net/ipv4/netfilter/Kconfig

   1 #
   2 # IP netfilter configuration
   3 #
   4
   5 menu "IP: Netfilter Configuration"
   6         depends on INET && NETFILTER
   7
   8 config NF_DEFRAG_IPV4
   9         tristate
  10         default n
  11
  12 config NF_CONNTRACK_IPV4
  13         tristate "IPv4 connection tracking support (required for NAT)"
  14         depends on NF_CONNTRACK
  15         default m if NETFILTER_ADVANCED=n
  16         select NF_DEFRAG_IPV4
  17         ---help---
  18           Connection tracking keeps a record of what packets have passed
  19           through your machine, in order to figure out how they are related
  20           into connections.
  21
  22           This is IPv4 support on Layer 3 independent connection tracking.
  23           Layer 3 independent connection tracking is experimental scheme
  24           which generalize ip_conntrack to support other layer 3 protocols.
  25
  26           To compile it as a module, choose M here.  If unsure, say N.
  27
  28 config NF_CONNTRACK_PROC_COMPAT
  29         bool "proc/sysctl compatibility with old connection tracking"
  30         depends on NF_CONNTRACK_PROCFS && NF_CONNTRACK_IPV4
  31         default y
  32         help
  33           This option enables /proc and sysctl compatibility with the old
  34           layer 3 dependent connection tracking. This is needed to keep
  35           old programs that have not been adapted to the new names working.
  36
  37           If unsure, say Y.
  38
  39 config IP_NF_IPTABLES
  40         tristate "IP tables support (required for filtering/masq/NAT)"
  41         default m if NETFILTER_ADVANCED=n
  42         select NETFILTER_XTABLES
  43         help
  44           iptables is a general, extensible packet identification framework.
  45           The packet filtering and full NAT (masquerading, port forwarding,
  46           etc) subsystems now use this: say `Y' or `M' here if you want to use
  47           either of those.
  48
  49           To compile it as a module, choose M here.  If unsure, say N.
  50
  51 if IP_NF_IPTABLES
  52
  53 # The matches.
  54 config IP_NF_MATCH_AH
  55         tristate '"ah" match support'
  56         depends on NETFILTER_ADVANCED
  57         help
  58           This match extension allows you to match a range of SPIs
  59           inside AH header of IPSec packets.
  60
  61           To compile it as a module, choose M here.  If unsure, say N.
  62
  63 config IP_NF_MATCH_ECN
  64         tristate '"ecn" match support'
  65         depends on NETFILTER_ADVANCED
  66         select NETFILTER_XT_MATCH_ECN
  67         ---help---
  68         This is a backwards-compat option for the user's convenience
  69         (e.g. when running oldconfig). It selects
  70         CONFIG_NETFILTER_XT_MATCH_ECN.
  71
  72 config IP_NF_MATCH_RPFILTER
  73         tristate '"rpfilter" reverse path filter match support'
  74         depends on NETFILTER_ADVANCED && (IP_NF_MANGLE || IP_NF_RAW)
  75         ---help---
  76           This option allows you to match packets whose replies would
  77           go out via the interface the packet came in.
  78
  79           To compile it as a module, choose M here.  If unsure, say N.
  80           The module will be called ipt_rpfilter.
  81
  82 config IP_NF_MATCH_TTL
  83         tristate '"ttl" match support'
  84         depends on NETFILTER_ADVANCED
  85         select NETFILTER_XT_MATCH_HL
  86         ---help---
  87         This is a backwards-compat option for the user's convenience
  88         (e.g. when running oldconfig). It selects
  89         CONFIG_NETFILTER_XT_MATCH_HL.
  90
  91 # `filter', generic and specific targets
  92 config IP_NF_FILTER
  93         tristate "Packet filtering"
  94         default m if NETFILTER_ADVANCED=n
  95         help
  96           Packet filtering defines a table `filter', which has a series of
  97           rules for simple packet filtering at local input, forwarding and
  98           local output.  See the man page for iptables(8).
  99
 100           To compile it as a module, choose M here.  If unsure, say N.
 101
 102 config IP_NF_TARGET_REJECT
 103         tristate "REJECT target support"
 104         depends on IP_NF_FILTER
 105         default m if NETFILTER_ADVANCED=n
 106         help
 107           The REJECT target allows a filtering rule to specify that an ICMP
 108           error should be issued in response to an incoming packet, rather
 109           than silently being dropped.
