netfilter: nf_tables: merge exthdr expression into nft core
[sfrench/cifs-2.6.git] / net / netfilter / Kconfig
1 menu "Core Netfilter Configuration"
2         depends on NET && INET && NETFILTER
3
4 config NETFILTER_INGRESS
5         bool "Netfilter ingress support"
6         default y
7         select NET_INGRESS
8         help
9           This allows you to classify packets from ingress using the Netfilter
10           infrastructure.
11
12 config NETFILTER_NETLINK
13         tristate
14
15 config NETFILTER_FAMILY_BRIDGE
16         bool
17
18 config NETFILTER_FAMILY_ARP
19         bool
20
21 config NETFILTER_NETLINK_ACCT
22 tristate "Netfilter NFACCT over NFNETLINK interface"
23         depends on NETFILTER_ADVANCED
24         select NETFILTER_NETLINK
25         help
26           If this option is enabled, the kernel will include support
27           for extended accounting via NFNETLINK.
28
29 config NETFILTER_NETLINK_QUEUE
30         tristate "Netfilter NFQUEUE over NFNETLINK interface"
31         depends on NETFILTER_ADVANCED
32         select NETFILTER_NETLINK
33         help
34           If this option is enabled, the kernel will include support
35           for queueing packets via NFNETLINK.
36           
37 config NETFILTER_NETLINK_LOG
38         tristate "Netfilter LOG over NFNETLINK interface"
39         default m if NETFILTER_ADVANCED=n
40         select NETFILTER_NETLINK
41         help
42           If this option is enabled, the kernel will include support
43           for logging packets via NFNETLINK.
44
45           This obsoletes the existing ipt_ULOG and ebg_ulog mechanisms,
46           and is also scheduled to replace the old syslog-based ipt_LOG
47           and ip6t_LOG modules.
48
49 config NF_CONNTRACK
50         tristate "Netfilter connection tracking support"
51         default m if NETFILTER_ADVANCED=n
52         help
53           Connection tracking keeps a record of what packets have passed
54           through your machine, in order to figure out how they are related
55           into connections.
56
57           This is required to do Masquerading or other kinds of Network
58           Address Translation.  It can also be used to enhance packet
59           filtering (see `Connection state match support' below).
60
61           To compile it as a module, choose M here.  If unsure, say N.
62
63 config NF_LOG_COMMON
64         tristate
65
66 config NF_LOG_NETDEV
67         tristate "Netdev packet logging"
68         select NF_LOG_COMMON
69
70 if NF_CONNTRACK
71 config NETFILTER_CONNCOUNT
72         tristate
73
74 config NF_CONNTRACK_MARK
75         bool  'Connection mark tracking support'
76         depends on NETFILTER_ADVANCED
77         help
78           This option enables support for connection marks, used by the
79           `CONNMARK' target and `connmark' match. Similar to the mark value
80           of packets, but this mark value is kept in the conntrack session
81           instead of the individual packets.
82
83 config NF_CONNTRACK_SECMARK
84         bool  'Connection tracking security mark support'
85         depends on NETWORK_SECMARK
86         default m if NETFILTER_ADVANCED=n
87         help
88           This option enables security markings to be applied to
89           connections.  Typically they are copied to connections from
90           packets using the CONNSECMARK target and copied back from
91           connections to packets with the same target, with the packets
92           being originally labeled via SECMARK.
93
94           If unsure, say 'N'.
95
96 config NF_CONNTRACK_ZONES
97         bool  'Connection tracking zones'
98         depends on NETFILTER_ADVANCED
99         depends on NETFILTER_XT_TARGET_CT
100         help
101           This option enables support for connection tracking zones.
102           Normally, each connection needs to have a unique system wide
103           identity. Connection tracking zones allow to have multiple
104           connections using the same identity, as long as they are
105           contained in different zones.
106
107           If unsure, say `N'.
108
109 config NF_CONNTRACK_PROCFS
110         bool "Supply CT list in procfs (OBSOLETE)"
111         default y
112         depends on PROC_FS
113         ---help---
114         This option enables for the list of known conntrack entries
115         to be shown in procfs under net/netfilter/nf_conntrack. This
116         is considered obsolete in favor of using the conntrack(8)
117         tool which uses Netlink.
118
119 config NF_CONNTRACK_EVENTS
120         bool "Connection tracking events"
121         depends on NETFILTER_ADVANCED
122         help
123           If this option is enabled, the connection tracking code will
124           provide a notifier chain that can be used by other kernel code
125           to get notified about changes in the connection tracking state.
126
127           If unsure, say `N'.
128
129 config NF_CONNTRACK_TIMEOUT
130         bool  'Connection tracking timeout'
131         depends on NETFILTER_ADVANCED
132         help
133           This option enables support for connection tracking timeout
134           extension. This allows you to attach timeout policies to flow
135           via the CT target.
136
137           If unsure, say `N'.
138
139 config NF_CONNTRACK_TIMESTAMP
140         bool  'Connection tracking timestamping'
141         depends on NETFILTER_ADVANCED
142         help
143           This option enables support for connection tracking timestamping.
144           This allows you to store the flow start-time and to obtain
145           the flow-stop time (once it has been destroyed) via Connection
146           tracking events.
147
148           If unsure, say `N'.
149
150 config NF_CONNTRACK_LABELS
151         bool
152         help
153           This option enables support for assigning user-defined flag bits
154           to connection tracking entries.  It selected by the connlabel match.
155
156 config NF_CT_PROTO_DCCP
157         bool 'DCCP protocol connection tracking support'
158         depends on NETFILTER_ADVANCED
159         default y
160         help
161           With this option enabled, the layer 3 independent connection
162           tracking code will be able to do state tracking on DCCP connections.
163
164           If unsure, say Y.
165
166 config NF_CT_PROTO_GRE
167         tristate
168
169 config NF_CT_PROTO_SCTP
170         bool 'SCTP protocol connection tracking support'
171         depends on NETFILTER_ADVANCED
172         default y
173         select LIBCRC32C
174         help
175           With this option enabled, the layer 3 independent connection
176           tracking code will be able to do state tracking on SCTP connections.
177
178           If unsure, say Y.
179
180 config NF_CT_PROTO_UDPLITE
181         bool 'UDP-Lite protocol connection tracking support'
182         depends on NETFILTER_ADVANCED
183         default y
184         help
185           With this option enabled, the layer 3 independent connection
186           tracking code will be able to do state tracking on UDP-Lite
187           connections.
188
189           If unsure, say Y.
190
191 config NF_CONNTRACK_AMANDA
192         tristate "Amanda backup protocol support"
193         depends on NETFILTER_ADVANCED
194         select TEXTSEARCH
195         select TEXTSEARCH_KMP
196         help
197           If you are running the Amanda backup package <http://www.amanda.org/>
198           on this machine or machines that will be MASQUERADED through this
199           machine, then you may want to enable this feature.  This allows the
200           connection tracking and natting code to allow the sub-channels that
201           Amanda requires for communication of the backup data, messages and
202           index.
203
204           To compile it as a module, choose M here.  If unsure, say N.
205
206 config NF_CONNTRACK_FTP
207         tristate "FTP protocol support"
208         default m if NETFILTER_ADVANCED=n
209         help
210           Tracking FTP connections is problematic: special helpers are
211           required for tracking them, and doing masquerading and other forms
212           of Network Address Translation on them.
