Merge upstream (approx. 2.6.12-git8) into 'janitor' branch of netdev-2.6.
[linux-2.6] / net / ipv4 / netfilter / Kconfig
1 #
2 # IP netfilter configuration
3 #
4
5 menu "IP: Netfilter Configuration"
6         depends on INET && NETFILTER
7
8 # connection tracking, helpers and protocols
9 config IP_NF_CONNTRACK
10         tristate "Connection tracking (required for masq/NAT)"
11         ---help---
12           Connection tracking keeps a record of what packets have passed
13           through your machine, in order to figure out how they are related
14           into connections.
15
16           This is required to do Masquerading or other kinds of Network
17           Address Translation (except for Fast NAT).  It can also be used to
18           enhance packet filtering (see `Connection state match support'
19           below).
20
21           To compile it as a module, choose M here.  If unsure, say N.
22
23 config IP_NF_CT_ACCT
24         bool "Connection tracking flow accounting"
25         depends on IP_NF_CONNTRACK
26         help
27           If this option is enabled, the connection tracking code will
28           keep per-flow packet and byte counters.
29
30           Those counters can be used for flow-based accounting or the
31           `connbytes' match.
32
33           If unsure, say `N'.
34
35 config IP_NF_CONNTRACK_MARK
36         bool  'Connection mark tracking support'
37         help
38           This option enables support for connection marks, used by the
39           `CONNMARK' target and `connmark' match. Similar to the mark value
40           of packets, but this mark value is kept in the conntrack session
41           instead of the individual packets.
42         
43 config IP_NF_CT_PROTO_SCTP
44         tristate  'SCTP protocol connection tracking support (EXPERIMENTAL)'
45         depends on IP_NF_CONNTRACK && EXPERIMENTAL
46         help
47           With this option enabled, the connection tracking code will
48           be able to do state tracking on SCTP connections.
49
50           If you want to compile it as a module, say M here and read
51           <file:Documentation/modules.txt>.  If unsure, say `N'.
52
53 config IP_NF_FTP
54         tristate "FTP protocol support"
55         depends on IP_NF_CONNTRACK
56         help
57           Tracking FTP connections is problematic: special helpers are
58           required for tracking them, and doing masquerading and other forms
59           of Network Address Translation on them.
60
61           To compile it as a module, choose M here.  If unsure, say Y.
62
63 config IP_NF_IRC
64         tristate "IRC protocol support"
65         depends on IP_NF_CONNTRACK
66         ---help---
67           There is a commonly-used extension to IRC called
68           Direct Client-to-Client Protocol (DCC).  This enables users to send
69           files to each other, and also chat to each other without the need
70           of a server.  DCC Sending is used anywhere you send files over IRC,
71           and DCC Chat is most commonly used by Eggdrop bots.  If you are
72           using NAT, this extension will enable you to send files and initiate
73           chats.  Note that you do NOT need this extension to get files or
74           have others initiate chats, or everything else in IRC.
75
76           To compile it as a module, choose M here.  If unsure, say Y.
77
78 config IP_NF_TFTP
79         tristate "TFTP protocol support"
80         depends on IP_NF_CONNTRACK
81         help
82           TFTP connection tracking helper, this is required depending
83           on how restrictive your ruleset is.
84           If you are using a tftp client behind -j SNAT or -j MASQUERADING
85           you will need this.
86
87           To compile it as a module, choose M here.  If unsure, say Y.
88
89 config IP_NF_AMANDA
90         tristate "Amanda backup protocol support"
91         depends on IP_NF_CONNTRACK
92         help
93           If you are running the Amanda backup package <http://www.amanda.org/>
94           on this machine or machines that will be MASQUERADED through this
95           machine, then you may want to enable this feature.  This allows the
96           connection tracking and natting code to allow the sub-channels that
97           Amanda requires for communication of the backup data, messages and
98           index.
99
100           To compile it as a module, choose M here.  If unsure, say Y.
101
102 config IP_NF_QUEUE
103         tristate "Userspace queueing via NETLINK"
104         help
105           Netfilter has the ability to queue packets to user space: the
106           netlink device can be used to access them using this driver.
107
108           To compile it as a module, choose M here.  If unsure, say N.
109
110 config IP_NF_IPTABLES
111         tristate "IP tables support (required for filtering/masq/NAT)"
112         help
113           iptables is a general, extensible packet identification framework.
114           The packet filtering and full NAT (masquerading, port forwarding,
115           etc) subsystems now use this: say `Y' or `M' here if you want to use
116           either of those.
