net/netfilter/Kconfig

   1 # SPDX-License-Identifier: GPL-2.0-only
   2 menu "Core Netfilter Configuration"
   3         depends on NET && INET && NETFILTER
   4
   5 config NETFILTER_INGRESS
   6         bool "Netfilter ingress support"
   7         default y
   8         select NET_INGRESS
   9         help
  10           This allows you to classify packets from ingress using the Netfilter
  11           infrastructure.
  12
  13 config NETFILTER_EGRESS
  14         bool "Netfilter egress support"
  15         default y
  16         select NET_EGRESS
  17         help
  18           This allows you to classify packets before transmission using the
  19           Netfilter infrastructure.
  20
  21 config NETFILTER_NETLINK
  22         tristate
  23
  24 config NETFILTER_FAMILY_BRIDGE
  25         bool
  26
  27 config NETFILTER_FAMILY_ARP
  28         bool
  29
  30 config NETFILTER_NETLINK_ACCT
  31         tristate "Netfilter NFACCT over NFNETLINK interface"
  32         depends on NETFILTER_ADVANCED
  33         select NETFILTER_NETLINK
  34         help
  35           If this option is enabled, the kernel will include support
  36           for extended accounting via NFNETLINK.
  37
  38 config NETFILTER_NETLINK_QUEUE
  39         tristate "Netfilter NFQUEUE over NFNETLINK interface"
  40         depends on NETFILTER_ADVANCED
  41         select NETFILTER_NETLINK
  42         help
  43           If this option is enabled, the kernel will include support
  44           for queueing packets via NFNETLINK.
  45
  46 config NETFILTER_NETLINK_LOG
  47         tristate "Netfilter LOG over NFNETLINK interface"
  48         default m if NETFILTER_ADVANCED=n
  49         select NETFILTER_NETLINK
  50         help
  51           If this option is enabled, the kernel will include support
  52           for logging packets via NFNETLINK.
  53
  54           This obsoletes the existing ipt_ULOG and ebg_ulog mechanisms,
  55           and is also scheduled to replace the old syslog-based ipt_LOG
  56           and ip6t_LOG modules.
  57
  58 config NETFILTER_NETLINK_OSF
  59         tristate "Netfilter OSF over NFNETLINK interface"
  60         depends on NETFILTER_ADVANCED
  61         select NETFILTER_NETLINK
  62         help
  63           If this option is enabled, the kernel will include support
  64           for passive OS fingerprint via NFNETLINK.
  65
  66 config NF_CONNTRACK
  67         tristate "Netfilter connection tracking support"
  68         default m if NETFILTER_ADVANCED=n
  69         select NF_DEFRAG_IPV4
  70         select NF_DEFRAG_IPV6 if IPV6 != n
  71         help
  72           Connection tracking keeps a record of what packets have passed
  73           through your machine, in order to figure out how they are related
  74           into connections.
  75
  76           This is required to do Masquerading or other kinds of Network
  77           Address Translation.  It can also be used to enhance packet
  78           filtering (see `Connection state match support' below).
  79
  80           To compile it as a module, choose M here.  If unsure, say N.
  81
  82 config NF_LOG_COMMON
  83         tristate
  84
  85 config NF_LOG_NETDEV
  86         tristate "Netdev packet logging"
  87         select NF_LOG_COMMON
  88
  89 if NF_CONNTRACK
  90 config NETFILTER_CONNCOUNT
  91         tristate
  92
  93 config NF_CONNTRACK_MARK
  94         bool  'Connection mark tracking support'
  95         depends on NETFILTER_ADVANCED
  96         help
  97           This option enables support for connection marks, used by the
  98           `CONNMARK' target and `connmark' match. Similar to the mark value
  99           of packets, but this mark value is kept in the conntrack session
 100           instead of the individual packets.
 101
 102 config NF_CONNTRACK_SECMARK
 103         bool  'Connection tracking security mark support'
 104         depends on NETWORK_SECMARK
 105         default m if NETFILTER_ADVANCED=n
 106         help
 107           This option enables security markings to be applied to
 108           connections.  Typically they are copied to connections from
 109           packets using the CONNSECMARK target and copied back from
 110           connections to packets with the same target, with the packets
 111           being originally labeled via SECMARK.
 112
 113           If unsure, say 'N'.
 114
 115 config NF_CONNTRACK_ZONES
 116         bool  'Connection tracking zones'
 117         depends on NETFILTER_ADVANCED
 118         help
 119           This option enables support for connection tracking zones.
 120           Normally, each connection needs to have a unique system wide
 121           identity. Connection tracking zones allow to have multiple
 122           connections using the same identity, as long as they are
 123           contained in different zones.
 124
 125           If unsure, say `N'.
 126
 127 config NF_CONNTRACK_PROCFS
 128         bool "Supply CT list in procfs (OBSOLETE)"
 129         default y
 130         depends on PROC_FS
 131         ---help---
 132         This option enables for the list of known conntrack entries
 133         to be shown in procfs under net/netfilter/nf_conntrack. This
 134         is considered obsolete in favor of using the conntrack(8)
 135         tool which uses Netlink.
 136
 137 config NF_CONNTRACK_EVENTS
 138         bool "Connection tracking events"
 139         depends on NETFILTER_ADVANCED
 140         help
 141           If this option is enabled, the connection tracking code will
 142           provide a notifier chain that can be used by other kernel code
 143           to get notified about changes in the connection tracking state.
 144
 145           If unsure, say `N'.
 146
 147 config NF_CONNTRACK_TIMEOUT
 148         bool  'Connection tracking timeout'
 149         depends on NETFILTER_ADVANCED
 150         help
 151           This option enables support for connection tracking timeout
 152           extension. This allows you to attach timeout policies to flow
 153           via the CT target.
 154
 155           If unsure, say `N'.
 156
 157 config NF_CONNTRACK_TIMESTAMP
 158         bool  'Connection tracking timestamping'
 159         depends on NETFILTER_ADVANCED
 160         help
 161           This option enables support for connection tracking timestamping.
 162           This allows you to store the flow start-time and to obtain
 163           the flow-stop time (once it has been destroyed) via Connection
 164           tracking events.
 165
 166           If unsure, say `N'.
 167
 168 config NF_CONNTRACK_LABELS
 169         bool "Connection tracking labels"
 170         help
 171           This option enables support for assigning user-defined flag bits
 172           to connection tracking entries.  It can be used with xtables connlabel
 173           match and the nftables ct expression.
 174
 175 config NF_CT_PROTO_DCCP
 176         bool 'DCCP protocol connection tracking support'
 177         depends on NETFILTER_ADVANCED
 178         default y
 179         help
 180           With this option enabled, the layer 3 independent connection
 181           tracking code will be able to do state tracking on DCCP connections.
 182
 183           If unsure, say Y.
 184
 185 config NF_CT_PROTO_GRE
 186         bool
 187
 188 config NF_CT_PROTO_SCTP
 189         bool 'SCTP protocol connection tracking support'
 190         depends on NETFILTER_ADVANCED
 191         default y
 192         select LIBCRC32C
 193         help
 194           With this option enabled, the layer 3 independent connection
 195           tracking code will be able to do state tracking on SCTP connections.
 196
 197           If unsure, say Y.
 198
 199 config NF_CT_PROTO_UDPLITE
 200         bool 'UDP-Lite protocol connection tracking support'
 201         depends on NETFILTER_ADVANCED
 202         default y
 203         help
 204           With this option enabled, the layer 3 independent connection
 205           tracking code will be able to do state tracking on UDP-Lite
 206           connections.
 207
 208           If unsure, say Y.
 209
 210 config NF_CONNTRACK_AMANDA
 211         tristate "Amanda backup protocol support"
 212         depends on NETFILTER_ADVANCED
 213         select TEXTSEARCH
 214         select TEXTSEARCH_KMP
 215         help
 216           If you are running the Amanda backup package <http://www.amanda.org/>
 217           on this machine or machines that will be MASQUERADED through this
 218           machine, then you may want to enable this feature.  This allows the
 219           connection tracking and natting code to allow the sub-channels that
 220           Amanda requires for communication of the backup data, messages and
 221           index.
