net/ipv4/netfilter/Kconfig

   1 #
   2 # IP netfilter configuration
   3 #
   4
   5 menu "IP: Netfilter Configuration"
   6         depends on INET && NETFILTER
   7
   8 config NF_DEFRAG_IPV4
   9         tristate
  10         default n
  11
  12 config NF_CONNTRACK_IPV4
  13         tristate "IPv4 connection tracking support (required for NAT)"
  14         depends on NF_CONNTRACK
  15         default m if NETFILTER_ADVANCED=n
  16         select NF_DEFRAG_IPV4
  17         ---help---
  18           Connection tracking keeps a record of what packets have passed
  19           through your machine, in order to figure out how they are related
  20           into connections.
  21
  22           This is IPv4 support on Layer 3 independent connection tracking.
  23           Layer 3 independent connection tracking is experimental scheme
  24           which generalize ip_conntrack to support other layer 3 protocols.
  25
  26           To compile it as a module, choose M here.  If unsure, say N.
  27
  28 config NF_CONNTRACK_PROC_COMPAT
  29         bool "proc/sysctl compatibility with old connection tracking"
  30         depends on NF_CONNTRACK_PROCFS && NF_CONNTRACK_IPV4
  31         default y
  32         help
  33           This option enables /proc and sysctl compatibility with the old
  34           layer 3 dependent connection tracking. This is needed to keep
  35           old programs that have not been adapted to the new names working.
  36
  37           If unsure, say Y.
  38
  39 config NF_LOG_ARP
  40         tristate "ARP packet logging"
  41         default m if NETFILTER_ADVANCED=n
  42         select NF_LOG_COMMON
  43
  44 config NF_LOG_IPV4
  45         tristate "IPv4 packet logging"
  46         default m if NETFILTER_ADVANCED=n
  47         select NF_LOG_COMMON
  48
  49 config NF_TABLES_IPV4
  50         depends on NF_TABLES
  51         tristate "IPv4 nf_tables support"
  52         help
  53           This option enables the IPv4 support for nf_tables.
  54
  55 config NFT_CHAIN_ROUTE_IPV4
  56         depends on NF_TABLES_IPV4
  57         tristate "IPv4 nf_tables route chain support"
  58         help
  59           This option enables the "route" chain for IPv4 in nf_tables. This
  60           chain type is used to force packet re-routing after mangling header
  61           fields such as the source, destination, type of service and
  62           the packet mark.
  63
  64 config NFT_CHAIN_NAT_IPV4
  65         depends on NF_TABLES_IPV4
  66         depends on NF_NAT_IPV4 && NFT_NAT
  67         tristate "IPv4 nf_tables nat chain support"
  68         help
  69           This option enables the "nat" chain for IPv4 in nf_tables. This
  70           chain type is used to perform Network Address Translation (NAT)
  71           packet transformations such as the source, destination address and
  72           source and destination ports.
  73
  74 config NFT_REJECT_IPV4
  75         depends on NF_TABLES_IPV4
  76         default NFT_REJECT
  77         tristate
  78
  79 config NF_TABLES_ARP
  80         depends on NF_TABLES
  81         tristate "ARP nf_tables support"
  82         help
  83           This option enables the ARP support for nf_tables.
  84
  85 config NF_NAT_IPV4
  86         tristate "IPv4 NAT"
  87         depends on NF_CONNTRACK_IPV4
  88         default m if NETFILTER_ADVANCED=n
  89         select NF_NAT
  90         help
  91           The IPv4 NAT option allows masquerading, port forwarding and other
  92           forms of full Network Address Port Translation. This can be
  93           controlled by iptables or nft.
  94
  95 if NF_NAT_IPV4
  96
  97 config NF_NAT_SNMP_BASIC
  98         tristate "Basic SNMP-ALG support"
  99         depends on NF_CONNTRACK_SNMP
 100         depends on NETFILTER_ADVANCED
 101         default NF_NAT && NF_CONNTRACK_SNMP
 102         ---help---
 103
 104           This module implements an Application Layer Gateway (ALG) for
 105           SNMP payloads.  In conjunction with NAT, it allows a network
 106           management system to access multiple private networks with
 107           conflicting addresses.  It works by modifying IP addresses
 108           inside SNMP payloads to match IP-layer NAT mapping.
 109
 110           This is the "basic" form of SNMP-ALG, as described in RFC 2962
 111
 112           To compile it as a module, choose M here.  If unsure, say N.
 113
 114 config NF_NAT_PROTO_GRE
 115         tristate
 116         depends on NF_CT_PROTO_GRE
 117
 118 config NF_NAT_PPTP
 119         tristate
 120         depends on NF_CONNTRACK
 121         default NF_CONNTRACK_PPTP
 122         select NF_NAT_PROTO_GRE
 123
 124 config NF_NAT_H323
 125         tristate
 126         depends on NF_CONNTRACK
 127         default NF_CONNTRACK_H323
 128
 129 endif # NF_NAT_IPV4
 130
 131 config IP_NF_IPTABLES
 132         tristate "IP tables support (required for filtering/masq/NAT)"
 133         default m if NETFILTER_ADVANCED=n
 134         select NETFILTER_XTABLES
 135         help
 136           iptables is a general, extensible packet identification framework.
