Merge branch 'work'
[linux-2.6] / net / netfilter / Kconfig
1 menu "Core Netfilter Configuration"
2         depends on NET && NETFILTER
3
4 config NETFILTER_NETLINK
5        tristate "Netfilter netlink interface"
6        help
7          If this option is enabled, the kernel will include support
8          for the new netfilter netlink interface.
9
10 config NETFILTER_NETLINK_QUEUE
11         tristate "Netfilter NFQUEUE over NFNETLINK interface"
12         depends on NETFILTER_NETLINK
13         help
14           If this option isenabled, the kernel will include support
15           for queueing packets via NFNETLINK.
16           
17 config NETFILTER_NETLINK_LOG
18         tristate "Netfilter LOG over NFNETLINK interface"
19         depends on NETFILTER_NETLINK
20         help
21           If this option is enabled, the kernel will include support
22           for logging packets via NFNETLINK.
23
24           This obsoletes the existing ipt_ULOG and ebg_ulog mechanisms,
25           and is also scheduled to replace the old syslog-based ipt_LOG
26           and ip6t_LOG modules.
27
28 config NF_CONNTRACK
29         tristate "Layer 3 Independent Connection tracking (EXPERIMENTAL)"
30         depends on EXPERIMENTAL && IP_NF_CONNTRACK=n
31         default n
32         ---help---
33           Connection tracking keeps a record of what packets have passed
34           through your machine, in order to figure out how they are related
35           into connections.
36
37           Layer 3 independent connection tracking is experimental scheme
38           which generalize ip_conntrack to support other layer 3 protocols.
39
40           To compile it as a module, choose M here.  If unsure, say N.
41
42 config NF_CT_ACCT
43         bool "Connection tracking flow accounting"
44         depends on NF_CONNTRACK
45         help
46           If this option is enabled, the connection tracking code will
47           keep per-flow packet and byte counters.
48
49           Those counters can be used for flow-based accounting or the
50           `connbytes' match.
51
52           If unsure, say `N'.
53
54 config NF_CONNTRACK_MARK
55         bool  'Connection mark tracking support'
56         depends on NF_CONNTRACK
57         help
58           This option enables support for connection marks, used by the
59           `CONNMARK' target and `connmark' match. Similar to the mark value
60           of packets, but this mark value is kept in the conntrack session
61           instead of the individual packets.
62
63 config NF_CONNTRACK_EVENTS
64         bool "Connection tracking events (EXPERIMENTAL)"
65         depends on EXPERIMENTAL && NF_CONNTRACK
66         help
67           If this option is enabled, the connection tracking code will
68           provide a notifier chain that can be used by other kernel code
69           to get notified aboutchanges in the connection tracking state.
70
71           If unsure, say `N'.
72
73 config NF_CT_PROTO_SCTP
74         tristate 'SCTP protocol on new connection tracking support (EXPERIMENTAL)'
75         depends on EXPERIMENTAL && NF_CONNTRACK
76         default n
77         help
78           With this option enabled, the layer 3 independent connection
79           tracking code will be able to do state tracking on SCTP connections.
80
81           If you want to compile it as a module, say M here and read
82           Documentation/modules.txt.  If unsure, say `N'.
83
84 config NF_CONNTRACK_FTP
85         tristate "FTP support on new connection tracking (EXPERIMENTAL)"
86         depends on EXPERIMENTAL && NF_CONNTRACK
87         help
88           Tracking FTP connections is problematic: special helpers are
89           required for tracking them, and doing masquerading and other forms
90           of Network Address Translation on them.
91
92           This is FTP support on Layer 3 independent connection tracking.
93           Layer 3 independent connection tracking is experimental scheme
94           which generalize ip_conntrack to support other layer 3 protocols.
95
96           To compile it as a module, choose M here.  If unsure, say N.
97
98 config NF_CT_NETLINK
99         tristate 'Connection tracking netlink interface (EXPERIMENTAL)'
100         depends on EXPERIMENTAL && NF_CONNTRACK && NETFILTER_NETLINK
101         depends on NF_CONNTRACK!=y || NETFILTER_NETLINK!=m
102         help
103           This option enables support for a netlink-based userspace interface
104
105 endmenu
106
107 config NETFILTER_XTABLES
108         tristate "Netfilter Xtables support (required for ip_tables)"
109         help
110           This is required if you intend to use any of ip_tables,
111           ip6_tables or arp_tables.
