ipset 6.16 released

Netlink pid is renamed to portid in kernel 3.7.0

Handle the renaming of the netlink_skb_parms structure member.

Signed-off-by: Jozsef Kadlecsik <kadlec@blackhole.kfki.hu>

Fix RCU handling when the number of maximal sets are increased

Eric Dumazet spotted that RCU handling was far incomplete in the patch
which added the support of increasing the number of maximal sets automatically.
This patch completes the RCU handling of the ip_set_list array of the sets.

netfilter: ipset: fix netiface set name overflow

attribute is copied to IFNAMSIZ-size stack variable,
but IFNAMSIZ is smaller than IPSET_MAXNAMELEN.

Fortunately nfnetlink needs CAP_NET_ADMIN.

Signed-off-by: Florian Westphal <fw@strlen.de>
Signed-off-by: Jozsef Kadlecsik <kadlec@blackhole.kfki.hu>

Remove all modules before testing resize

build: support for Linux 3.7 UAPI

In Linux 3.7, nfnetlink.h moved below include/uapi/. Make configure
recognize that. Furthermore, we can drop the unnecessary indirection
via backticks and just ask grep directly if there was any result.

Signed-off-by: Jozsef Kadlecsik <kadlec@blackhole.kfki.hu>

ipset 6.15 released

Increase the number of maximal sets automatically as needed

The max number of sets was hardcoded at kernel cofiguration time.
The patch adds the support to increase the max number of sets automatically.

Fix interactive mode

Catching interactive mode got broken in 6.12.

Use gethostbyname2 instead of getaddrinfo

In newer glibc, getaddrinfo issues an extra system call to kernel,
which slows down ipset. Replace getaddrinfo with gethostbyname2,
where possible.

Restore the support of kernel versions between 2.6.32 and 2.6.35

Make tests/check_cidrs.sh script executable

Add tests to check completely ranges with hash types

Test all possible range variations with the hash types in order
to catch bugs like the range bug in hash:ip,port,net.

Make easier to apply the netlink.patch

There is no need for the full source code, the header files are enough
to compile ipset.

Support protocol numbers as well, not only protocol names

Add (back) the debug flag to configure

Fix range bug in hash:ip,port,net

Due to the missing ininitalization at adding/deleting entries, when
a plain_ip,port,net element was to be added, multiple elements were
added/deleted instead. The bug came from the missing dangling
default initialization.

The error-prone default initialization is corrected in all hash:* types.

Rewrite cidr book keeping to handle /0

The patch is required for the /0 support in hash:net,iface

Revert patch "Fix cidr book keeping for hash:*net* types"

Add simple test to check cidr book-keeping

ipset 6.14 released

Support to match elements marked with "nomatch" in hash:*net* sets

Exceptions can now be matched and we can branch according to the
possible cases:

a. match in the set if the element is not flagged as "nomatch"
b. match in the set if the element is flagged with "nomatch"
c. no match

i.e.

iptables ... -m set --match-set ... -j ...
iptables ... -m set --match-set ... --nomatch-entries -j ...
...

Coding style fixes

The set type revision number is added to the header part of listing

Incompatibility: if your script rely on the number of lines in the header
of set listings, then the new line

Revision: number

can break your script.

Include supported revisions in module description

Help prints list type revision and terse description

In order to catch kernel/userspace revision mismatch, better print
all available data.

Add /0 network support to hash:net,iface type

Now it is possible to setup a single hash:net,iface type of set and
a single ip6?tables match which covers all egress/ingress filtering.

Fix cidr book keeping for hash:*net* types

The book-keeping of the different sized networks were bogus, fix it.
The broken code could lead invalid matching in such sets when the number
of different sized networks were greater than the smallest CIDR value of
the networks.

Check and reject crazy /0 input parameters

bitmap:ip and bitmap:ip,mac type did not reject such a crazy range
when created and using such a set results in a kernel crash.
The hash types just silently ignored such parameters.

Reject invalid /0 input parameters explicitely.

