netfilter: nft_nat: include a flag attribute
authorArturo Borrero <arturo.borrero.glez@gmail.com>
Thu, 4 Sep 2014 12:06:14 +0000 (14:06 +0200)
committerPablo Neira Ayuso <pablo@netfilter.org>
Tue, 9 Sep 2014 14:31:27 +0000 (16:31 +0200)
Both SNAT and DNAT (and the upcoming masquerade) can have additional
configuration parameters, such as port randomization and NAT addressing
persistence. We can cover these scenarios by simply adding a flag
attribute for userspace to fill when needed.

The flags to use are defined in include/uapi/linux/netfilter/nf_nat.h:

 NF_NAT_RANGE_MAP_IPS
 NF_NAT_RANGE_PROTO_SPECIFIED
 NF_NAT_RANGE_PROTO_RANDOM
 NF_NAT_RANGE_PERSISTENT
 NF_NAT_RANGE_PROTO_RANDOM_FULLY
 NF_NAT_RANGE_PROTO_RANDOM_ALL

The caller must take care of not messing up with the flags, as they are
added unconditionally to the final resulting nf_nat_range.

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>
include/uapi/linux/netfilter/nf_nat.h
include/uapi/linux/netfilter/nf_tables.h
net/netfilter/nft_nat.c

index 1ad3659102b64d54a8ad814fd7be11132a136319..0880781ad7b699811d5971cbf18f3cd2ccd3082d 100644 (file)
 #define NF_NAT_RANGE_PROTO_RANDOM_ALL          \
        (NF_NAT_RANGE_PROTO_RANDOM | NF_NAT_RANGE_PROTO_RANDOM_FULLY)
 
+#define NF_NAT_RANGE_MASK                                      \
+       (NF_NAT_RANGE_MAP_IPS | NF_NAT_RANGE_PROTO_SPECIFIED |  \
+        NF_NAT_RANGE_PROTO_RANDOM | NF_NAT_RANGE_PERSISTENT |  \
+        NF_NAT_RANGE_PROTO_RANDOM_FULLY)
+
 struct nf_nat_ipv4_range {
        unsigned int                    flags;
        __be32                          min_ip;
index c000947d3f38e4fe1f444ad233ccce05b28b4402..6022c6e6be187dfc9c8accedaa5d1ad194d281c9 100644 (file)
@@ -785,6 +785,7 @@ enum nft_nat_types {
  * @NFTA_NAT_REG_ADDR_MAX: source register of address range end (NLA_U32: nft_registers)
  * @NFTA_NAT_REG_PROTO_MIN: source register of proto range start (NLA_U32: nft_registers)
  * @NFTA_NAT_REG_PROTO_MAX: source register of proto range end (NLA_U32: nft_registers)
+ * @NFTA_NAT_FLAGS: NAT flags (see NF_NAT_RANGE_* in linux/netfilter/nf_nat.h) (NLA_U32)
  */
 enum nft_nat_attributes {
        NFTA_NAT_UNSPEC,
@@ -794,6 +795,7 @@ enum nft_nat_attributes {
        NFTA_NAT_REG_ADDR_MAX,
        NFTA_NAT_REG_PROTO_MIN,
        NFTA_NAT_REG_PROTO_MAX,
+       NFTA_NAT_FLAGS,
        __NFTA_NAT_MAX
 };
 #define NFTA_NAT_MAX           (__NFTA_NAT_MAX - 1)
index 79ff58cd36dc42c053ef272905457bf08db3d6ef..799550b476fbdeeadc2745aaff97fe5f2b197761 100644 (file)
@@ -33,6 +33,7 @@ struct nft_nat {
        enum nft_registers      sreg_proto_max:8;
        enum nf_nat_manip_type  type:8;
        u8                      family;
+       u16                     flags;
 };
 
 static void nft_nat_eval(const struct nft_expr *expr,
@@ -71,6 +72,8 @@ static void nft_nat_eval(const struct nft_expr *expr,
                range.flags |= NF_NAT_RANGE_PROTO_SPECIFIED;
        }
 
+       range.flags |= priv->flags;
+
        data[NFT_REG_VERDICT].verdict =
                nf_nat_setup_info(ct, &range, priv->type);
 }
@@ -82,6 +85,7 @@ static const struct nla_policy nft_nat_policy[NFTA_NAT_MAX + 1] = {
        [NFTA_NAT_REG_ADDR_MAX]  = { .type = NLA_U32 },
        [NFTA_NAT_REG_PROTO_MIN] = { .type = NLA_U32 },
        [NFTA_NAT_REG_PROTO_MAX] = { .type = NLA_U32 },
+       [NFTA_NAT_FLAGS]         = { .type = NLA_U32 },
 };
 
 static int nft_nat_init(const struct nft_ctx *ctx, const struct nft_expr *expr,
@@ -149,6 +153,12 @@ static int nft_nat_init(const struct nft_ctx *ctx, const struct nft_expr *expr,
        } else
                priv->sreg_proto_max = priv->sreg_proto_min;
 
+       if (tb[NFTA_NAT_FLAGS]) {
+               priv->flags = ntohl(nla_get_be32(tb[NFTA_NAT_FLAGS]));
+               if (priv->flags & ~NF_NAT_RANGE_MASK)
+                       return -EINVAL;
+       }
+
        return 0;
 }
 
@@ -183,6 +193,12 @@ static int nft_nat_dump(struct sk_buff *skb, const struct nft_expr *expr)
                                 htonl(priv->sreg_proto_max)))
                        goto nla_put_failure;
        }
+
+       if (priv->flags != 0) {
+               if (nla_put_be32(skb, NFTA_NAT_FLAGS, htonl(priv->flags)))
+                       goto nla_put_failure;
+       }
+
        return 0;
 
 nla_put_failure: