net/netfilter/Kconfig

   1 menu "Core Netfilter Configuration"
   2         depends on NET && INET && NETFILTER
   3
   4 config NETFILTER_INGRESS
   5         bool "Netfilter ingress support"
   6         default y
   7         select NET_INGRESS
   8         help
   9           This allows you to classify packets from ingress using the Netfilter
  10           infrastructure.
  11
  12 config NETFILTER_NETLINK
  13         tristate
  14
  15 config NETFILTER_FAMILY_BRIDGE
  16         bool
  17
  18 config NETFILTER_FAMILY_ARP
  19         bool
  20
  21 config NETFILTER_NETLINK_ACCT
  22 tristate "Netfilter NFACCT over NFNETLINK interface"
  23         depends on NETFILTER_ADVANCED
  24         select NETFILTER_NETLINK
  25         help
  26           If this option is enabled, the kernel will include support
  27           for extended accounting via NFNETLINK.
  28
  29 config NETFILTER_NETLINK_QUEUE
  30         tristate "Netfilter NFQUEUE over NFNETLINK interface"
  31         depends on NETFILTER_ADVANCED
  32         select NETFILTER_NETLINK
  33         help
  34           If this option is enabled, the kernel will include support
  35           for queueing packets via NFNETLINK.
  36
  37 config NETFILTER_NETLINK_LOG
  38         tristate "Netfilter LOG over NFNETLINK interface"
  39         default m if NETFILTER_ADVANCED=n
  40         select NETFILTER_NETLINK
  41         help
  42           If this option is enabled, the kernel will include support
  43           for logging packets via NFNETLINK.
  44
  45           This obsoletes the existing ipt_ULOG and ebg_ulog mechanisms,
  46           and is also scheduled to replace the old syslog-based ipt_LOG
  47           and ip6t_LOG modules.
  48
  49 config NF_CONNTRACK
  50         tristate "Netfilter connection tracking support"
  51         default m if NETFILTER_ADVANCED=n
  52         help
  53           Connection tracking keeps a record of what packets have passed
  54           through your machine, in order to figure out how they are related
  55           into connections.
  56
  57           This is required to do Masquerading or other kinds of Network
  58           Address Translation.  It can also be used to enhance packet
  59           filtering (see `Connection state match support' below).
  60
  61           To compile it as a module, choose M here.  If unsure, say N.
  62
  63 config NF_LOG_COMMON
  64         tristate
  65
  66 config NF_LOG_NETDEV
  67         tristate "Netdev packet logging"
  68         select NF_LOG_COMMON
  69
  70 if NF_CONNTRACK
  71 config NETFILTER_CONNCOUNT
  72         tristate
  73
  74 config NF_CONNTRACK_MARK
  75         bool  'Connection mark tracking support'
  76         depends on NETFILTER_ADVANCED
  77         help
  78           This option enables support for connection marks, used by the
  79           `CONNMARK' target and `connmark' match. Similar to the mark value
  80           of packets, but this mark value is kept in the conntrack session
  81           instead of the individual packets.
  82
  83 config NF_CONNTRACK_SECMARK
  84         bool  'Connection tracking security mark support'
  85         depends on NETWORK_SECMARK
  86         default m if NETFILTER_ADVANCED=n
  87         help
  88           This option enables security markings to be applied to
  89           connections.  Typically they are copied to connections from
  90           packets using the CONNSECMARK target and copied back from
  91           connections to packets with the same target, with the packets
  92           being originally labeled via SECMARK.
  93
  94           If unsure, say 'N'.
  95
  96 config NF_CONNTRACK_ZONES
  97         bool  'Connection tracking zones'
  98         depends on NETFILTER_ADVANCED
  99         depends on NETFILTER_XT_TARGET_CT
 100         help
 101           This option enables support for connection tracking zones.
 102           Normally, each connection needs to have a unique system wide
 103           identity. Connection tracking zones allow to have multiple
 104           connections using the same identity, as long as they are
 105           contained in different zones.
 106
 107           If unsure, say `N'.
 108
 109 config NF_CONNTRACK_PROCFS
 110         bool "Supply CT list in procfs (OBSOLETE)"
 111         default y
 112         depends on PROC_FS
 113         ---help---
 114         This option enables for the list of known conntrack entries
 115         to be shown in procfs under net/netfilter/nf_conntrack. This
 116         is considered obsolete in favor of using the conntrack(8)
 117         tool which uses Netlink.
 118
 119 config NF_CONNTRACK_EVENTS
 120         bool "Connection tracking events"
 121         depends on NETFILTER_ADVANCED
 122         help
 123           If this option is enabled, the connection tracking code will
 124           provide a notifier chain that can be used by other kernel code
 125           to get notified about changes in the connection tracking state.
 126
 127           If unsure, say `N'.
 128
 129 config NF_CONNTRACK_TIMEOUT
 130         bool  'Connection tracking timeout'
 131         depends on NETFILTER_ADVANCED
 132         help
 133           This option enables support for connection tracking timeout
 134           extension. This allows you to attach timeout policies to flow
 135           via the CT target.
 136
 137           If unsure, say `N'.
 138
 139 config NF_CONNTRACK_TIMESTAMP
 140         bool  'Connection tracking timestamping'
 141         depends on NETFILTER_ADVANCED
 142         help
 143           This option enables support for connection tracking timestamping.
 144           This allows you to store the flow start-time and to obtain
 145           the flow-stop time (once it has been destroyed) via Connection
 146           tracking events.
 147
 148           If unsure, say `N'.
 149
 150 config NF_CONNTRACK_LABELS
 151         bool
 152         help
 153           This option enables support for assigning user-defined flag bits
 154           to connection tracking entries.  It selected by the connlabel match.
 155
 156 config NF_CT_PROTO_DCCP
 157         bool 'DCCP protocol connection tracking support'
 158         depends on NETFILTER_ADVANCED
 159         default y
 160         help
 161           With this option enabled, the layer 3 independent connection
 162           tracking code will be able to do state tracking on DCCP connections.
 163
 164           If unsure, say Y.
 165
 166 config NF_CT_PROTO_GRE
 167         tristate
 168
 169 config NF_CT_PROTO_SCTP
 170         bool 'SCTP protocol connection tracking support'
 171         depends on NETFILTER_ADVANCED
 172         default y
 173         select LIBCRC32C
 174         help
 175           With this option enabled, the layer 3 independent connection
 176           tracking code will be able to do state tracking on SCTP connections.
 177
 178           If unsure, say Y.
 179
 180 config NF_CT_PROTO_UDPLITE
 181         bool 'UDP-Lite protocol connection tracking support'
 182         depends on NETFILTER_ADVANCED
 183         default y
 184         help
 185           With this option enabled, the layer 3 independent connection
 186           tracking code will be able to do state tracking on UDP-Lite
 187           connections.
 188
 189           If unsure, say Y.
 190
 191 config NF_CONNTRACK_AMANDA
 192         tristate "Amanda backup protocol support"
 193         depends on NETFILTER_ADVANCED
 194         select TEXTSEARCH
 195         select TEXTSEARCH_KMP
 196         help
 197           If you are running the Amanda backup package <http://www.amanda.org/>
 198           on this machine or machines that will be MASQUERADED through this
 199           machine, then you may want to enable this feature.  This allows the
 200           connection tracking and natting code to allow the sub-channels that
 201           Amanda requires for communication of the backup data, messages and
 202           index.
 203
 204           To compile it as a module, choose M here.  If unsure, say N.
 205
 206 config NF_CONNTRACK_FTP
 207         tristate "FTP protocol support"
 208         default m if NETFILTER_ADVANCED=n
 209         help
 210           Tracking FTP connections is problematic: special helpers are
 211           required for tracking them, and doing masquerading and other forms
 212           of Network Address Translation on them.