213
214           This is FTP support on Layer 3 independent connection tracking.
215           Layer 3 independent connection tracking is experimental scheme
216           which generalize ip_conntrack to support other layer 3 protocols.
217
218           To compile it as a module, choose M here.  If unsure, say N.
219
220 config NF_CONNTRACK_H323
221         tristate "H.323 protocol support"
222         depends on IPV6 || IPV6=n
223         depends on NETFILTER_ADVANCED
224         help
225           H.323 is a VoIP signalling protocol from ITU-T. As one of the most
226           important VoIP protocols, it is widely used by voice hardware and
227           software including voice gateways, IP phones, Netmeeting, OpenPhone,
228           Gnomemeeting, etc.
229
230           With this module you can support H.323 on a connection tracking/NAT
231           firewall.
232
233           This module supports RAS, Fast Start, H.245 Tunnelling, Call
234           Forwarding, RTP/RTCP and T.120 based audio, video, fax, chat,
235           whiteboard, file transfer, etc. For more information, please
236           visit http://nath323.sourceforge.net/.
237
238           To compile it as a module, choose M here.  If unsure, say N.
239
240 config NF_CONNTRACK_IRC
241         tristate "IRC protocol support"
242         default m if NETFILTER_ADVANCED=n
243         help
244           There is a commonly-used extension to IRC called
245           Direct Client-to-Client Protocol (DCC).  This enables users to send
246           files to each other, and also chat to each other without the need
247           of a server.  DCC Sending is used anywhere you send files over IRC,
248           and DCC Chat is most commonly used by Eggdrop bots.  If you are
249           using NAT, this extension will enable you to send files and initiate
250           chats.  Note that you do NOT need this extension to get files or
251           have others initiate chats, or everything else in IRC.
252
253           To compile it as a module, choose M here.  If unsure, say N.
254
255 config NF_CONNTRACK_BROADCAST
256         tristate
257
258 config NF_CONNTRACK_NETBIOS_NS
259         tristate "NetBIOS name service protocol support"
260         select NF_CONNTRACK_BROADCAST
261         help
262           NetBIOS name service requests are sent as broadcast messages from an
263           unprivileged port and responded to with unicast messages to the
264           same port. This make them hard to firewall properly because connection
265           tracking doesn't deal with broadcasts. This helper tracks locally
266           originating NetBIOS name service requests and the corresponding
267           responses. It relies on correct IP address configuration, specifically
268           netmask and broadcast address. When properly configured, the output
269           of "ip address show" should look similar to this:
270
271           $ ip -4 address show eth0
272           4: eth0: <BROADCAST,MULTICAST,UP> mtu 1500 qdisc pfifo_fast qlen 1000
273               inet 172.16.2.252/24 brd 172.16.2.255 scope global eth0
274
275           To compile it as a module, choose M here.  If unsure, say N.
276
277 config NF_CONNTRACK_SNMP
278         tristate "SNMP service protocol support"
279         depends on NETFILTER_ADVANCED
280         select NF_CONNTRACK_BROADCAST
281         help
282           SNMP service requests are sent as broadcast messages from an
283           unprivileged port and responded to with unicast messages to the
284           same port. This make them hard to firewall properly because connection
285           tracking doesn't deal with broadcasts. This helper tracks locally
286           originating SNMP service requests and the corresponding
287           responses. It relies on correct IP address configuration, specifically
288           netmask and broadcast address.
289
290           To compile it as a module, choose M here.  If unsure, say N.
291
292 config NF_CONNTRACK_PPTP
293         tristate "PPtP protocol support"
294         depends on NETFILTER_ADVANCED
295         select NF_CT_PROTO_GRE
296         help
297           This module adds support for PPTP (Point to Point Tunnelling
298           Protocol, RFC2637) connection tracking and NAT.
299
300           If you are running PPTP sessions over a stateful firewall or NAT
301           box, you may want to enable this feature.
302
303           Please note that not all PPTP modes of operation are supported yet.
304           Specifically these limitations exist:
305             - Blindly assumes that control connections are always established
306               in PNS->PAC direction. This is a violation of RFC2637.
307             - Only supports a single call within each session
308
309           To compile it as a module, choose M here.  If unsure, say N.
310
311 config NF_CONNTRACK_SANE
312         tristate "SANE protocol support"
313         depends on NETFILTER_ADVANCED
314         help
315           SANE is a protocol for remote access to scanners as implemented
316           by the 'saned' daemon. Like FTP, it uses separate control and
317           data connections.
318
319           With this module you can support SANE on a connection tracking
320           firewall.
321
322           To compile it as a module, choose M here.  If unsure, say N.
323
324 config NF_CONNTRACK_SIP
325         tristate "SIP protocol support"
326         default m if NETFILTER_ADVANCED=n
327         help
328           SIP is an application-layer control protocol that can establish,
329           modify, and terminate multimedia sessions (conferences) such as
330           Internet telephony calls. With the ip_conntrack_sip and
331           the nf_nat_sip modules you can support the protocol on a connection
332           tracking/NATing firewall.
333
334           To compile it as a module, choose M here.  If unsure, say N.
335
336 config NF_CONNTRACK_TFTP
337         tristate "TFTP protocol support"
338         depends on NETFILTER_ADVANCED
339         help
340           TFTP connection tracking helper, this is required depending
341           on how restrictive your ruleset is.
342           If you are using a tftp client behind -j SNAT or -j MASQUERADING
343           you will need this.
344
345           To compile it as a module, choose M here.  If unsure, say N.
346
347 config NF_CT_NETLINK
348         tristate 'Connection tracking netlink interface'
349         select NETFILTER_NETLINK
350         default m if NETFILTER_ADVANCED=n
351         help
352           This option enables support for a netlink-based userspace interface
353
354 config NF_CT_NETLINK_TIMEOUT
355         tristate  'Connection tracking timeout tuning via Netlink'
356         select NETFILTER_NETLINK
357         depends on NETFILTER_ADVANCED
358         help
359           This option enables support for connection tracking timeout
360           fine-grain tuning. This allows you to attach specific timeout
361           policies to flows, instead of using the global timeout policy.
362
363           If unsure, say `N'.
364
365 config NF_CT_NETLINK_HELPER
366         tristate 'Connection tracking helpers in user-space via Netlink'
367         select NETFILTER_NETLINK
368         depends on NF_CT_NETLINK
369         depends on NETFILTER_NETLINK_QUEUE
370         depends on NETFILTER_NETLINK_GLUE_CT
371         depends on NETFILTER_ADVANCED
372         help
373           This option enables the user-space connection tracking helpers
374           infrastructure.
375
376           If unsure, say `N'.
377
378 config NETFILTER_NETLINK_GLUE_CT
379         bool "NFQUEUE and NFLOG integration with Connection Tracking"
380         default n
381         depends on (NETFILTER_NETLINK_QUEUE || NETFILTER_NETLINK_LOG) && NF_CT_NETLINK
382         help
383           If this option is enabled, NFQUEUE and NFLOG can include
384           Connection Tracking information together with the packet is
385           the enqueued via NFNETLINK.