112
113 # alphabetically ordered list of targets
114
115 config NETFILTER_XT_TARGET_CLASSIFY
116         tristate '"CLASSIFY" target support'
117         depends on NETFILTER_XTABLES
118         help
119           This option adds a `CLASSIFY' target, which enables the user to set
120           the priority of a packet. Some qdiscs can use this value for
121           classification, among these are:
122
123           atm, cbq, dsmark, pfifo_fast, htb, prio
124
125           To compile it as a module, choose M here.  If unsure, say N.
126
127 config NETFILTER_XT_TARGET_CONNMARK
128         tristate  '"CONNMARK" target support'
129         depends on NETFILTER_XTABLES
130         depends on IP_NF_MANGLE || IP6_NF_MANGLE
131         depends on (IP_NF_CONNTRACK && IP_NF_CONNTRACK_MARK) || (NF_CONNTRACK_MARK && NF_CONNTRACK_IPV4)
132         help
133           This option adds a `CONNMARK' target, which allows one to manipulate
134           the connection mark value.  Similar to the MARK target, but
135           affects the connection mark value rather than the packet mark value.
136         
137           If you want to compile it as a module, say M here and read
138           <file:Documentation/modules.txt>.  The module will be called
139           ipt_CONNMARK.o.  If unsure, say `N'.
140
141 config NETFILTER_XT_TARGET_MARK
142         tristate '"MARK" target support'
143         depends on NETFILTER_XTABLES
144         help
145           This option adds a `MARK' target, which allows you to create rules
146           in the `mangle' table which alter the netfilter mark (nfmark) field
147           associated with the packet prior to routing. This can change
148           the routing method (see `Use netfilter MARK value as routing
149           key') and can also be used by other subsystems to change their
150           behavior.
151
152           To compile it as a module, choose M here.  If unsure, say N.
153
154 config NETFILTER_XT_TARGET_NFQUEUE
155         tristate '"NFQUEUE" target Support'
156         depends on NETFILTER_XTABLES
157         help
158           This Target replaced the old obsolete QUEUE target.
159
160           As opposed to QUEUE, it supports 65535 different queues,
161           not just one.
162
163           To compile it as a module, choose M here.  If unsure, say N.
164
165 config NETFILTER_XT_TARGET_NOTRACK
166         tristate  '"NOTRACK" target support'
167         depends on NETFILTER_XTABLES
168         depends on IP_NF_RAW || IP6_NF_RAW
169         depends on IP_NF_CONNTRACK || NF_CONNTRACK
170         help
171           The NOTRACK target allows a select rule to specify
172           which packets *not* to enter the conntrack/NAT
173           subsystem with all the consequences (no ICMP error tracking,
174           no protocol helpers for the selected packets).
175         
176           If you want to compile it as a module, say M here and read
177           <file:Documentation/modules.txt>.  If unsure, say `N'.
178
179 config NETFILTER_XT_MATCH_COMMENT
180         tristate  '"comment" match support'
181         depends on NETFILTER_XTABLES
182         help
183           This option adds a `comment' dummy-match, which allows you to put
184           comments in your iptables ruleset.
185
186           If you want to compile it as a module, say M here and read
187           <file:Documentation/modules.txt>.  If unsure, say `N'.
188
189 config NETFILTER_XT_MATCH_CONNBYTES
190         tristate  '"connbytes" per-connection counter match support'
191         depends on NETFILTER_XTABLES
192         depends on (IP_NF_CONNTRACK && IP_NF_CT_ACCT) || NF_CT_ACCT
193         help
194           This option adds a `connbytes' match, which allows you to match the
195           number of bytes and/or packets for each direction within a connection.
196
197           If you want to compile it as a module, say M here and read
198           <file:Documentation/modules.txt>.  If unsure, say `N'.
199
200 config NETFILTER_XT_MATCH_CONNMARK
201         tristate  '"connmark" connection mark match support'
202         depends on NETFILTER_XTABLES
203         depends on (IP_NF_CONNTRACK && IP_NF_CONNTRACK_MARK) || NF_CONNTRACK_MARK
204         help
205           This option adds a `connmark' match, which allows you to match the
206           connection mark value previously set for the session by `CONNMARK'. 
207         
208           If you want to compile it as a module, say M here and read
209           <file:Documentation/modules.txt>.  The module will be called
210           ipt_connmark.o.  If unsure, say `N'.
211
212 config NETFILTER_XT_MATCH_CONNTRACK
213         tristate '"conntrack" connection tracking match support'
214         depends on NETFILTER_XTABLES
215         depends on IP_NF_CONNTRACK || NF_CONNTRACK
216         help
217           This is a general conntrack match module, a superset of the state match.
218
219           It allows matching on additional conntrack information, which is
220           useful in complex configurations, such as NAT gateways with multiple
221           internet links or tunnels.
222
223           To compile it as a module, choose M here.  If unsure, say N.
224
225 config NETFILTER_XT_MATCH_DCCP
226         tristate  '"DCCP" protocol match support'
227         depends on NETFILTER_XTABLES
228         help
229           With this option enabled, you will be able to use the iptables
230           `dccp' match in order to match on DCCP source/destination ports
231           and DCCP flags.
232
233           If you want to compile it as a module, say M here and read
234           <file:Documentation/modules.txt>.  If unsure, say `N'.