 222
 223           To compile it as a module, choose M here.  If unsure, say N.
 224
 225 config NF_CONNTRACK_FTP
 226         tristate "FTP protocol support"
 227         default m if NETFILTER_ADVANCED=n
 228         help
 229           Tracking FTP connections is problematic: special helpers are
 230           required for tracking them, and doing masquerading and other forms
 231           of Network Address Translation on them.
 232
 233           This is FTP support on Layer 3 independent connection tracking.
 234
 235           To compile it as a module, choose M here.  If unsure, say N.
 236
 237 config NF_CONNTRACK_H323
 238         tristate "H.323 protocol support"
 239         depends on IPV6 || IPV6=n
 240         depends on NETFILTER_ADVANCED
 241         help
 242           H.323 is a VoIP signalling protocol from ITU-T. As one of the most
 243           important VoIP protocols, it is widely used by voice hardware and
 244           software including voice gateways, IP phones, Netmeeting, OpenPhone,
 245           Gnomemeeting, etc.
 246
 247           With this module you can support H.323 on a connection tracking/NAT
 248           firewall.
 249
 250           This module supports RAS, Fast Start, H.245 Tunnelling, Call
 251           Forwarding, RTP/RTCP and T.120 based audio, video, fax, chat,
 252           whiteboard, file transfer, etc. For more information, please
 253           visit http://nath323.sourceforge.net/.
 254
 255           To compile it as a module, choose M here.  If unsure, say N.
 256
 257 config NF_CONNTRACK_IRC
 258         tristate "IRC protocol support"
 259         default m if NETFILTER_ADVANCED=n
 260         help
 261           There is a commonly-used extension to IRC called
 262           Direct Client-to-Client Protocol (DCC).  This enables users to send
 263           files to each other, and also chat to each other without the need
 264           of a server.  DCC Sending is used anywhere you send files over IRC,
 265           and DCC Chat is most commonly used by Eggdrop bots.  If you are
 266           using NAT, this extension will enable you to send files and initiate
 267           chats.  Note that you do NOT need this extension to get files or
 268           have others initiate chats, or everything else in IRC.
 269
 270           To compile it as a module, choose M here.  If unsure, say N.
 271
 272 config NF_CONNTRACK_BROADCAST
 273         tristate
 274
 275 config NF_CONNTRACK_NETBIOS_NS
 276         tristate "NetBIOS name service protocol support"
 277         select NF_CONNTRACK_BROADCAST
 278         help
 279           NetBIOS name service requests are sent as broadcast messages from an
 280           unprivileged port and responded to with unicast messages to the
 281           same port. This make them hard to firewall properly because connection
 282           tracking doesn't deal with broadcasts. This helper tracks locally
 283           originating NetBIOS name service requests and the corresponding
 284           responses. It relies on correct IP address configuration, specifically
 285           netmask and broadcast address. When properly configured, the output
 286           of "ip address show" should look similar to this:
 287
 288           $ ip -4 address show eth0
 289           4: eth0: <BROADCAST,MULTICAST,UP> mtu 1500 qdisc pfifo_fast qlen 1000
 290               inet 172.16.2.252/24 brd 172.16.2.255 scope global eth0
 291
 292           To compile it as a module, choose M here.  If unsure, say N.
 293
 294 config NF_CONNTRACK_SNMP
 295         tristate "SNMP service protocol support"
 296         depends on NETFILTER_ADVANCED
 297         select NF_CONNTRACK_BROADCAST
 298         help
 299           SNMP service requests are sent as broadcast messages from an
 300           unprivileged port and responded to with unicast messages to the
 301           same port. This make them hard to firewall properly because connection
 302           tracking doesn't deal with broadcasts. This helper tracks locally
 303           originating SNMP service requests and the corresponding
 304           responses. It relies on correct IP address configuration, specifically
 305           netmask and broadcast address.
 306
 307           To compile it as a module, choose M here.  If unsure, say N.
 308
 309 config NF_CONNTRACK_PPTP
 310         tristate "PPtP protocol support"
 311         depends on NETFILTER_ADVANCED
 312         select NF_CT_PROTO_GRE
 313         help
 314           This module adds support for PPTP (Point to Point Tunnelling
 315           Protocol, RFC2637) connection tracking and NAT.
 316
 317           If you are running PPTP sessions over a stateful firewall or NAT
 318           box, you may want to enable this feature.
 319
 320           Please note that not all PPTP modes of operation are supported yet.
 321           Specifically these limitations exist:
 322             - Blindly assumes that control connections are always established
 323               in PNS->PAC direction. This is a violation of RFC2637.
 324             - Only supports a single call within each session
 325
 326           To compile it as a module, choose M here.  If unsure, say N.
 327
 328 config NF_CONNTRACK_SANE
 329         tristate "SANE protocol support"
 330         depends on NETFILTER_ADVANCED
 331         help
 332           SANE is a protocol for remote access to scanners as implemented
 333           by the 'saned' daemon. Like FTP, it uses separate control and
 334           data connections.
 335
 336           With this module you can support SANE on a connection tracking
 337           firewall.
 338
 339           To compile it as a module, choose M here.  If unsure, say N.
 340
 341 config NF_CONNTRACK_SIP
 342         tristate "SIP protocol support"
 343         default m if NETFILTER_ADVANCED=n
 344         help
 345           SIP is an application-layer control protocol that can establish,
 346           modify, and terminate multimedia sessions (conferences) such as
 347           Internet telephony calls. With the nf_conntrack_sip and
 348           the nf_nat_sip modules you can support the protocol on a connection
 349           tracking/NATing firewall.
 350
 351           To compile it as a module, choose M here.  If unsure, say N.
 352
 353 config NF_CONNTRACK_TFTP
 354         tristate "TFTP protocol support"
 355         depends on NETFILTER_ADVANCED
 356         help
 357           TFTP connection tracking helper, this is required depending
 358           on how restrictive your ruleset is.
 359           If you are using a tftp client behind -j SNAT or -j MASQUERADING
 360           you will need this.
 361
 362           To compile it as a module, choose M here.  If unsure, say N.
 363
 364 config NF_CT_NETLINK
 365         tristate 'Connection tracking netlink interface'
 366         select NETFILTER_NETLINK
 367         default m if NETFILTER_ADVANCED=n
 368         help
 369           This option enables support for a netlink-based userspace interface
 370
 371 config NF_CT_NETLINK_TIMEOUT
 372         tristate  'Connection tracking timeout tuning via Netlink'
 373         select NETFILTER_NETLINK
 374         depends on NETFILTER_ADVANCED
 375         depends on NF_CONNTRACK_TIMEOUT
 376         help
 377           This option enables support for connection tracking timeout
 378           fine-grain tuning. This allows you to attach specific timeout
 379           policies to flows, instead of using the global timeout policy.
 380
 381           If unsure, say `N'.
 382
 383 config NF_CT_NETLINK_HELPER
 384         tristate 'Connection tracking helpers in user-space via Netlink'
 385         select NETFILTER_NETLINK
 386         depends on NF_CT_NETLINK
 387         depends on NETFILTER_NETLINK_QUEUE
 388         depends on NETFILTER_NETLINK_GLUE_CT
 389         depends on NETFILTER_ADVANCED
 390         help
 391           This option enables the user-space connection tracking helpers
 392           infrastructure.
 393
 394           If unsure, say `N'.
 395
 396 config NETFILTER_NETLINK_GLUE_CT
 397         bool "NFQUEUE and NFLOG integration with Connection Tracking"
 398         default n
 399         depends on (NETFILTER_NETLINK_QUEUE || NETFILTER_NETLINK_LOG) && NF_CT_NETLINK
 400         help
 401           If this option is enabled, NFQUEUE and NFLOG can include
 402           Connection Tracking information together with the packet is
 403           the enqueued via NFNETLINK.
 404
 405 config NF_NAT
 406         tristate "Network Address Translation support"
 407         depends on NF_CONNTRACK
 408         default m if NETFILTER_ADVANCED=n
 409         help
 410           The NAT option allows masquerading, port forwarding and other
 411           forms of full Network Address Port Translation. This can be
 412           controlled by iptables, ip6tables or nft.
