payload: fix endianess of ARP operation code

So it display compatibility command:

xtables-arp -A INPUT --opcode Reply -j DROP

accordinly:

arp plen 4 arp operation reply counter packets 0 bytes 0 drop

src: Better error reporting if chain type is invalid

This patch verifies at command line parsing that given chain type
is valid. Possibilities are: filter, nat, and route.

nft add chain test test { type cheese hook input priority 0 };
<cmdline>:1:28-33: Error: unknown chain type cheese
add chain test test { type cheese hook input priority 0 };
                           ^^^^^^

Signed-off-by: Tomasz Bursztyka <tomasz.bursztyka@linux.intel.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

datatype: fix mark parsing if string is used

This fixes string mark parsing. Note that /etc/iproute2/rt_marks may
contain mapping between string and mark values.

This fixes here:

add rule filter output meta mark 0 counter

Assumming that:

cat /etc/iproute2/rt_marks

says:

0 test

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

meta: fix output display of meta length

nft list table filter

Before:
meta len 1000 counter packets 0 bytes 0
After:
meta length 1000 counter packets 0 bytes 0

Now it doesn't break with nft -f.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

tests: Update bate chain creation according to latest syntax changes

Adding type, plain hook's name and priority keyword.

Signed-off-by: Tomasz Bursztyka <tomasz.bursztyka@linux.intel.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

src: Add priority keyword on base chain description

Instead of:
add chain foo bar { type route hook input 0; }

it should be now:
add chain foo bar { type route hook input priority 0; }

Signed-off-by: Tomasz Bursztyka <tomasz.bursztyka@linux.intel.com>

src: Wrap netfilter hooks around human readable strings

This allows to use unique, human readable, hook names for the command
line and let the user being unaware of the complex netfilter's hook
names and there difference depending on the netfilter family.

So:
add chain foo bar { type route hook NF_INET_LOCAL_IN 0; }

becomes:
add chain foo bar { type route hook input 0; }

It also fixes then the difference in hook values between families.
I.e. ARP family has different values for input, forward and output
compared to IPv4, IPv6 or bridge.

Signed-off-by: Tomasz Bursztyka <tomasz.bursztyka@linux.intel.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

INSTALL: Update dependency list and repository URLs

Signed-off-by: Tomasz Bursztyka <tomasz.bursztyka@linux.intel.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

src: Fix base chain printing

Relying on chain's hooknum to know whether the chain is a base one or
not is bogus: having 0 as hooknum is a valid number. Thus setting the
right flag and handling it is the way to go, as parser does already.

Signed-off-by: Tomasz Bursztyka <tomasz.bursztyka@linux.intel.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

src: allow to specify the base chain type

This patch allows you to specify the type of the base chain, eg.

add table mangle
add chain mangle OUTPUT { type route hook NF_INET_LOCAL_OUT 0; }

The chain type determines the semantics of the chain, we currently
have three types:

* filter, used for plain packet filtering.
* nat, it only sees the first packet of the flow.
* route, which is the equivalent of the iptables mangle table, that
  triggers a re-route if there is any change in some of the packet header
  fields, eg. IP TOS/DSCP, or the packet metainformation, eg. mark.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

datatype: fix wrong endianess in numeric ports

In (5075879 datatype: validate port number in inet_service_type_parse),
conversion to network byte order was missing.

Reported-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

nftables: add additional --numeric level

Personally, I like seeing ports and IPs numerically, but prefer protocols
to be shown by name.  As such, add a third --numeric level which will
show protocols by number, splitting them out from ports.

  -n/--numeric                  When specified once, show network addresses numerically.
                                When specified twice, also show Internet services,
                                user IDs and group IDs numerically.
                                When specified thrice, also show protocols numerically.

Signed-off-by: Phil Oester <kernel@linuxace.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

log: convert group and qthreshold to use u16

Required since (netfilter: nft_log: group and qthreshold are 2^16)
kernel change.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

datatype: allow protocols by number in inet_protocol_type_parse

nftables does not currently allow specifying protocols by number.  Below
patch adds this capability.

