Merge branch 'for-linus' of git://git.kernel.org/pub/scm/linux/kernel/git/roland...
[linux-2.6] / net / ipv4 / netfilter / Kconfig
1 #
2 # IP netfilter configuration
3 #
4
5 menu "IP: Netfilter Configuration"
6         depends on INET && NETFILTER
7
8 config NF_CONNTRACK_IPV4
9         tristate "IPv4 connection tracking support (required for NAT)"
10         depends on NF_CONNTRACK
11         ---help---
12           Connection tracking keeps a record of what packets have passed
13           through your machine, in order to figure out how they are related
14           into connections.
15
16           This is IPv4 support on Layer 3 independent connection tracking.
17           Layer 3 independent connection tracking is experimental scheme
18           which generalize ip_conntrack to support other layer 3 protocols.
19
20           To compile it as a module, choose M here.  If unsure, say N.
21
22 config NF_CONNTRACK_PROC_COMPAT
23         bool "proc/sysctl compatibility with old connection tracking"
24         depends on NF_CONNTRACK_IPV4
25         default y
26         help
27           This option enables /proc and sysctl compatibility with the old
28           layer 3 dependant connection tracking. This is needed to keep
29           old programs that have not been adapted to the new names working.
30
31           If unsure, say Y.
32
33 # connection tracking, helpers and protocols
34 config IP_NF_CT_ACCT
35         bool "Connection tracking flow accounting"
36         depends on IP_NF_CONNTRACK
37         help
38           If this option is enabled, the connection tracking code will
39           keep per-flow packet and byte counters.
40
41           Those counters can be used for flow-based accounting or the
42           `connbytes' match.
43
44           If unsure, say `N'.
45
46 config IP_NF_CONNTRACK_MARK
47         bool  'Connection mark tracking support'
48         depends on IP_NF_CONNTRACK
49         help
50           This option enables support for connection marks, used by the
51           `CONNMARK' target and `connmark' match. Similar to the mark value
52           of packets, but this mark value is kept in the conntrack session
53           instead of the individual packets.
54         
55 config IP_NF_CONNTRACK_SECMARK
56         bool  'Connection tracking security mark support'
57         depends on IP_NF_CONNTRACK && NETWORK_SECMARK
58         help
59           This option enables security markings to be applied to
60           connections.  Typically they are copied to connections from
61           packets using the CONNSECMARK target and copied back from
62           connections to packets with the same target, with the packets
63           being originally labeled via SECMARK.
64
65           If unsure, say 'N'.
66
67 config IP_NF_CONNTRACK_EVENTS
68         bool "Connection tracking events (EXPERIMENTAL)"
69         depends on EXPERIMENTAL && IP_NF_CONNTRACK
70         help
71           If this option is enabled, the connection tracking code will
72           provide a notifier chain that can be used by other kernel code
73           to get notified about changes in the connection tracking state.
74           
75           IF unsure, say `N'.
76
77 config IP_NF_CONNTRACK_NETLINK
78         tristate 'Connection tracking netlink interface (EXPERIMENTAL)'
79         depends on EXPERIMENTAL && IP_NF_CONNTRACK && NETFILTER_NETLINK
80         depends on IP_NF_CONNTRACK!=y || NETFILTER_NETLINK!=m
81         depends on IP_NF_NAT=n || IP_NF_NAT
82         help
83           This option enables support for a netlink-based userspace interface
84
85
86 config IP_NF_CT_PROTO_SCTP
87         tristate  'SCTP protocol connection tracking support (EXPERIMENTAL)'
88         depends on IP_NF_CONNTRACK && EXPERIMENTAL
89         help
90           With this option enabled, the connection tracking code will
91           be able to do state tracking on SCTP connections.
92
93           If you want to compile it as a module, say M here and read
94           <file:Documentation/modules.txt>.  If unsure, say `N'.
95
96 config IP_NF_FTP
97         tristate "FTP protocol support"
98         depends on IP_NF_CONNTRACK
99         help
100           Tracking FTP connections is problematic: special helpers are
101           required for tracking them, and doing masquerading and other forms
102           of Network Address Translation on them.