386
387 config NF_NAT
388         tristate
389
390 config NF_NAT_NEEDED
391         bool
392         depends on NF_NAT
393         default y
394
395 config NF_NAT_PROTO_DCCP
396         bool
397         depends on NF_NAT && NF_CT_PROTO_DCCP
398         default NF_NAT && NF_CT_PROTO_DCCP
399
400 config NF_NAT_PROTO_UDPLITE
401         bool
402         depends on NF_NAT && NF_CT_PROTO_UDPLITE
403         default NF_NAT && NF_CT_PROTO_UDPLITE
404
405 config NF_NAT_PROTO_SCTP
406         bool
407         default NF_NAT && NF_CT_PROTO_SCTP
408         depends on NF_NAT && NF_CT_PROTO_SCTP
409
410 config NF_NAT_AMANDA
411         tristate
412         depends on NF_CONNTRACK && NF_NAT
413         default NF_NAT && NF_CONNTRACK_AMANDA
414
415 config NF_NAT_FTP
416         tristate
417         depends on NF_CONNTRACK && NF_NAT
418         default NF_NAT && NF_CONNTRACK_FTP
419
420 config NF_NAT_IRC
421         tristate
422         depends on NF_CONNTRACK && NF_NAT
423         default NF_NAT && NF_CONNTRACK_IRC
424
425 config NF_NAT_SIP
426         tristate
427         depends on NF_CONNTRACK && NF_NAT
428         default NF_NAT && NF_CONNTRACK_SIP
429
430 config NF_NAT_TFTP
431         tristate
432         depends on NF_CONNTRACK && NF_NAT
433         default NF_NAT && NF_CONNTRACK_TFTP
434
435 config NF_NAT_REDIRECT
436         tristate "IPv4/IPv6 redirect support"
437         depends on NF_NAT
438         help
439           This is the kernel functionality to redirect packets to local
440           machine through NAT.
441
442 config NETFILTER_SYNPROXY
443         tristate
444
445 endif # NF_CONNTRACK
446
447 config NF_TABLES
448         select NETFILTER_NETLINK
449         tristate "Netfilter nf_tables support"
450         help
451           nftables is the new packet classification framework that intends to
452           replace the existing {ip,ip6,arp,eb}_tables infrastructure. It
453           provides a pseudo-state machine with an extensible instruction-set
454           (also known as expressions) that the userspace 'nft' utility
455           (http://www.netfilter.org/projects/nftables) uses to build the
456           rule-set. It also comes with the generic set infrastructure that
457           allows you to construct mappings between matchings and actions
458           for performance lookups.
459
460           To compile it as a module, choose M here.
461
462 if NF_TABLES
463
464 config NF_TABLES_INET
465         depends on IPV6
466         select NF_TABLES_IPV4
467         select NF_TABLES_IPV6
468         bool "Netfilter nf_tables mixed IPv4/IPv6 tables support"
469         help
470           This option enables support for a mixed IPv4/IPv6 "inet" table.
471
472 config NF_TABLES_NETDEV
473         bool "Netfilter nf_tables netdev tables support"
474         help
475           This option enables support for the "netdev" table.
476
477 config NFT_NUMGEN
478         tristate "Netfilter nf_tables number generator module"
479         help
480           This option adds the number generator expression used to perform
481           incremental counting and random numbers bound to a upper limit.
482
483 config NFT_CT
484         depends on NF_CONNTRACK
485         tristate "Netfilter nf_tables conntrack module"
486         help
487           This option adds the "ct" expression that you can use to match
488           connection tracking information such as the flow state.
489
490 config NFT_FLOW_OFFLOAD
491         depends on NF_CONNTRACK && NF_FLOW_TABLE
492         tristate "Netfilter nf_tables hardware flow offload module"
493         help
494           This option adds the "flow_offload" expression that you can use to
495           choose what flows are placed into the hardware.
496
497 config NFT_SET_RBTREE
498         tristate "Netfilter nf_tables rbtree set module"
499         help
500           This option adds the "rbtree" set type (Red Black tree) that is used
501           to build interval-based sets.
502
503 config NFT_SET_HASH
504         tristate "Netfilter nf_tables hash set module"
505         help
506           This option adds the "hash" set type that is used to build one-way
507           mappings between matchings and actions.
508
509 config NFT_SET_BITMAP
510         tristate "Netfilter nf_tables bitmap set module"
511         help
512           This option adds the "bitmap" set type that is used to build sets
513           whose keys are smaller or equal to 16 bits.
514
515 config NFT_COUNTER
516         tristate "Netfilter nf_tables counter module"
517         help
518           This option adds the "counter" expression that you can use to
519           include packet and byte counters in a rule.
520
521 config NFT_LOG
522         tristate "Netfilter nf_tables log module"
523         help
524           This option adds the "log" expression that you can use to log
525           packets matching some criteria.
526
527 config NFT_LIMIT
528         tristate "Netfilter nf_tables limit module"
529         help
530           This option adds the "limit" expression that you can use to
531           ratelimit rule matchings.
532
533 config NFT_MASQ
534         depends on NF_CONNTRACK
535         depends on NF_NAT
536         tristate "Netfilter nf_tables masquerade support"
537         help
538           This option adds the "masquerade" expression that you can use
539           to perform NAT in the masquerade flavour.
540
541 config NFT_REDIR
542         depends on NF_CONNTRACK
543         depends on NF_NAT
544         tristate "Netfilter nf_tables redirect support"
545         help
546           This options adds the "redirect" expression that you can use
547           to perform NAT in the redirect flavour.
548
549 config NFT_NAT
550         depends on NF_CONNTRACK
551         select NF_NAT
552         tristate "Netfilter nf_tables nat module"
553         help
554           This option adds the "nat" expression that you can use to perform
555           typical Network Address Translation (NAT) packet transformations.
556
557 config NFT_OBJREF
558         tristate "Netfilter nf_tables stateful object reference module"
559         help
560           This option adds the "objref" expression that allows you to refer to
561           stateful objects, such as counters and quotas.
562
563 config NFT_QUEUE
564         depends on NETFILTER_NETLINK_QUEUE
565         tristate "Netfilter nf_tables queue module"
566         help
567           This is required if you intend to use the userspace queueing
568           infrastructure (also known as NFQUEUE) from nftables.
569
570 config NFT_QUOTA
571         tristate "Netfilter nf_tables quota module"
572         help
573           This option adds the "quota" expression that you can use to match
574           enforce bytes quotas.
575
576 config NFT_REJECT
577         default m if NETFILTER_ADVANCED=n
578         tristate "Netfilter nf_tables reject support"
579         help
580           This option adds the "reject" expression that you can use to
581           explicitly deny and notify via TCP reset/ICMP informational errors
582           unallowed traffic.
583
584 config NFT_REJECT_INET
585         depends on NF_TABLES_INET
586         default NFT_REJECT
587         tristate
588
589 config NFT_COMPAT
590         depends on NETFILTER_XTABLES
591         tristate "Netfilter x_tables over nf_tables module"
592         help
593           This is required if you intend to use any of existing
594           x_tables match/target extensions over the nf_tables
595           framework.
596
597 config NFT_HASH
598         tristate "Netfilter nf_tables hash module"
599         help
600           This option adds the "hash" expression that you can use to perform
601           a hash operation on registers.
602
603 config NFT_FIB
604         tristate
605
606 config NFT_FIB_INET
607         depends on NF_TABLES_INET
608         depends on NFT_FIB_IPV4
609         depends on NFT_FIB_IPV6
610         tristate "Netfilter nf_tables fib inet support"
611         help
612           This option allows using the FIB expression from the inet table.
613           The lookup will be delegated to the IPv4 or IPv6 FIB depending
614           on the protocol of the packet.
615
616 if NF_TABLES_NETDEV
617
618 config NF_DUP_NETDEV
619         tristate "Netfilter packet duplication support"
620         help
621           This option enables the generic packet duplication infrastructure
622           for Netfilter.