 213
 214           This is FTP support on Layer 3 independent connection tracking.
 215           Layer 3 independent connection tracking is experimental scheme
 216           which generalize ip_conntrack to support other layer 3 protocols.
 217
 218           To compile it as a module, choose M here.  If unsure, say N.
 219
 220 config NF_CONNTRACK_H323
 221         tristate "H.323 protocol support"
 222         depends on IPV6 || IPV6=n
 223         depends on NETFILTER_ADVANCED
 224         help
 225           H.323 is a VoIP signalling protocol from ITU-T. As one of the most
 226           important VoIP protocols, it is widely used by voice hardware and
 227           software including voice gateways, IP phones, Netmeeting, OpenPhone,
 228           Gnomemeeting, etc.
 229
 230           With this module you can support H.323 on a connection tracking/NAT
 231           firewall.
 232
 233           This module supports RAS, Fast Start, H.245 Tunnelling, Call
 234           Forwarding, RTP/RTCP and T.120 based audio, video, fax, chat,
 235           whiteboard, file transfer, etc. For more information, please
 236           visit http://nath323.sourceforge.net/.
 237
 238           To compile it as a module, choose M here.  If unsure, say N.
 239
 240 config NF_CONNTRACK_IRC
 241         tristate "IRC protocol support"
 242         default m if NETFILTER_ADVANCED=n
 243         help
 244           There is a commonly-used extension to IRC called
 245           Direct Client-to-Client Protocol (DCC).  This enables users to send
 246           files to each other, and also chat to each other without the need
 247           of a server.  DCC Sending is used anywhere you send files over IRC,
 248           and DCC Chat is most commonly used by Eggdrop bots.  If you are
 249           using NAT, this extension will enable you to send files and initiate
 250           chats.  Note that you do NOT need this extension to get files or
 251           have others initiate chats, or everything else in IRC.
 252
 253           To compile it as a module, choose M here.  If unsure, say N.
 254
 255 config NF_CONNTRACK_BROADCAST
 256         tristate
 257
 258 config NF_CONNTRACK_NETBIOS_NS
 259         tristate "NetBIOS name service protocol support"
 260         select NF_CONNTRACK_BROADCAST
 261         help
 262           NetBIOS name service requests are sent as broadcast messages from an
 263           unprivileged port and responded to with unicast messages to the
 264           same port. This make them hard to firewall properly because connection
 265           tracking doesn't deal with broadcasts. This helper tracks locally
 266           originating NetBIOS name service requests and the corresponding
 267           responses. It relies on correct IP address configuration, specifically
 268           netmask and broadcast address. When properly configured, the output
 269           of "ip address show" should look similar to this:
 270
 271           $ ip -4 address show eth0
 272           4: eth0: <BROADCAST,MULTICAST,UP> mtu 1500 qdisc pfifo_fast qlen 1000
 273               inet 172.16.2.252/24 brd 172.16.2.255 scope global eth0
 274
 275           To compile it as a module, choose M here.  If unsure, say N.
 276
 277 config NF_CONNTRACK_SNMP
 278         tristate "SNMP service protocol support"
 279         depends on NETFILTER_ADVANCED
 280         select NF_CONNTRACK_BROADCAST
 281         help
 282           SNMP service requests are sent as broadcast messages from an
 283           unprivileged port and responded to with unicast messages to the
 284           same port. This make them hard to firewall properly because connection
 285           tracking doesn't deal with broadcasts. This helper tracks locally
 286           originating SNMP service requests and the corresponding
 287           responses. It relies on correct IP address configuration, specifically
 288           netmask and broadcast address.
 289
 290           To compile it as a module, choose M here.  If unsure, say N.
 291
 292 config NF_CONNTRACK_PPTP
 293         tristate "PPtP protocol support"
 294         depends on NETFILTER_ADVANCED
 295         select NF_CT_PROTO_GRE
 296         help
 297           This module adds support for PPTP (Point to Point Tunnelling
 298           Protocol, RFC2637) connection tracking and NAT.
 299
 300           If you are running PPTP sessions over a stateful firewall or NAT
 301           box, you may want to enable this feature.
 302
 303           Please note that not all PPTP modes of operation are supported yet.
 304           Specifically these limitations exist:
 305             - Blindly assumes that control connections are always established
 306               in PNS->PAC direction. This is a violation of RFC2637.
 307             - Only supports a single call within each session
 308
 309           To compile it as a module, choose M here.  If unsure, say N.
 310
 311 config NF_CONNTRACK_SANE
 312         tristate "SANE protocol support"
 313         depends on NETFILTER_ADVANCED
 314         help
 315           SANE is a protocol for remote access to scanners as implemented
 316           by the 'saned' daemon. Like FTP, it uses separate control and
 317           data connections.
 318
 319           With this module you can support SANE on a connection tracking
 320           firewall.
 321
 322           To compile it as a module, choose M here.  If unsure, say N.
 323
 324 config NF_CONNTRACK_SIP
 325         tristate "SIP protocol support"
 326         default m if NETFILTER_ADVANCED=n
 327         help
 328           SIP is an application-layer control protocol that can establish,
 329           modify, and terminate multimedia sessions (conferences) such as
 330           Internet telephony calls. With the ip_conntrack_sip and
 331           the nf_nat_sip modules you can support the protocol on a connection
 332           tracking/NATing firewall.
 333
 334           To compile it as a module, choose M here.  If unsure, say N.
 335
 336 config NF_CONNTRACK_TFTP
 337         tristate "TFTP protocol support"
 338         depends on NETFILTER_ADVANCED
 339         help
 340           TFTP connection tracking helper, this is required depending
 341           on how restrictive your ruleset is.
 342           If you are using a tftp client behind -j SNAT or -j MASQUERADING
 343           you will need this.
 344
 345           To compile it as a module, choose M here.  If unsure, say N.
 346
 347 config NF_CT_NETLINK
 348         tristate 'Connection tracking netlink interface'
 349         select NETFILTER_NETLINK
 350         default m if NETFILTER_ADVANCED=n
 351         help
 352           This option enables support for a netlink-based userspace interface
 353
 354 config NF_CT_NETLINK_TIMEOUT
 355         tristate  'Connection tracking timeout tuning via Netlink'
 356         select NETFILTER_NETLINK
 357         depends on NETFILTER_ADVANCED
 358         help
 359           This option enables support for connection tracking timeout
 360           fine-grain tuning. This allows you to attach specific timeout
 361           policies to flows, instead of using the global timeout policy.
 362
 363           If unsure, say `N'.
 364
 365 config NF_CT_NETLINK_HELPER
 366         tristate 'Connection tracking helpers in user-space via Netlink'
 367         select NETFILTER_NETLINK
 368         depends on NF_CT_NETLINK
 369         depends on NETFILTER_NETLINK_QUEUE
 370         depends on NETFILTER_NETLINK_GLUE_CT
 371         depends on NETFILTER_ADVANCED
 372         help
 373           This option enables the user-space connection tracking helpers
 374           infrastructure.
 375
 376           If unsure, say `N'.
 377
 378 config NETFILTER_NETLINK_GLUE_CT
 379         bool "NFQUEUE and NFLOG integration with Connection Tracking"
 380         default n
 381         depends on (NETFILTER_NETLINK_QUEUE || NETFILTER_NETLINK_LOG) && NF_CT_NETLINK
 382         help
 383           If this option is enabled, NFQUEUE and NFLOG can include
 384           Connection Tracking information together with the packet is
 385           the enqueued via NFNETLINK.
