utils: nft_str2family sets errno

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

src: utils: add verdict2str and use it

Add verdict2str() and str2verdict() helper functions and use in XML.

While at it, I've fixed a small style issue in the data_reg JSON output and
a bug in the data_reg XML parser: The parser walked the top level tree,
instead of single <data_reg> node. Introduced in (51370f0 src: add support
for XML parsing).

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

expr: don't override errno value if nft_mxml_num_parse is used

That function already sets errno for us.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

mxml: nft_mxml_str_parse returns copy of the string

Otherwise, the string points to an invalid memory position
somewhere in the XML tree that is released after the parsing.

This problem was there before the conversion to the new helper
function nft_mxml_str_parse.

Reported-by: Arturo Borrero <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

expr: ct: use nft_mxml_str_parse

Replace existing code to use this function.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

expr: payload: use nft_mxml_num_parse

Replace existing code to use this function.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

src: xml: consolidate common XML code via nft_mxml_str_parse

This patch moves common XML string parsing code to nft_mxml_str_parse().

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

expr: cmp: cmpdata is mandatory node

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

expr: counter: use nft_mxml_num_parse

Put this code on a diet by using the new helper function nft_mxml_num_parse.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

src: xml: consolidate common XML code via nft_mxml_num_parse

This patch moves common XML parsing code to nft_mxml_num_parse().
To handle this, the nft_strtoi() helper fuction is included.

I've changed some MXML_DESCEND[_FIRST] flags to avoid match a nested node under
some circumstances, ie, matching two nodes with the same name that are descendant.

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

expr: refactor nft_rule_expr_get

Merge common checking for attribute set in nft_rule_expr_get.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

src: remove default case from nft_*_attr_unset

This patch removes the default case in nft_*_attr_unset, thus, the
compiler will spot a warning if we add a new attribute in the future
and you forget to handle it.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

src: constify parameter of nft_*_is_set

The functions nft_*_attr_is_set() is doing no modification
so it is possible to type it to const.

Signed-off-by: Eric Leblond <eric@regit.org>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

rule: display position in default printf

Signed-off-by: Eric Leblond <eric@regit.org>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

examples: add insert rule example

This program can insert a rule after a rule given by
its handle.

Signed-off-by: Eric Leblond <eric@regit.org>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

rule: add support for position attribute

This patch adds support for position attribute which can be used
to insert a rule at a given position.

Signed-off-by: Eric Leblond <eric@regit.org>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

src: simplify getter logic

This patch refactors the getter code to simplify it. The default
cases have been removed so gcc will spot a warning if an attribute
is not handled appropriately.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

examples: nft-chain-add: allow to create custom chains

So far, it was only possible to create base chains. This patch
allows you to create custom chains as well.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

examples: nft-chain-get: allow to list chain from all families

So far, it was restricted to AF_INET.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

examples: add arp support

While at it, convert all examples to use NFPROTO_*.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

utils: ARP family is number 3

Netfilter uses family number 3 for ARP since AF_ARP does not
exists.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

chain: json: fix wrong display of table and family

In (74ccff7 chain: json: use string to identify policy), the
json support for chain was unintentionally swapping the table
name and the family.

Signed-off-by: Alvaro Neira Ayuso <alvaroneay@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

src: add nft_*_list_add_tail

This redefines the meaning of nft_*_list_add to prepend, before this
patch it was appending, which was semantically wrong.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

chain: json: use string to identify policy

* if we don't have hooknum we don't need to print the policy tag
* If we have hooknum, i have used the policy2str function for printing the policy with
"accept" string or "drop" string

Signed-off-by: Alvaro Neira Ayuso <alvaroneay@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

set: json: fix incomplete output

In (bf39c53 set: add json output), the json support for sets was
incomplete:

* version, family, key_type, key_len, data_type, data_len were not included.
* Now I use nft_data_reg_snprintf for printing the key and data

Signed-off-by: Alvaro Neira Ayuso <alvaroneay@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

expr: limit: fix getter

Set missing data length via getter, otherwise it returns zero.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

src: add nft_*_list_is_empty() functions

This functions check if a given nft_*_list is empty or not.

I found this quite useful while working with a full ruleset.

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

include: update include/linux/netfilter/nf_tables.h

Get it in sync with the current kernel tree.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

expr: add nft_expr_data to replace explicit casting to obtain expression data

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

expr: use __attribute__((constructor)) to register expression

Instead of manual array registration.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

examples: nft-{table,chain,rule}-xml-add: fix missing NLM_F_CREATE

Thus, automodule loading was not working.

While at it, apply not so relevant comestic cleanups and fix some
inconsistencies between examples.

