geoip: Use stdout for output and stderr for errors/diag

* xt_geoip_build, xt_geoip_build_maxmind: These scripts are emitting
  "normal" output to stderr meaning that cronjobs basically have to sink
  all output in order to avoid noise. Unfortunately, by doing that, one
  also loses errors in the error case and said error might be transient.
  A simple 1>/dev/null should work for the normal cron case.

* xt_geoip_build_maxmind: Fix missing $quiet check in the v4 case.

build: resolve compiler warnings with gcc-13

libxt_DNETMAP.c:242:13: warning: ‘_init’ defined but not used [-Wunused-function]
  242 | static void _init(void)

doc, src: improve spelling

doc, src: improve spelling

xt_geoip: bump number of territories per rule

Xtables-addons 3.23

build: support for Linux 6.2

`prandom_u32_max` was deprecated in favour of `get_random_u32_below`,
and removed in 6.2-rc1.  Replace the three occurrences of it in the
TARPIT extension, and ad compat support for earlier kernels.

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

build: replace `AC_DISABLE_STATIC` macro with an argument to `LT_INIT`

build: replace obsolete `AC_PROG_LIBTOOL` macro with `LT_INIT`

Xtables-addons 3.22

build: support for Linux 6.1

6.1 commit de492c83cae0 ("prandom: remove unused functions") removed
prandom_u32, which was replaced and deprecated for get_random_u32 in
5.19 d4150779e60f ("random32: use real rng for non-deterministic
 randomness"). get_random_u32 was introduced in 4.11 c440408cf690
("random: convert get_random_int/long into get_random_u32/u64")

Use the cocci script from 81895a65ec63 ("treewide: use prandom_u32_max()
when possible, part 1"), along with a best guess for _max changes, introduced:
3.14 f337db64af05 ("random32: add prandom_u32_max and convert open coded users")

build: eliminate geoip/ make recursion

build: fix failure to recurse into asn/

xt_asn: new module

Recevied by private mail.
Date: Thu, 7 Mar 2019 00:49:16 +0000 (UTC)

"""
New feature: In thinking about various blocking of IP address groups,
I came to the conclusion that blocking by ASN may be a good
choice. Therefore, taking the lead of the geoip match module,
attached is what I have for an ASN matching module. I assume that the
support files generated will be the same format as those used for the
geoip match. [...]

I bet someone might want the ASNs on the same rule to be sorted in
numerical order. However, geoip didn't do that with country names, so
I didn't bother.

Matching by ASN may be "better" than matching by an ipset of all one
entities IP blocks (assuming that all of an entity's ASNs are known
if multiples exist). Of course, I would like to see this module make
it into your next release (3.3).  ;-)
"""

Date: Sun, 10 Mar 2019 06:45:11 +0000 (UTC)

"""
I think I got everything including the documentation and build script
this time. [...]

I noticed that some other people tried to write similar patches (saw
one on github), but those have things that were missed.

I'm running the module on my colocated server now, and it's working
well. Already blocked ASN 4134 (a botnet-infected Chinese net) a few
hundred times in the first hour.
"""

Xtables-addons 3.21

xt_ECHO: use flowi6_to_flowi_common starting Linux 5.10.121

Upstream commit 3df98d79215a "lsm,selinux: pass flowi_common instead of flowi
to the LSM hooks" was backported to Linux 5.10.121 and you can't use flowi
anymore.

Lower check to 5.10.121.

Signed-off-by: Thomas Voegtle <tv@lio96.de>

doc: fix typo in help

libxt_psd.c: 'threshhold' -> 'threshold'

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

doc: fix some typos in man-pages

libxt_ACCOUNT.man:     'accouting' -> 'accounting'
libxt_DELUDE.man:      'belive' -> 'believe'
libxt_DHCPMAC.man:     'allow to' -> 'allow one to'
libxt_SYSRQ.man:       'allows to' -> 'allows one to'
libxt_ipv4options.man: 'allows to' -> 'allows one to'
libxt_psd.man:         'non-priviliged' -> 'non-privileged'

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

doc: move documentation to rST format

Xtables-addons 3.20

doc: move changelog to rST

doc: remove old changelog entries

build: bump supported kernel version to 5.17

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

extensions: replace PDE_DATA

The `PDE_DATA` function for retrieving private data from a procfs inode
has been replaced by `pde_data` in 5.17.  Replace all instances of the
former with the latter, but add a macro to xtables_compat.h in order to
preserve compatibility with older kernels.