103
104           To compile it as a module, choose M here.  If unsure, say Y.
105
106 config IP_NF_IRC
107         tristate "IRC protocol support"
108         depends on IP_NF_CONNTRACK
109         ---help---
110           There is a commonly-used extension to IRC called
111           Direct Client-to-Client Protocol (DCC).  This enables users to send
112           files to each other, and also chat to each other without the need
113           of a server.  DCC Sending is used anywhere you send files over IRC,
114           and DCC Chat is most commonly used by Eggdrop bots.  If you are
115           using NAT, this extension will enable you to send files and initiate
116           chats.  Note that you do NOT need this extension to get files or
117           have others initiate chats, or everything else in IRC.
118
119           To compile it as a module, choose M here.  If unsure, say Y.
120
121 config IP_NF_NETBIOS_NS
122         tristate "NetBIOS name service protocol support (EXPERIMENTAL)"
123         depends on IP_NF_CONNTRACK && EXPERIMENTAL
124         help
125           NetBIOS name service requests are sent as broadcast messages from an
126           unprivileged port and responded to with unicast messages to the
127           same port. This make them hard to firewall properly because connection
128           tracking doesn't deal with broadcasts. This helper tracks locally
129           originating NetBIOS name service requests and the corresponding
130           responses. It relies on correct IP address configuration, specifically
131           netmask and broadcast address. When properly configured, the output
132           of "ip address show" should look similar to this:
133
134           $ ip -4 address show eth0
135           4: eth0: <BROADCAST,MULTICAST,UP> mtu 1500 qdisc pfifo_fast qlen 1000
136               inet 172.16.2.252/24 brd 172.16.2.255 scope global eth0
137           
138           To compile it as a module, choose M here.  If unsure, say N.
139
140 config IP_NF_TFTP
141         tristate "TFTP protocol support"
142         depends on IP_NF_CONNTRACK
143         help
144           TFTP connection tracking helper, this is required depending
145           on how restrictive your ruleset is.
146           If you are using a tftp client behind -j SNAT or -j MASQUERADING
147           you will need this.
148
149           To compile it as a module, choose M here.  If unsure, say Y.
150
151 config IP_NF_AMANDA
152         tristate "Amanda backup protocol support"
153         depends on IP_NF_CONNTRACK
154         select TEXTSEARCH
155         select TEXTSEARCH_KMP
156         help
157           If you are running the Amanda backup package <http://www.amanda.org/>
158           on this machine or machines that will be MASQUERADED through this
159           machine, then you may want to enable this feature.  This allows the
160           connection tracking and natting code to allow the sub-channels that
161           Amanda requires for communication of the backup data, messages and
162           index.
163
164           To compile it as a module, choose M here.  If unsure, say Y.
165
166 config IP_NF_PPTP
167         tristate  'PPTP protocol support'
168         depends on IP_NF_CONNTRACK
169         help
170           This module adds support for PPTP (Point to Point Tunnelling
171           Protocol, RFC2637) connection tracking and NAT. 
172         
173           If you are running PPTP sessions over a stateful firewall or NAT
174           box, you may want to enable this feature.  
175         
176           Please note that not all PPTP modes of operation are supported yet.
177           For more info, read top of the file
178           net/ipv4/netfilter/ip_conntrack_pptp.c
179         
180           If you want to compile it as a module, say M here and read
181           Documentation/modules.txt.  If unsure, say `N'.
182
183 config IP_NF_H323
184         tristate  'H.323 protocol support (EXPERIMENTAL)'
185         depends on IP_NF_CONNTRACK && EXPERIMENTAL
186         help
187           H.323 is a VoIP signalling protocol from ITU-T. As one of the most
188           important VoIP protocols, it is widely used by voice hardware and
189           software including voice gateways, IP phones, Netmeeting, OpenPhone,
190           Gnomemeeting, etc.
191
192           With this module you can support H.323 on a connection tracking/NAT
193           firewall.
194
195           This module supports RAS, Fast Start, H.245 Tunnelling, Call
196           Forwarding, RTP/RTCP and T.120 based audio, video, fax, chat,
197           whiteboard, file transfer, etc. For more information, please
198           visit http://nath323.sourceforge.net/.
199
200           If you want to compile it as a module, say 'M' here and read
201           Documentation/modules.txt.  If unsure, say 'N'.
202
203 config IP_NF_SIP
204         tristate "SIP protocol support (EXPERIMENTAL)"
205         depends on IP_NF_CONNTRACK && EXPERIMENTAL
206         help
207           SIP is an application-layer control protocol that can establish,
208           modify, and terminate multimedia sessions (conferences) such as
209           Internet telephony calls. With the ip_conntrack_sip and
210           the ip_nat_sip modules you can support the protocol on a connection
211           tracking/NATing firewall.