 386
 387 config NF_NAT
 388         tristate
 389
 390 config NF_NAT_NEEDED
 391         bool
 392         depends on NF_NAT
 393         default y
 394
 395 config NF_NAT_PROTO_DCCP
 396         bool
 397         depends on NF_NAT && NF_CT_PROTO_DCCP
 398         default NF_NAT && NF_CT_PROTO_DCCP
 399
 400 config NF_NAT_PROTO_UDPLITE
 401         bool
 402         depends on NF_NAT && NF_CT_PROTO_UDPLITE
 403         default NF_NAT && NF_CT_PROTO_UDPLITE
 404
 405 config NF_NAT_PROTO_SCTP
 406         bool
 407         default NF_NAT && NF_CT_PROTO_SCTP
 408         depends on NF_NAT && NF_CT_PROTO_SCTP
 409
 410 config NF_NAT_AMANDA
 411         tristate
 412         depends on NF_CONNTRACK && NF_NAT
 413         default NF_NAT && NF_CONNTRACK_AMANDA
 414
 415 config NF_NAT_FTP
 416         tristate
 417         depends on NF_CONNTRACK && NF_NAT
 418         default NF_NAT && NF_CONNTRACK_FTP
 419
 420 config NF_NAT_IRC
 421         tristate
 422         depends on NF_CONNTRACK && NF_NAT
 423         default NF_NAT && NF_CONNTRACK_IRC
 424
 425 config NF_NAT_SIP
 426         tristate
 427         depends on NF_CONNTRACK && NF_NAT
 428         default NF_NAT && NF_CONNTRACK_SIP
 429
 430 config NF_NAT_TFTP
 431         tristate
 432         depends on NF_CONNTRACK && NF_NAT
 433         default NF_NAT && NF_CONNTRACK_TFTP
 434
 435 config NF_NAT_REDIRECT
 436         tristate "IPv4/IPv6 redirect support"
 437         depends on NF_NAT
 438         help
 439           This is the kernel functionality to redirect packets to local
 440           machine through NAT.
 441
 442 config NETFILTER_SYNPROXY
 443         tristate
 444
 445 endif # NF_CONNTRACK
 446
 447 config NF_TABLES
 448         select NETFILTER_NETLINK
 449         tristate "Netfilter nf_tables support"
 450         help
 451           nftables is the new packet classification framework that intends to
 452           replace the existing {ip,ip6,arp,eb}_tables infrastructure. It
 453           provides a pseudo-state machine with an extensible instruction-set
 454           (also known as expressions) that the userspace 'nft' utility
 455           (http://www.netfilter.org/projects/nftables) uses to build the
 456           rule-set. It also comes with the generic set infrastructure that
 457           allows you to construct mappings between matchings and actions
 458           for performance lookups.
 459
 460           To compile it as a module, choose M here.
 461
 462 if NF_TABLES
 463
 464 config NF_TABLES_INET
 465         depends on IPV6
 466         select NF_TABLES_IPV4
 467         select NF_TABLES_IPV6
 468         bool "Netfilter nf_tables mixed IPv4/IPv6 tables support"
 469         help
 470           This option enables support for a mixed IPv4/IPv6 "inet" table.
 471
 472 config NF_TABLES_NETDEV
 473         bool "Netfilter nf_tables netdev tables support"
 474         help
 475           This option enables support for the "netdev" table.
 476
 477 config NFT_EXTHDR
 478         tristate "Netfilter nf_tables exthdr module"
 479         help
 480           This option adds the "exthdr" expression that you can use to match
 481           IPv6 extension headers and tcp options.
 482
 483 config NFT_META
 484         tristate "Netfilter nf_tables meta module"
 485         help
 486           This option adds the "meta" expression that you can use to match and
 487           to set packet metainformation such as the packet mark.
 488
 489 config NFT_RT
 490         tristate "Netfilter nf_tables routing module"
 491         help
 492           This option adds the "rt" expression that you can use to match
 493           packet routing information such as the packet nexthop.
 494
 495 config NFT_NUMGEN
 496         tristate "Netfilter nf_tables number generator module"
 497         help
 498           This option adds the number generator expression used to perform
 499           incremental counting and random numbers bound to a upper limit.
 500
 501 config NFT_CT
 502         depends on NF_CONNTRACK
 503         tristate "Netfilter nf_tables conntrack module"
 504         help
 505           This option adds the "ct" expression that you can use to match
 506           connection tracking information such as the flow state.
 507
 508 config NFT_FLOW_OFFLOAD
 509         depends on NF_CONNTRACK && NF_FLOW_TABLE
 510         tristate "Netfilter nf_tables hardware flow offload module"
 511         help
 512           This option adds the "flow_offload" expression that you can use to
 513           choose what flows are placed into the hardware.
 514
 515 config NFT_SET_RBTREE
 516         tristate "Netfilter nf_tables rbtree set module"
 517         help
 518           This option adds the "rbtree" set type (Red Black tree) that is used
 519           to build interval-based sets.
 520
 521 config NFT_SET_HASH
 522         tristate "Netfilter nf_tables hash set module"
 523         help
 524           This option adds the "hash" set type that is used to build one-way
 525           mappings between matchings and actions.
 526
 527 config NFT_SET_BITMAP
 528         tristate "Netfilter nf_tables bitmap set module"
 529         help
 530           This option adds the "bitmap" set type that is used to build sets
 531           whose keys are smaller or equal to 16 bits.
 532
 533 config NFT_COUNTER
 534         tristate "Netfilter nf_tables counter module"
 535         help
 536           This option adds the "counter" expression that you can use to
 537           include packet and byte counters in a rule.
 538
 539 config NFT_LOG
 540         tristate "Netfilter nf_tables log module"
 541         help
 542           This option adds the "log" expression that you can use to log
 543           packets matching some criteria.
 544
 545 config NFT_LIMIT
 546         tristate "Netfilter nf_tables limit module"
 547         help
 548           This option adds the "limit" expression that you can use to
 549           ratelimit rule matchings.
 550
 551 config NFT_MASQ
 552         depends on NF_CONNTRACK
 553         depends on NF_NAT
 554         tristate "Netfilter nf_tables masquerade support"
 555         help
 556           This option adds the "masquerade" expression that you can use
 557           to perform NAT in the masquerade flavour.
 558
 559 config NFT_REDIR
 560         depends on NF_CONNTRACK
 561         depends on NF_NAT
 562         tristate "Netfilter nf_tables redirect support"
 563         help
 564           This options adds the "redirect" expression that you can use
 565           to perform NAT in the redirect flavour.
 566
 567 config NFT_NAT
 568         depends on NF_CONNTRACK
 569         select NF_NAT
 570         tristate "Netfilter nf_tables nat module"
 571         help
 572           This option adds the "nat" expression that you can use to perform
 573           typical Network Address Translation (NAT) packet transformations.
 574
 575 config NFT_OBJREF
 576         tristate "Netfilter nf_tables stateful object reference module"
 577         help
 578           This option adds the "objref" expression that allows you to refer to
 579           stateful objects, such as counters and quotas.
 580
 581 config NFT_QUEUE
 582         depends on NETFILTER_NETLINK_QUEUE
 583         tristate "Netfilter nf_tables queue module"
 584         help
 585           This is required if you intend to use the userspace queueing
 586           infrastructure (also known as NFQUEUE) from nftables.
 587
 588 config NFT_QUOTA
 589         tristate "Netfilter nf_tables quota module"
 590         help
 591           This option adds the "quota" expression that you can use to match
 592           enforce bytes quotas.
 593
 594 config NFT_REJECT
 595         default m if NETFILTER_ADVANCED=n
 596         tristate "Netfilter nf_tables reject support"
 597         help
 598           This option adds the "reject" expression that you can use to
 599           explicitly deny and notify via TCP reset/ICMP informational errors
 600           unallowed traffic.
 601
 602 config NFT_REJECT_INET
 603         depends on NF_TABLES_INET
 604         default NFT_REJECT
 605         tristate
 606
 607 config NFT_COMPAT
 608         depends on NETFILTER_XTABLES
 609         tristate "Netfilter x_tables over nf_tables module"
 610         help
 611           This is required if you intend to use any of existing
 612           x_tables match/target extensions over the nf_tables
 613           framework.