Link: https://lore.kernel.org/lkml/20211124081956.87711-1-songmuchun@bytedance.com/
Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

Xtables-addons 3.19

xt_ECHO, xt_TARPIT: make properly conditional on IPv6

Not all modules compile equally well when CONFIG_IPv6 is disabled.

xt_ipp2p: replace redundant ipp2p_addr

xt_ipp2p: add ipv6 module alias

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

xt_ipp2p: fix compatibility with pre-5.1 kernels

`ip_transport_len` and `ipv6_transport_len` were introduced in 5.1.
They are both single-statement static inline functions, so add fall-back
implementations for compatibility with older kernels.

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

xt_ipp2p: add IPv6 support

xt_ipp2p: move result printing code into separate functions

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

xt_ipp2p: move the protocol-specific code out into separate functions

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

xt_ipp2p: don't search haystack if it's empty

All the search functions have a positive minimum packet length.

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

xt_condition: simplify clean-up of variables

Unlocking early and returning in the if-block just complicate the code
to no material benefit.

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

xt_condition: do not delete variables in `condition_net_exit`

`condition_mt_destroy` will be called for every match anyway, so we may
as well do the clean-up then, rather than duplicating it.

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

xt_condition: use condition_net::proc_net_condition to signal condition_net_exit being called

There's no need for a separate boolean flag when we can just set
`proc_net_condition` to `NULL` after the directory has been removed.

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

xt_condition: remove `wmb` when adding new variable

Originally, some accesses to `conditions_list` were protected by RCU and
the memory-barrier was needed to ensure that the new variable was fully
initialized before being added to the list.  These days, however, all
accesses are protected by the `proc_lock` mutex, so the barrier is no
longer required.

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

xt_condition: make mutex per-net

The mutex protects per-net resources, so make it per-net too.

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

xt_condition: use `xt_check_proc_name` to validate /proc file name

4.16 introduced a standard function to do the job, so let's use it.

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

xt_condition: use sizeof_field macro to size variable name

4.16 introduced a macro for getting the size of a struct member, so
let's use it.

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

build: bump minimum supported kernel version from 4.15 to 4.16

The next two commits make use of a function and macro that were
introduced in 4.16.

Add DWARF object files to .gitignore.

If we build against a kernel with `CONFIG_DEBUG_INFO_SPLIT` enabled, the
kernel compiler flags will include `-gsplit-dwarf`, and the linker will
emit .dwo files.

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

Merge branch 'master' of ssh://git.code.sf.net/u/jeffcarlson72/xtables-addons

pknock:  added UDP options to help and made whitespace consistent

libxt_ACCOUNT_cl: correct LDFLAGS variable name

The LT library name is libxt_ACCOUNT_cl.la, so the variable should be
`libxt_ACCOUNT_cl_la_LDFLAGS`.

Fixes: 81ab0b9586e6 ("libxt_ACCOUNT_cl: drop padding holes from struct ipt_ACCOUNT_context")
Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

doc: add incompatibility notice with transmogrified kernels

extensions: remove unused code from compat_xtnu.h

xt_ipp2p: use fixed-size integers for struct ipt_p2p_info

extensions: syntactically compact struct definitions

libxt_ACCOUNT_cl: drop padding holes from struct ipt_ACCOUNT_context

extensions: use simpler header guards

Xtables-addons 3.18

xt_pknock: fix build failure under platforms like ARM 32-bit

./arch/arm/include/asm/div64.h:24:45: note: expected "uint64_t *"
{aka "long long unsigned int *"} but argument is of type
"long unsigned int *"
   24 | static inline uint32_t __div64_32(uint64_t *n, uint32_t base)

Xtables-addons 3.17

xt_pknock: reduce indent in the two most-recently touched functions

xt_pknock: cure NULL dereference

The original patch for long division on x86 didn't take into account
the use of short circuit logic for checking if peer is NULL before
testing it. Here is a revised patch to v3.16.