 413
 414 config NF_NAT_AMANDA
 415         tristate
 416         depends on NF_CONNTRACK && NF_NAT
 417         default NF_NAT && NF_CONNTRACK_AMANDA
 418
 419 config NF_NAT_FTP
 420         tristate
 421         depends on NF_CONNTRACK && NF_NAT
 422         default NF_NAT && NF_CONNTRACK_FTP
 423
 424 config NF_NAT_IRC
 425         tristate
 426         depends on NF_CONNTRACK && NF_NAT
 427         default NF_NAT && NF_CONNTRACK_IRC
 428
 429 config NF_NAT_SIP
 430         tristate
 431         depends on NF_CONNTRACK && NF_NAT
 432         default NF_NAT && NF_CONNTRACK_SIP
 433
 434 config NF_NAT_TFTP
 435         tristate
 436         depends on NF_CONNTRACK && NF_NAT
 437         default NF_NAT && NF_CONNTRACK_TFTP
 438
 439 config NF_NAT_REDIRECT
 440         bool
 441
 442 config NF_NAT_MASQUERADE
 443         bool
 444
 445 config NETFILTER_SYNPROXY
 446         tristate
 447
 448 endif # NF_CONNTRACK
 449
 450 config NF_TABLES
 451         select NETFILTER_NETLINK
 452         tristate "Netfilter nf_tables support"
 453         help
 454           nftables is the new packet classification framework that intends to
 455           replace the existing {ip,ip6,arp,eb}_tables infrastructure. It
 456           provides a pseudo-state machine with an extensible instruction-set
 457           (also known as expressions) that the userspace 'nft' utility
 458           (http://www.netfilter.org/projects/nftables) uses to build the
 459           rule-set. It also comes with the generic set infrastructure that
 460           allows you to construct mappings between matchings and actions
 461           for performance lookups.
 462
 463           To compile it as a module, choose M here.
 464
 465 if NF_TABLES
 466 config NF_TABLES_INET
 467         depends on IPV6
 468         select NF_TABLES_IPV4
 469         select NF_TABLES_IPV6
 470         bool "Netfilter nf_tables mixed IPv4/IPv6 tables support"
 471         help
 472           This option enables support for a mixed IPv4/IPv6 "inet" table.
 473
 474 config NF_TABLES_NETDEV
 475         bool "Netfilter nf_tables netdev tables support"
 476         help
 477           This option enables support for the "netdev" table.
 478
 479 config NFT_NUMGEN
 480         tristate "Netfilter nf_tables number generator module"
 481         help
 482           This option adds the number generator expression used to perform
 483           incremental counting and random numbers bound to a upper limit.
 484
 485 config NFT_CT
 486         depends on NF_CONNTRACK
 487         tristate "Netfilter nf_tables conntrack module"
 488         help
 489           This option adds the "ct" expression that you can use to match
 490           connection tracking information such as the flow state.
 491
 492 config NFT_FLOW_OFFLOAD
 493         depends on NF_CONNTRACK && NF_FLOW_TABLE
 494         tristate "Netfilter nf_tables hardware flow offload module"
 495         help
 496           This option adds the "flow_offload" expression that you can use to
 497           choose what flows are placed into the hardware.
 498
 499 config NFT_COUNTER
 500         tristate "Netfilter nf_tables counter module"
 501         help
 502           This option adds the "counter" expression that you can use to
 503           include packet and byte counters in a rule.
 504
 505 config NFT_CONNLIMIT
 506         tristate "Netfilter nf_tables connlimit module"
 507         depends on NF_CONNTRACK
 508         depends on NETFILTER_ADVANCED
 509         select NETFILTER_CONNCOUNT
 510         help
 511           This option adds the "connlimit" expression that you can use to
 512           ratelimit rule matchings per connections.
 513
 514 config NFT_LOG
 515         tristate "Netfilter nf_tables log module"
 516         help
 517           This option adds the "log" expression that you can use to log
 518           packets matching some criteria.
 519
 520 config NFT_LIMIT
 521         tristate "Netfilter nf_tables limit module"
 522         help
 523           This option adds the "limit" expression that you can use to
 524           ratelimit rule matchings.
 525
 526 config NFT_MASQ
 527         depends on NF_CONNTRACK
 528         depends on NF_NAT
 529         select NF_NAT_MASQUERADE
 530         tristate "Netfilter nf_tables masquerade support"
 531         help
 532           This option adds the "masquerade" expression that you can use
 533           to perform NAT in the masquerade flavour.
 534
 535 config NFT_REDIR
 536         depends on NF_CONNTRACK
 537         depends on NF_NAT
 538         tristate "Netfilter nf_tables redirect support"
 539         select NF_NAT_REDIRECT
 540         help
 541           This options adds the "redirect" expression that you can use
 542           to perform NAT in the redirect flavour.
 543
 544 config NFT_NAT
 545         depends on NF_CONNTRACK
 546         select NF_NAT
 547         depends on NF_TABLES_IPV4 || NF_TABLES_IPV6
 548         tristate "Netfilter nf_tables nat module"
 549         help
 550           This option adds the "nat" expression that you can use to perform
 551           typical Network Address Translation (NAT) packet transformations.
 552
 553 config NFT_TUNNEL
 554         tristate "Netfilter nf_tables tunnel module"
 555         help
 556           This option adds the "tunnel" expression that you can use to set
 557           tunneling policies.
 558
 559 config NFT_OBJREF
 560         tristate "Netfilter nf_tables stateful object reference module"
 561         help
 562           This option adds the "objref" expression that allows you to refer to
 563           stateful objects, such as counters and quotas.
 564
 565 config NFT_QUEUE
 566         depends on NETFILTER_NETLINK_QUEUE
 567         tristate "Netfilter nf_tables queue module"
 568         help
 569           This is required if you intend to use the userspace queueing
 570           infrastructure (also known as NFQUEUE) from nftables.
 571
 572 config NFT_QUOTA
 573         tristate "Netfilter nf_tables quota module"
 574         help
 575           This option adds the "quota" expression that you can use to match
 576           enforce bytes quotas.
 577
 578 config NFT_REJECT
 579         default m if NETFILTER_ADVANCED=n
 580         tristate "Netfilter nf_tables reject support"
 581         depends on !NF_TABLES_INET || (IPV6!=m || m)
 582         help
 583           This option adds the "reject" expression that you can use to
 584           explicitly deny and notify via TCP reset/ICMP informational errors
 585           unallowed traffic.
 586
 587 config NFT_REJECT_INET
 588         depends on NF_TABLES_INET
 589         default NFT_REJECT
 590         tristate
 591
 592 config NFT_COMPAT
 593         depends on NETFILTER_XTABLES
 594         tristate "Netfilter x_tables over nf_tables module"
 595         help
 596           This is required if you intend to use any of existing
 597           x_tables match/target extensions over the nf_tables
 598           framework.
 599
 600 config NFT_HASH
 601         tristate "Netfilter nf_tables hash module"
 602         help
 603           This option adds the "hash" expression that you can use to perform
 604           a hash operation on registers.
 605
 606 config NFT_FIB
 607         tristate
 608
 609 config NFT_FIB_INET
 610         depends on NF_TABLES_INET
 611         depends on NFT_FIB_IPV4
 612         depends on NFT_FIB_IPV6
 613         tristate "Netfilter nf_tables fib inet support"
 614         help
 615           This option allows using the FIB expression from the inet table.
 616           The lookup will be delegated to the IPv4 or IPv6 FIB depending
 617           on the protocol of the packet.
 618
 619 config NFT_XFRM
 620         tristate "Netfilter nf_tables xfrm/IPSec security association matching"
 621         depends on XFRM
 622         help
 623           This option adds an expression that you can use to extract properties
 624           of a packets security association.
 625
 626 config NFT_SOCKET
 627         tristate "Netfilter nf_tables socket match support"
 628         depends on IPV6 || IPV6=n
 629         select NF_SOCKET_IPV4
 630         select NF_SOCKET_IPV6 if NF_TABLES_IPV6
 631         help
 632           This option allows matching for the presence or absence of a
 633           corresponding socket and its attributes.