235
236 config NETFILTER_XT_MATCH_HELPER
237         tristate '"helper" match support'
238         depends on NETFILTER_XTABLES
239         depends on IP_NF_CONNTRACK || NF_CONNTRACK
240         help
241           Helper matching allows you to match packets in dynamic connections
242           tracked by a conntrack-helper, ie. ip_conntrack_ftp
243
244           To compile it as a module, choose M here.  If unsure, say Y.
245
246 config NETFILTER_XT_MATCH_LENGTH
247         tristate '"length" match support'
248         depends on NETFILTER_XTABLES
249         help
250           This option allows you to match the length of a packet against a
251           specific value or range of values.
252
253           To compile it as a module, choose M here.  If unsure, say N.
254
255 config NETFILTER_XT_MATCH_LIMIT
256         tristate '"limit" match support'
257         depends on NETFILTER_XTABLES
258         help
259           limit matching allows you to control the rate at which a rule can be
260           matched: mainly useful in combination with the LOG target ("LOG
261           target support", below) and to avoid some Denial of Service attacks.
262
263           To compile it as a module, choose M here.  If unsure, say N.
264
265 config NETFILTER_XT_MATCH_MAC
266         tristate '"mac" address match support'
267         depends on NETFILTER_XTABLES
268         help
269           MAC matching allows you to match packets based on the source
270           Ethernet address of the packet.
271
272           To compile it as a module, choose M here.  If unsure, say N.
273
274 config NETFILTER_XT_MATCH_MARK
275         tristate '"mark" match support'
276         depends on NETFILTER_XTABLES
277         help
278           Netfilter mark matching allows you to match packets based on the
279           `nfmark' value in the packet.  This can be set by the MARK target
280           (see below).
281
282           To compile it as a module, choose M here.  If unsure, say N.
283
284 config NETFILTER_XT_MATCH_PHYSDEV
285         tristate '"physdev" match support'
286         depends on NETFILTER_XTABLES && BRIDGE_NETFILTER
287         help
288           Physdev packet matching matches against the physical bridge ports
289           the IP packet arrived on or will leave by.
290
291           To compile it as a module, choose M here.  If unsure, say N.
292
293 config NETFILTER_XT_MATCH_PKTTYPE
294         tristate '"pkttype" packet type match support'
295         depends on NETFILTER_XTABLES
296         help
297           Packet type matching allows you to match a packet by
298           its "class", eg. BROADCAST, MULTICAST, ...
299
300           Typical usage:
301           iptables -A INPUT -m pkttype --pkt-type broadcast -j LOG
302
303           To compile it as a module, choose M here.  If unsure, say N.
304
305 config NETFILTER_XT_MATCH_REALM
306         tristate  '"realm" match support'
307         depends on NETFILTER_XTABLES
308         select NET_CLS_ROUTE
309         help
310           This option adds a `realm' match, which allows you to use the realm
311           key from the routing subsystem inside iptables.
312         
313           This match pretty much resembles the CONFIG_NET_CLS_ROUTE4 option 
314           in tc world.
315         
316           If you want to compile it as a module, say M here and read
317           <file:Documentation/modules.txt>.  If unsure, say `N'.
318
319 config NETFILTER_XT_MATCH_SCTP
320         tristate  '"sctp" protocol match support'
321         depends on NETFILTER_XTABLES
322         help
323           With this option enabled, you will be able to use the 
324           `sctp' match in order to match on SCTP source/destination ports
325           and SCTP chunk types.
326
327           If you want to compile it as a module, say M here and read
328           <file:Documentation/modules.txt>.  If unsure, say `N'.
329
330 config NETFILTER_XT_MATCH_STATE
331         tristate '"state" match support'
332         depends on NETFILTER_XTABLES
333         depends on IP_NF_CONNTRACK || NF_CONNTRACK
334         help
335           Connection state matching allows you to match packets based on their
336           relationship to a tracked connection (ie. previous packets).  This
337           is a powerful tool for packet classification.
338
339           To compile it as a module, choose M here.  If unsure, say N.
340
341 config NETFILTER_XT_MATCH_STRING
342         tristate  '"string" match support'
343         depends on NETFILTER_XTABLES
344         select TEXTSEARCH
345         select TEXTSEARCH_KMP
346         select TEXTSEARCH_BM
347         select TEXTSEARCH_FSM
348         help
349           This option adds a `string' match, which allows you to look for
350           pattern matchings in packets.
351
352           To compile it as a module, choose M here.  If unsure, say N.
353
354 config NETFILTER_XT_MATCH_TCPMSS
355         tristate '"tcpmss" match support'
356         depends on NETFILTER_XTABLES
357         help
358           This option adds a `tcpmss' match, which allows you to examine the
359           MSS value of TCP SYN packets, which control the maximum packet size
360           for that connection.
361
362           To compile it as a module, choose M here.  If unsure, say N.
363