 614
 615 config NFT_HASH
 616         tristate "Netfilter nf_tables hash module"
 617         help
 618           This option adds the "hash" expression that you can use to perform
 619           a hash operation on registers.
 620
 621 config NFT_FIB
 622         tristate
 623
 624 config NFT_FIB_INET
 625         depends on NF_TABLES_INET
 626         depends on NFT_FIB_IPV4
 627         depends on NFT_FIB_IPV6
 628         tristate "Netfilter nf_tables fib inet support"
 629         help
 630           This option allows using the FIB expression from the inet table.
 631           The lookup will be delegated to the IPv4 or IPv6 FIB depending
 632           on the protocol of the packet.
 633
 634 if NF_TABLES_NETDEV
 635
 636 config NF_DUP_NETDEV
 637         tristate "Netfilter packet duplication support"
 638         help
 639           This option enables the generic packet duplication infrastructure
 640           for Netfilter.
 641
 642 config NFT_DUP_NETDEV
 643         tristate "Netfilter nf_tables netdev packet duplication support"
 644         select NF_DUP_NETDEV
 645         help
 646           This option enables packet duplication for the "netdev" family.
 647
 648 config NFT_FWD_NETDEV
 649         tristate "Netfilter nf_tables netdev packet forwarding support"
 650         select NF_DUP_NETDEV
 651         help
 652           This option enables packet forwarding for the "netdev" family.
 653
 654 config NFT_FIB_NETDEV
 655         depends on NFT_FIB_IPV4
 656         depends on NFT_FIB_IPV6
 657         tristate "Netfilter nf_tables netdev fib lookups support"
 658         help
 659           This option allows using the FIB expression from the netdev table.
 660           The lookup will be delegated to the IPv4 or IPv6 FIB depending
 661           on the protocol of the packet.
 662
 663 endif # NF_TABLES_NETDEV
 664
 665 endif # NF_TABLES
 666
 667 config NF_FLOW_TABLE_INET
 668         tristate "Netfilter flow table mixed IPv4/IPv6 module"
 669         depends on NF_FLOW_TABLE_IPV4
 670         depends on NF_FLOW_TABLE_IPV6
 671         help
 672           This option adds the flow table mixed IPv4/IPv6 support.
 673
 674           To compile it as a module, choose M here.
 675
 676 config NF_FLOW_TABLE
 677         tristate "Netfilter flow table module"
 678         depends on NETFILTER_INGRESS
 679         depends on NF_CONNTRACK
 680         depends on NF_TABLES
 681         help
 682           This option adds the flow table core infrastructure.
 683
 684           To compile it as a module, choose M here.
 685
 686 config NETFILTER_XTABLES
 687         tristate "Netfilter Xtables support (required for ip_tables)"
 688         default m if NETFILTER_ADVANCED=n
 689         help
 690           This is required if you intend to use any of ip_tables,
 691           ip6_tables or arp_tables.
 692
 693 if NETFILTER_XTABLES
 694
 695 comment "Xtables combined modules"
 696
 697 config NETFILTER_XT_MARK
 698         tristate 'nfmark target and match support'
 699         default m if NETFILTER_ADVANCED=n
 700         ---help---
 701         This option adds the "MARK" target and "mark" match.
 702
 703         Netfilter mark matching allows you to match packets based on the
 704         "nfmark" value in the packet.
 705         The target allows you to create rules in the "mangle" table which alter
 706         the netfilter mark (nfmark) field associated with the packet.
 707
 708         Prior to routing, the nfmark can influence the routing method and can
 709         also be used by other subsystems to change their behavior.
 710
 711 config NETFILTER_XT_CONNMARK
 712         tristate 'ctmark target and match support'
 713         depends on NF_CONNTRACK
 714         depends on NETFILTER_ADVANCED
 715         select NF_CONNTRACK_MARK
 716         ---help---
 717         This option adds the "CONNMARK" target and "connmark" match.
 718
 719         Netfilter allows you to store a mark value per connection (a.k.a.
 720         ctmark), similarly to the packet mark (nfmark). Using this
 721         target and match, you can set and match on this mark.
 722
 723 config NETFILTER_XT_SET
 724         tristate 'set target and match support'
 725         depends on IP_SET
 726         depends on NETFILTER_ADVANCED
 727         help
 728           This option adds the "SET" target and "set" match.
 729
 730           Using this target and match, you can add/delete and match
 731           elements in the sets created by ipset(8).
 732
 733           To compile it as a module, choose M here.  If unsure, say N.
 734
 735 # alphabetically ordered list of targets
 736
 737 comment "Xtables targets"
 738
 739 config NETFILTER_XT_TARGET_AUDIT
 740         tristate "AUDIT target support"
 741         depends on AUDIT
 742         depends on NETFILTER_ADVANCED
 743         ---help---
 744           This option adds a 'AUDIT' target, which can be used to create
 745           audit records for packets dropped/accepted.
 746
 747           To compileit as a module, choose M here. If unsure, say N.
 748
 749 config NETFILTER_XT_TARGET_CHECKSUM
 750         tristate "CHECKSUM target support"
 751         depends on IP_NF_MANGLE || IP6_NF_MANGLE
 752         depends on NETFILTER_ADVANCED
 753         ---help---
 754           This option adds a `CHECKSUM' target, which can be used in the iptables mangle
 755           table.
 756
 757           You can use this target to compute and fill in the checksum in
 758           a packet that lacks a checksum.  This is particularly useful,
 759           if you need to work around old applications such as dhcp clients,
 760           that do not work well with checksum offloads, but don't want to disable
 761           checksum offload in your device.
 762
 763           To compile it as a module, choose M here.  If unsure, say N.
 764
 765 config NETFILTER_XT_TARGET_CLASSIFY
 766         tristate '"CLASSIFY" target support'
 767         depends on NETFILTER_ADVANCED
 768         help
 769           This option adds a `CLASSIFY' target, which enables the user to set
 770           the priority of a packet. Some qdiscs can use this value for
 771           classification, among these are:
 772
 773           atm, cbq, dsmark, pfifo_fast, htb, prio
 774
 775           To compile it as a module, choose M here.  If unsure, say N.
 776
 777 config NETFILTER_XT_TARGET_CONNMARK
 778         tristate  '"CONNMARK" target support'
 779         depends on NF_CONNTRACK
 780         depends on NETFILTER_ADVANCED
 781         select NETFILTER_XT_CONNMARK
 782         ---help---
 783         This is a backwards-compat option for the user's convenience
 784         (e.g. when running oldconfig). It selects
 785         CONFIG_NETFILTER_XT_CONNMARK (combined connmark/CONNMARK module).
 786
 787 config NETFILTER_XT_TARGET_CONNSECMARK
 788         tristate '"CONNSECMARK" target support'
 789         depends on NF_CONNTRACK && NF_CONNTRACK_SECMARK
 790         default m if NETFILTER_ADVANCED=n
 791         help
 792           The CONNSECMARK target copies security markings from packets
 793           to connections, and restores security markings from connections
 794           to packets (if the packets are not already marked).  This would
 795           normally be used in conjunction with the SECMARK target.
 796
 797           To compile it as a module, choose M here.  If unsure, say N.
 798
 799 config NETFILTER_XT_TARGET_CT
 800         tristate '"CT" target support'
 801         depends on NF_CONNTRACK
 802         depends on IP_NF_RAW || IP6_NF_RAW
 803         depends on NETFILTER_ADVANCED
 804         help
 805           This options adds a `CT' target, which allows to specify initial
 806           connection tracking parameters like events to be delivered and
 807           the helper to be used.