 634
 635 config NFT_OSF
 636         tristate "Netfilter nf_tables passive OS fingerprint support"
 637         depends on NETFILTER_ADVANCED
 638         select NETFILTER_NETLINK_OSF
 639         help
 640           This option allows matching packets from an specific OS.
 641
 642 config NFT_TPROXY
 643         tristate "Netfilter nf_tables tproxy support"
 644         depends on IPV6 || IPV6=n
 645         select NF_DEFRAG_IPV4
 646         select NF_DEFRAG_IPV6 if NF_TABLES_IPV6
 647         select NF_TPROXY_IPV4
 648         select NF_TPROXY_IPV6 if NF_TABLES_IPV6
 649         help
 650           This makes transparent proxy support available in nftables.
 651
 652 config NFT_SYNPROXY
 653         tristate "Netfilter nf_tables SYNPROXY expression support"
 654         depends on NF_CONNTRACK && NETFILTER_ADVANCED
 655         select NETFILTER_SYNPROXY
 656         select SYN_COOKIES
 657         help
 658           The SYNPROXY expression allows you to intercept TCP connections and
 659           establish them using syncookies before they are passed on to the
 660           server. This allows to avoid conntrack and server resource usage
 661           during SYN-flood attacks.
 662
 663 if NF_TABLES_NETDEV
 664
 665 config NF_DUP_NETDEV
 666         tristate "Netfilter packet duplication support"
 667         help
 668           This option enables the generic packet duplication infrastructure
 669           for Netfilter.
 670
 671 config NFT_DUP_NETDEV
 672         tristate "Netfilter nf_tables netdev packet duplication support"
 673         select NF_DUP_NETDEV
 674         help
 675           This option enables packet duplication for the "netdev" family.
 676
 677 config NFT_FWD_NETDEV
 678         tristate "Netfilter nf_tables netdev packet forwarding support"
 679         select NF_DUP_NETDEV
 680         help
 681           This option enables packet forwarding for the "netdev" family.
 682
 683 config NFT_FIB_NETDEV
 684         depends on NFT_FIB_IPV4
 685         depends on NFT_FIB_IPV6
 686         tristate "Netfilter nf_tables netdev fib lookups support"
 687         help
 688           This option allows using the FIB expression from the netdev table.
 689           The lookup will be delegated to the IPv4 or IPv6 FIB depending
 690           on the protocol of the packet.
 691
 692 endif # NF_TABLES_NETDEV
 693
 694 endif # NF_TABLES
 695
 696 config NF_FLOW_TABLE_INET
 697         tristate "Netfilter flow table mixed IPv4/IPv6 module"
 698         depends on NF_FLOW_TABLE
 699         help
 700           This option adds the flow table mixed IPv4/IPv6 support.
 701
 702           To compile it as a module, choose M here.
 703
 704 config NF_FLOW_TABLE
 705         tristate "Netfilter flow table module"
 706         depends on NETFILTER_INGRESS
 707         depends on NF_CONNTRACK
 708         depends on NF_TABLES
 709         help
 710           This option adds the flow table core infrastructure.
 711
 712           To compile it as a module, choose M here.
 713
 714 config NETFILTER_XTABLES
 715         tristate "Netfilter Xtables support (required for ip_tables)"
 716         default m if NETFILTER_ADVANCED=n
 717         help
 718           This is required if you intend to use any of ip_tables,
 719           ip6_tables or arp_tables.
 720
 721 if NETFILTER_XTABLES
 722
 723 comment "Xtables combined modules"
 724
 725 config NETFILTER_XT_MARK
 726         tristate 'nfmark target and match support'
 727         default m if NETFILTER_ADVANCED=n
 728         ---help---
 729         This option adds the "MARK" target and "mark" match.
 730
 731         Netfilter mark matching allows you to match packets based on the
 732         "nfmark" value in the packet.
 733         The target allows you to create rules in the "mangle" table which alter
 734         the netfilter mark (nfmark) field associated with the packet.
 735
 736         Prior to routing, the nfmark can influence the routing method and can
 737         also be used by other subsystems to change their behavior.
 738
 739 config NETFILTER_XT_CONNMARK
 740         tristate 'ctmark target and match support'
 741         depends on NF_CONNTRACK
 742         depends on NETFILTER_ADVANCED
 743         select NF_CONNTRACK_MARK
 744         ---help---
 745         This option adds the "CONNMARK" target and "connmark" match.
 746
 747         Netfilter allows you to store a mark value per connection (a.k.a.
 748         ctmark), similarly to the packet mark (nfmark). Using this
 749         target and match, you can set and match on this mark.
 750
 751 config NETFILTER_XT_SET
 752         tristate 'set target and match support'
 753         depends on IP_SET
 754         depends on NETFILTER_ADVANCED
 755         help
 756           This option adds the "SET" target and "set" match.
 757
 758           Using this target and match, you can add/delete and match
 759           elements in the sets created by ipset(8).
 760
 761           To compile it as a module, choose M here.  If unsure, say N.
 762
 763 # alphabetically ordered list of targets
 764
 765 comment "Xtables targets"
 766
 767 config NETFILTER_XT_TARGET_AUDIT
 768         tristate "AUDIT target support"
 769         depends on AUDIT
 770         depends on NETFILTER_ADVANCED
 771         ---help---
 772           This option adds a 'AUDIT' target, which can be used to create
 773           audit records for packets dropped/accepted.
 774
 775           To compileit as a module, choose M here. If unsure, say N.
 776
 777 config NETFILTER_XT_TARGET_CHECKSUM
 778         tristate "CHECKSUM target support"
 779         depends on IP_NF_MANGLE || IP6_NF_MANGLE
 780         depends on NETFILTER_ADVANCED
 781         ---help---
 782           This option adds a `CHECKSUM' target, which can be used in the iptables mangle
 783           table to work around buggy DHCP clients in virtualized environments.
 784
 785           Some old DHCP clients drop packets because they are not aware
 786           that the checksum would normally be offloaded to hardware and
 787           thus should be considered valid.
 788           This target can be used to fill in the checksum using iptables
 789           when such packets are sent via a virtual network device.
 790
 791           To compile it as a module, choose M here.  If unsure, say N.
 792
 793 config NETFILTER_XT_TARGET_CLASSIFY
 794         tristate '"CLASSIFY" target support'
 795         depends on NETFILTER_ADVANCED
 796         help
 797           This option adds a `CLASSIFY' target, which enables the user to set
 798           the priority of a packet. Some qdiscs can use this value for
 799           classification, among these are:
 800
 801           atm, cbq, dsmark, pfifo_fast, htb, prio
 802
 803           To compile it as a module, choose M here.  If unsure, say N.
 804
 805 config NETFILTER_XT_TARGET_CONNMARK
 806         tristate  '"CONNMARK" target support'
 807         depends on NF_CONNTRACK
 808         depends on NETFILTER_ADVANCED
 809         select NETFILTER_XT_CONNMARK
 810         ---help---
 811         This is a backwards-compat option for the user's convenience
 812         (e.g. when running oldconfig). It selects
 813         CONFIG_NETFILTER_XT_CONNMARK (combined connmark/CONNMARK module).
 814
 815 config NETFILTER_XT_TARGET_CONNSECMARK
 816         tristate '"CONNSECMARK" target support'
 817         depends on NF_CONNTRACK && NF_CONNTRACK_SECMARK
 818         default m if NETFILTER_ADVANCED=n
 819         help
 820           The CONNSECMARK target copies security markings from packets
 821           to connections, and restores security markings from connections
 822           to packets (if the packets are not already marked).  This would
 823           normally be used in conjunction with the SECMARK target.
 824
 825           To compile it as a module, choose M here.  If unsure, say N.
 826
 827 config NETFILTER_XT_TARGET_CT
 828         tristate '"CT" target support'
 829         depends on NF_CONNTRACK
 830         depends on IP_NF_RAW || IP6_NF_RAW
 831         depends on NETFILTER_ADVANCED
 832         help
 833           This options adds a `CT' target, which allows to specify initial
 834           connection tracking parameters like events to be delivered and
 835           the helper to be used.
 836
 837           To compile it as a module, choose M here.  If unsure, say N.
 838
 839 config NETFILTER_XT_TARGET_DSCP
 840         tristate '"DSCP" and "TOS" target support'
 841         depends on IP_NF_MANGLE || IP6_NF_MANGLE
 842         depends on NETFILTER_ADVANCED
 843         help
 844           This option adds a `DSCP' target, which allows you to manipulate
 845           the IPv4/IPv6 header DSCP field (differentiated services codepoint).