623
624 config NFT_DUP_NETDEV
625         tristate "Netfilter nf_tables netdev packet duplication support"
626         select NF_DUP_NETDEV
627         help
628           This option enables packet duplication for the "netdev" family.
629
630 config NFT_FWD_NETDEV
631         tristate "Netfilter nf_tables netdev packet forwarding support"
632         select NF_DUP_NETDEV
633         help
634           This option enables packet forwarding for the "netdev" family.
635
636 config NFT_FIB_NETDEV
637         depends on NFT_FIB_IPV4
638         depends on NFT_FIB_IPV6
639         tristate "Netfilter nf_tables netdev fib lookups support"
640         help
641           This option allows using the FIB expression from the netdev table.
642           The lookup will be delegated to the IPv4 or IPv6 FIB depending
643           on the protocol of the packet.
644
645 endif # NF_TABLES_NETDEV
646
647 endif # NF_TABLES
648
649 config NF_FLOW_TABLE_INET
650         tristate "Netfilter flow table mixed IPv4/IPv6 module"
651         depends on NF_FLOW_TABLE
652         help
653           This option adds the flow table mixed IPv4/IPv6 support.
654
655           To compile it as a module, choose M here.
656
657 config NF_FLOW_TABLE
658         tristate "Netfilter flow table module"
659         depends on NETFILTER_INGRESS
660         depends on NF_CONNTRACK
661         depends on NF_TABLES
662         help
663           This option adds the flow table core infrastructure.
664
665           To compile it as a module, choose M here.
666
667 config NETFILTER_XTABLES
668         tristate "Netfilter Xtables support (required for ip_tables)"
669         default m if NETFILTER_ADVANCED=n
670         help
671           This is required if you intend to use any of ip_tables,
672           ip6_tables or arp_tables.
673
674 if NETFILTER_XTABLES
675
676 comment "Xtables combined modules"
677
678 config NETFILTER_XT_MARK
679         tristate 'nfmark target and match support'
680         default m if NETFILTER_ADVANCED=n
681         ---help---
682         This option adds the "MARK" target and "mark" match.
683
684         Netfilter mark matching allows you to match packets based on the
685         "nfmark" value in the packet.
686         The target allows you to create rules in the "mangle" table which alter
687         the netfilter mark (nfmark) field associated with the packet.
688
689         Prior to routing, the nfmark can influence the routing method and can
690         also be used by other subsystems to change their behavior.
691
692 config NETFILTER_XT_CONNMARK
693         tristate 'ctmark target and match support'
694         depends on NF_CONNTRACK
695         depends on NETFILTER_ADVANCED
696         select NF_CONNTRACK_MARK
697         ---help---
698         This option adds the "CONNMARK" target and "connmark" match.
699
700         Netfilter allows you to store a mark value per connection (a.k.a.
701         ctmark), similarly to the packet mark (nfmark). Using this
702         target and match, you can set and match on this mark.
703
704 config NETFILTER_XT_SET
705         tristate 'set target and match support'
706         depends on IP_SET
707         depends on NETFILTER_ADVANCED
708         help
709           This option adds the "SET" target and "set" match.
710
711           Using this target and match, you can add/delete and match
712           elements in the sets created by ipset(8).
713
714           To compile it as a module, choose M here.  If unsure, say N.
715
716 # alphabetically ordered list of targets
717
718 comment "Xtables targets"
719
720 config NETFILTER_XT_TARGET_AUDIT
721         tristate "AUDIT target support"
722         depends on AUDIT
723         depends on NETFILTER_ADVANCED
724         ---help---
725           This option adds a 'AUDIT' target, which can be used to create
726           audit records for packets dropped/accepted.
727
728           To compileit as a module, choose M here. If unsure, say N.
729
730 config NETFILTER_XT_TARGET_CHECKSUM
731         tristate "CHECKSUM target support"
732         depends on IP_NF_MANGLE || IP6_NF_MANGLE
733         depends on NETFILTER_ADVANCED
734         ---help---
735           This option adds a `CHECKSUM' target, which can be used in the iptables mangle
736           table.
737
738           You can use this target to compute and fill in the checksum in
739           a packet that lacks a checksum.  This is particularly useful,
740           if you need to work around old applications such as dhcp clients,
741           that do not work well with checksum offloads, but don't want to disable
742           checksum offload in your device.
743
744           To compile it as a module, choose M here.  If unsure, say N.
745
746 config NETFILTER_XT_TARGET_CLASSIFY
747         tristate '"CLASSIFY" target support'
748         depends on NETFILTER_ADVANCED
749         help
750           This option adds a `CLASSIFY' target, which enables the user to set
751           the priority of a packet. Some qdiscs can use this value for
752           classification, among these are:
753
754           atm, cbq, dsmark, pfifo_fast, htb, prio
755
756           To compile it as a module, choose M here.  If unsure, say N.
757
758 config NETFILTER_XT_TARGET_CONNMARK
759         tristate  '"CONNMARK" target support'
760         depends on NF_CONNTRACK
761         depends on NETFILTER_ADVANCED
762         select NETFILTER_XT_CONNMARK
763         ---help---
764         This is a backwards-compat option for the user's convenience
765         (e.g. when running oldconfig). It selects
766         CONFIG_NETFILTER_XT_CONNMARK (combined connmark/CONNMARK module).
767
768 config NETFILTER_XT_TARGET_CONNSECMARK
769         tristate '"CONNSECMARK" target support'
770         depends on NF_CONNTRACK && NF_CONNTRACK_SECMARK
771         default m if NETFILTER_ADVANCED=n
772         help
773           The CONNSECMARK target copies security markings from packets
774           to connections, and restores security markings from connections
775           to packets (if the packets are not already marked).  This would
776           normally be used in conjunction with the SECMARK target.
777
778           To compile it as a module, choose M here.  If unsure, say N.
779
780 config NETFILTER_XT_TARGET_CT
781         tristate '"CT" target support'
782         depends on NF_CONNTRACK
783         depends on IP_NF_RAW || IP6_NF_RAW
784         depends on NETFILTER_ADVANCED
785         help
786           This options adds a `CT' target, which allows to specify initial
787           connection tracking parameters like events to be delivered and
788           the helper to be used.
789
790           To compile it as a module, choose M here.  If unsure, say N.
791
792 config NETFILTER_XT_TARGET_DSCP
793         tristate '"DSCP" and "TOS" target support'
794         depends on IP_NF_MANGLE || IP6_NF_MANGLE
795         depends on NETFILTER_ADVANCED
796         help
797           This option adds a `DSCP' target, which allows you to manipulate
798           the IPv4/IPv6 header DSCP field (differentiated services codepoint).
799
800           The DSCP field can have any value between 0x0 and 0x3f inclusive.
801
802           It also adds the "TOS" target, which allows you to create rules in
803           the "mangle" table which alter the Type Of Service field of an IPv4
804           or the Priority field of an IPv6 packet, prior to routing.
805
806           To compile it as a module, choose M here.  If unsure, say N.
807
808 config NETFILTER_XT_TARGET_HL
809         tristate '"HL" hoplimit target support'
810         depends on IP_NF_MANGLE || IP6_NF_MANGLE
811         depends on NETFILTER_ADVANCED
812         ---help---
813         This option adds the "HL" (for IPv6) and "TTL" (for IPv4)
814         targets, which enable the user to change the
815         hoplimit/time-to-live value of the IP header.