 110
 111           To compile it as a module, choose M here.  If unsure, say N.
 112
 113 config IP_NF_TARGET_REJECT_SKERR
 114         bool "Force socket error when rejecting with icmp*"
 115         depends on IP_NF_TARGET_REJECT
 116         default n
 117         help
 118           This option enables turning a "--reject-with icmp*" into a matching
 119           socket error also.
 120           The REJECT target normally allows sending an ICMP message. But it
 121           leaves the local socket unaware of any ingress rejects.
 122
 123           If unsure, say N.
 124
 125 config IP_NF_TARGET_ULOG
 126         tristate "ULOG target support"
 127         default m if NETFILTER_ADVANCED=n
 128         ---help---
 129
 130           This option enables the old IPv4-only "ipt_ULOG" implementation
 131           which has been obsoleted by the new "nfnetlink_log" code (see
 132           CONFIG_NETFILTER_NETLINK_LOG).
 133
 134           This option adds a `ULOG' target, which allows you to create rules in
 135           any iptables table. The packet is passed to a userspace logging
 136           daemon using netlink multicast sockets; unlike the LOG target
 137           which can only be viewed through syslog.
 138
 139           The appropriate userspace logging daemon (ulogd) may be obtained from
 140           <http://www.netfilter.org/projects/ulogd/index.html>
 141
 142           To compile it as a module, choose M here.  If unsure, say N.
 143
 144 # NAT + specific targets: nf_conntrack
 145 config NF_NAT_IPV4
 146         tristate "IPv4 NAT"
 147         depends on NF_CONNTRACK_IPV4
 148         default m if NETFILTER_ADVANCED=n
 149         select NF_NAT
 150         help
 151           The IPv4 NAT option allows masquerading, port forwarding and other
 152           forms of full Network Address Port Translation.  It is controlled by
 153           the `nat' table in iptables: see the man page for iptables(8).
 154
 155           To compile it as a module, choose M here.  If unsure, say N.
 156
 157 if NF_NAT_IPV4
 158
 159 config IP_NF_TARGET_MASQUERADE
 160         tristate "MASQUERADE target support"
 161         default m if NETFILTER_ADVANCED=n
 162         help
 163           Masquerading is a special case of NAT: all outgoing connections are
 164           changed to seem to come from a particular interface's address, and
 165           if the interface goes down, those connections are lost.  This is
 166           only useful for dialup accounts with dynamic IP address (ie. your IP
 167           address will be different on next dialup).
 168
 169           To compile it as a module, choose M here.  If unsure, say N.
 170
 171 config IP_NF_TARGET_NETMAP
 172         tristate "NETMAP target support"
 173         depends on NETFILTER_ADVANCED
 174         select NETFILTER_XT_TARGET_NETMAP
 175         ---help---
 176         This is a backwards-compat option for the user's convenience
 177         (e.g. when running oldconfig). It selects
 178         CONFIG_NETFILTER_XT_TARGET_NETMAP.
 179
 180 config IP_NF_TARGET_REDIRECT
 181         tristate "REDIRECT target support"
 182         depends on NETFILTER_ADVANCED
 183         select NETFILTER_XT_TARGET_REDIRECT
 184         ---help---
 185         This is a backwards-compat option for the user's convenience
 186         (e.g. when running oldconfig). It selects
 187         CONFIG_NETFILTER_XT_TARGET_REDIRECT.
 188
 189 endif
 190
 191 config NF_NAT_SNMP_BASIC
 192         tristate "Basic SNMP-ALG support"
 193         depends on NF_CONNTRACK_SNMP && NF_NAT_IPV4
 194         depends on NETFILTER_ADVANCED
 195         default NF_NAT && NF_CONNTRACK_SNMP
 196         ---help---
 197
 198           This module implements an Application Layer Gateway (ALG) for
 199           SNMP payloads.  In conjunction with NAT, it allows a network
 200           management system to access multiple private networks with
 201           conflicting addresses.  It works by modifying IP addresses
 202           inside SNMP payloads to match IP-layer NAT mapping.
 203
 204           This is the "basic" form of SNMP-ALG, as described in RFC 2962
 205
 206           To compile it as a module, choose M here.  If unsure, say N.
 207
 208 # If they want FTP, set to $CONFIG_IP_NF_NAT (m or y),
 209 # or $CONFIG_IP_NF_FTP (m or y), whichever is weaker.
 210 # From kconfig-language.txt:
 211 #
 212 #           <expr> '&&' <expr>                   (6)
 213 #
 214 # (6) Returns the result of min(/expr/, /expr/).