 137           The packet filtering and full NAT (masquerading, port forwarding,
 138           etc) subsystems now use this: say `Y' or `M' here if you want to use
 139           either of those.
 140
 141           To compile it as a module, choose M here.  If unsure, say N.
 142
 143 if IP_NF_IPTABLES
 144
 145 # The matches.
 146 config IP_NF_MATCH_AH
 147         tristate '"ah" match support'
 148         depends on NETFILTER_ADVANCED
 149         help
 150           This match extension allows you to match a range of SPIs
 151           inside AH header of IPSec packets.
 152
 153           To compile it as a module, choose M here.  If unsure, say N.
 154
 155 config IP_NF_MATCH_ECN
 156         tristate '"ecn" match support'
 157         depends on NETFILTER_ADVANCED
 158         select NETFILTER_XT_MATCH_ECN
 159         ---help---
 160         This is a backwards-compat option for the user's convenience
 161         (e.g. when running oldconfig). It selects
 162         CONFIG_NETFILTER_XT_MATCH_ECN.
 163
 164 config IP_NF_MATCH_RPFILTER
 165         tristate '"rpfilter" reverse path filter match support'
 166         depends on NETFILTER_ADVANCED && (IP_NF_MANGLE || IP_NF_RAW)
 167         ---help---
 168           This option allows you to match packets whose replies would
 169           go out via the interface the packet came in.
 170
 171           To compile it as a module, choose M here.  If unsure, say N.
 172           The module will be called ipt_rpfilter.
 173
 174 config IP_NF_MATCH_TTL
 175         tristate '"ttl" match support'
 176         depends on NETFILTER_ADVANCED
 177         select NETFILTER_XT_MATCH_HL
 178         ---help---
 179         This is a backwards-compat option for the user's convenience
 180         (e.g. when running oldconfig). It selects
 181         CONFIG_NETFILTER_XT_MATCH_HL.
 182
 183 # `filter', generic and specific targets
 184 config IP_NF_FILTER
 185         tristate "Packet filtering"
 186         default m if NETFILTER_ADVANCED=n
 187         help
 188           Packet filtering defines a table `filter', which has a series of
 189           rules for simple packet filtering at local input, forwarding and
 190           local output.  See the man page for iptables(8).
 191
 192           To compile it as a module, choose M here.  If unsure, say N.
 193
 194 config IP_NF_TARGET_REJECT
 195         tristate "REJECT target support"
 196         depends on IP_NF_FILTER
 197         default m if NETFILTER_ADVANCED=n
 198         help
 199           The REJECT target allows a filtering rule to specify that an ICMP
 200           error should be issued in response to an incoming packet, rather
 201           than silently being dropped.
 202
 203           To compile it as a module, choose M here.  If unsure, say N.
 204
 205 config IP_NF_TARGET_SYNPROXY
 206         tristate "SYNPROXY target support"
 207         depends on NF_CONNTRACK && NETFILTER_ADVANCED
 208         select NETFILTER_SYNPROXY
 209         select SYN_COOKIES
 210         help
 211           The SYNPROXY target allows you to intercept TCP connections and
 212           establish them using syncookies before they are passed on to the
 213           server. This allows to avoid conntrack and server resource usage
 214           during SYN-flood attacks.
 215
 216           To compile it as a module, choose M here. If unsure, say N.
 217
 218 # NAT + specific targets: nf_conntrack
 219 config IP_NF_NAT
 220         tristate "iptables NAT support"
 221         depends on NF_CONNTRACK_IPV4
 222         default m if NETFILTER_ADVANCED=n
 223         select NF_NAT
 224         select NF_NAT_IPV4
 225         select NETFILTER_XT_NAT
 226         help
 227           This enables the `nat' table in iptables. This allows masquerading,
 228           port forwarding and other forms of full Network Address Port
 229           Translation.
 230
 231           To compile it as a module, choose M here.  If unsure, say N.
 232
 233 if IP_NF_NAT
 234
 235 config NF_NAT_MASQUERADE_IPV4
 236         tristate "IPv4 masquerade support"
 237         help
 238         This is the kernel functionality to provide NAT in the masquerade
 239         flavour (automatic source address selection).
 240
 241 config NFT_MASQ_IPV4
 242         tristate "IPv4 masquerading support for nf_tables"
 243         depends on NF_TABLES_IPV4
 244         depends on NFT_MASQ
 245         select NF_NAT_MASQUERADE_IPV4
 246
 247 config IP_NF_TARGET_MASQUERADE
 248         tristate "MASQUERADE target support"
 249         select NF_NAT_MASQUERADE_IPV4
 250         default m if NETFILTER_ADVANCED=n
 251         help
 252           Masquerading is a special case of NAT: all outgoing connections are
 253           changed to seem to come from a particular interface's address, and
 254           if the interface goes down, those connections are lost.  This is
 255           only useful for dialup accounts with dynamic IP address (ie. your IP
 256           address will be different on next dialup).
