
 935         tristate  '"NOTRACK" target support (DEPRECATED)'
 936         depends on NF_CONNTRACK
 937         depends on IP_NF_RAW || IP6_NF_RAW
 938         depends on NETFILTER_ADVANCED
 939         select NETFILTER_XT_TARGET_CT
 940
 941 config NETFILTER_XT_TARGET_RATEEST
 942         tristate '"RATEEST" target support'
 943         depends on NETFILTER_ADVANCED
 944         help
 945           This option adds a `RATEEST' target, which allows to measure
 946           rates similar to TC estimators. The `rateest' match can be
 947           used to match on the measured rates.
 948
 949           To compile it as a module, choose M here.  If unsure, say N.
 950
 951 config NETFILTER_XT_TARGET_REDIRECT
 952         tristate "REDIRECT target support"
 953         depends on NF_NAT
 954         select NF_NAT_REDIRECT
 955         ---help---
 956         REDIRECT is a special case of NAT: all incoming connections are
 957         mapped onto the incoming interface's address, causing the packets to
 958         come to the local machine instead of passing through. This is
 959         useful for transparent proxies.
 960
 961         To compile it as a module, choose M here. If unsure, say N.
 962
 963 config NETFILTER_XT_TARGET_TEE
 964         tristate '"TEE" - packet cloning to alternate destination'
 965         depends on NETFILTER_ADVANCED
 966         depends on IPV6 || IPV6=n
 967         depends on !NF_CONNTRACK || NF_CONNTRACK
 968         select NF_DUP_IPV4
 969         select NF_DUP_IPV6 if IPV6
 970         ---help---
 971         This option adds a "TEE" target with which a packet can be cloned and
 972         this clone be rerouted to another nexthop.
 973
 974 config NETFILTER_XT_TARGET_TPROXY
 975         tristate '"TPROXY" target transparent proxying support'
 976         depends on NETFILTER_XTABLES
 977         depends on NETFILTER_ADVANCED
 978         depends on IPV6 || IPV6=n
 979         depends on IP6_NF_IPTABLES || IP6_NF_IPTABLES=n
 980         depends on IP_NF_MANGLE
 981         select NF_DEFRAG_IPV4
 982         select NF_DEFRAG_IPV6 if IP6_NF_IPTABLES != n
 983         help
 984           This option adds a `TPROXY' target, which is somewhat similar to
 985           REDIRECT.  It can only be used in the mangle table and is useful
 986           to redirect traffic to a transparent proxy.  It does _not_ depend
 987           on Netfilter connection tracking and NAT, unlike REDIRECT.
 988           For it to work you will have to configure certain iptables rules
 989           and use policy routing. For more information on how to set it up
 990           see Documentation/networking/tproxy.txt.
 991
 992           To compile it as a module, choose M here.  If unsure, say N.
 993
 994 config NETFILTER_XT_TARGET_TRACE
 995         tristate  '"TRACE" target support'
 996         depends on IP_NF_RAW || IP6_NF_RAW
 997         depends on NETFILTER_ADVANCED
 998         help
 999           The TRACE target allows you to mark packets so that the kernel
1000           will log every rule which match the packets as those traverse
1001           the tables, chains, rules.
1002
1003           If you want to compile it as a module, say M here and read
1004           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1005
1006 config NETFILTER_XT_TARGET_SECMARK
1007         tristate '"SECMARK" target support'
1008         depends on NETWORK_SECMARK
1009         default m if NETFILTER_ADVANCED=n
1010         help
1011           The SECMARK target allows security marking of network
1012           packets, for use with security subsystems.
1013
1014           To compile it as a module, choose M here.  If unsure, say N.
1015
1016 config NETFILTER_XT_TARGET_TCPMSS
1017         tristate '"TCPMSS" target support'
1018         depends on IPV6 || IPV6=n
1019         default m if NETFILTER_ADVANCED=n
1020         ---help---
1021           This option adds a `TCPMSS' target, which allows you to alter the
1022           MSS value of TCP SYN packets, to control the maximum size for that
1023           connection (usually limiting it to your outgoing interface's MTU
1024           minus 40).