 808
 809           To compile it as a module, choose M here.  If unsure, say N.
 810
 811 config NETFILTER_XT_TARGET_DSCP
 812         tristate '"DSCP" and "TOS" target support'
 813         depends on IP_NF_MANGLE || IP6_NF_MANGLE
 814         depends on NETFILTER_ADVANCED
 815         help
 816           This option adds a `DSCP' target, which allows you to manipulate
 817           the IPv4/IPv6 header DSCP field (differentiated services codepoint).
 818
 819           The DSCP field can have any value between 0x0 and 0x3f inclusive.
 820
 821           It also adds the "TOS" target, which allows you to create rules in
 822           the "mangle" table which alter the Type Of Service field of an IPv4
 823           or the Priority field of an IPv6 packet, prior to routing.
 824
 825           To compile it as a module, choose M here.  If unsure, say N.
 826
 827 config NETFILTER_XT_TARGET_HL
 828         tristate '"HL" hoplimit target support'
 829         depends on IP_NF_MANGLE || IP6_NF_MANGLE
 830         depends on NETFILTER_ADVANCED
 831         ---help---
 832         This option adds the "HL" (for IPv6) and "TTL" (for IPv4)
 833         targets, which enable the user to change the
 834         hoplimit/time-to-live value of the IP header.
 835
 836         While it is safe to decrement the hoplimit/TTL value, the
 837         modules also allow to increment and set the hoplimit value of
 838         the header to arbitrary values. This is EXTREMELY DANGEROUS
 839         since you can easily create immortal packets that loop
 840         forever on the network.
 841
 842 config NETFILTER_XT_TARGET_HMARK
 843         tristate '"HMARK" target support'
 844         depends on IP6_NF_IPTABLES || IP6_NF_IPTABLES=n
 845         depends on NETFILTER_ADVANCED
 846         ---help---
 847         This option adds the "HMARK" target.
 848
 849         The target allows you to create rules in the "raw" and "mangle" tables
 850         which set the skbuff mark by means of hash calculation within a given
 851         range. The nfmark can influence the routing method and can also be used
 852         by other subsystems to change their behaviour.
 853
 854         To compile it as a module, choose M here. If unsure, say N.
 855
 856 config NETFILTER_XT_TARGET_IDLETIMER
 857         tristate  "IDLETIMER target support"
 858         depends on NETFILTER_ADVANCED
 859         help
 860
 861           This option adds the `IDLETIMER' target.  Each matching packet
 862           resets the timer associated with label specified when the rule is
 863           added.  When the timer expires, it triggers a sysfs notification.
 864           The remaining time for expiration can be read via sysfs.
 865
 866           To compile it as a module, choose M here.  If unsure, say N.
 867
 868 config NETFILTER_XT_TARGET_LED
 869         tristate '"LED" target support'
 870         depends on LEDS_CLASS && LEDS_TRIGGERS
 871         depends on NETFILTER_ADVANCED
 872         help
 873           This option adds a `LED' target, which allows you to blink LEDs in
 874           response to particular packets passing through your machine.
 875
 876           This can be used to turn a spare LED into a network activity LED,
 877           which only flashes in response to FTP transfers, for example.  Or
 878           you could have an LED which lights up for a minute or two every time
 879           somebody connects to your machine via SSH.
 880
 881           You will need support for the "led" class to make this work.
 882
 883           To create an LED trigger for incoming SSH traffic:
 884             iptables -A INPUT -p tcp --dport 22 -j LED --led-trigger-id ssh --led-delay 1000
 885
 886           Then attach the new trigger to an LED on your system:
 887             echo netfilter-ssh > /sys/class/leds/<ledname>/trigger
 888
 889           For more information on the LEDs available on your system, see
 890           Documentation/leds/leds-class.txt
 891
 892 config NETFILTER_XT_TARGET_LOG
 893         tristate "LOG target support"
 894         select NF_LOG_COMMON
 895         select NF_LOG_IPV4
 896         select NF_LOG_IPV6 if IPV6
 897         default m if NETFILTER_ADVANCED=n
 898         help
 899           This option adds a `LOG' target, which allows you to create rules in
 900           any iptables table which records the packet header to the syslog.
 901
 902           To compile it as a module, choose M here.  If unsure, say N.
 903
 904 config NETFILTER_XT_TARGET_MARK
 905         tristate '"MARK" target support'
 906         depends on NETFILTER_ADVANCED
 907         select NETFILTER_XT_MARK
 908         ---help---
 909         This is a backwards-compat option for the user's convenience
 910         (e.g. when running oldconfig). It selects
 911         CONFIG_NETFILTER_XT_MARK (combined mark/MARK module).
 912
 913 config NETFILTER_XT_NAT
 914         tristate '"SNAT and DNAT" targets support'
 915         depends on NF_NAT
 916         ---help---
 917         This option enables the SNAT and DNAT targets.
 918
 919         To compile it as a module, choose M here. If unsure, say N.
 920
 921 config NETFILTER_XT_TARGET_NETMAP
 922         tristate '"NETMAP" target support'
 923         depends on NF_NAT
 924         ---help---
 925         NETMAP is an implementation of static 1:1 NAT mapping of network
 926         addresses. It maps the network address part, while keeping the host
 927         address part intact.
 928
 929         To compile it as a module, choose M here. If unsure, say N.
 930
 931 config NETFILTER_XT_TARGET_NFLOG
 932         tristate '"NFLOG" target support'
 933         default m if NETFILTER_ADVANCED=n
 934         select NETFILTER_NETLINK_LOG
 935         help
 936           This option enables the NFLOG target, which allows to LOG
 937           messages through nfnetlink_log.
 938
 939           To compile it as a module, choose M here.  If unsure, say N.
 940
 941 config NETFILTER_XT_TARGET_NFQUEUE
 942         tristate '"NFQUEUE" target Support'
 943         depends on NETFILTER_ADVANCED
 944         select NETFILTER_NETLINK_QUEUE
 945         help
 946           This target replaced the old obsolete QUEUE target.
 947
 948           As opposed to QUEUE, it supports 65535 different queues,
 949           not just one.
 950
 951           To compile it as a module, choose M here.  If unsure, say N.
 952
 953 config NETFILTER_XT_TARGET_NOTRACK
 954         tristate  '"NOTRACK" target support (DEPRECATED)'
 955         depends on NF_CONNTRACK
 956         depends on IP_NF_RAW || IP6_NF_RAW
 957         depends on NETFILTER_ADVANCED
 958         select NETFILTER_XT_TARGET_CT
 959
 960 config NETFILTER_XT_TARGET_RATEEST
 961         tristate '"RATEEST" target support'
 962         depends on NETFILTER_ADVANCED
 963         help
 964           This option adds a `RATEEST' target, which allows to measure
 965           rates similar to TC estimators. The `rateest' match can be
 966           used to match on the measured rates.
 967
 968           To compile it as a module, choose M here.  If unsure, say N.
 969
 970 config NETFILTER_XT_TARGET_REDIRECT
 971         tristate "REDIRECT target support"
 972         depends on NF_NAT
 973         select NF_NAT_REDIRECT
 974         ---help---
 975         REDIRECT is a special case of NAT: all incoming connections are
 976         mapped onto the incoming interface's address, causing the packets to
 977         come to the local machine instead of passing through. This is
 978         useful for transparent proxies.
 979
 980         To compile it as a module, choose M here. If unsure, say N.
 981
 982 config NETFILTER_XT_TARGET_TEE
 983         tristate '"TEE" - packet cloning to alternate destination'
 984         depends on NETFILTER_ADVANCED
 985         depends on IPV6 || IPV6=n
 986         depends on !NF_CONNTRACK || NF_CONNTRACK
 987         select NF_DUP_IPV4
 988         select NF_DUP_IPV6 if IPV6
 989         ---help---
 990         This option adds a "TEE" target with which a packet can be cloned and
 991         this clone be rerouted to another nexthop.