Xtables-addons 3.16

xt_quota2: silence a compiler warning

libxt_quota2.c:73:3: warning: ‘strncpy’ specified bound 15 equals destination size [-Wstringop-truncation]
   73 |   strncpy(info->name, optarg, sizeof(info->name));

xt_pknock: use do_div for long division

Xtables-addons 3.15

xt_pknock: replace obsolete function get_seconds

get_seconds is removed in 5.11; its replacement ktime_get_real_seconds
is available since 3.19. The timestamps should not be affected by clock
resets, so will be switched to ktime_get_seconds.

xt_lscan: add --mirai option

xt_lscan: extend info struct to support more flags (without size change)

xt_ECHO: support new function signature of security_skb_classify_flow

Xtables-addons 3.14

geoip: use correct download URL for MaxMind DBs

The download URL for the GeoLite2 DBs has changed and includes a
licence key. Update the download script to read the key from file or
stdin and use the correct URL.

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

extensions: reduce number of arguments to send_reset functions

extensions: call send_reset with xtables state socket

Reported-by: Minqiang Chen <ptpt52@gmail.com>

build: cure overall build failure when CONFIG_NF_NAT=n

geoip: rename xt_geoip_fetch to xt_geoip_query

"fetch" sounds a bit like "download", but that is not what this
utility does. Calling it "query" seems more appropriate.

geoip: add man pages for MaxMind scripts

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

doc: fix man page typos

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

geoip: remove superfluous xt_geoip_fetch_maxmind script

xt_geoip_fetch and xt_geoip_fetch_maxmind are identical. Remove the
latter.

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

Xtables-addons 3.13

compat_xtables: employ route_me_harder define for 4.19 and 5.4 too

The API change found its way into some more Linux stable series.

Xtables-addons 3.12

compat_xtables: fix a spello near route_me_harder

xt_DNETMAP: compaction of variable declarations

geoip: re-add Maxmind scripts

extensions: abolish NIPQUAD/NIP6

Support for Linux 2.6.28 is long gone.

build: adjust for changed signature of ip_route_me_harder

(Cf. commit 46d6c5ae953cc0be38efd0e469284df7c4328cf8 in Linux.)

pknlusr: mention the group ID command-line paramater in the man page

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

pknock: trim some blank lines

extensions: split assignments and if-exprs

xt_pknock: remove DEBUG definition and disable debug output

The DEBUG definition in xt_pknock.h causes a compiler warning if one
adds a DEBUG define to xt_pknock.c to enable pr_debug. Since it only
controls some debugging output in libxt_pknock.c, it would make sense to
move the definition there, but let's just disable the debugging instead.

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

xt_pknock: use `pr_err`

Replace some instances of `printk(KERN_ERR PKNOCK ...)`. We define
`pr_fmt`, so `pr_err` is equivalent.

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

xt_pknock: use kzalloc

Replace some instances of kmalloc + memset.

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

xt_pknock: use IS_ENABLED

It is more succinct than checking whether CONFIG_BLAH or
CONFIG_BLAH_MODULE are defined.

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

pknlusr: fix hard-coded netlink multicast group ID

The group ID used by xt_pknock is configurable, but pknlusr hard-codes
it. Modify pknlusr to accept an optional ID from the command line.
Group IDs range from 1 to 32 and each ID appears in the group bitmask
at position `group_id - 1`.

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

pknlusr: always close socket

On some error paths, the socket was not being closed before exit.

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

pknlusr: do not treat recv return value of zero as an error

A return-value of zero is not an error, so there is no point calling
perror, but since we have not requested and do not expect a zero-length
datagram, we treat it as EOF and exit.

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

pknlusr: use macro to define inet_ntop buffer size

POSIX provides a macro to define the minimum length required, so let's
use it.

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

pknlusr: use NLMSG macros and proper types, rather than arithmetic on char pointers

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

pknlusr: tidy up initialization of local address

Use struct initialization and drop memset. We do not need to set the port
ID, since the kernel will do it for us.

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

pknock: pknlusr: tighten up variable scopes

Make global variables local, and move variables local to while-loop into
the loop.

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

pknock: pknlusr: remove dest_addr and rename src_addr

We only need to specify the address at our end, and given that we are
receiving messages, not sending them, calling it `src_addr` is
misleading.

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

pknock: pknlusr: ensure man-page is included by `make dist`

Signed-off-by: Jeremy Sowden <jeremy@azazel.net>

pknlusr: add man page

Since pknlusr is now being installed, let's give it a man page.

pknlusr: fix formatting of a line

Xtables-addons 3.11