Signed-off-by: Phil Oester <kernel@linuxace.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

datatype: validate port number in inet_service_type_parse

At present, nft accepts out of range port values such as in this example:

    nft add rule ip filter input tcp dport 123456 accept

Attached patch adds checks for both integer overflow and 16 bit overflow,
and avoids getaddrinfo call in the (common) case of digit input. Example
above now produces this output:

    <cmdline>:1:36-41: Error: Service out of range
    add rule ip filter input tcp dport 123456 accept
                                       ^^^^^^
Signed-off-by: Phil Oester <kernel@linuxace.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

src: Add icmpv6 support

This patch adds ICMPv6 support to nftables. It is now possible to
write rules such as:

  nft add rule ip6 filter input icmpv6 type nd-router-advert accept

Signed-off-by: Eric Leblond <eric@regit.org>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

datatype: fix crash if wrong integer type is passed

Eric Leblond reported that this command:

nft add rule ip6 filter input position 4 meta protocol icmpv6 accept

crashes nft. The problem is that 'icmpv6' is wrong there, as
meta protocol is expecting an ethernet protocol, that can be
expressed as an hexadecimal.

Now this command displays the following error:

<cmdline>:1:52-57: Error: This is not a valid Ethernet protocol
add rule ip6 filter input position 4 meta protocol icmpv6 accept
                                                   ^^^^^^

This closes bugzilla #834:
https://bugzilla.netfilter.org/show_bug.cgi?id=834

Reported-by: Eric Leblond <eric@regit.org>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

src: Add support for insertion inside rule list

This patch adds support to insert and to add rule using a rule
handle as reference. The rule handle syntax has an new optional
position field which take a handle as argument.

Two examples:

  nft add rule filter output position 5 ip daddr 1.2.3.1 drop
  nft insert rule filter output position 5 ip daddr 1.2.3.1 drop

Signed-off-by: Eric Leblond <eric@regit.org>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

mnl: use nft_*_list_add_tail

Adapt it to the semantic fix that has been applied to libnftables,
nft_*_list_add now inserts nodes, instead of appending them.

Signed-off-by: Pablo Neira Ayuso <pablo@soleta.eu>

datatype: fix table listing if name resolution is not available

nft list table filter returns garbage here for IP and IPv6 addresses if
no name resolution is available. The output looks good if `-n' is used
in that case.

The problem is that getnameinfo() returns:

EAI_AGAIN   -3    /* Temporary failure in name resolution.  */

Without working name resolution. To fix this, force a fall back to
numeric resolution in that case.

While at it, fix also possible resolution of services in case of
that /etc/services is missing in the system.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

netlink: fix network address prefix

eg. nft add rule filter output ip daddr 192.168.1.0/24 counter

so far, this operation was only possible using sets.

nft add rule filter output ip daddr \{ 192.168.1.0/24 \} counter

While at it, move all binop postprocess code to a new function that
contains this transformation and the existing bitmask to constant
(as used by eg. ct state new,established).

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

src: use libnftables

This patch migrates nft to use the libnftables library, that is used
by the iptables over nftables compat utility as well. Most of the
conversion was pretty straight forward. Some small significant changes
happened in the handling of set element and immediate data abstraction
that libnl provides. libnftables is a bit more granular since it splits
the struct nfnl_nft_data into three attributes: verdict, chain and plain
data (used in maps).

I have added a new file src/mnl.c that contains the low level netlink
communication that now resides in nftables source tree instead of
the library. This should help to implement the batching support using
libmnl in follow up patches.

I also spent some significant amount of time running my tests to make
sure that we don't increase the number of bugs that we already have
(I plan to provide a list of those that I have detected and diagnosed,
so anyone else can help us to fix them).