Backport ether_addr_equal

Coding style fix, backport from kernel

net: cleanup unsigned to unsigned int

Use of "unsigned int" is preferred to bare "unsigned" in net tree.

Signed-off-by: Eric Dumazet <eric.dumazet@gmail.com>
Signed-off-by: David S. Miller <davem@davemloft.net>

Fix errors when compiling in debug mode.

Make sure IPPROTO_UDPLITE is defined

build: restore -version-info

On Sunday 2012-07-01 19:20, Jozsef Kadlecsik wrote:
>[...]
>> * therefore the patch makes a clean restart,
>>   using -version-info 3:0:0, to continue using .so.3
>>   starting from ipset-6.13 until the next *real*
>>   incompatible change.
>
>What is still unclear for me, why a clean restart is required. Looking
>into "libtool", as I see, "-version-number 3:0:1" and "-version-info
>3:0:1" produces the same result.

They don't. The libtool manual goes on attempting to explain
"-version-number" with C:R:A, though it could have been a lot easier
to just say "it copies the values as-is to the file suffix".

---8<---
location git://git.inai.de/ipset (updated)

parent 7c7b022a18ea2bae11d889b345caef87f3bf145e (v6.13)
commit 2b145f0794de6f56eaded0a6403be995be98c93b
Author: Jan Engelhardt <jengelh@inai.de>
Date:   Sat Jun 30 20:39:27 2012 +0200

build: restore -version-info

Commit v6.13~7 accidentally swapped "-version-info" with
"-version-number". Because "-version-number" takes the values
"FIRST:AGE:REV", which is different from "-version-info
CURRENT:REV:AGE", libipset.so.3 was emitted.

Restore using "-version-info" and continue to use 3 as the "FIRST"
interface (instead of 2), because it was declared that way in
ipset-6.13.

Also note that the version names in libipset.map generally are not
supposed to follow SO versions, but the program version):
IPSET_6.13 {...}.

Signed-off-by: Jozsef Kadlecsik <kadlec@blackhole.kfki.hu>

ipset 6.13 released

Explain in more detail src/dst for hash:net,iface

ipset: Handle properly an IPSET_CMD_NONE

Signed-off-by: Tomasz Bursztyka <tomasz.bursztyka@linux.intel.com>
Signed-off-by: Jozsef Kadlecsik <kadlec@blackhole.kfki.hu>

netfilter: ipset: hash:net,iface: fix interface comparison

ifname_compare() assumes that skb->dev is zero-padded,
e.g 'eth1\0\0\0\0\0...'. This isn't always the case. e1000 driver does

strncpy(netdev->name, pci_name(pdev), sizeof(netdev->name) - 1);

in e1000_probe(), so once device is registered dev->name memory contains
'eth1\0:0:3\0\0\0' (or something like that), which makes eth1 compare
fail.

Use plain strcmp() instead.

Signed-off-by: Florian Westphal <fw@strlen.de>
Signed-off-by: Jozsef Kadlecsik <kadlec@blackhole.kfki.hu>

ipset help lists set types multiple times, fixed (reported by Mr Dash Four)

ipset help listed every set type, including the ones with multiple
revisions - which were listed thus multiple times. Set types with
multiple revisions are listed once from now on.

The commandline parser was too permissive, make it more strict

The parser allowed more possible argument alternatives for
command options than the documented one, which limited the possibility
of other option names. The patch makes the parser more strict.

Timeout fixing bug broke SET target special timeout value, fixed

The patch "Fix timeout value overflow bug at large timeout parameters"
broke the SET target when no timeout was specified (reported by
Jean-Philippe Menil).

Allow saving to/restoring from a file without shell redirection

Mathieu Bridon suggested that in some environments where there is no
access to a full shell with input/output redirection, it'd be useful
to read from/write to directly a file (bugzilla #788).

The patch adds the new "-file" option to specify a filename to print
into when listing/saving sets or read from when restoring sets.

Use MSEC_PER_SEC instead of harcoded value

David Laight and Eric Dumazet noticed that we were using hardcoded
1000 instead of MSEC_PER_SEC to calculate the timeout.