1025
1026           This is used to overcome criminally braindead ISPs or servers which
1027           block ICMP Fragmentation Needed packets.  The symptoms of this
1028           problem are that everything works fine from your Linux
1029           firewall/router, but machines behind it can never exchange large
1030           packets:
1031                 1) Web browsers connect, then hang with no data received.
1032                 2) Small mail works fine, but large emails hang.
1033                 3) ssh works fine, but scp hangs after initial handshaking.
1034
1035           Workaround: activate this option and add a rule to your firewall
1036           configuration like:
1037
1038           iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN \
1039                          -j TCPMSS --clamp-mss-to-pmtu
1040
1041           To compile it as a module, choose M here.  If unsure, say N.
1042
1043 config NETFILTER_XT_TARGET_TCPOPTSTRIP
1044         tristate '"TCPOPTSTRIP" target support'
1045         depends on IP_NF_MANGLE || IP6_NF_MANGLE
1046         depends on NETFILTER_ADVANCED
1047         help
1048           This option adds a "TCPOPTSTRIP" target, which allows you to strip
1049           TCP options from TCP packets.
1050
1051 # alphabetically ordered list of matches
1052
1053 comment "Xtables matches"
1054
1055 config NETFILTER_XT_MATCH_ADDRTYPE
1056         tristate '"addrtype" address type match support'
1057         default m if NETFILTER_ADVANCED=n
1058         ---help---
1059           This option allows you to match what routing thinks of an address,
1060           eg. UNICAST, LOCAL, BROADCAST, ...
1061
1062           If you want to compile it as a module, say M here and read
1063           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1064
1065 config NETFILTER_XT_MATCH_BPF
1066         tristate '"bpf" match support'
1067         depends on NETFILTER_ADVANCED
1068         help
1069           BPF matching applies a linux socket filter to each packet and
1070           accepts those for which the filter returns non-zero.
1071
1072           To compile it as a module, choose M here.  If unsure, say N.
1073
1074 config NETFILTER_XT_MATCH_CGROUP
1075         tristate '"control group" match support'
1076         depends on NETFILTER_ADVANCED
1077         depends on CGROUPS
1078         select CGROUP_NET_CLASSID
1079         ---help---
1080         Socket/process control group matching allows you to match locally
1081         generated packets based on which net_cls control group processes
1082         belong to.
1083
1084 config NETFILTER_XT_MATCH_CLUSTER
1085         tristate '"cluster" match support'
1086         depends on NF_CONNTRACK
1087         depends on NETFILTER_ADVANCED
1088         ---help---
1089           This option allows you to build work-load-sharing clusters of
1090           network servers/stateful firewalls without having a dedicated
1091           load-balancing router/server/switch. Basically, this match returns
1092           true when the packet must be handled by this cluster node. Thus,
1093           all nodes see all packets and this match decides which node handles
1094           what packets. The work-load sharing algorithm is based on source
1095           address hashing.
1096
1097           If you say Y or M here, try `iptables -m cluster --help` for
1098           more information.
1099
1100 config NETFILTER_XT_MATCH_COMMENT
1101         tristate  '"comment" match support'
1102         depends on NETFILTER_ADVANCED
1103         help
1104           This option adds a `comment' dummy-match, which allows you to put
1105           comments in your iptables ruleset.
1106
1107           If you want to compile it as a module, say M here and read
1108           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1109
1110 config NETFILTER_XT_MATCH_CONNBYTES
1111         tristate  '"connbytes" per-connection counter match support'
1112         depends on NF_CONNTRACK
1113         depends on NETFILTER_ADVANCED
1114         help
1115           This option adds a `connbytes' match, which allows you to match the
1116           number of bytes and/or packets for each direction within a connection.
1117
1118           If you want to compile it as a module, say M here and read
1119           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1120
1121 config NETFILTER_XT_MATCH_CONNLABEL
1122         tristate '"connlabel" match support'
1123         select NF_CONNTRACK_LABELS
1124         depends on NF_CONNTRACK
1125         depends on NETFILTER_ADVANCED
1126         ---help---
1127           This match allows you to test and assign userspace-defined labels names
1128           to a connection.  The kernel only stores bit values - mapping
1129           names to bits is done by userspace.
1130
1131           Unlike connmark, more than 32 flag bits may be assigned to a
1132           connection simultaneously.