212
213           To compile it as a module, choose M here.  If unsure, say Y.
214
215 config IP_NF_QUEUE
216         tristate "IP Userspace queueing via NETLINK (OBSOLETE)"
217         help
218           Netfilter has the ability to queue packets to user space: the
219           netlink device can be used to access them using this driver.
220
221           This option enables the old IPv4-only "ip_queue" implementation
222           which has been obsoleted by the new "nfnetlink_queue" code (see
223           CONFIG_NETFILTER_NETLINK_QUEUE).
224
225           To compile it as a module, choose M here.  If unsure, say N.
226
227 config IP_NF_IPTABLES
228         tristate "IP tables support (required for filtering/masq/NAT)"
229         select NETFILTER_XTABLES
230         help
231           iptables is a general, extensible packet identification framework.
232           The packet filtering and full NAT (masquerading, port forwarding,
233           etc) subsystems now use this: say `Y' or `M' here if you want to use
234           either of those.
235
236           To compile it as a module, choose M here.  If unsure, say N.
237
238 # The matches.
239 config IP_NF_MATCH_IPRANGE
240         tristate "IP range match support"
241         depends on IP_NF_IPTABLES
242         help
243           This option makes possible to match IP addresses against IP address
244           ranges.
245
246           To compile it as a module, choose M here.  If unsure, say N.
247
248 config IP_NF_MATCH_TOS
249         tristate "TOS match support"
250         depends on IP_NF_IPTABLES
251         help
252           TOS matching allows you to match packets based on the Type Of
253           Service fields of the IP packet.
254
255           To compile it as a module, choose M here.  If unsure, say N.
256
257 config IP_NF_MATCH_RECENT
258         tristate "recent match support"
259         depends on IP_NF_IPTABLES
260         help
261           This match is used for creating one or many lists of recently
262           used addresses and then matching against that/those list(s).
263
264           Short options are available by using 'iptables -m recent -h'
265           Official Website: <http://snowman.net/projects/ipt_recent/>
266
267           To compile it as a module, choose M here.  If unsure, say N.
268
269 config IP_NF_MATCH_ECN
270         tristate "ECN match support"
271         depends on IP_NF_IPTABLES
272         help
273           This option adds a `ECN' match, which allows you to match against
274           the IPv4 and TCP header ECN fields.
275
276           To compile it as a module, choose M here.  If unsure, say N.
277
278 config IP_NF_MATCH_AH
279         tristate "AH match support"
280         depends on IP_NF_IPTABLES
281         help
282           This match extension allows you to match a range of SPIs
283           inside AH header of IPSec packets.
284
285           To compile it as a module, choose M here.  If unsure, say N.
286
287 config IP_NF_MATCH_TTL
288         tristate "TTL match support"
289         depends on IP_NF_IPTABLES
290         help
291           This adds CONFIG_IP_NF_MATCH_TTL option, which enabled the user
292           to match packets by their TTL value.
293
294           To compile it as a module, choose M here.  If unsure, say N.
295
296 config IP_NF_MATCH_OWNER
297         tristate "Owner match support"
298         depends on IP_NF_IPTABLES
299         help
300           Packet owner matching allows you to match locally-generated packets
301           based on who created them: the user, group, process or session.
302
303           To compile it as a module, choose M here.  If unsure, say N.
304
305 config IP_NF_MATCH_ADDRTYPE
306         tristate  'address type match support'
307         depends on IP_NF_IPTABLES
308         help
309           This option allows you to match what routing thinks of an address,
310           eg. UNICAST, LOCAL, BROADCAST, ...
311         
312           If you want to compile it as a module, say M here and read
313           <file:Documentation/modules.txt>.  If unsure, say `N'.
314
315 # `filter', generic and specific targets
316 config IP_NF_FILTER
317         tristate "Packet filtering"
318         depends on IP_NF_IPTABLES
319         help
320           Packet filtering defines a table `filter', which has a series of
321           rules for simple packet filtering at local input, forwarding and
322           local output.  See the man page for iptables(8).
323
324           To compile it as a module, choose M here.  If unsure, say N.
325
326 config IP_NF_TARGET_REJECT
327         tristate "REJECT target support"
328         depends on IP_NF_FILTER
329         help
330           The REJECT target allows a filtering rule to specify that an ICMP
331           error should be issued in response to an incoming packet, rather
332           than silently being dropped.
