Don't leak memory when encountering unknown match or target

Use weak function pointers to call extension init functions, this makes firewall3 independant from the features compiled into iptables

Limit zone names to 14 bytes

Add required ipset declarations for kernels < 3.7

Further fixes for zone reloads

Only perform selective reload if firewall was already running, else do a normal start.

Fix another crash bug if ipsets are supported but none is declared

Fix rules for custom filter chains

Do not print to pipe or close command if nothing was executed

Add missing libip6t_REJECT initialization

Only initialize extensions we actually use

Wait for ipsets to appear before continuing

Restore iptables-save include functionality

Also add comments for unnamed rules

Only process selected family for print

Include iptables command and table name in iptables debug output

Add debug prints for policy setting, don't commit ruleset in print mode

Rename struct fw3_rule_spec to struct fw3_chain_spec and move the declaration to options.h

Remove now unused fw3_pr_rulespec()

Remove now unused fw3_format_*() functions

Drop iptables-restore and create rules through libiptc and libxtables

Use libiptc to clear current ruleset

Force fsync() after writing statefile

Make reload atomic

Family "any" is not applicable to ipsets, default to v4 and disallow "any"

Simplify ipset external checks and optionally initialize ispet name from external value

Check whether ipset exists before referencing it in rules or redirects

Record device-network relation in state file, fix zone hotplug events

Record default policies in state file

Store ipset storage method and matches in state file, keep iprange and ports if set

Send quit comment in fw3_destroy_ipsets() and initialize ipset objects with enabled = true

Don't track family of ipsets

Fix parsing of ipset datatypes

Track ipsets in state file

Write statefile flags in hexadecimal format

Allow hex notation in int type options

Add common fw3_address_to_string() helper function

Remove referenced to unused FW3_FLAG_DELETED flag

Remove unused "running" argument form fw3_lookup_ipset()

Remove unused "running" argument form fw3_lookup_zone()

Split runtime and config states, store runtime state in UCI format

Add support for fwmark matches and targets

Increase compatibility to old firewall by initializing protocol of rules and redirects to tcp+udp if not specified

Fix parsing of '*' device and 'all' protocol value

Fix DNAT port remapping rules by not emitting 0.0.0.0 in --to-destination

Properly handle deleted zones and ipsets on restarts

Accept network names in per-zone subnet option

Also read addresses from "ipv6-prefix-assignment" ifstatus table

Rework option parsing to support emitting multiple values from within a parse handler

Implement support for "network" datatype and use it for masq_src / masq_dest

Do not accept option src_mac for SNAT rules

Consolidate and unify argument order for functions

Only perform locking for start, stop, restart, reload and flush operations, this allows using fw3 network and fw3 device in includes

Implement reload option for includes to decide whether includes should get reloaded on firewall reloads (useful when they tap into internal chains)

Make nat reflection src address configurable by introducing a reflection_src parameter which can be set to "external" or "internal"

Emit hotplug calls when flushing / creating zone chains

Unify fw3_default and fw3_target enums

Track used networks and devices in state file

Unify print_chains() implementations in utils.c fw3_pr_rulespec()

Include limits.h to fix compilation against eglibc

Rework zone flush logic

Change fw3_no_family() macro to take bit field value directly

Cosmetic output changes

Only run includes and set sysctls if either v4 or v6 firewall was actually started

Introduce fw3_no_family() helper macro and use it

Remove src_flags and running_src_flags from fw3_zone struct, rename dst_flags and running_dst_flags to flags and running_flags

Don't store zone src_flags in statefile anymore, read and write numeric state values in hex notation

Introduce new enum values for zone src policies and map src policy to dst_flags bitfield, making the src_flags bitfield unnecessary

Separate running from current state flags in ipset handling, remove ipsets per family

Get rid of redundant fw3_defaults object, instead add a running_flags bitfield to the existing fw3_defaults structure

Properly handle per zone user chain rules by fixing multiple logic errors

 * Track running zone state in separate bit fields
 * Track IPv4 and IPv6 custom chain state separately
 * Extend flag bitfields to 32 bit

add support for per-zone user chains

Support abstract "tcpudp" protocol

introduce support for enabled option in zones, forwards, rules, redirects, ipsets and includes

use dup'ed string in fw3_parse_monthdays()

generalize enum parsing

remove unused notrack chain

clear conntrack table on flush

cosmetic change in printing of forward rules

add debug flag to monitor fw3_pr() calls, set policies to drop during reload

add support for setting sysctls, remove tcp_westwood option, its not present on current kernels

run/load includes on start

add reload command to selectively rebuild rules (to be invoked from hotplug handler) and make the restart command flush and recreate all rules

add support for includes

use hasbit() to test for invert flag of weekdays and monthdays

add time match support

remove now unsed fw3_free_list() helper

remove ip range list hack since fw3_address can now represent true ranges

introduce support for ip ranges

unify object freeing

rework runtime state tracking

only emit zone flush commands if the zone is active for the current family

rework ipset removal logic to only purge sets that are not in use by any family

print a notification if forwards are skipped due to zone family mismatch

do not save state when printing rules

introduce global string array for enum names, remove private arrays

track used family for ipsets

make enum values unique to allow using them in bitfields directly, increase flag members to 16 bit

convert remaining occurences to hasbit() / setbit() helper macros

rename flag fields in structures