As a side effect, this change should also prepare the ground for
JSON and XML support anytime soon.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

meta: replace rtnl_tc_handle2str and rtnl_tc_str2handle

Provide replacements for rtnl_tc_handle2str and rtnl_tc_str2handle,
it removes the dependency with libnl-route.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

meta: use if_nametoindex and if_indextoname

Instead of having a cache of ifindex based on libnl. Those functions
basically use rtnetlink as well to perform the translation.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

rule: family field in struct handle is unsigned

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

src: get it sync with current include/linux/netfilter/nf_tables.h

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

evaluate: fix range and comparison evaluation

This patch fixes these two commands:

nft add rule ip test test ip saddr 1.1.1.1-2.2.2.2
nft add rule ip test test ip saddr < 1.1.1.1

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

src: fix counter restoration

It was not possible to restore a ruleset countaining counter. The
packets and bytes fields were not known from the parser but they
were in the output of the list command.

This patch fixes the issue by restoring correctly the counters if
they are present in the command.

Signed-off-by: Eric Leblond <eric@regit.org>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

rule: display hook info

It was not possible to restore a ruleset because of missing
hook information. This patch adds hooknum output to list
operation.

[ Mangled this patch to use a string array mapping hook numbers
  and name --pablo ]

Signed-off-by: Eric Leblond <eric@regit.org>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

datatype: concat expression only releases dynamically allocated datatype

Eric Leblond reports a crash with the following invalid command:

 nft add rule global filter ip daddr . tcp dport { 192.168.0.1 . 22\; 192.168.0.3 . 89 } drop

Note that the semicolon is incorrect in that concatenation,
it should be a comma.

The backtrace shows:
(gdb) bt
 #0  0x00007ffff6f39295 in __GI_raise (sig=sig@entry=6) at ../nptl/sysdeps/unix/sysv/linux/raise.c:56
 #1  0x00007ffff6f3c438 in __GI_abort () at abort.c:90
 #2  0x00007ffff6f7486b in __libc_message (do_abort=do_abort@entry=2, fmt=fmt@entry=0x7ffff7070d28 "*** Error in `%s': %s: 0x%s ***\n") at ../sysdeps/unix/sysv/linux/libc_fatal.c:199
 #3  0x00007ffff6f7eac6 in malloc_printerr (action=3, str=0x7ffff706ccca "free(): invalid pointer", ptr=<optimized out>) at malloc.c:4902
 #4  0x00007ffff6f7f843 in _int_free (av=<optimized out>, p=0x428530, have_lock=0) at malloc.c:3758
 #5  0x000000000041aae8 in xfree (ptr=0x428540 <invalid_type>) at src/utils.c:29
 #6  0x000000000040bc43 in concat_type_destroy (dtype=0x428540 <invalid_type>) at src/datatype.c:690
 #7  0x000000000040cebf in concat_expr_destroy (expr=0x643b90) at src/expression.c:571
[...]

It's trying to release 'invalid_type', which was not dynamically
allocated. Note that before the evaluation step, the invalid type
is attached to the expressions.

Since nftables allocates a dynamic datatype for concatenations in
case that needs to be released in the exit path. All datatypes
except this, are allocated in the BSS. Since we have no way to
differenciate between these two, add a flag so we can recognize
dynamically allocated datatypes.

While at it, rename dtype->type from enum to explicit uint32_t, as
it is used to store the concatenation type mask as well.

Reported-by: Eric Leblond <eric@regit.org>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

cli: reset terminal when CTRL+d is pressed

The terminal was not correctly resetted when CTRL+d was pressed.
The result was that reset has to be called from shell after exit.

cli: add quit command

rule: list elements in set in any case

"nft list table" command was not displaying the elements of named
set. This was thus not possible to restore a ruleset by using the
listing output. This patch modifies the code to display the elements
of set in all cases.

doc: fix inversion of operator and object.

rule: add flag to display rule handle as comment

Knowing the rule handle is necessary to be able to delete a single
rule. It was not displayed till now in the output and it was thus
impossible to remove a single rule.
This patch modify the listing output to add a comment containing
the handle when the -a/--handle flag is provided.