117
118           To compile it as a module, choose M here.  If unsure, say N.
119
120 # The matches.
121 config IP_NF_MATCH_LIMIT
122         tristate "limit match support"
123         depends on IP_NF_IPTABLES
124         help
125           limit matching allows you to control the rate at which a rule can be
126           matched: mainly useful in combination with the LOG target ("LOG
127           target support", below) and to avoid some Denial of Service attacks.
128
129           To compile it as a module, choose M here.  If unsure, say N.
130
131 config IP_NF_MATCH_IPRANGE
132         tristate "IP range match support"
133         depends on IP_NF_IPTABLES
134         help
135           This option makes possible to match IP addresses against IP address
136           ranges.
137
138           To compile it as a module, choose M here.  If unsure, say N.
139
140 config IP_NF_MATCH_MAC
141         tristate "MAC address match support"
142         depends on IP_NF_IPTABLES
143         help
144           MAC matching allows you to match packets based on the source
145           Ethernet address of the packet.
146
147           To compile it as a module, choose M here.  If unsure, say N.
148
149 config IP_NF_MATCH_PKTTYPE
150         tristate "Packet type match support"
151         depends on IP_NF_IPTABLES
152         help
153          Packet type matching allows you to match a packet by
154          its "class", eg. BROADCAST, MULTICAST, ...
155
156           Typical usage:
157           iptables -A INPUT -m pkttype --pkt-type broadcast -j LOG
158
159           To compile it as a module, choose M here.  If unsure, say N.
160
161 config IP_NF_MATCH_MARK
162         tristate "netfilter MARK match support"
163         depends on IP_NF_IPTABLES
164         help
165           Netfilter mark matching allows you to match packets based on the
166           `nfmark' value in the packet.  This can be set by the MARK target
167           (see below).
168
169           To compile it as a module, choose M here.  If unsure, say N.
170
171 config IP_NF_MATCH_MULTIPORT
172         tristate "Multiple port match support"
173         depends on IP_NF_IPTABLES
174         help
175           Multiport matching allows you to match TCP or UDP packets based on
176           a series of source or destination ports: normally a rule can only
177           match a single range of ports.
178
179           To compile it as a module, choose M here.  If unsure, say N.
180
181 config IP_NF_MATCH_TOS
182         tristate "TOS match support"
183         depends on IP_NF_IPTABLES
184         help
185           TOS matching allows you to match packets based on the Type Of
186           Service fields of the IP packet.
187
188           To compile it as a module, choose M here.  If unsure, say N.
189
190 config IP_NF_MATCH_RECENT
191         tristate "recent match support"
192         depends on IP_NF_IPTABLES
193         help
194           This match is used for creating one or many lists of recently
195           used addresses and then matching against that/those list(s).
196
197           Short options are available by using 'iptables -m recent -h'
198           Official Website: <http://snowman.net/projects/ipt_recent/>
199
200           To compile it as a module, choose M here.  If unsure, say N.
201
202 config IP_NF_MATCH_ECN
203         tristate "ECN match support"
204         depends on IP_NF_IPTABLES
205         help
206           This option adds a `ECN' match, which allows you to match against
207           the IPv4 and TCP header ECN fields.
208
209           To compile it as a module, choose M here.  If unsure, say N.
210
211 config IP_NF_MATCH_DSCP
212         tristate "DSCP match support"
213         depends on IP_NF_IPTABLES
214         help
215           This option adds a `DSCP' match, which allows you to match against
216           the IPv4 header DSCP field (DSCP codepoint).
217
218           The DSCP codepoint can have any value between 0x0 and 0x4f.
219
220           To compile it as a module, choose M here.  If unsure, say N.
221
222 config IP_NF_MATCH_AH_ESP
223         tristate "AH/ESP match support"
224         depends on IP_NF_IPTABLES
225         help
226           These two match extensions (`ah' and `esp') allow you to match a
227           range of SPIs inside AH or ESP headers of IPSec packets.
228
229           To compile it as a module, choose M here.  If unsure, say N.
230
231 config IP_NF_MATCH_LENGTH
232         tristate "LENGTH match support"
233         depends on IP_NF_IPTABLES
234         help
235           This option allows you to match the length of a packet against a
236           specific value or range of values.
237
238           To compile it as a module, choose M here.  If unsure, say N.
239
240 config IP_NF_MATCH_TTL
241         tristate "TTL match support"
242         depends on IP_NF_IPTABLES
243         help
244           This adds CONFIG_IP_NF_MATCH_TTL option, which enabled the user
245           to match packets by their TTL value.