* Fix copyright header, this is code heavily based on existing
  nft-*-add examples.
* Remove unrequired extern struct nft_table definition.
* Make sure we close file descriptor once we don't need it anymore.
* Remove unrequired casting.
* Remove comment that provides nothing interesting.

I considered a patch to address each on those was too much burden.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

expr: payload: fix incorrect length and base in default output

This patch fixes an accidental swapping of the dreg and length
payload fields.

Signed-off-by: Eric Leblond <eric@regit.org>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

examples: remove LIBXML_LIBS from LDADD

Remove it from the example files, we don't need it. There is no explicit
reference to any of the libmxml functions in those files, so the linker
does not need that library.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

expr: payload: fix printing of base

In (f95e859 src: improve default text output), it assumes all bases
are network, but we may have link and transport as well.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

bitwise: xml: export len node

Fix missing length, it was not being exported in XML.

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@soleta.eu>

set: add xml output

This patch adds XML output for sets.

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

src: xml: consolidate parsing of data_reg via nft_mxml_data_reg_parse

Move common code for XML parsing of data_reg to the new
nft_mxml_data_reg_parse function.

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

examples: nft-table-get: add json support

Signed-off-by: Alvaro Neira Ayuso <alvaroneay@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

set: add json output

This patch allows you to dump set and their content in json format.

Signed-off-by: Alvaro Neira Ayuso <alvaroneay@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

set: fix printing of key and data registers

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

src: expr: data_reg: fix printing data register content

Before:

ip filter output 41
  [ payload load 1b @ network header + 9 => reg 1 ]
  [ cmp eq reg 1 ]

Now:

ip filter output 41
  [ payload load 1b @ network header + 9 => reg 1 ]
  [ cmp eq reg 1 0x00000006 ]
                 ^^^^^^^^^^

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

src: improve default text output

This patch improves default plain text output by mimicing the
default output of libnl-nft.

While at it, several %lu has been translated to use %"PRIu64"
for correctness.

[ I have added the policy to string translation --pablo ]

Signed-off-by: Giuseppe Longo <giuseppelng@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

src: xml: fix compilation without XML parsing enabled

Since (d844fa0 src: consolidate XML parsing of expressions via
nft_mxml_expr_parse), the library was not compiling with XML support
anymore.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

src: consolidate XML parsing of expressions via nft_mxml_reg_parse

This patch reduces the XML code in 100 LOC.

src: consolidate XML parsing of expressions via nft_mxml_expr_parse

Move common code for XML parsing of expressions to the new
nft_mxml_expr_parse function.

This patch reduces the XML parsing code in 300 LOC.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

expr: ct: fix setting of NFT_EXPR_CT_DIR

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

expr: Fix header inclusion for integer types

Signed-off-by: Tomasz Bursztyka <tomasz.bursztyka@linux.intel.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

examples: add JSON support

By specifying 'json' as first parameter.

Signed-off-by: Alvaro Neira Ayuso <alvaroneay@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

src: support JSON format in chain, rule and expressions

While at it, order possible switch cases of _snprintf.

Signed-off-by: Alvaro Neira Ayuso <alvaroneay@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

tests: nft-parsing-test: restore default terminal color after test

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

tests: remove several wrong XML nodes in tests

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

test: add testbench for XML

This patch add a testbench for XML parsing, which may be extended
to test JSON as well.

To use it:
 $ cd test/
 $ make nft-parsing-test
 $ ./nft-parsing-test xmlfiles/

This testbench supersedes old .sh test scripts, so they are deleted.

[ I have mangled this patch to rename/mangle files, to colorize the
  test output and not to compile XML inconditionally --pablo ]

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

exthdr: xml: rename type node to exthdr_type

This patch renames the <type> node in the exthdr expr to <exthdr_type>.

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

nat: xml: rename node type to nat_type

This patch renames the node <type> to a more explicit <nat_type>.

This will prevent in the future from confusing other <type> nodes from other exprs.

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

nat: snprintf: fix buffer offset

This patch fix the buffer offset necesary to print correctly the nat expr in a default output mode.

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

meta: xml: use string to represent key attribute

Use a string for <key> node instead of a number.

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

exthdr: xml: use string for type node

This patch implements using a string for the <type> node.

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

payload: xml: use string for base attribute

This patch implements using a string instead of a number for the <base> node.

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

target&match: xml: don't print rev number

The <rev> node is not printed/parsed anymore. It should not be exported,
this is negotiated with the kernel.

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

data_reg: xml: display register in big endian

Display registers in big endian, so the output will be the same in
different endianness CPU.