816
817         While it is safe to decrement the hoplimit/TTL value, the
818         modules also allow to increment and set the hoplimit value of
819         the header to arbitrary values. This is EXTREMELY DANGEROUS
820         since you can easily create immortal packets that loop
821         forever on the network.
822
823 config NETFILTER_XT_TARGET_HMARK
824         tristate '"HMARK" target support'
825         depends on IP6_NF_IPTABLES || IP6_NF_IPTABLES=n
826         depends on NETFILTER_ADVANCED
827         ---help---
828         This option adds the "HMARK" target.
829
830         The target allows you to create rules in the "raw" and "mangle" tables
831         which set the skbuff mark by means of hash calculation within a given
832         range. The nfmark can influence the routing method and can also be used
833         by other subsystems to change their behaviour.
834
835         To compile it as a module, choose M here. If unsure, say N.
836
837 config NETFILTER_XT_TARGET_IDLETIMER
838         tristate  "IDLETIMER target support"
839         depends on NETFILTER_ADVANCED
840         help
841
842           This option adds the `IDLETIMER' target.  Each matching packet
843           resets the timer associated with label specified when the rule is
844           added.  When the timer expires, it triggers a sysfs notification.
845           The remaining time for expiration can be read via sysfs.
846
847           To compile it as a module, choose M here.  If unsure, say N.
848
849 config NETFILTER_XT_TARGET_LED
850         tristate '"LED" target support'
851         depends on LEDS_CLASS && LEDS_TRIGGERS
852         depends on NETFILTER_ADVANCED
853         help
854           This option adds a `LED' target, which allows you to blink LEDs in
855           response to particular packets passing through your machine.
856
857           This can be used to turn a spare LED into a network activity LED,
858           which only flashes in response to FTP transfers, for example.  Or
859           you could have an LED which lights up for a minute or two every time
860           somebody connects to your machine via SSH.
861
862           You will need support for the "led" class to make this work.
863
864           To create an LED trigger for incoming SSH traffic:
865             iptables -A INPUT -p tcp --dport 22 -j LED --led-trigger-id ssh --led-delay 1000
866
867           Then attach the new trigger to an LED on your system:
868             echo netfilter-ssh > /sys/class/leds/<ledname>/trigger
869
870           For more information on the LEDs available on your system, see
871           Documentation/leds/leds-class.txt
872
873 config NETFILTER_XT_TARGET_LOG
874         tristate "LOG target support"
875         select NF_LOG_COMMON
876         select NF_LOG_IPV4
877         select NF_LOG_IPV6 if IPV6
878         default m if NETFILTER_ADVANCED=n
879         help
880           This option adds a `LOG' target, which allows you to create rules in
881           any iptables table which records the packet header to the syslog.
882
883           To compile it as a module, choose M here.  If unsure, say N.
884
885 config NETFILTER_XT_TARGET_MARK
886         tristate '"MARK" target support'
887         depends on NETFILTER_ADVANCED
888         select NETFILTER_XT_MARK
889         ---help---
890         This is a backwards-compat option for the user's convenience
891         (e.g. when running oldconfig). It selects
892         CONFIG_NETFILTER_XT_MARK (combined mark/MARK module).
893
894 config NETFILTER_XT_NAT
895         tristate '"SNAT and DNAT" targets support'
896         depends on NF_NAT
897         ---help---
898         This option enables the SNAT and DNAT targets.
899
900         To compile it as a module, choose M here. If unsure, say N.
901
902 config NETFILTER_XT_TARGET_NETMAP
903         tristate '"NETMAP" target support'
904         depends on NF_NAT
905         ---help---
906         NETMAP is an implementation of static 1:1 NAT mapping of network
907         addresses. It maps the network address part, while keeping the host
908         address part intact.
909
910         To compile it as a module, choose M here. If unsure, say N.
911
912 config NETFILTER_XT_TARGET_NFLOG
913         tristate '"NFLOG" target support'
914         default m if NETFILTER_ADVANCED=n
915         select NETFILTER_NETLINK_LOG
916         help
917           This option enables the NFLOG target, which allows to LOG
918           messages through nfnetlink_log.
919
920           To compile it as a module, choose M here.  If unsure, say N.
921
922 config NETFILTER_XT_TARGET_NFQUEUE
923         tristate '"NFQUEUE" target Support'
924         depends on NETFILTER_ADVANCED
925         select NETFILTER_NETLINK_QUEUE
926         help
927           This target replaced the old obsolete QUEUE target.
928
929           As opposed to QUEUE, it supports 65535 different queues,
930           not just one.
931
932           To compile it as a module, choose M here.  If unsure, say N.
933
934 config NETFILTER_XT_TARGET_NOTRACK
935         tristate  '"NOTRACK" target support (DEPRECATED)'
936         depends on NF_CONNTRACK
937         depends on IP_NF_RAW || IP6_NF_RAW
938         depends on NETFILTER_ADVANCED
939         select NETFILTER_XT_TARGET_CT
940
941 config NETFILTER_XT_TARGET_RATEEST
942         tristate '"RATEEST" target support'
943         depends on NETFILTER_ADVANCED
944         help
945           This option adds a `RATEEST' target, which allows to measure
946           rates similar to TC estimators. The `rateest' match can be
947           used to match on the measured rates.
948
949           To compile it as a module, choose M here.  If unsure, say N.
950
951 config NETFILTER_XT_TARGET_REDIRECT
952         tristate "REDIRECT target support"
953         depends on NF_NAT
954         select NF_NAT_REDIRECT
955         ---help---
956         REDIRECT is a special case of NAT: all incoming connections are
957         mapped onto the incoming interface's address, causing the packets to
958         come to the local machine instead of passing through. This is
959         useful for transparent proxies.
960
961         To compile it as a module, choose M here. If unsure, say N.
962
963 config NETFILTER_XT_TARGET_TEE
964         tristate '"TEE" - packet cloning to alternate destination'
965         depends on NETFILTER_ADVANCED
966         depends on IPV6 || IPV6=n
967         depends on !NF_CONNTRACK || NF_CONNTRACK
968         select NF_DUP_IPV4
969         select NF_DUP_IPV6 if IPV6
970         ---help---
971         This option adds a "TEE" target with which a packet can be cloned and
972         this clone be rerouted to another nexthop.
973
974 config NETFILTER_XT_TARGET_TPROXY
975         tristate '"TPROXY" target transparent proxying support'
976         depends on NETFILTER_XTABLES
977         depends on NETFILTER_ADVANCED
978         depends on IPV6 || IPV6=n
979         depends on IP6_NF_IPTABLES || IP6_NF_IPTABLES=n
980         depends on IP_NF_MANGLE
981         select NF_DEFRAG_IPV4
982         select NF_DEFRAG_IPV6 if IP6_NF_IPTABLES != n
983         help
984           This option adds a `TPROXY' target, which is somewhat similar to
985           REDIRECT.  It can only be used in the mangle table and is useful
986           to redirect traffic to a transparent proxy.  It does _not_ depend
987           on Netfilter connection tracking and NAT, unlike REDIRECT.
988           For it to work you will have to configure certain iptables rules
989           and use policy routing. For more information on how to set it up
990           see Documentation/networking/tproxy.txt.
991
992           To compile it as a module, choose M here.  If unsure, say N.
993
994 config NETFILTER_XT_TARGET_TRACE
995         tristate  '"TRACE" target support'
996         depends on IP_NF_RAW || IP6_NF_RAW
997         depends on NETFILTER_ADVANCED
998         help
999           The TRACE target allows you to mark packets so that the kernel
1000           will log every rule which match the packets as those traverse
1001           the tables, chains, rules.