Signed-off-by: Eric Leblond <eric@regit.org>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

cli: complete basic functionality of the interactive mode

This patch adds missing code to get basic interactive mode
operative via `nft -i', including parsing, evaluation,
command execution via netlink and error reporting.

Autocomplete is not yet implemented.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

parser: fix size of internet protocol expressions matching keywords

Signed-off-by: Patrick McHardy <kaber@trash.net>

parser: include leading '.' in concat subexpression location

Make error messages point to the entire subexpression.

Before:

filter output ip daddr . tcp dport . tcp dport { 192.168.0.1 . ssh . ssh . ssh}
                                                 ~~~~~~~~~~~~~~~~~~~~~~~~~~^^^

After:

filter output ip daddr . tcp dport . tcp dport { 192.168.0.1 . ssh . ssh . ssh}
                                                 ~~~~~~~~~~~~~~~~~~~~~~~~^^^^^

Signed-off-by: Patrick McHardy <kaber@trash.net>

expr: catch missing and excess elements in concatenations

# nft -nn filter output ip daddr . tcp dport . tcp dport { 192.168.0.1 . ssh }
<cmdline>:1:50-66: Error: datatype mismatch, expected concatenation of (IPv4 address, internet network service, internet network service), expression has type concatenation of (IPv4 address, internet network service)
filter output ip daddr . tcp dport . tcp dport { 192.168.0.1 . ssh }
                                                 ^^^^^^^^^^^^^^^^^

# nft -nn filter output ip daddr . tcp dport . tcp dport { 192.168.0.1 . ssh . ssh . ssh}
<cmdline>:1:76-78: Error: unexpected concat component, expecting concatenation of (IPv4 address, internet network service, internet network service)
filter output ip daddr . tcp dport . tcp dport { 192.168.0.1 . ssh . ssh . ssh}
                                                 ~~~~~~~~~~~~~~~~~~~~~~~~~~^^^

Signed-off-by: Patrick McHardy <kaber@trash.net>

tests: obj-table: update examples to use the current syntax

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

tests: set: update examples to use the current syntax

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

tests: dictionary: update examples to use the current syntax

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

tests: obj-chain: update examples to use the current syntax

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

tests: expr-meta: update examples to use the current syntax

Also enable nftrace, now that nftables kernel-space supports this.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

meta: accept uid/gid in numerical

You can use the user/group name or alternatively the uid/gid.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

tests: feat-adjancent-load-merging: remove ip protocol from rule

No need to include this, it is now added as a dependency.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

tests: family-bridge: update to use the current syntax

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

payload: accept ethertype in hexadecimal

You can use the symbols ip, ip6, arp and vlan, or alternatively
the ethertype protocol number.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

tests: family-ipv6: update to use the current syntax

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

src: fix crash if nft -f wrong_file is passed

Now it displays:

nft -f wrong_file
internal:0:0-0: Error: Could not open file "wrong_file": No such file or directory

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

tests: expr-ct: update examples to use the current syntax

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

mark: fix numeric mark value parsing

Signed-off-by: Patrick McHardy <kaber@trash.net>

cmd/netlink: make sure we always have a location in netlink operations

Improve error reporting by always using a location in netlink operations.