333
334           To compile it as a module, choose M here.  If unsure, say N.
335
336 config IP_NF_TARGET_LOG
337         tristate "LOG target support"
338         depends on IP_NF_IPTABLES
339         help
340           This option adds a `LOG' target, which allows you to create rules in
341           any iptables table which records the packet header to the syslog.
342
343           To compile it as a module, choose M here.  If unsure, say N.
344
345 config IP_NF_TARGET_ULOG
346         tristate "ULOG target support"
347         depends on IP_NF_IPTABLES
348         ---help---
349
350           This option enables the old IPv4-only "ipt_ULOG" implementation
351           which has been obsoleted by the new "nfnetlink_log" code (see
352           CONFIG_NETFILTER_NETLINK_LOG).
353
354           This option adds a `ULOG' target, which allows you to create rules in
355           any iptables table. The packet is passed to a userspace logging
356           daemon using netlink multicast sockets; unlike the LOG target
357           which can only be viewed through syslog.
358
359           The appropriate userspace logging daemon (ulogd) may be obtained from
360           <http://www.gnumonks.org/projects/ulogd/>
361
362           To compile it as a module, choose M here.  If unsure, say N.
363
364 # NAT + specific targets: ip_conntrack
365 config IP_NF_NAT
366         tristate "Full NAT"
367         depends on IP_NF_IPTABLES && IP_NF_CONNTRACK
368         help
369           The Full NAT option allows masquerading, port forwarding and other
370           forms of full Network Address Port Translation.  It is controlled by
371           the `nat' table in iptables: see the man page for iptables(8).
372
373           To compile it as a module, choose M here.  If unsure, say N.
374
375 # NAT + specific targets: nf_conntrack
376 config NF_NAT
377         tristate "Full NAT"
378         depends on IP_NF_IPTABLES && NF_CONNTRACK_IPV4
379         help
380           The Full NAT option allows masquerading, port forwarding and other
381           forms of full Network Address Port Translation.  It is controlled by
382           the `nat' table in iptables: see the man page for iptables(8).
383
384           To compile it as a module, choose M here.  If unsure, say N.
385
386 config IP_NF_NAT_NEEDED
387         bool
388         depends on IP_NF_NAT
389         default y
390
391 config NF_NAT_NEEDED
392         bool
393         depends on NF_NAT
394         default y
395
396 config IP_NF_TARGET_MASQUERADE
397         tristate "MASQUERADE target support"
398         depends on (NF_NAT || IP_NF_NAT)
399         help
400           Masquerading is a special case of NAT: all outgoing connections are
401           changed to seem to come from a particular interface's address, and
402           if the interface goes down, those connections are lost.  This is
403           only useful for dialup accounts with dynamic IP address (ie. your IP
404           address will be different on next dialup).
405
406           To compile it as a module, choose M here.  If unsure, say N.
407
408 config IP_NF_TARGET_REDIRECT
409         tristate "REDIRECT target support"
410         depends on (NF_NAT || IP_NF_NAT)
411         help
412           REDIRECT is a special case of NAT: all incoming connections are
413           mapped onto the incoming interface's address, causing the packets to
414           come to the local machine instead of passing through.  This is
415           useful for transparent proxies.
416
417           To compile it as a module, choose M here.  If unsure, say N.
418
419 config IP_NF_TARGET_NETMAP
420         tristate "NETMAP target support"
421         depends on (NF_NAT || IP_NF_NAT)
422         help
423           NETMAP is an implementation of static 1:1 NAT mapping of network
424           addresses. It maps the network address part, while keeping the host
425           address part intact. It is similar to Fast NAT, except that
426           Netfilter's connection tracking doesn't work well with Fast NAT.
427
428           To compile it as a module, choose M here.  If unsure, say N.
429
430 config IP_NF_TARGET_SAME
431         tristate "SAME target support"
432         depends on (NF_NAT || IP_NF_NAT)
433         help
434           This option adds a `SAME' target, which works like the standard SNAT
435           target, but attempts to give clients the same IP for all connections.
436
437           To compile it as a module, choose M here.  If unsure, say N.
438
439 config IP_NF_NAT_SNMP_BASIC
440         tristate "Basic SNMP-ALG support (EXPERIMENTAL)"
441         depends on EXPERIMENTAL && IP_NF_NAT
442         ---help---
443
444           This module implements an Application Layer Gateway (ALG) for
445           SNMP payloads.  In conjunction with NAT, it allows a network
446           management system to access multiple private networks with
447           conflicting addresses.  It works by modifying IP addresses
448           inside SNMP payloads to match IP-layer NAT mapping.