 992
 993 config NETFILTER_XT_TARGET_TPROXY
 994         tristate '"TPROXY" target transparent proxying support'
 995         depends on NETFILTER_XTABLES
 996         depends on NETFILTER_ADVANCED
 997         depends on IPV6 || IPV6=n
 998         depends on IP6_NF_IPTABLES || IP6_NF_IPTABLES=n
 999         depends on IP_NF_MANGLE
1000         select NF_DEFRAG_IPV4
1001         select NF_DEFRAG_IPV6 if IP6_NF_IPTABLES != n
1002         help
1003           This option adds a `TPROXY' target, which is somewhat similar to
1004           REDIRECT.  It can only be used in the mangle table and is useful
1005           to redirect traffic to a transparent proxy.  It does _not_ depend
1006           on Netfilter connection tracking and NAT, unlike REDIRECT.
1007           For it to work you will have to configure certain iptables rules
1008           and use policy routing. For more information on how to set it up
1009           see Documentation/networking/tproxy.txt.
1010
1011           To compile it as a module, choose M here.  If unsure, say N.
1012
1013 config NETFILTER_XT_TARGET_TRACE
1014         tristate  '"TRACE" target support'
1015         depends on IP_NF_RAW || IP6_NF_RAW
1016         depends on NETFILTER_ADVANCED
1017         help
1018           The TRACE target allows you to mark packets so that the kernel
1019           will log every rule which match the packets as those traverse
1020           the tables, chains, rules.
1021
1022           If you want to compile it as a module, say M here and read
1023           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1024
1025 config NETFILTER_XT_TARGET_SECMARK
1026         tristate '"SECMARK" target support'
1027         depends on NETWORK_SECMARK
1028         default m if NETFILTER_ADVANCED=n
1029         help
1030           The SECMARK target allows security marking of network
1031           packets, for use with security subsystems.
1032
1033           To compile it as a module, choose M here.  If unsure, say N.
1034
1035 config NETFILTER_XT_TARGET_TCPMSS
1036         tristate '"TCPMSS" target support'
1037         depends on IPV6 || IPV6=n
1038         default m if NETFILTER_ADVANCED=n
1039         ---help---
1040           This option adds a `TCPMSS' target, which allows you to alter the
1041           MSS value of TCP SYN packets, to control the maximum size for that
1042           connection (usually limiting it to your outgoing interface's MTU
1043           minus 40).
1044
1045           This is used to overcome criminally braindead ISPs or servers which
1046           block ICMP Fragmentation Needed packets.  The symptoms of this
1047           problem are that everything works fine from your Linux
1048           firewall/router, but machines behind it can never exchange large
1049           packets:
1050                 1) Web browsers connect, then hang with no data received.
1051                 2) Small mail works fine, but large emails hang.
1052                 3) ssh works fine, but scp hangs after initial handshaking.
1053
1054           Workaround: activate this option and add a rule to your firewall
1055           configuration like:
1056
1057           iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN \
1058                          -j TCPMSS --clamp-mss-to-pmtu
1059
1060           To compile it as a module, choose M here.  If unsure, say N.
1061
1062 config NETFILTER_XT_TARGET_TCPOPTSTRIP
1063         tristate '"TCPOPTSTRIP" target support'
1064         depends on IP_NF_MANGLE || IP6_NF_MANGLE
1065         depends on NETFILTER_ADVANCED
1066         help
1067           This option adds a "TCPOPTSTRIP" target, which allows you to strip
1068           TCP options from TCP packets.
1069
1070 # alphabetically ordered list of matches
1071
1072 comment "Xtables matches"
1073
1074 config NETFILTER_XT_MATCH_ADDRTYPE
1075         tristate '"addrtype" address type match support'
1076         default m if NETFILTER_ADVANCED=n
1077         ---help---
1078           This option allows you to match what routing thinks of an address,
1079           eg. UNICAST, LOCAL, BROADCAST, ...
1080
1081           If you want to compile it as a module, say M here and read
1082           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1083
1084 config NETFILTER_XT_MATCH_BPF
1085         tristate '"bpf" match support'
1086         depends on NETFILTER_ADVANCED
1087         help
1088           BPF matching applies a linux socket filter to each packet and
1089           accepts those for which the filter returns non-zero.
1090
1091           To compile it as a module, choose M here.  If unsure, say N.
1092
1093 config NETFILTER_XT_MATCH_CGROUP
1094         tristate '"control group" match support'
1095         depends on NETFILTER_ADVANCED
1096         depends on CGROUPS
1097         select CGROUP_NET_CLASSID
1098         ---help---
1099         Socket/process control group matching allows you to match locally
1100         generated packets based on which net_cls control group processes
1101         belong to.
1102
1103 config NETFILTER_XT_MATCH_CLUSTER
1104         tristate '"cluster" match support'
1105         depends on NF_CONNTRACK
1106         depends on NETFILTER_ADVANCED
1107         ---help---
1108           This option allows you to build work-load-sharing clusters of
1109           network servers/stateful firewalls without having a dedicated
1110           load-balancing router/server/switch. Basically, this match returns
1111           true when the packet must be handled by this cluster node. Thus,
1112           all nodes see all packets and this match decides which node handles
1113           what packets. The work-load sharing algorithm is based on source
1114           address hashing.
1115
1116           If you say Y or M here, try `iptables -m cluster --help` for
1117           more information.
1118
1119 config NETFILTER_XT_MATCH_COMMENT
1120         tristate  '"comment" match support'
1121         depends on NETFILTER_ADVANCED
1122         help
1123           This option adds a `comment' dummy-match, which allows you to put
1124           comments in your iptables ruleset.
1125
1126           If you want to compile it as a module, say M here and read
1127           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1128
1129 config NETFILTER_XT_MATCH_CONNBYTES
1130         tristate  '"connbytes" per-connection counter match support'
1131         depends on NF_CONNTRACK
1132         depends on NETFILTER_ADVANCED
1133         help
1134           This option adds a `connbytes' match, which allows you to match the
1135           number of bytes and/or packets for each direction within a connection.
1136
1137           If you want to compile it as a module, say M here and read
1138           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1139
1140 config NETFILTER_XT_MATCH_CONNLABEL
1141         tristate '"connlabel" match support'
1142         select NF_CONNTRACK_LABELS
1143         depends on NF_CONNTRACK
1144         depends on NETFILTER_ADVANCED
1145         ---help---
1146           This match allows you to test and assign userspace-defined labels names
1147           to a connection.  The kernel only stores bit values - mapping
1148           names to bits is done by userspace.
1149
1150           Unlike connmark, more than 32 flag bits may be assigned to a
1151           connection simultaneously.
1152
1153 config NETFILTER_XT_MATCH_CONNLIMIT
1154         tristate '"connlimit" match support'
1155         depends on NF_CONNTRACK
1156         depends on NETFILTER_ADVANCED
1157         select NETFILTER_CONNCOUNT
1158         ---help---
1159           This match allows you to match against the number of parallel
1160           connections to a server per client IP address (or address block).
1161
1162 config NETFILTER_XT_MATCH_CONNMARK
1163         tristate  '"connmark" connection mark match support'
1164         depends on NF_CONNTRACK
1165         depends on NETFILTER_ADVANCED
1166         select NETFILTER_XT_CONNMARK
1167         ---help---
1168         This is a backwards-compat option for the user's convenience
1169         (e.g. when running oldconfig). It selects
1170         CONFIG_NETFILTER_XT_CONNMARK (combined connmark/CONNMARK module).
1171
1172 config NETFILTER_XT_MATCH_CONNTRACK
1173         tristate '"conntrack" connection tracking match support'
1174         depends on NF_CONNTRACK
1175         default m if NETFILTER_ADVANCED=n
1176         help
1177           This is a general conntrack match module, a superset of the state match.
1178
1179           It allows matching on additional conntrack information, which is
1180           useful in complex configurations, such as NAT gateways with multiple
1181           internet links or tunnels.