 846
 847           The DSCP field can have any value between 0x0 and 0x3f inclusive.
 848
 849           It also adds the "TOS" target, which allows you to create rules in
 850           the "mangle" table which alter the Type Of Service field of an IPv4
 851           or the Priority field of an IPv6 packet, prior to routing.
 852
 853           To compile it as a module, choose M here.  If unsure, say N.
 854
 855 config NETFILTER_XT_TARGET_HL
 856         tristate '"HL" hoplimit target support'
 857         depends on IP_NF_MANGLE || IP6_NF_MANGLE
 858         depends on NETFILTER_ADVANCED
 859         ---help---
 860         This option adds the "HL" (for IPv6) and "TTL" (for IPv4)
 861         targets, which enable the user to change the
 862         hoplimit/time-to-live value of the IP header.
 863
 864         While it is safe to decrement the hoplimit/TTL value, the
 865         modules also allow to increment and set the hoplimit value of
 866         the header to arbitrary values. This is EXTREMELY DANGEROUS
 867         since you can easily create immortal packets that loop
 868         forever on the network.
 869
 870 config NETFILTER_XT_TARGET_HMARK
 871         tristate '"HMARK" target support'
 872         depends on IP6_NF_IPTABLES || IP6_NF_IPTABLES=n
 873         depends on NETFILTER_ADVANCED
 874         ---help---
 875         This option adds the "HMARK" target.
 876
 877         The target allows you to create rules in the "raw" and "mangle" tables
 878         which set the skbuff mark by means of hash calculation within a given
 879         range. The nfmark can influence the routing method and can also be used
 880         by other subsystems to change their behaviour.
 881
 882         To compile it as a module, choose M here. If unsure, say N.
 883
 884 config NETFILTER_XT_TARGET_IDLETIMER
 885         tristate  "IDLETIMER target support"
 886         depends on NETFILTER_ADVANCED
 887         help
 888
 889           This option adds the `IDLETIMER' target.  Each matching packet
 890           resets the timer associated with label specified when the rule is
 891           added.  When the timer expires, it triggers a sysfs notification.
 892           The remaining time for expiration can be read via sysfs.
 893
 894           To compile it as a module, choose M here.  If unsure, say N.
 895
 896 config NETFILTER_XT_TARGET_LED
 897         tristate '"LED" target support'
 898         depends on LEDS_CLASS && LEDS_TRIGGERS
 899         depends on NETFILTER_ADVANCED
 900         help
 901           This option adds a `LED' target, which allows you to blink LEDs in
 902           response to particular packets passing through your machine.
 903
 904           This can be used to turn a spare LED into a network activity LED,
 905           which only flashes in response to FTP transfers, for example.  Or
 906           you could have an LED which lights up for a minute or two every time
 907           somebody connects to your machine via SSH.
 908
 909           You will need support for the "led" class to make this work.
 910
 911           To create an LED trigger for incoming SSH traffic:
 912             iptables -A INPUT -p tcp --dport 22 -j LED --led-trigger-id ssh --led-delay 1000
 913
 914           Then attach the new trigger to an LED on your system:
 915             echo netfilter-ssh > /sys/class/leds/<ledname>/trigger
 916
 917           For more information on the LEDs available on your system, see
 918           Documentation/leds/leds-class.rst
 919
 920 config NETFILTER_XT_TARGET_LOG
 921         tristate "LOG target support"
 922         select NF_LOG_COMMON
 923         select NF_LOG_IPV4
 924         select NF_LOG_IPV6 if IP6_NF_IPTABLES
 925         default m if NETFILTER_ADVANCED=n
 926         help
 927           This option adds a `LOG' target, which allows you to create rules in
 928           any iptables table which records the packet header to the syslog.
 929
 930           To compile it as a module, choose M here.  If unsure, say N.
 931
 932 config NETFILTER_XT_TARGET_MARK
 933         tristate '"MARK" target support'
 934         depends on NETFILTER_ADVANCED
 935         select NETFILTER_XT_MARK
 936         ---help---
 937         This is a backwards-compat option for the user's convenience
 938         (e.g. when running oldconfig). It selects
 939         CONFIG_NETFILTER_XT_MARK (combined mark/MARK module).
 940
 941 config NETFILTER_XT_NAT
 942         tristate '"SNAT and DNAT" targets support'
 943         depends on NF_NAT
 944         ---help---
 945         This option enables the SNAT and DNAT targets.
 946
 947         To compile it as a module, choose M here. If unsure, say N.
 948
 949 config NETFILTER_XT_TARGET_NETMAP
 950         tristate '"NETMAP" target support'
 951         depends on NF_NAT
 952         ---help---
 953         NETMAP is an implementation of static 1:1 NAT mapping of network
 954         addresses. It maps the network address part, while keeping the host
 955         address part intact.
 956
 957         To compile it as a module, choose M here. If unsure, say N.
 958
 959 config NETFILTER_XT_TARGET_NFLOG
 960         tristate '"NFLOG" target support'
 961         default m if NETFILTER_ADVANCED=n
 962         select NETFILTER_NETLINK_LOG
 963         help
 964           This option enables the NFLOG target, which allows to LOG
 965           messages through nfnetlink_log.
 966
 967           To compile it as a module, choose M here.  If unsure, say N.
 968
 969 config NETFILTER_XT_TARGET_NFQUEUE
 970         tristate '"NFQUEUE" target Support'
 971         depends on NETFILTER_ADVANCED
 972         select NETFILTER_NETLINK_QUEUE
 973         help
 974           This target replaced the old obsolete QUEUE target.
 975
 976           As opposed to QUEUE, it supports 65535 different queues,
 977           not just one.
 978
 979           To compile it as a module, choose M here.  If unsure, say N.
 980
 981 config NETFILTER_XT_TARGET_NOTRACK
 982         tristate  '"NOTRACK" target support (DEPRECATED)'
 983         depends on NF_CONNTRACK
 984         depends on IP_NF_RAW || IP6_NF_RAW
 985         depends on NETFILTER_ADVANCED
 986         select NETFILTER_XT_TARGET_CT
 987
 988 config NETFILTER_XT_TARGET_RATEEST
 989         tristate '"RATEEST" target support'
 990         depends on NETFILTER_ADVANCED
 991         help
 992           This option adds a `RATEEST' target, which allows to measure
 993           rates similar to TC estimators. The `rateest' match can be
 994           used to match on the measured rates.
 995
 996           To compile it as a module, choose M here.  If unsure, say N.
 997
 998 config NETFILTER_XT_TARGET_REDIRECT
 999         tristate "REDIRECT target support"
1000         depends on NF_NAT
1001         select NF_NAT_REDIRECT
1002         ---help---
1003         REDIRECT is a special case of NAT: all incoming connections are
1004         mapped onto the incoming interface's address, causing the packets to
1005         come to the local machine instead of passing through. This is
1006         useful for transparent proxies.
1007
1008         To compile it as a module, choose M here. If unsure, say N.
1009
1010 config NETFILTER_XT_TARGET_MASQUERADE
1011         tristate "MASQUERADE target support"
1012         depends on NF_NAT
1013         default m if NETFILTER_ADVANCED=n
1014         select NF_NAT_MASQUERADE
1015         help
1016           Masquerading is a special case of NAT: all outgoing connections are
1017           changed to seem to come from a particular interface's address, and
1018           if the interface goes down, those connections are lost.  This is
1019           only useful for dialup accounts with dynamic IP address (ie. your IP
1020           address will be different on next dialup).
1021
1022           To compile it as a module, choose M here.  If unsure, say N.
1023
1024 config NETFILTER_XT_TARGET_TEE
1025         tristate '"TEE" - packet cloning to alternate destination'
1026         depends on NETFILTER_ADVANCED
1027         depends on IPV6 || IPV6=n
1028         depends on !NF_CONNTRACK || NF_CONNTRACK
1029         depends on IP6_NF_IPTABLES || !IP6_NF_IPTABLES
1030         select NF_DUP_IPV4
1031         select NF_DUP_IPV6 if IP6_NF_IPTABLES
1032         ---help---
1033         This option adds a "TEE" target with which a packet can be cloned and
1034         this clone be rerouted to another nexthop.