449
450           This is the "basic" form of SNMP-ALG, as described in RFC 2962
451
452           To compile it as a module, choose M here.  If unsure, say N.
453
454 config NF_NAT_SNMP_BASIC
455         tristate "Basic SNMP-ALG support (EXPERIMENTAL)"
456         depends on EXPERIMENTAL && NF_NAT
457         ---help---
458
459           This module implements an Application Layer Gateway (ALG) for
460           SNMP payloads.  In conjunction with NAT, it allows a network
461           management system to access multiple private networks with
462           conflicting addresses.  It works by modifying IP addresses
463           inside SNMP payloads to match IP-layer NAT mapping.
464
465           This is the "basic" form of SNMP-ALG, as described in RFC 2962
466
467           To compile it as a module, choose M here.  If unsure, say N.
468
469 # If they want FTP, set to $CONFIG_IP_NF_NAT (m or y),
470 # or $CONFIG_IP_NF_FTP (m or y), whichever is weaker.
471 # From kconfig-language.txt:
472 #
473 #           <expr> '&&' <expr>                   (6)
474 #
475 # (6) Returns the result of min(/expr/, /expr/).
476 config NF_NAT_PROTO_GRE
477         tristate
478         depends on NF_NAT && NF_CT_PROTO_GRE
479
480 config IP_NF_NAT_FTP
481         tristate
482         depends on IP_NF_IPTABLES && IP_NF_CONNTRACK && IP_NF_NAT
483         default IP_NF_NAT && IP_NF_FTP
484
485 config NF_NAT_FTP
486         tristate
487         depends on IP_NF_IPTABLES && NF_CONNTRACK && NF_NAT
488         default NF_NAT && NF_CONNTRACK_FTP
489
490 config IP_NF_NAT_IRC
491         tristate
492         depends on IP_NF_IPTABLES!=n && IP_NF_CONNTRACK!=n && IP_NF_NAT!=n
493         default IP_NF_NAT if IP_NF_IRC=y
494         default m if IP_NF_IRC=m
495
496 config NF_NAT_IRC
497         tristate
498         depends on IP_NF_IPTABLES && NF_CONNTRACK && NF_NAT
499         default NF_NAT && NF_CONNTRACK_IRC
500
501 config IP_NF_NAT_TFTP
502         tristate
503         depends on IP_NF_IPTABLES!=n && IP_NF_CONNTRACK!=n && IP_NF_NAT!=n
504         default IP_NF_NAT if IP_NF_TFTP=y
505         default m if IP_NF_TFTP=m
506
507 config NF_NAT_TFTP
508         tristate
509         depends on IP_NF_IPTABLES && NF_CONNTRACK && NF_NAT
510         default NF_NAT && NF_CONNTRACK_TFTP
511
512 config IP_NF_NAT_AMANDA
513         tristate
514         depends on IP_NF_IPTABLES!=n && IP_NF_CONNTRACK!=n && IP_NF_NAT!=n
515         default IP_NF_NAT if IP_NF_AMANDA=y
516         default m if IP_NF_AMANDA=m
517
518 config NF_NAT_AMANDA
519         tristate
520         depends on IP_NF_IPTABLES && NF_CONNTRACK && NF_NAT
521         default NF_NAT && NF_CONNTRACK_AMANDA
522
523 config IP_NF_NAT_PPTP
524         tristate
525         depends on IP_NF_NAT!=n && IP_NF_PPTP!=n
526         default IP_NF_NAT if IP_NF_PPTP=y
527         default m if IP_NF_PPTP=m
528
529 config NF_NAT_PPTP
530         tristate
531         depends on IP_NF_IPTABLES && NF_CONNTRACK && NF_NAT
532         default NF_NAT && NF_CONNTRACK_PPTP
533         select NF_NAT_PROTO_GRE
534
535 config IP_NF_NAT_H323
536         tristate
537         depends on IP_NF_IPTABLES!=n && IP_NF_CONNTRACK!=n && IP_NF_NAT!=n
538         default IP_NF_NAT if IP_NF_H323=y
539         default m if IP_NF_H323=m
540
541 config NF_NAT_H323
542         tristate
543         depends on IP_NF_IPTABLES && NF_CONNTRACK && NF_NAT
544         default NF_NAT && NF_CONNTRACK_H323
545
546 config IP_NF_NAT_SIP
547         tristate
548         depends on IP_NF_IPTABLES!=n && IP_NF_CONNTRACK!=n && IP_NF_NAT!=n
549         default IP_NF_NAT if IP_NF_SIP=y
550         default m if IP_NF_SIP=m
551
552 config NF_NAT_SIP
553         tristate
554         depends on IP_NF_IPTABLES && NF_CONNTRACK && NF_NAT
555         default NF_NAT && NF_CONNTRACK_SIP
556
557 # mangle + specific targets
558 config IP_NF_MANGLE
559         tristate "Packet mangling"
560         depends on IP_NF_IPTABLES
561         help
562           This option adds a `mangle' table to iptables: see the man page for
563           iptables(8).  This table is used for various packet alterations
564           which can effect how the packet is routed.