246
247           To compile it as a module, choose M here.  If unsure, say N.
248
249 config IP_NF_MATCH_TCPMSS
250         tristate "tcpmss match support"
251         depends on IP_NF_IPTABLES
252         help
253           This option adds a `tcpmss' match, which allows you to examine the
254           MSS value of TCP SYN packets, which control the maximum packet size
255           for that connection.
256
257           To compile it as a module, choose M here.  If unsure, say N.
258
259 config IP_NF_MATCH_HELPER
260         tristate "Helper match support"
261         depends on IP_NF_CONNTRACK && IP_NF_IPTABLES
262         help
263           Helper matching allows you to match packets in dynamic connections
264           tracked by a conntrack-helper, ie. ip_conntrack_ftp
265
266           To compile it as a module, choose M here.  If unsure, say Y.
267
268 config IP_NF_MATCH_STATE
269         tristate "Connection state match support"
270         depends on IP_NF_CONNTRACK && IP_NF_IPTABLES
271         help
272           Connection state matching allows you to match packets based on their
273           relationship to a tracked connection (ie. previous packets).  This
274           is a powerful tool for packet classification.
275
276           To compile it as a module, choose M here.  If unsure, say N.
277
278 config IP_NF_MATCH_CONNTRACK
279         tristate "Connection tracking match support"
280         depends on IP_NF_CONNTRACK && IP_NF_IPTABLES
281         help
282           This is a general conntrack match module, a superset of the state match.
283
284           It allows matching on additional conntrack information, which is
285           useful in complex configurations, such as NAT gateways with multiple
286           internet links or tunnels.
287
288           To compile it as a module, choose M here.  If unsure, say N.
289
290 config IP_NF_MATCH_OWNER
291         tristate "Owner match support"
292         depends on IP_NF_IPTABLES
293         help
294           Packet owner matching allows you to match locally-generated packets
295           based on who created them: the user, group, process or session.
296
297           To compile it as a module, choose M here.  If unsure, say N.
298
299 config IP_NF_MATCH_PHYSDEV
300         tristate "Physdev match support"
301         depends on IP_NF_IPTABLES && BRIDGE_NETFILTER
302         help
303           Physdev packet matching matches against the physical bridge ports
304           the IP packet arrived on or will leave by.
305
306           To compile it as a module, choose M here.  If unsure, say N.
307
308 config IP_NF_MATCH_ADDRTYPE
309         tristate  'address type match support'
310         depends on IP_NF_IPTABLES
311         help
312           This option allows you to match what routing thinks of an address,
313           eg. UNICAST, LOCAL, BROADCAST, ...
314         
315           If you want to compile it as a module, say M here and read
316           <file:Documentation/modules.txt>.  If unsure, say `N'.
317
318 config IP_NF_MATCH_REALM
319         tristate  'realm match support'
320         depends on IP_NF_IPTABLES
321         select NET_CLS_ROUTE
322         help
323           This option adds a `realm' match, which allows you to use the realm
324           key from the routing subsystem inside iptables.
325         
326           This match pretty much resembles the CONFIG_NET_CLS_ROUTE4 option 
327           in tc world.
328         
329           If you want to compile it as a module, say M here and read
330           <file:Documentation/modules.txt>.  If unsure, say `N'.
331
332 config IP_NF_MATCH_SCTP
333         tristate  'SCTP protocol match support'
334         depends on IP_NF_IPTABLES
335         help
336           With this option enabled, you will be able to use the iptables
337           `sctp' match in order to match on SCTP source/destination ports
338           and SCTP chunk types.
339
340           If you want to compile it as a module, say M here and read
341           <file:Documentation/modules.txt>.  If unsure, say `N'.
342
343 config IP_NF_MATCH_COMMENT
344         tristate  'comment match support'
345         depends on IP_NF_IPTABLES
346         help
347           This option adds a `comment' dummy-match, which allows you to put
348           comments in your iptables ruleset.
349
350           If you want to compile it as a module, say M here and read
351           <file:Documentation/modules.txt>.  If unsure, say `N'.
352
353 config IP_NF_MATCH_CONNMARK
354         tristate  'Connection mark match support'
355         depends on IP_NF_CONNTRACK_MARK && IP_NF_IPTABLES
356         help
357           This option adds a `connmark' match, which allows you to match the
358           connection mark value previously set for the session by `CONNMARK'. 