1002
1003           If you want to compile it as a module, say M here and read
1004           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1005
1006 config NETFILTER_XT_TARGET_SECMARK
1007         tristate '"SECMARK" target support'
1008         depends on NETWORK_SECMARK
1009         default m if NETFILTER_ADVANCED=n
1010         help
1011           The SECMARK target allows security marking of network
1012           packets, for use with security subsystems.
1013
1014           To compile it as a module, choose M here.  If unsure, say N.
1015
1016 config NETFILTER_XT_TARGET_TCPMSS
1017         tristate '"TCPMSS" target support'
1018         depends on IPV6 || IPV6=n
1019         default m if NETFILTER_ADVANCED=n
1020         ---help---
1021           This option adds a `TCPMSS' target, which allows you to alter the
1022           MSS value of TCP SYN packets, to control the maximum size for that
1023           connection (usually limiting it to your outgoing interface's MTU
1024           minus 40).
1025
1026           This is used to overcome criminally braindead ISPs or servers which
1027           block ICMP Fragmentation Needed packets.  The symptoms of this
1028           problem are that everything works fine from your Linux
1029           firewall/router, but machines behind it can never exchange large
1030           packets:
1031                 1) Web browsers connect, then hang with no data received.
1032                 2) Small mail works fine, but large emails hang.
1033                 3) ssh works fine, but scp hangs after initial handshaking.
1034
1035           Workaround: activate this option and add a rule to your firewall
1036           configuration like:
1037
1038           iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN \
1039                          -j TCPMSS --clamp-mss-to-pmtu
1040
1041           To compile it as a module, choose M here.  If unsure, say N.
1042
1043 config NETFILTER_XT_TARGET_TCPOPTSTRIP
1044         tristate '"TCPOPTSTRIP" target support'
1045         depends on IP_NF_MANGLE || IP6_NF_MANGLE
1046         depends on NETFILTER_ADVANCED
1047         help
1048           This option adds a "TCPOPTSTRIP" target, which allows you to strip
1049           TCP options from TCP packets.
1050
1051 # alphabetically ordered list of matches
1052
1053 comment "Xtables matches"
1054
1055 config NETFILTER_XT_MATCH_ADDRTYPE
1056         tristate '"addrtype" address type match support'
1057         default m if NETFILTER_ADVANCED=n
1058         ---help---
1059           This option allows you to match what routing thinks of an address,
1060           eg. UNICAST, LOCAL, BROADCAST, ...
1061
1062           If you want to compile it as a module, say M here and read
1063           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1064
1065 config NETFILTER_XT_MATCH_BPF
1066         tristate '"bpf" match support'
1067         depends on NETFILTER_ADVANCED
1068         help
1069           BPF matching applies a linux socket filter to each packet and
1070           accepts those for which the filter returns non-zero.
1071
1072           To compile it as a module, choose M here.  If unsure, say N.
1073
1074 config NETFILTER_XT_MATCH_CGROUP
1075         tristate '"control group" match support'
1076         depends on NETFILTER_ADVANCED
1077         depends on CGROUPS
1078         select CGROUP_NET_CLASSID
1079         ---help---
1080         Socket/process control group matching allows you to match locally
1081         generated packets based on which net_cls control group processes
1082         belong to.
1083
1084 config NETFILTER_XT_MATCH_CLUSTER
1085         tristate '"cluster" match support'
1086         depends on NF_CONNTRACK
1087         depends on NETFILTER_ADVANCED
1088         ---help---
1089           This option allows you to build work-load-sharing clusters of
1090           network servers/stateful firewalls without having a dedicated
1091           load-balancing router/server/switch. Basically, this match returns
1092           true when the packet must be handled by this cluster node. Thus,
1093           all nodes see all packets and this match decides which node handles
1094           what packets. The work-load sharing algorithm is based on source
1095           address hashing.
1096
1097           If you say Y or M here, try `iptables -m cluster --help` for
1098           more information.
1099
1100 config NETFILTER_XT_MATCH_COMMENT
1101         tristate  '"comment" match support'
1102         depends on NETFILTER_ADVANCED
1103         help
1104           This option adds a `comment' dummy-match, which allows you to put
1105           comments in your iptables ruleset.
1106
1107           If you want to compile it as a module, say M here and read
1108           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1109
1110 config NETFILTER_XT_MATCH_CONNBYTES
1111         tristate  '"connbytes" per-connection counter match support'
1112         depends on NF_CONNTRACK
1113         depends on NETFILTER_ADVANCED
1114         help
1115           This option adds a `connbytes' match, which allows you to match the
1116           number of bytes and/or packets for each direction within a connection.
1117
1118           If you want to compile it as a module, say M here and read
1119           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1120
1121 config NETFILTER_XT_MATCH_CONNLABEL
1122         tristate '"connlabel" match support'
1123         select NF_CONNTRACK_LABELS
1124         depends on NF_CONNTRACK
1125         depends on NETFILTER_ADVANCED
1126         ---help---
1127           This match allows you to test and assign userspace-defined labels names
1128           to a connection.  The kernel only stores bit values - mapping
1129           names to bits is done by userspace.
1130
1131           Unlike connmark, more than 32 flag bits may be assigned to a
1132           connection simultaneously.
1133
1134 config NETFILTER_XT_MATCH_CONNLIMIT
1135         tristate '"connlimit" match support'
1136         depends on NF_CONNTRACK
1137         depends on NETFILTER_ADVANCED
1138         select NETFILTER_CONNCOUNT
1139         ---help---
1140           This match allows you to match against the number of parallel
1141           connections to a server per client IP address (or address block).
1142
1143 config NETFILTER_XT_MATCH_CONNMARK
1144         tristate  '"connmark" connection mark match support'
1145         depends on NF_CONNTRACK
1146         depends on NETFILTER_ADVANCED
1147         select NETFILTER_XT_CONNMARK
1148         ---help---
1149         This is a backwards-compat option for the user's convenience
1150         (e.g. when running oldconfig). It selects
1151         CONFIG_NETFILTER_XT_CONNMARK (combined connmark/CONNMARK module).
1152
1153 config NETFILTER_XT_MATCH_CONNTRACK
1154         tristate '"conntrack" connection tracking match support'
1155         depends on NF_CONNTRACK
1156         default m if NETFILTER_ADVANCED=n
1157         help
1158           This is a general conntrack match module, a superset of the state match.
1159
1160           It allows matching on additional conntrack information, which is
1161           useful in complex configurations, such as NAT gateways with multiple
1162           internet links or tunnels.
1163
1164           To compile it as a module, choose M here.  If unsure, say N.
1165
1166 config NETFILTER_XT_MATCH_CPU
1167         tristate '"cpu" match support'
1168         depends on NETFILTER_ADVANCED
1169         help
1170           CPU matching allows you to match packets based on the CPU
1171           currently handling the packet.
1172
1173           To compile it as a module, choose M here.  If unsure, say N.
1174
1175 config NETFILTER_XT_MATCH_DCCP
1176         tristate '"dccp" protocol match support'
1177         depends on NETFILTER_ADVANCED
1178         default IP_DCCP
1179         help
1180           With this option enabled, you will be able to use the iptables
1181           `dccp' match in order to match on DCCP source/destination ports
1182           and DCCP flags.