Signed-off-by: Patrick McHardy<kaber@trash.net>

tests: family-ipv4: update test to use current syntax

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

main: fix error checking in nft_parse

The bison parser returns 0 in case of success and it returns 1 in
case of error.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

netlink: return error if chain not found

Before this patch:

nft list chain filter xxx
table filter {
}

After this patch:

nft list chain filter xxx
internal:0:0-0: Error: Could not find chain `xxx' in table `filter: Object not found

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

rule: fix nft list chain

Use netlink_list_chains instead of netlink_list_chain (note the final `s')

After "nft list table filter" shows:

table filter {
        chain input {
        }
}

"nft list chain filter input" shows:

table filter {
}

rule: allow to list of existing tables

You can now specify: nft list tables ip

to obtain the list of all existing tables.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

expr: fix concat expression type propagation

Dynamically instantiate a data type to represent all types of a concatenation
and use that for type propagation.

types: add ethernet address type

Add a new type for ethernet addresses. This is needed since for concatenations
we need fixed sized data types, the generic link layer address doesn't have
a fixed length.

Signed-off-by: Patrick McHardy <kaber@trash.net>

datatype: parse/print in all basetypes subsequently

Go down the chain of basetypes until we find a ->parse()/->print() callback
or symbol table. Needed to invoke the generic link layer address parsing
function for the etheraddr_type.

Signed-off-by: Patrick McHardy <kaber@trash.net>

expr: kill EXPR_F_PRIMARY

Not used anymore, kill it.

Signed-off-by: Patrick McHardy <kaber@trash.net>

netlink_delinearize: don't reset source register after read

Range expression use a single load and two comparisons. Don't reset the
source register in netlink_delinearize when reading it.

Fixes: "Relational expression has no left hand side" for range (x-y)
expressions.

Signed-off-by: Patrick McHardy <kaber@trash.net>

chains: add rename testcases

Signed-off-by: Patrick McHardy <kaber@trash.net>

rule: add rule insertion (prepend) support

Signed-off-by: Patrick McHardy <kaber@trash.net>

chains: add chain rename support

Signed-off-by: Patrick McHardy <kaber@trash.net>

netlink: fix query requests

The callback needs to be set before sending the query since nl_wait_for_ack()
already does message reception.

Signed-off-by: Patrick McHardy <kaber@trash.net>

tests: add loop detection tests

Signed-off-by: Patrick McHardy <kaber@trash.net>

cmd: fix handle use after free for implicit set declarations

The implicit set declaration passes the set's handle to cmd_alloc(), which copies
the pointers to the allocated strings. Later on both the set's handle and the
commands handle are freed, resulting in a use after free.

Signed-off-by: Patrick McHardy <kaber@trash.net>

rule: reenable adjacent payload merging

Signed-off-by: Patrick McHardy <kaber@trash.net>

sets: fix sets using intervals

When using intervals, the initializers set_flags are set to SET_F_INTERVAL,
however that is not propagated back to the set, so the segtree construction
is not performed.

Signed-off-by: Patrick McHardy <kaber@trash.net>

netlink: fix endless loop on 64 bit when parsing binops

mpz_scan1() returns ULONG_MAX when no more bits are found. Due to assignment
to an unsigned int, this value was truncated on 64 bit and the loop never
terminated.

Signed-off-by: Patrick McHardy <kaber@trash.net>

rules: change rule handle to 64 bit

Recent kernel versions are using 64 bit for the rule handle.

Signed-off-by: Patrick McHardy <kaber@trash.net>

expression: fix constant expression splicing

Fix reversed order during constant splicing.

Signed-off-by: Patrick McHardy <kaber@trash.net>

payload: kill redundant payload protocol expressions during netlink postprocessing

Kill payload protocol expressions like "ip protocol tcp" if a higher layer
payload expression already implies this, like "tcp dport 22".

Signed-off-by: Patrick McHardy <kaber@trash.net>

seqtree: update mapping data when keeping the base

When a prefix expression is followed by another prefix expression using the
same base but a wider prefix, we need to update the mapping data to that of
the second expression.

Signed-off-by: Patrick McHardy <kaber@trash.net>

tests: add verdict map test

Signed-off-by: Patrick McHardy <kaber@ŧrash.net>

segtree: fix segtree to properly support mappings

Requires to use proper types for keys and data and using the key values for reverse
transformation.