359         
360           If you want to compile it as a module, say M here and read
361           <file:Documentation/modules.txt>.  The module will be called
362           ipt_connmark.o.  If unsure, say `N'.
363
364 config IP_NF_MATCH_HASHLIMIT
365         tristate  'hashlimit match support'
366         depends on IP_NF_IPTABLES
367         help
368           This option adds a new iptables `hashlimit' match.  
369
370           As opposed to `limit', this match dynamically crates a hash table
371           of limit buckets, based on your selection of source/destination
372           ip addresses and/or ports.
373
374           It enables you to express policies like `10kpps for any given
375           destination IP' or `500pps from any given source IP'  with a single
376           IPtables rule.
377
378 # `filter', generic and specific targets
379 config IP_NF_FILTER
380         tristate "Packet filtering"
381         depends on IP_NF_IPTABLES
382         help
383           Packet filtering defines a table `filter', which has a series of
384           rules for simple packet filtering at local input, forwarding and
385           local output.  See the man page for iptables(8).
386
387           To compile it as a module, choose M here.  If unsure, say N.
388
389 config IP_NF_TARGET_REJECT
390         tristate "REJECT target support"
391         depends on IP_NF_FILTER
392         help
393           The REJECT target allows a filtering rule to specify that an ICMP
394           error should be issued in response to an incoming packet, rather
395           than silently being dropped.
396
397           To compile it as a module, choose M here.  If unsure, say N.
398
399 config IP_NF_TARGET_LOG
400         tristate "LOG target support"
401         depends on IP_NF_IPTABLES
402         help
403           This option adds a `LOG' target, which allows you to create rules in
404           any iptables table which records the packet header to the syslog.
405
406           To compile it as a module, choose M here.  If unsure, say N.
407
408 config IP_NF_TARGET_ULOG
409         tristate "ULOG target support"
410         depends on IP_NF_IPTABLES
411         ---help---
412           This option adds a `ULOG' target, which allows you to create rules in
413           any iptables table. The packet is passed to a userspace logging
414           daemon using netlink multicast sockets; unlike the LOG target
415           which can only be viewed through syslog.
416
417           The apropriate userspace logging daemon (ulogd) may be obtained from
418           <http://www.gnumonks.org/projects/ulogd/>
419
420           To compile it as a module, choose M here.  If unsure, say N.
421
422 config IP_NF_TARGET_TCPMSS
423         tristate "TCPMSS target support"
424         depends on IP_NF_IPTABLES
425         ---help---
426           This option adds a `TCPMSS' target, which allows you to alter the
427           MSS value of TCP SYN packets, to control the maximum size for that
428           connection (usually limiting it to your outgoing interface's MTU
429           minus 40).
430
431           This is used to overcome criminally braindead ISPs or servers which
432           block ICMP Fragmentation Needed packets.  The symptoms of this
433           problem are that everything works fine from your Linux
434           firewall/router, but machines behind it can never exchange large
435           packets:
436                 1) Web browsers connect, then hang with no data received.
437                 2) Small mail works fine, but large emails hang.
438                 3) ssh works fine, but scp hangs after initial handshaking.
439
440           Workaround: activate this option and add a rule to your firewall
441           configuration like:
442
443           iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN \
444                          -j TCPMSS --clamp-mss-to-pmtu
445
446           To compile it as a module, choose M here.  If unsure, say N.
447
448 # NAT + specific targets
449 config IP_NF_NAT
450         tristate "Full NAT"
451         depends on IP_NF_IPTABLES && IP_NF_CONNTRACK
452         help
453           The Full NAT option allows masquerading, port forwarding and other
454           forms of full Network Address Port Translation.  It is controlled by
455           the `nat' table in iptables: see the man page for iptables(8).
456
457           To compile it as a module, choose M here.  If unsure, say N.
458
459 config IP_NF_NAT_NEEDED
460         bool
461         depends on IP_NF_NAT != n
462         default y
463
464 config IP_NF_TARGET_MASQUERADE
465         tristate "MASQUERADE target support"
466         depends on IP_NF_NAT
467         help
468           Masquerading is a special case of NAT: all outgoing connections are
469           changed to seem to come from a particular interface's address, and
470           if the interface goes down, those connections are lost.  This is
471           only useful for dialup accounts with dynamic IP address (ie. your IP
472           address will be different on next dialup).