1035
1036 config NETFILTER_XT_TARGET_TPROXY
1037         tristate '"TPROXY" target transparent proxying support'
1038         depends on NETFILTER_XTABLES
1039         depends on NETFILTER_ADVANCED
1040         depends on IPV6 || IPV6=n
1041         depends on IP6_NF_IPTABLES || IP6_NF_IPTABLES=n
1042         depends on IP_NF_MANGLE
1043         select NF_DEFRAG_IPV4
1044         select NF_DEFRAG_IPV6 if IP6_NF_IPTABLES != n
1045         select NF_TPROXY_IPV4
1046         select NF_TPROXY_IPV6 if IP6_NF_IPTABLES
1047         help
1048           This option adds a `TPROXY' target, which is somewhat similar to
1049           REDIRECT.  It can only be used in the mangle table and is useful
1050           to redirect traffic to a transparent proxy.  It does _not_ depend
1051           on Netfilter connection tracking and NAT, unlike REDIRECT.
1052           For it to work you will have to configure certain iptables rules
1053           and use policy routing. For more information on how to set it up
1054           see Documentation/networking/tproxy.txt.
1055
1056           To compile it as a module, choose M here.  If unsure, say N.
1057
1058 config NETFILTER_XT_TARGET_TRACE
1059         tristate  '"TRACE" target support'
1060         depends on IP_NF_RAW || IP6_NF_RAW
1061         depends on NETFILTER_ADVANCED
1062         help
1063           The TRACE target allows you to mark packets so that the kernel
1064           will log every rule which match the packets as those traverse
1065           the tables, chains, rules.
1066
1067           If you want to compile it as a module, say M here and read
1068           <file:Documentation/kbuild/modules.rst>.  If unsure, say `N'.
1069
1070 config NETFILTER_XT_TARGET_SECMARK
1071         tristate '"SECMARK" target support'
1072         depends on NETWORK_SECMARK
1073         default m if NETFILTER_ADVANCED=n
1074         help
1075           The SECMARK target allows security marking of network
1076           packets, for use with security subsystems.
1077
1078           To compile it as a module, choose M here.  If unsure, say N.
1079
1080 config NETFILTER_XT_TARGET_TCPMSS
1081         tristate '"TCPMSS" target support'
1082         depends on IPV6 || IPV6=n
1083         default m if NETFILTER_ADVANCED=n
1084         ---help---
1085           This option adds a `TCPMSS' target, which allows you to alter the
1086           MSS value of TCP SYN packets, to control the maximum size for that
1087           connection (usually limiting it to your outgoing interface's MTU
1088           minus 40).
1089
1090           This is used to overcome criminally braindead ISPs or servers which
1091           block ICMP Fragmentation Needed packets.  The symptoms of this
1092           problem are that everything works fine from your Linux
1093           firewall/router, but machines behind it can never exchange large
1094           packets:
1095                 1) Web browsers connect, then hang with no data received.
1096                 2) Small mail works fine, but large emails hang.
1097                 3) ssh works fine, but scp hangs after initial handshaking.
1098
1099           Workaround: activate this option and add a rule to your firewall
1100           configuration like:
1101
1102           iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN \
1103                          -j TCPMSS --clamp-mss-to-pmtu
1104
1105           To compile it as a module, choose M here.  If unsure, say N.
1106
1107 config NETFILTER_XT_TARGET_TCPOPTSTRIP
1108         tristate '"TCPOPTSTRIP" target support'
1109         depends on IP_NF_MANGLE || IP6_NF_MANGLE
1110         depends on NETFILTER_ADVANCED
1111         help
1112           This option adds a "TCPOPTSTRIP" target, which allows you to strip
1113           TCP options from TCP packets.
1114
1115 # alphabetically ordered list of matches
1116
1117 comment "Xtables matches"
1118
1119 config NETFILTER_XT_MATCH_ADDRTYPE
1120         tristate '"addrtype" address type match support'
1121         default m if NETFILTER_ADVANCED=n
1122         ---help---
1123           This option allows you to match what routing thinks of an address,
1124           eg. UNICAST, LOCAL, BROADCAST, ...
1125
1126           If you want to compile it as a module, say M here and read
1127           <file:Documentation/kbuild/modules.rst>.  If unsure, say `N'.
1128
1129 config NETFILTER_XT_MATCH_BPF
1130         tristate '"bpf" match support'
1131         depends on NETFILTER_ADVANCED
1132         help
1133           BPF matching applies a linux socket filter to each packet and
1134           accepts those for which the filter returns non-zero.
1135
1136           To compile it as a module, choose M here.  If unsure, say N.
1137
1138 config NETFILTER_XT_MATCH_CGROUP
1139         tristate '"control group" match support'
1140         depends on NETFILTER_ADVANCED
1141         depends on CGROUPS
1142         select CGROUP_NET_CLASSID
1143         ---help---
1144         Socket/process control group matching allows you to match locally
1145         generated packets based on which net_cls control group processes
1146         belong to.
1147
1148 config NETFILTER_XT_MATCH_CLUSTER
1149         tristate '"cluster" match support'
1150         depends on NF_CONNTRACK
1151         depends on NETFILTER_ADVANCED
1152         ---help---
1153           This option allows you to build work-load-sharing clusters of
1154           network servers/stateful firewalls without having a dedicated
1155           load-balancing router/server/switch. Basically, this match returns
1156           true when the packet must be handled by this cluster node. Thus,
1157           all nodes see all packets and this match decides which node handles
1158           what packets. The work-load sharing algorithm is based on source
1159           address hashing.
1160
1161           If you say Y or M here, try `iptables -m cluster --help` for
1162           more information.
1163
1164 config NETFILTER_XT_MATCH_COMMENT
1165         tristate  '"comment" match support'
1166         depends on NETFILTER_ADVANCED
1167         help
1168           This option adds a `comment' dummy-match, which allows you to put
1169           comments in your iptables ruleset.
1170
1171           If you want to compile it as a module, say M here and read
1172           <file:Documentation/kbuild/modules.rst>.  If unsure, say `N'.
1173
1174 config NETFILTER_XT_MATCH_CONNBYTES
1175         tristate  '"connbytes" per-connection counter match support'
1176         depends on NF_CONNTRACK
1177         depends on NETFILTER_ADVANCED
1178         help
1179           This option adds a `connbytes' match, which allows you to match the
1180           number of bytes and/or packets for each direction within a connection.
1181
1182           If you want to compile it as a module, say M here and read
1183           <file:Documentation/kbuild/modules.rst>.  If unsure, say `N'.
1184
1185 config NETFILTER_XT_MATCH_CONNLABEL
1186         tristate '"connlabel" match support'
1187         select NF_CONNTRACK_LABELS
1188         depends on NF_CONNTRACK
1189         depends on NETFILTER_ADVANCED
1190         ---help---
1191           This match allows you to test and assign userspace-defined labels names
1192           to a connection.  The kernel only stores bit values - mapping
1193           names to bits is done by userspace.
1194
1195           Unlike connmark, more than 32 flag bits may be assigned to a
1196           connection simultaneously.
1197
1198 config NETFILTER_XT_MATCH_CONNLIMIT
1199         tristate '"connlimit" match support'
1200         depends on NF_CONNTRACK
1201         depends on NETFILTER_ADVANCED
1202         select NETFILTER_CONNCOUNT
1203         ---help---
1204           This match allows you to match against the number of parallel
1205           connections to a server per client IP address (or address block).
1206
1207 config NETFILTER_XT_MATCH_CONNMARK
1208         tristate  '"connmark" connection mark match support'
1209         depends on NF_CONNTRACK
1210         depends on NETFILTER_ADVANCED
1211         select NETFILTER_XT_CONNMARK
1212         ---help---
1213         This is a backwards-compat option for the user's convenience
1214         (e.g. when running oldconfig). It selects
1215         CONFIG_NETFILTER_XT_CONNMARK (combined connmark/CONNMARK module).
1216
1217 config NETFILTER_XT_MATCH_CONNTRACK
1218         tristate '"conntrack" connection tracking match support'
1219         depends on NF_CONNTRACK
1220         default m if NETFILTER_ADVANCED=n
1221         help
1222           This is a general conntrack match module, a superset of the state match.
1223
1224           It allows matching on additional conntrack information, which is
1225           useful in complex configurations, such as NAT gateways with multiple
1226           internet links or tunnels.