 215
 216 config NF_NAT_PROTO_GRE
 217         tristate
 218         depends on NF_NAT_IPV4 && NF_CT_PROTO_GRE
 219
 220 config NF_NAT_PPTP
 221         tristate
 222         depends on NF_CONNTRACK && NF_NAT_IPV4
 223         default NF_NAT_IPV4 && NF_CONNTRACK_PPTP
 224         select NF_NAT_PROTO_GRE
 225
 226 config NF_NAT_H323
 227         tristate
 228         depends on NF_CONNTRACK && NF_NAT_IPV4
 229         default NF_NAT_IPV4 && NF_CONNTRACK_H323
 230
 231 # mangle + specific targets
 232 config IP_NF_MANGLE
 233         tristate "Packet mangling"
 234         default m if NETFILTER_ADVANCED=n
 235         help
 236           This option adds a `mangle' table to iptables: see the man page for
 237           iptables(8).  This table is used for various packet alterations
 238           which can effect how the packet is routed.
 239
 240           To compile it as a module, choose M here.  If unsure, say N.
 241
 242 config IP_NF_TARGET_CLUSTERIP
 243         tristate "CLUSTERIP target support"
 244         depends on IP_NF_MANGLE
 245         depends on NF_CONNTRACK_IPV4
 246         depends on NETFILTER_ADVANCED
 247         select NF_CONNTRACK_MARK
 248         help
 249           The CLUSTERIP target allows you to build load-balancing clusters of
 250           network servers without having a dedicated load-balancing
 251           router/server/switch.
 252
 253           To compile it as a module, choose M here.  If unsure, say N.
 254
 255 config IP_NF_TARGET_ECN
 256         tristate "ECN target support"
 257         depends on IP_NF_MANGLE
 258         depends on NETFILTER_ADVANCED
 259         ---help---
 260           This option adds a `ECN' target, which can be used in the iptables mangle
 261           table.
 262
 263           You can use this target to remove the ECN bits from the IPv4 header of
 264           an IP packet.  This is particularly useful, if you need to work around
 265           existing ECN blackholes on the internet, but don't want to disable
 266           ECN support in general.
 267
 268           To compile it as a module, choose M here.  If unsure, say N.
 269
 270 config IP_NF_TARGET_TTL
 271         tristate '"TTL" target support'
 272         depends on NETFILTER_ADVANCED && IP_NF_MANGLE
 273         select NETFILTER_XT_TARGET_HL
 274         ---help---
 275         This is a backwards-compatible option for the user's convenience
 276         (e.g. when running oldconfig). It selects
 277         CONFIG_NETFILTER_XT_TARGET_HL.
 278
 279 # raw + specific targets
 280 config IP_NF_RAW
 281         tristate  'raw table support (required for NOTRACK/TRACE)'
 282         help
 283           This option adds a `raw' table to iptables. This table is the very
 284           first in the netfilter framework and hooks in at the PREROUTING
 285           and OUTPUT chains.
 286
 287           If you want to compile it as a module, say M here and read
 288           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
 289
 290 # security table for MAC policy
 291 config IP_NF_SECURITY
 292         tristate "Security table"
 293         depends on SECURITY
 294         depends on NETFILTER_ADVANCED
 295         help
 296           This option adds a `security' table to iptables, for use
 297           with Mandatory Access Control (MAC) policy.
 298
 299           If unsure, say N.
 300
 301 endif # IP_NF_IPTABLES
 302
 303 # ARP tables
 304 config IP_NF_ARPTABLES
 305         tristate "ARP tables support"
 306         select NETFILTER_XTABLES
 307         depends on NETFILTER_ADVANCED
 308         help
 309           arptables is a general, extensible packet identification framework.
 310           The ARP packet filtering and mangling (manipulation)subsystems
 311           use this: say Y or M here if you want to use either of those.
 312
 313           To compile it as a module, choose M here.  If unsure, say N.
 314
 315 if IP_NF_ARPTABLES
 316
 317 config IP_NF_ARPFILTER
 318         tristate "ARP packet filtering"
 319         help
 320           ARP packet filtering defines a table `filter', which has a series of
 321           rules for simple ARP packet filtering at local input and
 322           local output.  On a bridge, you can also specify filtering rules
 323           for forwarded ARP packets. See the man page for arptables(8).
 324
 325           To compile it as a module, choose M here.  If unsure, say N.
 326
 327 config IP_NF_ARP_MANGLE
 328         tristate "ARP payload mangling"
 329         help
 330           Allows altering the ARP packet payload: source and destination
 331           hardware and network addresses.
 332
 333 endif # IP_NF_ARPTABLES
 334
 335 endmenu
 336