473
474           To compile it as a module, choose M here.  If unsure, say N.
475
476 config IP_NF_TARGET_REDIRECT
477         tristate "REDIRECT target support"
478         depends on IP_NF_NAT
479         help
480           REDIRECT is a special case of NAT: all incoming connections are
481           mapped onto the incoming interface's address, causing the packets to
482           come to the local machine instead of passing through.  This is
483           useful for transparent proxies.
484
485           To compile it as a module, choose M here.  If unsure, say N.
486
487 config IP_NF_TARGET_NETMAP
488         tristate "NETMAP target support"
489         depends on IP_NF_NAT
490         help
491           NETMAP is an implementation of static 1:1 NAT mapping of network
492           addresses. It maps the network address part, while keeping the host
493           address part intact. It is similar to Fast NAT, except that
494           Netfilter's connection tracking doesn't work well with Fast NAT.
495
496           To compile it as a module, choose M here.  If unsure, say N.
497
498 config IP_NF_TARGET_SAME
499         tristate "SAME target support"
500         depends on IP_NF_NAT
501         help
502           This option adds a `SAME' target, which works like the standard SNAT
503           target, but attempts to give clients the same IP for all connections.
504
505           To compile it as a module, choose M here.  If unsure, say N.
506
507 config IP_NF_NAT_SNMP_BASIC
508         tristate "Basic SNMP-ALG support (EXPERIMENTAL)"
509         depends on EXPERIMENTAL && IP_NF_NAT
510         ---help---
511
512           This module implements an Application Layer Gateway (ALG) for
513           SNMP payloads.  In conjunction with NAT, it allows a network
514           management system to access multiple private networks with
515           conflicting addresses.  It works by modifying IP addresses
516           inside SNMP payloads to match IP-layer NAT mapping.
517
518           This is the "basic" form of SNMP-ALG, as described in RFC 2962
519
520           To compile it as a module, choose M here.  If unsure, say N.
521
522 config IP_NF_NAT_IRC
523         tristate
524         depends on IP_NF_IPTABLES!=n && IP_NF_CONNTRACK!=n && IP_NF_NAT!=n
525         default IP_NF_NAT if IP_NF_IRC=y
526         default m if IP_NF_IRC=m
527
528 # If they want FTP, set to $CONFIG_IP_NF_NAT (m or y), 
529 # or $CONFIG_IP_NF_FTP (m or y), whichever is weaker.  Argh.
530 config IP_NF_NAT_FTP
531         tristate
532         depends on IP_NF_IPTABLES!=n && IP_NF_CONNTRACK!=n && IP_NF_NAT!=n
533         default IP_NF_NAT if IP_NF_FTP=y
534         default m if IP_NF_FTP=m
535
536 config IP_NF_NAT_TFTP
537         tristate
538         depends on IP_NF_IPTABLES!=n && IP_NF_CONNTRACK!=n && IP_NF_NAT!=n
539         default IP_NF_NAT if IP_NF_TFTP=y
540         default m if IP_NF_TFTP=m
541
542 config IP_NF_NAT_AMANDA
543         tristate
544         depends on IP_NF_IPTABLES!=n && IP_NF_CONNTRACK!=n && IP_NF_NAT!=n
545         default IP_NF_NAT if IP_NF_AMANDA=y
546         default m if IP_NF_AMANDA=m
547
548 # mangle + specific targets
549 config IP_NF_MANGLE
550         tristate "Packet mangling"
551         depends on IP_NF_IPTABLES
552         help
553           This option adds a `mangle' table to iptables: see the man page for
554           iptables(8).  This table is used for various packet alterations
555           which can effect how the packet is routed.
556
557           To compile it as a module, choose M here.  If unsure, say N.
558
559 config IP_NF_TARGET_TOS
560         tristate "TOS target support"
561         depends on IP_NF_MANGLE
562         help
563           This option adds a `TOS' target, which allows you to create rules in
564           the `mangle' table which alter the Type Of Service field of an IP
565           packet prior to routing.
566
567           To compile it as a module, choose M here.  If unsure, say N.
568
569 config IP_NF_TARGET_ECN
570         tristate "ECN target support"
571         depends on IP_NF_MANGLE
572         ---help---
573           This option adds a `ECN' target, which can be used in the iptables mangle
574           table.  
575
576           You can use this target to remove the ECN bits from the IPv4 header of
577           an IP packet.  This is particularly useful, if you need to work around
578           existing ECN blackholes on the internet, but don't want to disable
579           ECN support in general.
580
581           To compile it as a module, choose M here.  If unsure, say N.
582
583 config IP_NF_TARGET_DSCP
584         tristate "DSCP target support"
585         depends on IP_NF_MANGLE
586         help
587           This option adds a `DSCP' match, which allows you to match against
588           the IPv4 header DSCP field (DSCP codepoint).