1227
1228           To compile it as a module, choose M here.  If unsure, say N.
1229
1230 config NETFILTER_XT_MATCH_CPU
1231         tristate '"cpu" match support'
1232         depends on NETFILTER_ADVANCED
1233         help
1234           CPU matching allows you to match packets based on the CPU
1235           currently handling the packet.
1236
1237           To compile it as a module, choose M here.  If unsure, say N.
1238
1239 config NETFILTER_XT_MATCH_DCCP
1240         tristate '"dccp" protocol match support'
1241         depends on NETFILTER_ADVANCED
1242         default IP_DCCP
1243         help
1244           With this option enabled, you will be able to use the iptables
1245           `dccp' match in order to match on DCCP source/destination ports
1246           and DCCP flags.
1247
1248           If you want to compile it as a module, say M here and read
1249           <file:Documentation/kbuild/modules.rst>.  If unsure, say `N'.
1250
1251 config NETFILTER_XT_MATCH_DEVGROUP
1252         tristate '"devgroup" match support'
1253         depends on NETFILTER_ADVANCED
1254         help
1255           This options adds a `devgroup' match, which allows to match on the
1256           device group a network device is assigned to.
1257
1258           To compile it as a module, choose M here.  If unsure, say N.
1259
1260 config NETFILTER_XT_MATCH_DSCP
1261         tristate '"dscp" and "tos" match support'
1262         depends on NETFILTER_ADVANCED
1263         help
1264           This option adds a `DSCP' match, which allows you to match against
1265           the IPv4/IPv6 header DSCP field (differentiated services codepoint).
1266
1267           The DSCP field can have any value between 0x0 and 0x3f inclusive.
1268
1269           It will also add a "tos" match, which allows you to match packets
1270           based on the Type Of Service fields of the IPv4 packet (which share
1271           the same bits as DSCP).
1272
1273           To compile it as a module, choose M here.  If unsure, say N.
1274
1275 config NETFILTER_XT_MATCH_ECN
1276         tristate '"ecn" match support'
1277         depends on NETFILTER_ADVANCED
1278         ---help---
1279         This option adds an "ECN" match, which allows you to match against
1280         the IPv4 and TCP header ECN fields.
1281
1282         To compile it as a module, choose M here. If unsure, say N.
1283
1284 config NETFILTER_XT_MATCH_ESP
1285         tristate '"esp" match support'
1286         depends on NETFILTER_ADVANCED
1287         help
1288           This match extension allows you to match a range of SPIs
1289           inside ESP header of IPSec packets.
1290
1291           To compile it as a module, choose M here.  If unsure, say N.
1292
1293 config NETFILTER_XT_MATCH_HASHLIMIT
1294         tristate '"hashlimit" match support'
1295         depends on IP6_NF_IPTABLES || IP6_NF_IPTABLES=n
1296         depends on NETFILTER_ADVANCED
1297         help
1298           This option adds a `hashlimit' match.
1299
1300           As opposed to `limit', this match dynamically creates a hash table
1301           of limit buckets, based on your selection of source/destination
1302           addresses and/or ports.
1303
1304           It enables you to express policies like `10kpps for any given
1305           destination address' or `500pps from any given source address'
1306           with a single rule.
1307
1308 config NETFILTER_XT_MATCH_HELPER
1309         tristate '"helper" match support'
1310         depends on NF_CONNTRACK
1311         depends on NETFILTER_ADVANCED
1312         help
1313           Helper matching allows you to match packets in dynamic connections
1314           tracked by a conntrack-helper, ie. nf_conntrack_ftp
1315
1316           To compile it as a module, choose M here.  If unsure, say Y.
1317
1318 config NETFILTER_XT_MATCH_HL
1319         tristate '"hl" hoplimit/TTL match support'
1320         depends on NETFILTER_ADVANCED
1321         ---help---
1322         HL matching allows you to match packets based on the hoplimit
1323         in the IPv6 header, or the time-to-live field in the IPv4
1324         header of the packet.
1325
1326 config NETFILTER_XT_MATCH_IPCOMP
1327         tristate '"ipcomp" match support'
1328         depends on NETFILTER_ADVANCED
1329         help
1330           This match extension allows you to match a range of CPIs(16 bits)
1331           inside IPComp header of IPSec packets.
1332
1333           To compile it as a module, choose M here.  If unsure, say N.
1334
1335 config NETFILTER_XT_MATCH_IPRANGE
1336         tristate '"iprange" address range match support'
1337         depends on NETFILTER_ADVANCED
1338         ---help---
1339         This option adds a "iprange" match, which allows you to match based on
1340         an IP address range. (Normal iptables only matches on single addresses
1341         with an optional mask.)
1342
1343         If unsure, say M.
1344
1345 config NETFILTER_XT_MATCH_IPVS
1346         tristate '"ipvs" match support'
1347         depends on IP_VS
1348         depends on NETFILTER_ADVANCED
1349         depends on NF_CONNTRACK
1350         help
1351           This option allows you to match against IPVS properties of a packet.
1352
1353           If unsure, say N.
1354
1355 config NETFILTER_XT_MATCH_L2TP
1356         tristate '"l2tp" match support'
1357         depends on NETFILTER_ADVANCED
1358         default L2TP
1359         ---help---
1360         This option adds an "L2TP" match, which allows you to match against
1361         L2TP protocol header fields.
1362
1363         To compile it as a module, choose M here. If unsure, say N.
1364
1365 config NETFILTER_XT_MATCH_LENGTH
1366         tristate '"length" match support'
1367         depends on NETFILTER_ADVANCED
1368         help
1369           This option allows you to match the length of a packet against a
1370           specific value or range of values.
1371
1372           To compile it as a module, choose M here.  If unsure, say N.
1373
1374 config NETFILTER_XT_MATCH_LIMIT
1375         tristate '"limit" match support'
1376         depends on NETFILTER_ADVANCED
1377         help
1378           limit matching allows you to control the rate at which a rule can be
1379           matched: mainly useful in combination with the LOG target ("LOG
1380           target support", below) and to avoid some Denial of Service attacks.
1381
1382           To compile it as a module, choose M here.  If unsure, say N.
1383
1384 config NETFILTER_XT_MATCH_MAC
1385         tristate '"mac" address match support'
1386         depends on NETFILTER_ADVANCED
1387         help
1388           MAC matching allows you to match packets based on the source
1389           Ethernet address of the packet.
1390
1391           To compile it as a module, choose M here.  If unsure, say N.
1392
1393 config NETFILTER_XT_MATCH_MARK
1394         tristate '"mark" match support'
1395         depends on NETFILTER_ADVANCED
1396         select NETFILTER_XT_MARK
1397         ---help---
1398         This is a backwards-compat option for the user's convenience
1399         (e.g. when running oldconfig). It selects
1400         CONFIG_NETFILTER_XT_MARK (combined mark/MARK module).
1401
1402 config NETFILTER_XT_MATCH_MULTIPORT
1403         tristate '"multiport" Multiple port match support'
1404         depends on NETFILTER_ADVANCED
1405         help
1406           Multiport matching allows you to match TCP or UDP packets based on
1407           a series of source or destination ports: normally a rule can only
1408           match a single range of ports.
1409
1410           To compile it as a module, choose M here.  If unsure, say N.
1411
1412 config NETFILTER_XT_MATCH_NFACCT
1413         tristate '"nfacct" match support'
1414         depends on NETFILTER_ADVANCED
1415         select NETFILTER_NETLINK_ACCT
1416         help
1417           This option allows you to use the extended accounting through
1418           nfnetlink_acct.
1419
1420           To compile it as a module, choose M here.  If unsure, say N.
1421
1422 config NETFILTER_XT_MATCH_OSF
1423         tristate '"osf" Passive OS fingerprint match'
1424         depends on NETFILTER_ADVANCED
1425         select NETFILTER_NETLINK_OSF
1426         help
1427           This option selects the Passive OS Fingerprinting match module
1428           that allows to passively match the remote operating system by
1429           analyzing incoming TCP SYN packets.