1183
1184           If you want to compile it as a module, say M here and read
1185           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1186
1187 config NETFILTER_XT_MATCH_DEVGROUP
1188         tristate '"devgroup" match support'
1189         depends on NETFILTER_ADVANCED
1190         help
1191           This options adds a `devgroup' match, which allows to match on the
1192           device group a network device is assigned to.
1193
1194           To compile it as a module, choose M here.  If unsure, say N.
1195
1196 config NETFILTER_XT_MATCH_DSCP
1197         tristate '"dscp" and "tos" match support'
1198         depends on NETFILTER_ADVANCED
1199         help
1200           This option adds a `DSCP' match, which allows you to match against
1201           the IPv4/IPv6 header DSCP field (differentiated services codepoint).
1202
1203           The DSCP field can have any value between 0x0 and 0x3f inclusive.
1204
1205           It will also add a "tos" match, which allows you to match packets
1206           based on the Type Of Service fields of the IPv4 packet (which share
1207           the same bits as DSCP).
1208
1209           To compile it as a module, choose M here.  If unsure, say N.
1210
1211 config NETFILTER_XT_MATCH_ECN
1212         tristate '"ecn" match support'
1213         depends on NETFILTER_ADVANCED
1214         ---help---
1215         This option adds an "ECN" match, which allows you to match against
1216         the IPv4 and TCP header ECN fields.
1217
1218         To compile it as a module, choose M here. If unsure, say N.
1219
1220 config NETFILTER_XT_MATCH_ESP
1221         tristate '"esp" match support'
1222         depends on NETFILTER_ADVANCED
1223         help
1224           This match extension allows you to match a range of SPIs
1225           inside ESP header of IPSec packets.
1226
1227           To compile it as a module, choose M here.  If unsure, say N.
1228
1229 config NETFILTER_XT_MATCH_HASHLIMIT
1230         tristate '"hashlimit" match support'
1231         depends on IP6_NF_IPTABLES || IP6_NF_IPTABLES=n
1232         depends on NETFILTER_ADVANCED
1233         help
1234           This option adds a `hashlimit' match.
1235
1236           As opposed to `limit', this match dynamically creates a hash table
1237           of limit buckets, based on your selection of source/destination
1238           addresses and/or ports.
1239
1240           It enables you to express policies like `10kpps for any given
1241           destination address' or `500pps from any given source address'
1242           with a single rule.
1243
1244 config NETFILTER_XT_MATCH_HELPER
1245         tristate '"helper" match support'
1246         depends on NF_CONNTRACK
1247         depends on NETFILTER_ADVANCED
1248         help
1249           Helper matching allows you to match packets in dynamic connections
1250           tracked by a conntrack-helper, ie. ip_conntrack_ftp
1251
1252           To compile it as a module, choose M here.  If unsure, say Y.
1253
1254 config NETFILTER_XT_MATCH_HL
1255         tristate '"hl" hoplimit/TTL match support'
1256         depends on NETFILTER_ADVANCED
1257         ---help---
1258         HL matching allows you to match packets based on the hoplimit
1259         in the IPv6 header, or the time-to-live field in the IPv4
1260         header of the packet.
1261
1262 config NETFILTER_XT_MATCH_IPCOMP
1263         tristate '"ipcomp" match support'
1264         depends on NETFILTER_ADVANCED
1265         help
1266           This match extension allows you to match a range of CPIs(16 bits)
1267           inside IPComp header of IPSec packets.
1268
1269           To compile it as a module, choose M here.  If unsure, say N.
1270
1271 config NETFILTER_XT_MATCH_IPRANGE
1272         tristate '"iprange" address range match support'
1273         depends on NETFILTER_ADVANCED
1274         ---help---
1275         This option adds a "iprange" match, which allows you to match based on
1276         an IP address range. (Normal iptables only matches on single addresses
1277         with an optional mask.)
1278
1279         If unsure, say M.
1280
1281 config NETFILTER_XT_MATCH_IPVS
1282         tristate '"ipvs" match support'
1283         depends on IP_VS
1284         depends on NETFILTER_ADVANCED
1285         depends on NF_CONNTRACK
1286         help
1287           This option allows you to match against IPVS properties of a packet.
1288
1289           If unsure, say N.
1290
1291 config NETFILTER_XT_MATCH_L2TP
1292         tristate '"l2tp" match support'
1293         depends on NETFILTER_ADVANCED
1294         default L2TP
1295         ---help---
1296         This option adds an "L2TP" match, which allows you to match against
1297         L2TP protocol header fields.
1298
1299         To compile it as a module, choose M here. If unsure, say N.
1300
1301 config NETFILTER_XT_MATCH_LENGTH
1302         tristate '"length" match support'
1303         depends on NETFILTER_ADVANCED
1304         help
1305           This option allows you to match the length of a packet against a
1306           specific value or range of values.
1307
1308           To compile it as a module, choose M here.  If unsure, say N.
1309
1310 config NETFILTER_XT_MATCH_LIMIT
1311         tristate '"limit" match support'
1312         depends on NETFILTER_ADVANCED
1313         help
1314           limit matching allows you to control the rate at which a rule can be
1315           matched: mainly useful in combination with the LOG target ("LOG
1316           target support", below) and to avoid some Denial of Service attacks.
1317
1318           To compile it as a module, choose M here.  If unsure, say N.
1319
1320 config NETFILTER_XT_MATCH_MAC
1321         tristate '"mac" address match support'
1322         depends on NETFILTER_ADVANCED
1323         help
1324           MAC matching allows you to match packets based on the source
1325           Ethernet address of the packet.
1326
1327           To compile it as a module, choose M here.  If unsure, say N.
1328
1329 config NETFILTER_XT_MATCH_MARK
1330         tristate '"mark" match support'
1331         depends on NETFILTER_ADVANCED
1332         select NETFILTER_XT_MARK
1333         ---help---
1334         This is a backwards-compat option for the user's convenience
1335         (e.g. when running oldconfig). It selects
1336         CONFIG_NETFILTER_XT_MARK (combined mark/MARK module).
1337
1338 config NETFILTER_XT_MATCH_MULTIPORT
1339         tristate '"multiport" Multiple port match support'
1340         depends on NETFILTER_ADVANCED
1341         help
1342           Multiport matching allows you to match TCP or UDP packets based on
1343           a series of source or destination ports: normally a rule can only
1344           match a single range of ports.
1345
1346           To compile it as a module, choose M here.  If unsure, say N.
1347
1348 config NETFILTER_XT_MATCH_NFACCT
1349         tristate '"nfacct" match support'
1350         depends on NETFILTER_ADVANCED
1351         select NETFILTER_NETLINK_ACCT
1352         help
1353           This option allows you to use the extended accounting through
1354           nfnetlink_acct.
1355
1356           To compile it as a module, choose M here.  If unsure, say N.
1357
1358 config NETFILTER_XT_MATCH_OSF
1359         tristate '"osf" Passive OS fingerprint match'
1360         depends on NETFILTER_ADVANCED && NETFILTER_NETLINK
1361         help
1362           This option selects the Passive OS Fingerprinting match module
1363           that allows to passively match the remote operating system by
1364           analyzing incoming TCP SYN packets.
1365
1366           Rules and loading software can be downloaded from
1367           http://www.ioremap.net/projects/osf
1368
1369           To compile it as a module, choose M here.  If unsure, say N.
1370
1371 config NETFILTER_XT_MATCH_OWNER
1372         tristate '"owner" match support'
1373         depends on NETFILTER_ADVANCED
1374         ---help---
1375         Socket owner matching allows you to match locally-generated packets
1376         based on who created the socket: the user or group. It is also
1377         possible to check whether a socket actually exists.