1182
1183           To compile it as a module, choose M here.  If unsure, say N.
1184
1185 config NETFILTER_XT_MATCH_CPU
1186         tristate '"cpu" match support'
1187         depends on NETFILTER_ADVANCED
1188         help
1189           CPU matching allows you to match packets based on the CPU
1190           currently handling the packet.
1191
1192           To compile it as a module, choose M here.  If unsure, say N.
1193
1194 config NETFILTER_XT_MATCH_DCCP
1195         tristate '"dccp" protocol match support'
1196         depends on NETFILTER_ADVANCED
1197         default IP_DCCP
1198         help
1199           With this option enabled, you will be able to use the iptables
1200           `dccp' match in order to match on DCCP source/destination ports
1201           and DCCP flags.
1202
1203           If you want to compile it as a module, say M here and read
1204           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1205
1206 config NETFILTER_XT_MATCH_DEVGROUP
1207         tristate '"devgroup" match support'
1208         depends on NETFILTER_ADVANCED
1209         help
1210           This options adds a `devgroup' match, which allows to match on the
1211           device group a network device is assigned to.
1212
1213           To compile it as a module, choose M here.  If unsure, say N.
1214
1215 config NETFILTER_XT_MATCH_DSCP
1216         tristate '"dscp" and "tos" match support'
1217         depends on NETFILTER_ADVANCED
1218         help
1219           This option adds a `DSCP' match, which allows you to match against
1220           the IPv4/IPv6 header DSCP field (differentiated services codepoint).
1221
1222           The DSCP field can have any value between 0x0 and 0x3f inclusive.
1223
1224           It will also add a "tos" match, which allows you to match packets
1225           based on the Type Of Service fields of the IPv4 packet (which share
1226           the same bits as DSCP).
1227
1228           To compile it as a module, choose M here.  If unsure, say N.
1229
1230 config NETFILTER_XT_MATCH_ECN
1231         tristate '"ecn" match support'
1232         depends on NETFILTER_ADVANCED
1233         ---help---
1234         This option adds an "ECN" match, which allows you to match against
1235         the IPv4 and TCP header ECN fields.
1236
1237         To compile it as a module, choose M here. If unsure, say N.
1238
1239 config NETFILTER_XT_MATCH_ESP
1240         tristate '"esp" match support'
1241         depends on NETFILTER_ADVANCED
1242         help
1243           This match extension allows you to match a range of SPIs
1244           inside ESP header of IPSec packets.
1245
1246           To compile it as a module, choose M here.  If unsure, say N.
1247
1248 config NETFILTER_XT_MATCH_HASHLIMIT
1249         tristate '"hashlimit" match support'
1250         depends on IP6_NF_IPTABLES || IP6_NF_IPTABLES=n
1251         depends on NETFILTER_ADVANCED
1252         help
1253           This option adds a `hashlimit' match.
1254
1255           As opposed to `limit', this match dynamically creates a hash table
1256           of limit buckets, based on your selection of source/destination
1257           addresses and/or ports.
1258
1259           It enables you to express policies like `10kpps for any given
1260           destination address' or `500pps from any given source address'
1261           with a single rule.
1262
1263 config NETFILTER_XT_MATCH_HELPER
1264         tristate '"helper" match support'
1265         depends on NF_CONNTRACK
1266         depends on NETFILTER_ADVANCED
1267         help
1268           Helper matching allows you to match packets in dynamic connections
1269           tracked by a conntrack-helper, ie. ip_conntrack_ftp
1270
1271           To compile it as a module, choose M here.  If unsure, say Y.
1272
1273 config NETFILTER_XT_MATCH_HL
1274         tristate '"hl" hoplimit/TTL match support'
1275         depends on NETFILTER_ADVANCED
1276         ---help---
1277         HL matching allows you to match packets based on the hoplimit
1278         in the IPv6 header, or the time-to-live field in the IPv4
1279         header of the packet.
1280
1281 config NETFILTER_XT_MATCH_IPCOMP
1282         tristate '"ipcomp" match support'
1283         depends on NETFILTER_ADVANCED
1284         help
1285           This match extension allows you to match a range of CPIs(16 bits)
1286           inside IPComp header of IPSec packets.
1287
1288           To compile it as a module, choose M here.  If unsure, say N.
1289
1290 config NETFILTER_XT_MATCH_IPRANGE
1291         tristate '"iprange" address range match support'
1292         depends on NETFILTER_ADVANCED
1293         ---help---
1294         This option adds a "iprange" match, which allows you to match based on
1295         an IP address range. (Normal iptables only matches on single addresses
1296         with an optional mask.)
1297
1298         If unsure, say M.
1299
1300 config NETFILTER_XT_MATCH_IPVS
1301         tristate '"ipvs" match support'
1302         depends on IP_VS
1303         depends on NETFILTER_ADVANCED
1304         depends on NF_CONNTRACK
1305         help
1306           This option allows you to match against IPVS properties of a packet.
1307
1308           If unsure, say N.
1309
1310 config NETFILTER_XT_MATCH_L2TP
1311         tristate '"l2tp" match support'
1312         depends on NETFILTER_ADVANCED
1313         default L2TP
1314         ---help---
1315         This option adds an "L2TP" match, which allows you to match against
1316         L2TP protocol header fields.
1317
1318         To compile it as a module, choose M here. If unsure, say N.
1319
1320 config NETFILTER_XT_MATCH_LENGTH
1321         tristate '"length" match support'
1322         depends on NETFILTER_ADVANCED
1323         help
1324           This option allows you to match the length of a packet against a
1325           specific value or range of values.
1326
1327           To compile it as a module, choose M here.  If unsure, say N.
1328
1329 config NETFILTER_XT_MATCH_LIMIT
1330         tristate '"limit" match support'
1331         depends on NETFILTER_ADVANCED
1332         help
1333           limit matching allows you to control the rate at which a rule can be
1334           matched: mainly useful in combination with the LOG target ("LOG
1335           target support", below) and to avoid some Denial of Service attacks.
1336
1337           To compile it as a module, choose M here.  If unsure, say N.
1338
1339 config NETFILTER_XT_MATCH_MAC
1340         tristate '"mac" address match support'
1341         depends on NETFILTER_ADVANCED
1342         help
1343           MAC matching allows you to match packets based on the source
1344           Ethernet address of the packet.
1345
1346           To compile it as a module, choose M here.  If unsure, say N.
1347
1348 config NETFILTER_XT_MATCH_MARK
1349         tristate '"mark" match support'
1350         depends on NETFILTER_ADVANCED
1351         select NETFILTER_XT_MARK
1352         ---help---
1353         This is a backwards-compat option for the user's convenience
1354         (e.g. when running oldconfig). It selects
1355         CONFIG_NETFILTER_XT_MARK (combined mark/MARK module).
1356
1357 config NETFILTER_XT_MATCH_MULTIPORT
1358         tristate '"multiport" Multiple port match support'
1359         depends on NETFILTER_ADVANCED
1360         help
1361           Multiport matching allows you to match TCP or UDP packets based on
1362           a series of source or destination ports: normally a rule can only
1363           match a single range of ports.
1364
1365           To compile it as a module, choose M here.  If unsure, say N.
1366
1367 config NETFILTER_XT_MATCH_NFACCT
1368         tristate '"nfacct" match support'
1369         depends on NETFILTER_ADVANCED
1370         select NETFILTER_NETLINK_ACCT
1371         help
1372           This option allows you to use the extended accounting through
1373           nfnetlink_acct.
1374
1375           To compile it as a module, choose M here.  If unsure, say N.
1376
1377 config NETFILTER_XT_MATCH_OSF
1378         tristate '"osf" Passive OS fingerprint match'
1379         depends on NETFILTER_ADVANCED && NETFILTER_NETLINK
1380         help
1381           This option selects the Passive OS Fingerprinting match module
1382           that allows to passively match the remote operating system by
1383           analyzing incoming TCP SYN packets.