Fix typo of word "unkown" to "unknown".

ipset 6.12.1 released

Enable silent (kernel style) compile messages

Fix build failed on --disable-dependency-tracking

Add tarball target to Makefile

ipset 6.12 released

Backport nla_put_net* functions as NLA_PUT* were removed

Cleanup generated files by make tidy

netlink: add netlink_dump_control structure for netlink_dump_start()

Backport of Pablo's patch to the ipset package.

ipset: Stop using NLA_PUT*().

These macros contain a hidden goto, and are thus extremely error
prone and make code hard to audit.

Signed-off-by: David S. Miller <davem@davemloft.net>

Add more CC warning option to debug mode

Report syntax error messages immediately

Suppress false syntax error messages

If a create command fails at the kernel side, false syntax error
was also reported due to  the chicken and egg problem of the family
option.

Add configure summary for the ipset userspace tool

Add dynamic module support to ipset userspace tool

The patch adds supporting dynamic modules for the set types to ipset
userspace tool. The dynamic module support can be enabled by the
--enable-settype-modules of "configure". The list of set types to
be compiled as dynamic modules can be specified in the
--with-settype-modules-list option. Example

--enable-settype-modules \
--with-settype-modules-list="ipset_hash_ip ipset_hash_ipport"

The keyword "all" can be used to compile all set types as dynamic modules.

Move ipset_port_usage() into lib

Fix hash size checking in kernel

The hash size must fit both into u32 (jhash) and the max value of
size_t. The missing checking could lead to kernel crash, bug reported
by Seblu.

Fix invalid assignment to const void pointer

gcc 4.7 and above ignore such assignments which leads to a broken
ipset binary (bug reported by Seblu).

Correct README file about minimal required iptables version

Sparse warnings "incorrect type in assignment" fixed

Remove unused variables (warnings fixed)

Fix timeout value overflow bug at large timeout parameters

Large timeout parameters could result wrong timeout values due to
an overflow at msec to jiffies conversion (reported by Andreas Herz)

ipv6: Add fragment reporting to ipv6_skip_exthdr().

While parsing through IPv6 extension headers, fragment headers are
skipped making them invisible to the caller.  This reports the
fragment offset of the last header in order to make it possible to
determine whether the packet is fragmented and, if so whether it is
a first or last fragment.

Signed-off-by: Jesse Gross <jesse@nicira.com>

net: remove ipv6_addr_copy()

C assignment can handle struct in6_addr copying.

Signed-off-by: Alexey Dobriyan <adobriyan@gmail.com>
Signed-off-by: David S. Miller <davem@davemloft.net>

Improve ipset help text messages (Mr Dash Four)

Fix the inclusion of linux/export.h

The tests for inclusion of linux/export.h in
ipset-6.11:kernel/net/netfilter/ipset/{ip_set_getport.c,pfxlen.c} are
incorrect, linux/export.h did not go in until 3.2.0.

ipset 6.11 released

Support hostnames and service names with dash

The square brackets are introduced as an escape mechanism to
enter hostnames or service names with dash in order to avoid
mixing up the dash in the name with the range notation.

Problem reported by Stephen Hemminger and Marc Guardiola.

hash:net,iface timeout bug fixed

Timed out entries were still matched till the garbage collector
purged them out. The fix is verified in the testsuite.

Exceptions support added to hash:*net* types

The "nomatch" keyword and option is added to the hash:*net* types,
by which one can add exception entries to sets. Example:

ipset create test hash:net
ipset add test 192.168.0/24
ipset add test 192.168.0/30 nomatch

In this case the IP addresses from 192.168.0/24 except 192.168.0/30
match the elements of the set.

net: Add export.h for EXPORT_SYMBOL/THIS_MODULE to non-modules

These files are non modular, but need to export symbols using
the macros now living in export.h -- call out the include so
that things won't break when we remove the implicit presence
of module.h from everywhere.

Log warning when a hash type of set gets full

If the set is full, the SET target cannot add more elements.
Log warning so that the admin got notified about it.

Set types moved into libipset library

The libipset library is complete by this step, and "ipset" just
a CLI interface based on the lib.