 257
 258           To compile it as a module, choose M here.  If unsure, say N.
 259
 260 config IP_NF_TARGET_NETMAP
 261         tristate "NETMAP target support"
 262         depends on NETFILTER_ADVANCED
 263         select NETFILTER_XT_TARGET_NETMAP
 264         ---help---
 265         This is a backwards-compat option for the user's convenience
 266         (e.g. when running oldconfig). It selects
 267         CONFIG_NETFILTER_XT_TARGET_NETMAP.
 268
 269 config IP_NF_TARGET_REDIRECT
 270         tristate "REDIRECT target support"
 271         depends on NETFILTER_ADVANCED
 272         select NETFILTER_XT_TARGET_REDIRECT
 273         ---help---
 274         This is a backwards-compat option for the user's convenience
 275         (e.g. when running oldconfig). It selects
 276         CONFIG_NETFILTER_XT_TARGET_REDIRECT.
 277
 278 endif # IP_NF_NAT
 279
 280 # mangle + specific targets
 281 config IP_NF_MANGLE
 282         tristate "Packet mangling"
 283         default m if NETFILTER_ADVANCED=n
 284         help
 285           This option adds a `mangle' table to iptables: see the man page for
 286           iptables(8).  This table is used for various packet alterations
 287           which can effect how the packet is routed.
 288
 289           To compile it as a module, choose M here.  If unsure, say N.
 290
 291 config IP_NF_TARGET_CLUSTERIP
 292         tristate "CLUSTERIP target support"
 293         depends on IP_NF_MANGLE
 294         depends on NF_CONNTRACK_IPV4
 295         depends on NETFILTER_ADVANCED
 296         select NF_CONNTRACK_MARK
 297         help
 298           The CLUSTERIP target allows you to build load-balancing clusters of
 299           network servers without having a dedicated load-balancing
 300           router/server/switch.
 301
 302           To compile it as a module, choose M here.  If unsure, say N.
 303
 304 config IP_NF_TARGET_ECN
 305         tristate "ECN target support"
 306         depends on IP_NF_MANGLE
 307         depends on NETFILTER_ADVANCED
 308         ---help---
 309           This option adds a `ECN' target, which can be used in the iptables mangle
 310           table.
 311
 312           You can use this target to remove the ECN bits from the IPv4 header of
 313           an IP packet.  This is particularly useful, if you need to work around
 314           existing ECN blackholes on the internet, but don't want to disable
 315           ECN support in general.
 316
 317           To compile it as a module, choose M here.  If unsure, say N.
 318
 319 config IP_NF_TARGET_TTL
 320         tristate '"TTL" target support'
 321         depends on NETFILTER_ADVANCED && IP_NF_MANGLE
 322         select NETFILTER_XT_TARGET_HL
 323         ---help---
 324         This is a backwards-compatible option for the user's convenience
 325         (e.g. when running oldconfig). It selects
 326         CONFIG_NETFILTER_XT_TARGET_HL.
 327
 328 # raw + specific targets
 329 config IP_NF_RAW
 330         tristate  'raw table support (required for NOTRACK/TRACE)'
 331         help
 332           This option adds a `raw' table to iptables. This table is the very
 333           first in the netfilter framework and hooks in at the PREROUTING
 334           and OUTPUT chains.
 335
 336           If you want to compile it as a module, say M here and read
 337           <file:Documentation/kbuild/modules.txt>.  If unsure, say `N'.
 338
 339 # security table for MAC policy
 340 config IP_NF_SECURITY
 341         tristate "Security table"
 342         depends on SECURITY
 343         depends on NETFILTER_ADVANCED
 344         help
 345           This option adds a `security' table to iptables, for use
 346           with Mandatory Access Control (MAC) policy.
 347
 348           If unsure, say N.
 349
 350 endif # IP_NF_IPTABLES
 351
 352 # ARP tables
 353 config IP_NF_ARPTABLES
 354         tristate "ARP tables support"
 355         select NETFILTER_XTABLES
 356         depends on NETFILTER_ADVANCED
 357         help
 358           arptables is a general, extensible packet identification framework.
 359           The ARP packet filtering and mangling (manipulation)subsystems
 360           use this: say Y or M here if you want to use either of those.
 361
 362           To compile it as a module, choose M here.  If unsure, say N.
 363
 364 if IP_NF_ARPTABLES
 365
 366 config IP_NF_ARPFILTER
 367         tristate "ARP packet filtering"
 368         help
 369           ARP packet filtering defines a table `filter', which has a series of
 370           rules for simple ARP packet filtering at local input and
 371           local output.  On a bridge, you can also specify filtering rules
 372           for forwarded ARP packets. See the man page for arptables(8).
 373
 374           To compile it as a module, choose M here.  If unsure, say N.
 375
 376 config IP_NF_ARP_MANGLE
 377         tristate "ARP payload mangling"
 378         help
 379           Allows altering the ARP packet payload: source and destination
 380           hardware and network addresses.
 381
 382 endif # IP_NF_ARPTABLES
 383
 384 endmenu
 385