]> git.ipfire.org Git - thirdparty/iptables.git/commit
arptables: pre-init hlen and ethertype
authorFlorian Westphal <fw@strlen.de>
Mon, 5 Nov 2018 16:51:18 +0000 (17:51 +0100)
committerFlorian Westphal <fw@strlen.de>
Mon, 12 Nov 2018 15:30:22 +0000 (16:30 +0100)
commit5aecb2d8bfdda4a6eea9d93079e33fc414afd8d0
treeccedeeb94711207b6f7fbf81b9841a4a44ba0d19
parent9677ed12a93f165fa9840fd9f8fa183390a3bd04
arptables: pre-init hlen and ethertype

to check -s 1.2.3.4, we need to add the size of the hardware address
to the arp header to obtain the offset where the ipv4 address begins:

base_arphdr
HW_ADDR
IP_ADDR (src)
IP_ADDR (target)

In arptables-classic, the kernel will add dev->addr_len to the
arp header base address to obtain the correct location, but we cannot
do this in nf_tables, at least not at this time (we need a fixed offset
value).

code does:

  op = nft_invflags2cmp(fw->arp.invflags, ARPT_INV_TGTIP);
  add_addr(r, sizeof(struct arphdr) + fw->arp.arhln + ...

but if user did not provide "--h-length 6" argument, then this won't
work even for ethernet, as the payload expression will be told to load
the first 4 bytes of arp header source mac address (sender hw address).

Fix this by pre-initialising arhlen to 6.
We also need to set up arhrd.  Otherwise, src/dst mac can't be used:

arptables -A INPUT -i lo --destination-mac 11:22:33:44:55:66
arptables v1.8.1 (nf_tables):  RULE_APPEND failed (Invalid argument): rule in chain INPUT

This means that matching won't work for AX25, NETROM etc, however,
arptables "classic" can't  parse non-ethernet addresses, and makes
ETH_ALEN assumptions in several spots, so this should be fine from
compatibility point of view.

Signed-off-by: Florian Westphal <fw@strlen.de>
iptables/tests/shell/testcases/arptables/0001-arptables-save-restore_0
iptables/xtables-arp.c