589
590           The DSCP codepoint can have any value between 0x0 and 0x4f.
591
592           To compile it as a module, choose M here.  If unsure, say N.
593
594 config IP_NF_TARGET_MARK
595         tristate "MARK target support"
596         depends on IP_NF_MANGLE
597         help
598           This option adds a `MARK' target, which allows you to create rules
599           in the `mangle' table which alter the netfilter mark (nfmark) field
600           associated with the packet prior to routing. This can change
601           the routing method (see `Use netfilter MARK value as routing
602           key') and can also be used by other subsystems to change their
603           behavior.
604
605           To compile it as a module, choose M here.  If unsure, say N.
606
607 config IP_NF_TARGET_CLASSIFY
608         tristate "CLASSIFY target support"
609         depends on IP_NF_MANGLE
610         help
611           This option adds a `CLASSIFY' target, which enables the user to set
612           the priority of a packet. Some qdiscs can use this value for
613           classification, among these are:
614
615           atm, cbq, dsmark, pfifo_fast, htb, prio
616
617           To compile it as a module, choose M here.  If unsure, say N.
618
619 config IP_NF_TARGET_CONNMARK
620         tristate  'CONNMARK target support'
621         depends on IP_NF_CONNTRACK_MARK && IP_NF_MANGLE
622         help
623           This option adds a `CONNMARK' target, which allows one to manipulate
624           the connection mark value.  Similar to the MARK target, but
625           affects the connection mark value rather than the packet mark value.
626         
627           If you want to compile it as a module, say M here and read
628           <file:Documentation/modules.txt>.  The module will be called
629           ipt_CONNMARK.o.  If unsure, say `N'.
630
631 config IP_NF_TARGET_CLUSTERIP
632         tristate "CLUSTERIP target support (EXPERIMENTAL)"
633         depends on IP_NF_CONNTRACK_MARK && IP_NF_IPTABLES && EXPERIMENTAL
634         help
635           The CLUSTERIP target allows you to build load-balancing clusters of
636           network servers without having a dedicated load-balancing
637           router/server/switch.
638         
639           To compile it as a module, choose M here.  If unsure, say N.
640
641 # raw + specific targets
642 config IP_NF_RAW
643         tristate  'raw table support (required for NOTRACK/TRACE)'
644         depends on IP_NF_IPTABLES
645         help
646           This option adds a `raw' table to iptables. This table is the very
647           first in the netfilter framework and hooks in at the PREROUTING
648           and OUTPUT chains.
649         
650           If you want to compile it as a module, say M here and read
651           <file:Documentation/modules.txt>.  If unsure, say `N'.
652
653 config IP_NF_TARGET_NOTRACK
654         tristate  'NOTRACK target support'
655         depends on IP_NF_RAW
656         depends on IP_NF_CONNTRACK
657         help
658           The NOTRACK target allows a select rule to specify
659           which packets *not* to enter the conntrack/NAT
660           subsystem with all the consequences (no ICMP error tracking,
661           no protocol helpers for the selected packets).
662         
663           If you want to compile it as a module, say M here and read
664           <file:Documentation/modules.txt>.  If unsure, say `N'.
665
666
667 # ARP tables
668 config IP_NF_ARPTABLES
669         tristate "ARP tables support"
670         help
671           arptables is a general, extensible packet identification framework.
672           The ARP packet filtering and mangling (manipulation)subsystems
673           use this: say Y or M here if you want to use either of those.
674
675           To compile it as a module, choose M here.  If unsure, say N.
676
677 config IP_NF_ARPFILTER
678         tristate "ARP packet filtering"
679         depends on IP_NF_ARPTABLES
680         help
681           ARP packet filtering defines a table `filter', which has a series of
682           rules for simple ARP packet filtering at local input and
683           local output.  On a bridge, you can also specify filtering rules
684           for forwarded ARP packets. See the man page for arptables(8).
685
686           To compile it as a module, choose M here.  If unsure, say N.
687
688 config IP_NF_ARP_MANGLE
689         tristate "ARP payload mangling"
690         depends on IP_NF_ARPTABLES
691         help
692           Allows altering the ARP packet payload: source and destination
693           hardware and network addresses.
694
695 endmenu
696