1384
1385           Rules and loading software can be downloaded from
1386           http://www.ioremap.net/projects/osf
1387
1388           To compile it as a module, choose M here.  If unsure, say N.
1389
1390 config NETFILTER_XT_MATCH_OWNER
1391         tristate '"owner" match support'
1392         depends on NETFILTER_ADVANCED
1393         ---help---
1394         Socket owner matching allows you to match locally-generated packets
1395         based on who created the socket: the user or group. It is also
1396         possible to check whether a socket actually exists.
1397
1398 config NETFILTER_XT_MATCH_POLICY
1399         tristate 'IPsec "policy" match support'
1400         depends on XFRM
1401         default m if NETFILTER_ADVANCED=n
1402         help
1403           Policy matching allows you to match packets based on the
1404           IPsec policy that was used during decapsulation/will
1405           be used during encapsulation.
1406
1407           To compile it as a module, choose M here.  If unsure, say N.
1408
1409 config NETFILTER_XT_MATCH_PHYSDEV
1410         tristate '"physdev" match support'
1411         depends on BRIDGE && BRIDGE_NETFILTER
1412         depends on NETFILTER_ADVANCED
1413         help
1414           Physdev packet matching matches against the physical bridge ports
1415           the IP packet arrived on or will leave by.
1416
1417           To compile it as a module, choose M here.  If unsure, say N.
1418
1419 config NETFILTER_XT_MATCH_PKTTYPE
1420         tristate '"pkttype" packet type match support'
1421         depends on NETFILTER_ADVANCED
1422         help
1423           Packet type matching allows you to match a packet by
1424           its "class", eg. BROADCAST, MULTICAST, ...
1425
1426           Typical usage:
1427           iptables -A INPUT -m pkttype --pkt-type broadcast -j LOG
1428
1429           To compile it as a module, choose M here.  If unsure, say N.
1430
1431 config NETFILTER_XT_MATCH_QUOTA
1432         tristate '"quota" match support'
1433         depends on NETFILTER_ADVANCED
1434         help
1435           This option adds a `quota' match, which allows to match on a
1436           byte counter.
1437
1438           If you want to compile it as a module, say M here and read
1439           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1440
1441 config NETFILTER_XT_MATCH_RATEEST
1442         tristate '"rateest" match support'
1443         depends on NETFILTER_ADVANCED
1444         select NETFILTER_XT_TARGET_RATEEST
1445         help
1446           This option adds a `rateest' match, which allows to match on the
1447           rate estimated by the RATEEST target.
1448
1449           To compile it as a module, choose M here.  If unsure, say N.
1450
1451 config NETFILTER_XT_MATCH_REALM
1452         tristate  '"realm" match support'
1453         depends on NETFILTER_ADVANCED
1454         select IP_ROUTE_CLASSID
1455         help
1456           This option adds a `realm' match, which allows you to use the realm
1457           key from the routing subsystem inside iptables.
1458
1459           This match pretty much resembles the CONFIG_NET_CLS_ROUTE4 option
1460           in tc world.
1461
1462           If you want to compile it as a module, say M here and read
1463           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1464
1465 config NETFILTER_XT_MATCH_RECENT
1466         tristate '"recent" match support'
1467         depends on NETFILTER_ADVANCED
1468         ---help---
1469         This match is used for creating one or many lists of recently
1470         used addresses and then matching against that/those list(s).
1471
1472         Short options are available by using 'iptables -m recent -h'
1473         Official Website: <http://snowman.net/projects/ipt_recent/>
1474
1475 config NETFILTER_XT_MATCH_SCTP
1476         tristate  '"sctp" protocol match support'
1477         depends on NETFILTER_ADVANCED
1478         default IP_SCTP
1479         help
1480           With this option enabled, you will be able to use the
1481           `sctp' match in order to match on SCTP source/destination ports
1482           and SCTP chunk types.
1483
1484           If you want to compile it as a module, say M here and read
1485           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
1486
1487 config NETFILTER_XT_MATCH_SOCKET
1488         tristate '"socket" match support'
1489         depends on NETFILTER_XTABLES
1490         depends on NETFILTER_ADVANCED
1491         depends on IPV6 || IPV6=n
1492         depends on IP6_NF_IPTABLES || IP6_NF_IPTABLES=n
1493         depends on NF_SOCKET_IPV4
1494         depends on NF_SOCKET_IPV6
1495         select NF_DEFRAG_IPV4
1496         select NF_DEFRAG_IPV6 if IP6_NF_IPTABLES != n
1497         help
1498           This option adds a `socket' match, which can be used to match
1499           packets for which a TCP or UDP socket lookup finds a valid socket.
1500           It can be used in combination with the MARK target and policy
1501           routing to implement full featured non-locally bound sockets.
1502
1503           To compile it as a module, choose M here.  If unsure, say N.
1504
1505 config NETFILTER_XT_MATCH_STATE
1506         tristate '"state" match support'
1507         depends on NF_CONNTRACK
1508         default m if NETFILTER_ADVANCED=n
1509         help
1510           Connection state matching allows you to match packets based on their
1511           relationship to a tracked connection (ie. previous packets).  This
1512           is a powerful tool for packet classification.
1513
1514           To compile it as a module, choose M here.  If unsure, say N.
1515
1516 config NETFILTER_XT_MATCH_STATISTIC
1517         tristate '"statistic" match support'
1518         depends on NETFILTER_ADVANCED
1519         help
1520           This option adds a `statistic' match, which allows you to match
1521           on packets periodically or randomly with a given percentage.
1522
1523           To compile it as a module, choose M here.  If unsure, say N.
1524
1525 config NETFILTER_XT_MATCH_STRING
1526         tristate  '"string" match support'
1527         depends on NETFILTER_ADVANCED
1528         select TEXTSEARCH
1529         select TEXTSEARCH_KMP
1530         select TEXTSEARCH_BM
1531         select TEXTSEARCH_FSM
1532         help
1533           This option adds a `string' match, which allows you to look for
1534           pattern matchings in packets.
1535
1536           To compile it as a module, choose M here.  If unsure, say N.
1537
1538 config NETFILTER_XT_MATCH_TCPMSS
1539         tristate '"tcpmss" match support'
1540         depends on NETFILTER_ADVANCED
1541         help
1542           This option adds a `tcpmss' match, which allows you to examine the
1543           MSS value of TCP SYN packets, which control the maximum packet size
1544           for that connection.
1545
1546           To compile it as a module, choose M here.  If unsure, say N.
1547
1548 config NETFILTER_XT_MATCH_TIME
1549         tristate '"time" match support'
1550         depends on NETFILTER_ADVANCED
1551         ---help---
1552           This option adds a "time" match, which allows you to match based on
1553           the packet arrival time (at the machine which netfilter is running)
1554           on) or departure time/date (for locally generated packets).
1555
1556           If you say Y here, try `iptables -m time --help` for
1557           more information.
1558
1559           If you want to compile it as a module, say M here.
1560           If unsure, say N.
1561
1562 config NETFILTER_XT_MATCH_U32
1563         tristate '"u32" match support'
1564         depends on NETFILTER_ADVANCED
1565         ---help---
1566           u32 allows you to extract quantities of up to 4 bytes from a packet,
1567           AND them with specified masks, shift them by specified amounts and
1568           test whether the results are in any of a set of specified ranges.
1569           The specification of what to extract is general enough to skip over
1570           headers with lengths stored in the packet, as in IP or TCP header
1571           lengths.
1572
1573           Details and examples are in the kernel module source.
1574
1575 endif # NETFILTER_XTABLES
1576
1577 endmenu
1578
1579 source "net/netfilter/ipset/Kconfig"
1580
1581 source "net/netfilter/ipvs/Kconfig"