1133
1134 config NETFILTER_XT_MATCH_CONNLIMIT
1135         tristate '"connlimit" match support'
1136         depends on NF_CONNTRACK
1137         depends on NETFILTER_ADVANCED
1138         select NETFILTER_CONNCOUNT
1139         ---help---
1140           This match allows you to match against the number of parallel
1141           connections to a server per client IP address (or address block).
1142
1143 config NETFILTER_XT_MATCH_CONNMARK
1144         tristate  '"connmark" connection mark match support'
1145         depends on NF_CONNTRACK
1146         depends on NETFILTER_ADVANCED
1147         select NETFILTER_XT_CONNMARK
1148         ---help---
1149         This is a backwards-compat option for the user's convenience
1150         (e.g. when running oldconfig). It selects
1151         CONFIG_NETFILTER_XT_CONNMARK (combined connmark/CONNMARK module).
1152
1153 config NETFILTER_XT_MATCH_CONNTRACK
1154         tristate '"conntrack" connection tracking match support'
1155         depends on NF_CONNTRACK
1156         default m if NETFILTER_ADVANCED=n
1157         help
1158           This is a general conntrack match module, a superset of the state match.
1159
1160           It allows matching on additional conntrack information, which is
1161           useful in complex configurations, such as NAT gateways with multiple
1162           internet links or tunnels.
1163
1164           To compile it as a module, choose M here.  If unsure, say N.
1165
1166 config NETFILTER_XT_MATCH_CPU
1167         tristate '"cpu" match support'
1168         depends on NETFILTER_ADVANCED
1169         help
1170           CPU matching allows you to match packets based on the CPU
1171           currently handling the packet.
1172
1173           To compile it as a module, choose M here.  If unsure, say N.
1174
1175 config NETFILTER_XT_MATCH_DCCP
1176         tristate '"dccp" protocol match support'
1177         depends on NETFILTER_ADVANCED
1178         default IP_DCCP
1179         help
1180           With this option enabled, you will be able to use the iptables
1181           `dccp' match in order to match on DCCP source/destination ports
1182           and DCCP flags.
1183
1184           If you want to compile it as a module, say M here and read
1185           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1186
1187 config NETFILTER_XT_MATCH_DEVGROUP
1188         tristate '"devgroup" match support'
1189         depends on NETFILTER_ADVANCED
1190         help
1191           This options adds a `devgroup' match, which allows to match on the
1192           device group a network device is assigned to.
1193
1194           To compile it as a module, choose M here.  If unsure, say N.
1195
1196 config NETFILTER_XT_MATCH_DSCP
1197         tristate '"dscp" and "tos" match support'
1198         depends on NETFILTER_ADVANCED
1199         help
1200           This option adds a `DSCP' match, which allows you to match against
1201           the IPv4/IPv6 header DSCP field (differentiated services codepoint).
1202
1203           The DSCP field can have any value between 0x0 and 0x3f inclusive.
1204
1205           It will also add a "tos" match, which allows you to match packets
1206           based on the Type Of Service fields of the IPv4 packet (which share
1207           the same bits as DSCP).
1208
1209           To compile it as a module, choose M here.  If unsure, say N.
1210
1211 config NETFILTER_XT_MATCH_ECN
1212         tristate '"ecn" match support'
1213         depends on NETFILTER_ADVANCED
1214         ---help---
1215         This option adds an "ECN" match, which allows you to match against
1216         the IPv4 and TCP header ECN fields.
1217
1218         To compile it as a module, choose M here. If unsure, say N.
1219
1220 config NETFILTER_XT_MATCH_ESP
1221         tristate '"esp" match support'
1222         depends on NETFILTER_ADVANCED
1223         help
1224           This match extension allows you to match a range of SPIs
1225           inside ESP header of IPSec packets.
1226
1227           To compile it as a module, choose M here.  If unsure, say N.
1228
1229 config NETFILTER_XT_MATCH_HASHLIMIT
1230         tristate '"hashlimit" match support'
1231         depends on IP6_NF_IPTABLES || IP6_NF_IPTABLES=n
1232         depends on NETFILTER_ADVANCED
1233         help
1234           This option adds a `hashlimit' match.
1235
1236           As opposed to `limit', this match dynamically creates a hash table
1237           of limit buckets, based on your selection of source/destination
1238           addresses and/or ports.