Signed-off-by: Patrick McHardy <kaber@trash.net>

debug: include verbose message in all BUG statements

Signed-off-by: Patrick McHardy <kaber@trash.net>

evaluate: reintroduce type chekcs for relational expressions

Since the parser can now generate constant expressions of a specific type
not determinaed by the LHS, we need to check that relational expressions
are actually using the correct types to avoid accepting stupid things
like "tcp dport tcp".

parser: fix parsing protocol names for protocols which are also keywords

"ip protocol tcp" will currently produce a syntax error since tcp is also a keyword
which is expected ot be followed by a tcp header field. Allow to use protocol names
that are also keywords and allocate a constant expression for them.

tests: fix test, commands now comes before the family and table name

Most tests still don't work though. They still need another fix.

Reported-by: Tomasz Bursztyka <tomasz.bursztyka@linux.intel.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

expression: Differentiate expr among anonymous structures in struct expr

This fixes compilation with gcc-4.7

Signed-off-by: Tomasz Bursztyka <tomasz.bursztyka@linux.intel.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

erec: Handle returned value properly in erec_print

Signed-off-by: Tomasz Bursztyka <tomasz.bursztyka@linux.intel.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

evaluate: Remove useless variable in expr_evaluate_bitwise()

Signed-off-by: Tomasz Bursztyka <tomasz.bursztyka@linux.intel.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

netlink: Use the right datatype for verdict

Signed-off-by: Tomasz Bursztyka <tomasz.bursztyka@linux.intel.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

add bridge filter table definitions

Signed-off-by: Patrick McHardy <kaber@trash.net>

help: fix of the -I option in help display

Trivial patch which fixes typo.

Signed-off-by: Romain Bignon <romain@peerfuse.org>
Signed-off-by: Patrick McHardy <kaber@trash.net>

datatype: reject incompletely parsed integers in integer_type_parse()

Signed-off-by: Patrick McHardy <kaber@trash.net>

don't use internal_location for files specified on command line

Fixes strange error messages like:

In file included from internal:0:0-0:
files/examples/sets_and_maps:55:2-2: Error: syntax error, unexpected newline, expecting string

Signed-off-by: Patrick McHardy <kaber@trash.net>

netlink: add debugging for missing objects

Signed-off-by: Patrick McHardy <kaber@trash.net>

nat: validate protocol context when performing transport protocol mappings

Signed-off-by: Patrick McHardy <kaber@trash.net>

netlink: fix nat stmt linearization/parsing

Fix invalid register use when parsing NAT statements and handle range expressions
during postprocessing. When linearizing, allocate all registers for both proto and
address expressions at once to avoid double use.

Signed-off-by: Patrick McHardy <kaber@trash.net>

payload: fix crash with uncombinable protocols

The dependency of non-combinable protocols (f.i. arp + tcp) results in
a relational dependency expression without a datatype, causing a segfault
later on.

Signed-off-by: Patrick McHardy <kaber@trash.net>

netlink: fix creation of base chains with hooknum and priority 0

Base chains with both a hook number and priority of zero are created
as regular chains. Fix by adding a BASECHAIN flag indicating that the
chain should be created as a base chain.

Signed-off-by: Patrick McHardy <kaber@trash.net>

utils: fix invalid assertion in xrealloc()

The pointer is allowed to have the value NULL.

Signed-off-by: Patrick McHardy <kaber@trash.net>

netlink: fix byteorder of RHS of relational meta expression

The RHS needs to be postprocessed before updating the payload context
for byteorder conversion. Fixes iiftype match reconstruction.

Signed-off-by: Patrick McHardy <kaber@trash.net>

debug: properly parse debug levels

Signed-off-by: Patrick McHardy <kaber@trash.net>

build: fix endless recursion with SUBDIRS=...

Signed-off-by: Patrick McHardy <kaber@trash.net>

build: add 'archive' target

make archive creates a tar.bz2 from the HEAD version.

Signed-off-by: Patrick McHardy <kaber@trash.net>