565
566           To compile it as a module, choose M here.  If unsure, say N.
567
568 config IP_NF_TARGET_TOS
569         tristate "TOS target support"
570         depends on IP_NF_MANGLE
571         help
572           This option adds a `TOS' target, which allows you to create rules in
573           the `mangle' table which alter the Type Of Service field of an IP
574           packet prior to routing.
575
576           To compile it as a module, choose M here.  If unsure, say N.
577
578 config IP_NF_TARGET_ECN
579         tristate "ECN target support"
580         depends on IP_NF_MANGLE
581         ---help---
582           This option adds a `ECN' target, which can be used in the iptables mangle
583           table.  
584
585           You can use this target to remove the ECN bits from the IPv4 header of
586           an IP packet.  This is particularly useful, if you need to work around
587           existing ECN blackholes on the internet, but don't want to disable
588           ECN support in general.
589
590           To compile it as a module, choose M here.  If unsure, say N.
591
592 config IP_NF_TARGET_TTL
593         tristate  'TTL target support'
594         depends on IP_NF_MANGLE
595         help
596           This option adds a `TTL' target, which enables the user to modify
597           the TTL value of the IP header.
598
599           While it is safe to decrement/lower the TTL, this target also enables
600           functionality to increment and set the TTL value of the IP header to
601           arbitrary values.  This is EXTREMELY DANGEROUS since you can easily
602           create immortal packets that loop forever on the network.
603
604           To compile it as a module, choose M here.  If unsure, say N.
605
606 config IP_NF_TARGET_CLUSTERIP
607         tristate "CLUSTERIP target support (EXPERIMENTAL)"
608         depends on IP_NF_MANGLE && EXPERIMENTAL
609         depends on IP_NF_CONNTRACK || NF_CONNTRACK_IPV4
610         select IP_NF_CONNTRACK_MARK if IP_NF_CONNTRACK
611         select NF_CONNTRACK_MARK if NF_CONNTRACK_IPV4
612         help
613           The CLUSTERIP target allows you to build load-balancing clusters of
614           network servers without having a dedicated load-balancing
615           router/server/switch.
616         
617           To compile it as a module, choose M here.  If unsure, say N.
618
619 # raw + specific targets
620 config IP_NF_RAW
621         tristate  'raw table support (required for NOTRACK/TRACE)'
622         depends on IP_NF_IPTABLES
623         help
624           This option adds a `raw' table to iptables. This table is the very
625           first in the netfilter framework and hooks in at the PREROUTING
626           and OUTPUT chains.
627         
628           If you want to compile it as a module, say M here and read
629           <file:Documentation/modules.txt>.  If unsure, say `N'.
630
631 # ARP tables
632 config IP_NF_ARPTABLES
633         tristate "ARP tables support"
634         select NETFILTER_XTABLES
635         help
636           arptables is a general, extensible packet identification framework.
637           The ARP packet filtering and mangling (manipulation)subsystems
638           use this: say Y or M here if you want to use either of those.
639
640           To compile it as a module, choose M here.  If unsure, say N.
641
642 config IP_NF_ARPFILTER
643         tristate "ARP packet filtering"
644         depends on IP_NF_ARPTABLES
645         help
646           ARP packet filtering defines a table `filter', which has a series of
647           rules for simple ARP packet filtering at local input and
648           local output.  On a bridge, you can also specify filtering rules
649           for forwarded ARP packets. See the man page for arptables(8).
650
651           To compile it as a module, choose M here.  If unsure, say N.
652
653 config IP_NF_ARP_MANGLE
654         tristate "ARP payload mangling"
655         depends on IP_NF_ARPTABLES
656         help
657           Allows altering the ARP packet payload: source and destination
658           hardware and network addresses.
659
660 endmenu
661