1239
1240           It enables you to express policies like `10kpps for any given
1241           destination address' or `500pps from any given source address'
1242           with a single rule.
1243
1244 config NETFILTER_XT_MATCH_HELPER
1245         tristate '"helper" match support'
1246         depends on NF_CONNTRACK
1247         depends on NETFILTER_ADVANCED
1248         help
1249           Helper matching allows you to match packets in dynamic connections
1250           tracked by a conntrack-helper, ie. ip_conntrack_ftp
1251
1252           To compile it as a module, choose M here.  If unsure, say Y.
1253
1254 config NETFILTER_XT_MATCH_HL
1255         tristate '"hl" hoplimit/TTL match support'
1256         depends on NETFILTER_ADVANCED
1257         ---help---
1258         HL matching allows you to match packets based on the hoplimit
1259         in the IPv6 header, or the time-to-live field in the IPv4
1260         header of the packet.
1261
1262 config NETFILTER_XT_MATCH_IPCOMP
1263         tristate '"ipcomp" match support'
1264         depends on NETFILTER_ADVANCED
1265         help
1266           This match extension allows you to match a range of CPIs(16 bits)
1267           inside IPComp header of IPSec packets.
1268
1269           To compile it as a module, choose M here.  If unsure, say N.
1270
1271 config NETFILTER_XT_MATCH_IPRANGE
1272         tristate '"iprange" address range match support'
1273         depends on NETFILTER_ADVANCED
1274         ---help---
1275         This option adds a "iprange" match, which allows you to match based on
1276         an IP address range. (Normal iptables only matches on single addresses
1277         with an optional mask.)
1278
1279         If unsure, say M.
1280
1281 config NETFILTER_XT_MATCH_IPVS
1282         tristate '"ipvs" match support'
1283         depends on IP_VS
1284         depends on NETFILTER_ADVANCED
1285         depends on NF_CONNTRACK
1286         help
1287           This option allows you to match against IPVS properties of a packet.
1288
1289           If unsure, say N.
1290
1291 config NETFILTER_XT_MATCH_L2TP
1292         tristate '"l2tp" match support'
1293         depends on NETFILTER_ADVANCED
1294         default L2TP
1295         ---help---
1296         This option adds an "L2TP" match, which allows you to match against
1297         L2TP protocol header fields.
1298
1299         To compile it as a module, choose M here. If unsure, say N.
1300
1301 config NETFILTER_XT_MATCH_LENGTH
1302         tristate '"length" match support'
1303         depends on NETFILTER_ADVANCED
1304         help
1305           This option allows you to match the length of a packet against a
1306           specific value or range of values.
1307
1308           To compile it as a module, choose M here.  If unsure, say N.
1309
1310 config NETFILTER_XT_MATCH_LIMIT
1311         tristate '"limit" match support'
1312         depends on NETFILTER_ADVANCED
1313         help
1314           limit matching allows you to control the rate at which a rule can be
1315           matched: mainly useful in combination with the LOG target ("LOG
1316           target support", below) and to avoid some Denial of Service attacks.
1317
1318           To compile it as a module, choose M here.  If unsure, say N.
1319
1320 config NETFILTER_XT_MATCH_MAC
1321         tristate '"mac" address match support'
1322         depends on NETFILTER_ADVANCED
1323         help
1324           MAC matching allows you to match packets based on the source
1325           Ethernet address of the packet.
1326
1327           To compile it as a module, choose M here.  If unsure, say N.
1328
1329 config NETFILTER_XT_MATCH_MARK
1330         tristate '"mark" match support'
1331         depends on NETFILTER_ADVANCED
1332         select NETFILTER_XT_MARK
1333         ---help---
1334         This is a backwards-compat option for the user's convenience
1335         (e.g. when running oldconfig). It selects
1336         CONFIG_NETFILTER_XT_MARK (combined mark/MARK module).
1337
1338 config NETFILTER_XT_MATCH_MULTIPORT
1339         tristate '"multiport" Multiple port match support'
1340         depends on NETFILTER_ADVANCED
1341         help
1342           Multiport matching allows you to match TCP or UDP packets based on
1343           a series of source or destination ports: normally a rule can only
1344           match a single range of ports.