1430
1431           Rules and loading software can be downloaded from
1432           http://www.ioremap.net/projects/osf
1433
1434           To compile it as a module, choose M here.  If unsure, say N.
1435
1436 config NETFILTER_XT_MATCH_OWNER
1437         tristate '"owner" match support'
1438         depends on NETFILTER_ADVANCED
1439         ---help---
1440         Socket owner matching allows you to match locally-generated packets
1441         based on who created the socket: the user or group. It is also
1442         possible to check whether a socket actually exists.
1443
1444 config NETFILTER_XT_MATCH_POLICY
1445         tristate 'IPsec "policy" match support'
1446         depends on XFRM
1447         default m if NETFILTER_ADVANCED=n
1448         help
1449           Policy matching allows you to match packets based on the
1450           IPsec policy that was used during decapsulation/will
1451           be used during encapsulation.
1452
1453           To compile it as a module, choose M here.  If unsure, say N.
1454
1455 config NETFILTER_XT_MATCH_PHYSDEV
1456         tristate '"physdev" match support'
1457         depends on BRIDGE && BRIDGE_NETFILTER
1458         depends on NETFILTER_ADVANCED
1459         help
1460           Physdev packet matching matches against the physical bridge ports
1461           the IP packet arrived on or will leave by.
1462
1463           To compile it as a module, choose M here.  If unsure, say N.
1464
1465 config NETFILTER_XT_MATCH_PKTTYPE
1466         tristate '"pkttype" packet type match support'
1467         depends on NETFILTER_ADVANCED
1468         help
1469           Packet type matching allows you to match a packet by
1470           its "class", eg. BROADCAST, MULTICAST, ...
1471
1472           Typical usage:
1473           iptables -A INPUT -m pkttype --pkt-type broadcast -j LOG
1474
1475           To compile it as a module, choose M here.  If unsure, say N.
1476
1477 config NETFILTER_XT_MATCH_QUOTA
1478         tristate '"quota" match support'
1479         depends on NETFILTER_ADVANCED
1480         help
1481           This option adds a `quota' match, which allows to match on a
1482           byte counter.
1483
1484           If you want to compile it as a module, say M here and read
1485           <file:Documentation/kbuild/modules.rst>.  If unsure, say `N'.
1486
1487 config NETFILTER_XT_MATCH_RATEEST
1488         tristate '"rateest" match support'
1489         depends on NETFILTER_ADVANCED
1490         select NETFILTER_XT_TARGET_RATEEST
1491         help
1492           This option adds a `rateest' match, which allows to match on the
1493           rate estimated by the RATEEST target.
1494
1495           To compile it as a module, choose M here.  If unsure, say N.
1496
1497 config NETFILTER_XT_MATCH_REALM
1498         tristate  '"realm" match support'
1499         depends on NETFILTER_ADVANCED
1500         select IP_ROUTE_CLASSID
1501         help
1502           This option adds a `realm' match, which allows you to use the realm
1503           key from the routing subsystem inside iptables.
1504
1505           This match pretty much resembles the CONFIG_NET_CLS_ROUTE4 option
1506           in tc world.
1507
1508           If you want to compile it as a module, say M here and read
1509           <file:Documentation/kbuild/modules.rst>.  If unsure, say `N'.
1510
1511 config NETFILTER_XT_MATCH_RECENT
1512         tristate '"recent" match support'
1513         depends on NETFILTER_ADVANCED
1514         ---help---
1515         This match is used for creating one or many lists of recently
1516         used addresses and then matching against that/those list(s).
1517
1518         Short options are available by using 'iptables -m recent -h'
1519         Official Website: <http://snowman.net/projects/ipt_recent/>
1520
1521 config NETFILTER_XT_MATCH_SCTP
1522         tristate  '"sctp" protocol match support'
1523         depends on NETFILTER_ADVANCED
1524         default IP_SCTP
1525         help
1526           With this option enabled, you will be able to use the
1527           `sctp' match in order to match on SCTP source/destination ports
1528           and SCTP chunk types.
1529
1530           If you want to compile it as a module, say M here and read
1531           <file:Documentation/kbuild/modules.rst>.  If unsure, say `N'.
1532
1533 config NETFILTER_XT_MATCH_SOCKET
1534         tristate '"socket" match support'
1535         depends on NETFILTER_XTABLES
1536         depends on NETFILTER_ADVANCED
1537         depends on IPV6 || IPV6=n
1538         depends on IP6_NF_IPTABLES || IP6_NF_IPTABLES=n
1539         select NF_SOCKET_IPV4
1540         select NF_SOCKET_IPV6 if IP6_NF_IPTABLES
1541         select NF_DEFRAG_IPV4
1542         select NF_DEFRAG_IPV6 if IP6_NF_IPTABLES != n
1543         help
1544           This option adds a `socket' match, which can be used to match
1545           packets for which a TCP or UDP socket lookup finds a valid socket.
1546           It can be used in combination with the MARK target and policy
1547           routing to implement full featured non-locally bound sockets.
1548
1549           To compile it as a module, choose M here.  If unsure, say N.
1550
1551 config NETFILTER_XT_MATCH_STATE
1552         tristate '"state" match support'
1553         depends on NF_CONNTRACK
1554         default m if NETFILTER_ADVANCED=n
1555         help
1556           Connection state matching allows you to match packets based on their
1557           relationship to a tracked connection (ie. previous packets).  This
1558           is a powerful tool for packet classification.
1559
1560           To compile it as a module, choose M here.  If unsure, say N.
1561
1562 config NETFILTER_XT_MATCH_STATISTIC
1563         tristate '"statistic" match support'
1564         depends on NETFILTER_ADVANCED
1565         help
1566           This option adds a `statistic' match, which allows you to match
1567           on packets periodically or randomly with a given percentage.
1568
1569           To compile it as a module, choose M here.  If unsure, say N.
1570
1571 config NETFILTER_XT_MATCH_STRING
1572         tristate  '"string" match support'
1573         depends on NETFILTER_ADVANCED
1574         select TEXTSEARCH
1575         select TEXTSEARCH_KMP
1576         select TEXTSEARCH_BM
1577         select TEXTSEARCH_FSM
1578         help
1579           This option adds a `string' match, which allows you to look for
1580           pattern matchings in packets.
1581
1582           To compile it as a module, choose M here.  If unsure, say N.
1583
1584 config NETFILTER_XT_MATCH_TCPMSS
1585         tristate '"tcpmss" match support'
1586         depends on NETFILTER_ADVANCED
1587         help
1588           This option adds a `tcpmss' match, which allows you to examine the
1589           MSS value of TCP SYN packets, which control the maximum packet size
1590           for that connection.
1591
1592           To compile it as a module, choose M here.  If unsure, say N.
1593
1594 config NETFILTER_XT_MATCH_TIME
1595         tristate '"time" match support'
1596         depends on NETFILTER_ADVANCED
1597         ---help---
1598           This option adds a "time" match, which allows you to match based on
1599           the packet arrival time (at the machine which netfilter is running)
1600           on) or departure time/date (for locally generated packets).
1601
1602           If you say Y here, try `iptables -m time --help` for
1603           more information.
1604
1605           If you want to compile it as a module, say M here.
1606           If unsure, say N.
1607
1608 config NETFILTER_XT_MATCH_U32
1609         tristate '"u32" match support'
1610         depends on NETFILTER_ADVANCED
1611         ---help---
1612           u32 allows you to extract quantities of up to 4 bytes from a packet,
1613           AND them with specified masks, shift them by specified amounts and
1614           test whether the results are in any of a set of specified ranges.
1615           The specification of what to extract is general enough to skip over
1616           headers with lengths stored in the packet, as in IP or TCP header
1617           lengths.
1618
1619           Details and examples are in the kernel module source.
1620
1621 endif # NETFILTER_XTABLES
1622
1623 endmenu
1624
1625 source "net/netfilter/ipset/Kconfig"
1626
1627 source "net/netfilter/ipvs/Kconfig"