Library map file added in order to support library versioning.

doc: Linux 2.6.39 already has the defs

Signed-off-by: Jozsef Kadlecsik <kadlec@blackhole.kfki.hu>

build: install libipset in the right place

The .c files used to build the plugins for ipset all use #include
<libipset/...>, so the files we install should preferably also be in a
directory called "libipset" rather than just "ipset".

Signed-off-by: Jozsef Kadlecsik <kadlec@blackhole.kfki.hu>

Provide a pkgconfig file

Signed-off-by: Jozsef Kadlecsik <kadlec@blackhole.kfki.hu>

build: make distcheck work and use POSIX mode for tarball generation

Signed-off-by: Jozsef Kadlecsik <kadlec@blackhole.kfki.hu>

build: install libipset/linux_ip_set_list.h

The other linux_ip_set*.h files are shipped, so this one probably
should too.

Signed-off-by: Jozsef Kadlecsik <kadlec@blackhole.kfki.hu>

build: include libipset/nfproto.h

libipset/types.h, which is installed by default, requires nfproto.h.

Signed-off-by: Jozsef Kadlecsik <kadlec@blackhole.kfki.hu>

build: process include/libipset/

We need to visit that directory, otherwise `make install` is
incomplete and `make distcheck` fails.

Signed-off-by: Jozsef Kadlecsik <kadlec@blackhole.kfki.hu>

build: use AC_CONFIG_AUX_DIR and stash away tools

Signed-off-by: Jozsef Kadlecsik <kadlec@blackhole.kfki.hu>

Update .gitignore

Only ignore these paths if they are a directory.

Signed-off-by: Jozsef Kadlecsik <kadlec@blackhole.kfki.hu>

ipset 6.10 released

Tests added to check ICMP/ICMPv6 type/code parsing

ICMP/ICMPv6 type/code parser bug fixed

The ICMP/ICMPv6 type/code parser swapped the type and code values.
(Bug reported by Sabitov)

ipset: fix lookup of tcp port names

The protocol argument to getservbyname() must be lowercase tcp not
uppercase TCP. This fixes the bug observed by:

 # ipset add foo http
 ipset v6.9.1: Syntax error: 'http' is invalid as number
 Syntax error: cannot parse 'http' as a TCP port

Signed-off-by: Jozsef Kadlecsik <kadlec@blackhole.kfki.hu>

Invert the logic to include version.h in ip_set_core.c

Suppress false compile-time warnings:

warning: 'ip_to' may be used uninitialized in this function

Optionally disable building the kernel module.

Distributors (like Fedora) might be interested in including the ipset
tools and libs, but they often don't want to build and ship external
kernel modules, especially if those modules are already included in
their kernel packages.

This patch introduces a new --with-kmod configure option that can be
used to conditionally build the kernel module. The module is still built
by default, to preserve compatibility.

A user who wants to build only the user-space part of ipset can do so by
running the following:

    $ ./autogen.sh
    $ configure --with-kmod=no
    $ make
    # make install

Signed-off-by: Jozsef Kadlecsik <kadlec@blackhole.kfki.hu>

Make tidy complete

ipset 6.9.1 released

Fix compiling ipset as external kernel modules

ipset 6.9 released

Complete Kconfig with hash:net,iface type

The Kconfig file is not used at building ipset as external system,
still let the file be complete.

rtnetlink: Compute and store minimum ifinfo dump size

[The patch changes the API of the netlink_dump_start interface: port
it to the standalone ipset package.]

The message size allocated for rtnl ifinfo dumps was limited to
a single page.  This is not enough for additional interface info
available with devices that support SR-IOV and caused a bug in
which VF info would not be displayed if more than approximately
40 VFs were created per interface.

Implement a new function pointer for the rtnl_register service that will
calculate the amount of data required for the ifinfo dump and allocate
enough data to satisfy the request.

Signed-off-by: Greg Rose <gregory.v.rose@intel.com>
Signed-off-by: Jeff Kirsher <jeffrey.t.kirsher@intel.com>