1345
1346           To compile it as a module, choose M here.  If unsure, say N.
1347
1348 config NETFILTER_XT_MATCH_NFACCT
1349         tristate '"nfacct" match support'
1350         depends on NETFILTER_ADVANCED
1351         select NETFILTER_NETLINK_ACCT
1352         help
1353           This option allows you to use the extended accounting through
1354           nfnetlink_acct.
1355
1356           To compile it as a module, choose M here.  If unsure, say N.
1357
1358 config NETFILTER_XT_MATCH_OSF
1359         tristate '"osf" Passive OS fingerprint match'
1360         depends on NETFILTER_ADVANCED && NETFILTER_NETLINK
1361         help
1362           This option selects the Passive OS Fingerprinting match module
1363           that allows to passively match the remote operating system by
1364           analyzing incoming TCP SYN packets.
1365
1366           Rules and loading software can be downloaded from
1367           http://www.ioremap.net/projects/osf
1368
1369           To compile it as a module, choose M here.  If unsure, say N.
1370
1371 config NETFILTER_XT_MATCH_OWNER
1372         tristate '"owner" match support'
1373         depends on NETFILTER_ADVANCED
1374         ---help---
1375         Socket owner matching allows you to match locally-generated packets
1376         based on who created the socket: the user or group. It is also
1377         possible to check whether a socket actually exists.
1378
1379 config NETFILTER_XT_MATCH_POLICY
1380         tristate 'IPsec "policy" match support'
1381         depends on XFRM
1382         default m if NETFILTER_ADVANCED=n
1383         help
1384           Policy matching allows you to match packets based on the
1385           IPsec policy that was used during decapsulation/will
1386           be used during encapsulation.
1387
1388           To compile it as a module, choose M here.  If unsure, say N.
1389
1390 config NETFILTER_XT_MATCH_PHYSDEV
1391         tristate '"physdev" match support'
1392         depends on BRIDGE && BRIDGE_NETFILTER
1393         depends on NETFILTER_ADVANCED
1394         help
1395           Physdev packet matching matches against the physical bridge ports
1396           the IP packet arrived on or will leave by.
1397
1398           To compile it as a module, choose M here.  If unsure, say N.
1399
1400 config NETFILTER_XT_MATCH_PKTTYPE
1401         tristate '"pkttype" packet type match support'
1402         depends on NETFILTER_ADVANCED
1403         help
1404           Packet type matching allows you to match a packet by
1405           its "class", eg. BROADCAST, MULTICAST, ...
1406
1407           Typical usage:
1408           iptables -A INPUT -m pkttype --pkt-type broadcast -j LOG
1409
1410           To compile it as a module, choose M here.  If unsure, say N.
1411
1412 config NETFILTER_XT_MATCH_QUOTA
1413         tristate '"quota" match support'
1414         depends on NETFILTER_ADVANCED
1415         help
1416           This option adds a `quota' match, which allows to match on a
1417           byte counter.
1418
1419           If you want to compile it as a module, say M here and read
1420           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1421
1422 config NETFILTER_XT_MATCH_RATEEST
1423         tristate '"rateest" match support'
1424         depends on NETFILTER_ADVANCED
1425         select NETFILTER_XT_TARGET_RATEEST
1426         help
1427           This option adds a `rateest' match, which allows to match on the
1428           rate estimated by the RATEEST target.
1429
1430           To compile it as a module, choose M here.  If unsure, say N.
1431
1432 config NETFILTER_XT_MATCH_REALM
1433         tristate  '"realm" match support'
1434         depends on NETFILTER_ADVANCED
1435         select IP_ROUTE_CLASSID
1436         help
1437           This option adds a `realm' match, which allows you to use the realm
1438           key from the routing subsystem inside iptables.
1439
1440           This match pretty much resembles the CONFIG_NET_CLS_ROUTE4 option
1441           in tc world.
1442
1443           If you want to compile it as a module, say M here and read
1444           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1445
1446 config NETFILTER_XT_MATCH_RECENT
1447         tristate '"recent" match support'
1448         depends on NETFILTER_ADVANCED
1449         ---help---
1450         This match is used for creating one or many lists of recently
1451         used addresses and then matching against that/those list(s).