1378
1379 config NETFILTER_XT_MATCH_POLICY
1380         tristate 'IPsec "policy" match support'
1381         depends on XFRM
1382         default m if NETFILTER_ADVANCED=n
1383         help
1384           Policy matching allows you to match packets based on the
1385           IPsec policy that was used during decapsulation/will
1386           be used during encapsulation.
1387
1388           To compile it as a module, choose M here.  If unsure, say N.
1389
1390 config NETFILTER_XT_MATCH_PHYSDEV
1391         tristate '"physdev" match support'
1392         depends on BRIDGE && BRIDGE_NETFILTER
1393         depends on NETFILTER_ADVANCED
1394         help
1395           Physdev packet matching matches against the physical bridge ports
1396           the IP packet arrived on or will leave by.
1397
1398           To compile it as a module, choose M here.  If unsure, say N.
1399
1400 config NETFILTER_XT_MATCH_PKTTYPE
1401         tristate '"pkttype" packet type match support'
1402         depends on NETFILTER_ADVANCED
1403         help
1404           Packet type matching allows you to match a packet by
1405           its "class", eg. BROADCAST, MULTICAST, ...
1406
1407           Typical usage:
1408           iptables -A INPUT -m pkttype --pkt-type broadcast -j LOG
1409
1410           To compile it as a module, choose M here.  If unsure, say N.
1411
1412 config NETFILTER_XT_MATCH_QUOTA
1413         tristate '"quota" match support'
1414         depends on NETFILTER_ADVANCED
1415         help
1416           This option adds a `quota' match, which allows to match on a
1417           byte counter.
1418
1419           If you want to compile it as a module, say M here and read
1420           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1421
1422 config NETFILTER_XT_MATCH_RATEEST
1423         tristate '"rateest" match support'
1424         depends on NETFILTER_ADVANCED
1425         select NETFILTER_XT_TARGET_RATEEST
1426         help
1427           This option adds a `rateest' match, which allows to match on the
1428           rate estimated by the RATEEST target.
1429
1430           To compile it as a module, choose M here.  If unsure, say N.
1431
1432 config NETFILTER_XT_MATCH_REALM
1433         tristate  '"realm" match support'
1434         depends on NETFILTER_ADVANCED
1435         select IP_ROUTE_CLASSID
1436         help
1437           This option adds a `realm' match, which allows you to use the realm
1438           key from the routing subsystem inside iptables.
1439
1440           This match pretty much resembles the CONFIG_NET_CLS_ROUTE4 option 
1441           in tc world.
1442
1443           If you want to compile it as a module, say M here and read
1444           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1445
1446 config NETFILTER_XT_MATCH_RECENT
1447         tristate '"recent" match support'
1448         depends on NETFILTER_ADVANCED
1449         ---help---
1450         This match is used for creating one or many lists of recently
1451         used addresses and then matching against that/those list(s).
1452
1453         Short options are available by using 'iptables -m recent -h'
1454         Official Website: <http://snowman.net/projects/ipt_recent/>
1455
1456 config NETFILTER_XT_MATCH_SCTP
1457         tristate  '"sctp" protocol match support'
1458         depends on NETFILTER_ADVANCED
1459         default IP_SCTP
1460         help
1461           With this option enabled, you will be able to use the 
1462           `sctp' match in order to match on SCTP source/destination ports
1463           and SCTP chunk types.
1464
1465           If you want to compile it as a module, say M here and read
1466           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1467
1468 config NETFILTER_XT_MATCH_SOCKET
1469         tristate '"socket" match support'
1470         depends on NETFILTER_XTABLES
1471         depends on NETFILTER_ADVANCED
1472         depends on IPV6 || IPV6=n
1473         depends on IP6_NF_IPTABLES || IP6_NF_IPTABLES=n
1474         depends on NF_SOCKET_IPV4
1475         depends on NF_SOCKET_IPV6
1476         select NF_DEFRAG_IPV4
1477         select NF_DEFRAG_IPV6 if IP6_NF_IPTABLES != n
1478         help
1479           This option adds a `socket' match, which can be used to match
1480           packets for which a TCP or UDP socket lookup finds a valid socket.
1481           It can be used in combination with the MARK target and policy
1482           routing to implement full featured non-locally bound sockets.
1483
1484           To compile it as a module, choose M here.  If unsure, say N.
1485
1486 config NETFILTER_XT_MATCH_STATE
1487         tristate '"state" match support'
1488         depends on NF_CONNTRACK
1489         default m if NETFILTER_ADVANCED=n
1490         help
1491           Connection state matching allows you to match packets based on their
1492           relationship to a tracked connection (ie. previous packets).  This
1493           is a powerful tool for packet classification.
1494
1495           To compile it as a module, choose M here.  If unsure, say N.
1496
1497 config NETFILTER_XT_MATCH_STATISTIC
1498         tristate '"statistic" match support'
1499         depends on NETFILTER_ADVANCED
1500         help
1501           This option adds a `statistic' match, which allows you to match
1502           on packets periodically or randomly with a given percentage.
1503
1504           To compile it as a module, choose M here.  If unsure, say N.
1505
1506 config NETFILTER_XT_MATCH_STRING
1507         tristate  '"string" match support'
1508         depends on NETFILTER_ADVANCED
1509         select TEXTSEARCH
1510         select TEXTSEARCH_KMP
1511         select TEXTSEARCH_BM
1512         select TEXTSEARCH_FSM
1513         help
1514           This option adds a `string' match, which allows you to look for
1515           pattern matchings in packets.
1516
1517           To compile it as a module, choose M here.  If unsure, say N.
1518
1519 config NETFILTER_XT_MATCH_TCPMSS
1520         tristate '"tcpmss" match support'
1521         depends on NETFILTER_ADVANCED
1522         help
1523           This option adds a `tcpmss' match, which allows you to examine the
1524           MSS value of TCP SYN packets, which control the maximum packet size
1525           for that connection.
1526
1527           To compile it as a module, choose M here.  If unsure, say N.
1528
1529 config NETFILTER_XT_MATCH_TIME
1530         tristate '"time" match support'
1531         depends on NETFILTER_ADVANCED
1532         ---help---
1533           This option adds a "time" match, which allows you to match based on
1534           the packet arrival time (at the machine which netfilter is running)
1535           on) or departure time/date (for locally generated packets).
1536
1537           If you say Y here, try `iptables -m time --help` for
1538           more information.
1539
1540           If you want to compile it as a module, say M here.
1541           If unsure, say N.
1542
1543 config NETFILTER_XT_MATCH_U32
1544         tristate '"u32" match support'
1545         depends on NETFILTER_ADVANCED
1546         ---help---
1547           u32 allows you to extract quantities of up to 4 bytes from a packet,
1548           AND them with specified masks, shift them by specified amounts and
1549           test whether the results are in any of a set of specified ranges.
1550           The specification of what to extract is general enough to skip over
1551           headers with lengths stored in the packet, as in IP or TCP header
1552           lengths.
1553
1554           Details and examples are in the kernel module source.
1555
1556 endif # NETFILTER_XTABLES
1557
1558 endmenu
1559
1560 source "net/netfilter/ipset/Kconfig"
1561
1562 source "net/netfilter/ipvs/Kconfig"