1452
1453         Short options are available by using 'iptables -m recent -h'
1454         Official Website: <http://snowman.net/projects/ipt_recent/>
1455
1456 config NETFILTER_XT_MATCH_SCTP
1457         tristate  '"sctp" protocol match support'
1458         depends on NETFILTER_ADVANCED
1459         default IP_SCTP
1460         help
1461           With this option enabled, you will be able to use the
1462           `sctp' match in order to match on SCTP source/destination ports
1463           and SCTP chunk types.
1464
1465           If you want to compile it as a module, say M here and read
1466           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1467
1468 config NETFILTER_XT_MATCH_SOCKET
1469         tristate '"socket" match support'
1470         depends on NETFILTER_XTABLES
1471         depends on NETFILTER_ADVANCED
1472         depends on IPV6 || IPV6=n
1473         depends on IP6_NF_IPTABLES || IP6_NF_IPTABLES=n
1474         depends on NF_SOCKET_IPV4
1475         depends on NF_SOCKET_IPV6
1476         select NF_DEFRAG_IPV4
1477         select NF_DEFRAG_IPV6 if IP6_NF_IPTABLES != n
1478         help
1479           This option adds a `socket' match, which can be used to match
1480           packets for which a TCP or UDP socket lookup finds a valid socket.
1481           It can be used in combination with the MARK target and policy
1482           routing to implement full featured non-locally bound sockets.
1483
1484           To compile it as a module, choose M here.  If unsure, say N.
1485
1486 config NETFILTER_XT_MATCH_STATE
1487         tristate '"state" match support'
1488         depends on NF_CONNTRACK
1489         default m if NETFILTER_ADVANCED=n
1490         help
1491           Connection state matching allows you to match packets based on their
1492           relationship to a tracked connection (ie. previous packets).  This
1493           is a powerful tool for packet classification.
1494
1495           To compile it as a module, choose M here.  If unsure, say N.
1496
1497 config NETFILTER_XT_MATCH_STATISTIC
1498         tristate '"statistic" match support'
1499         depends on NETFILTER_ADVANCED
1500         help
1501           This option adds a `statistic' match, which allows you to match
1502           on packets periodically or randomly with a given percentage.
1503
1504           To compile it as a module, choose M here.  If unsure, say N.
1505
1506 config NETFILTER_XT_MATCH_STRING
1507         tristate  '"string" match support'
1508         depends on NETFILTER_ADVANCED
1509         select TEXTSEARCH
1510         select TEXTSEARCH_KMP
1511         select TEXTSEARCH_BM
1512         select TEXTSEARCH_FSM
1513         help
1514           This option adds a `string' match, which allows you to look for
1515           pattern matchings in packets.
1516
1517           To compile it as a module, choose M here.  If unsure, say N.
1518
1519 config NETFILTER_XT_MATCH_TCPMSS
1520         tristate '"tcpmss" match support'
1521         depends on NETFILTER_ADVANCED
1522         help
1523           This option adds a `tcpmss' match, which allows you to examine the
1524           MSS value of TCP SYN packets, which control the maximum packet size
1525           for that connection.
1526
1527           To compile it as a module, choose M here.  If unsure, say N.
1528
1529 config NETFILTER_XT_MATCH_TIME
1530         tristate '"time" match support'
1531         depends on NETFILTER_ADVANCED
1532         ---help---
1533           This option adds a "time" match, which allows you to match based on
1534           the packet arrival time (at the machine which netfilter is running)
1535           on) or departure time/date (for locally generated packets).
1536
1537           If you say Y here, try `iptables -m time --help` for
1538           more information.
1539
1540           If you want to compile it as a module, say M here.
1541           If unsure, say N.
1542
1543 config NETFILTER_XT_MATCH_U32
1544         tristate '"u32" match support'
1545         depends on NETFILTER_ADVANCED
1546         ---help---
1547           u32 allows you to extract quantities of up to 4 bytes from a packet,
1548           AND them with specified masks, shift them by specified amounts and
1549           test whether the results are in any of a set of specified ranges.
1550           The specification of what to extract is general enough to skip over
1551           headers with lengths stored in the packet, as in IP or TCP header
1552           lengths.
1553
1554           Details and examples are in the kernel module source.
1555
1556 endif # NETFILTER_XTABLES
1557
1558 endmenu
1559
1560 source "net/netfilter/ipset/Kconfig"
1561
1562 source "net/netfilter/ipvs/Kconfig"