<data>0xaabbccdd</data>

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

data_reg: xml: fix len node, it should show byte length

Previous to this patch, the <len> node was 'how many <dataN> nodes we have'.
However, the <len> node means 'how many bytes are in <dataN> nodes'.

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

chain: xml: use string for policy

Now the <policy> node is using "accept" or "drop".

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

exthdr: xml: fix mandatory elements

According to net/netfilter/nft_exthdr.c: nft_exthdr_init(),
all of dreg, type, offset and len are mandatory:

if (tb[NFTA_EXTHDR_DREG] == NULL ||
    tb[NFTA_EXTHDR_TYPE] == NULL ||
    tb[NFTA_EXTHDR_OFFSET] == NULL ||
    tb[NFTA_EXTHDR_LEN] == NULL)
return -EINVAL;

So the XML parser must make sure the equivalent nodes exists.

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

ct: xml: use key names instead of numbers

ct expr uses a string instead of a numerical one in the <key> node.

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

ct: xml: add extra dir check

This patch adds an extra dir check.

0 means original.
1 means a reply.

Pablo decided not to include nf_conntrack_tuple_common.h, instead internally
defined them.

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

nat: xml: fix node names for sreg_addr_{min|max}

This patch changes the name of XML nodes from <sreg_addr_min_v4> to
<sreg_addr_min>, and <sreg_addr_max_v4> to <sreg_addr_max>, as they
are register numbers, not addresses, so they are protocol independent.

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

nat: xml: change nat types string to dnat/snat

This patch replaces the string NFT_NAT_{S|D}NAT with {s|d}nat in
the <type> node.

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

src: xml: convert family values to string

This patch translates family values to display a string:

 * ip if AF_INET
 * ip6 if AF_INET6
 * bridge if AF_BRIDGE
 * arp if 0

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

chain: add hooknum2str

This patch translates the Netfilter hooknumber to a readable string.

Useful for printing and parsing in XML and JSON formats.

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

byteorder: xml: op as string

This patch changes the numerical value of the XML byteorder's <op> node to a string representation.

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>

expr: xml: registers must be <= NFT_REG_MAX

With this patch, all expressions validate that registers are <= NFT_REG_MAX.

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

bitwise: xml: mask and xor use same number of data registers

The mask and xor must use the same number of data registers.

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

rule: xml: conditional display of compat info

The compat XML info is now conditional both when printing and parsing.
It is only used by iptables-nftables.

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

set_elem: add nft_set_elem_attr_set_str

It was not implemented, it was defined in the header anf map files
though.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

expr: add nft_rule_expr_snprintf

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

set_elem: fix nft_set_elem_attr_get with NFT_SET_ELEM_ATTR_CHAIN

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

set_elem: fix wrong flags setting in nft_set_elems_parse2

Set element object flags instead of set flags.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

set: add missing set/unset support for NFT_SET_ATTR_DATA_[TYPE|LEN]

While at it, use fixed length uint32_t instead of size_t.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

expr: xml: don't print target and match info

This is binary layout of the iptables target/match, we can do nothing
with it at this moment. Let's get rid of it.

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

examples: unset chain & rule handle

Use _unset functions to delete handle so test don't fail.

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

rule: xml: delete trailing space

This patch fixes a trailing space in rule xml_snprintf.

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

nat: xml: fix crash during parsing if non-mandatory element is not present

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

nat: xml: fix wrong offset in snprintf

This patch fixes the buffer offset of the nat snprintf function
so elements are properly printed.

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

expr: bitwise: xml: fix wrong casting

Introduced in (51370f0 src: add support for XML parsing)

Signed-off-by: Arturo Borrero Gonzalez <arturo.borrero.glez@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

set: fix nft_set_attr_get with NFT_SET_ATTR_KEY_FLAGS

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

set_elem: fix wrong flags set for NFT_SET_ELEM_ATTR_FLAGS

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

src: set NFT_*_ATTR_FAMILY in nft_*_parse function

This attribute was not approapriately set in most cases.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

chain: fix nft_chain_attr_set_str

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

include: add stdbool.h to libnftables/expr.h

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

src: constify first parameter of all nft_*_get

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

set: add NFT_SET_ATTR_FAMILY

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

src: add nft_*_attr_is_set

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

src: add nft_*_list_foreach

This patch adds a simplied iterator interface.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

expr: add limit

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

expr: add byteorder

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

expr: add ct

This patch adds the ct expression.

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

expr: add exthdr

This patch adds support for the exthdr expression of nftables that
is implemented in linux/net/netfilter/nft_exthdr.c

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

build: fix missing interlibrary dependency

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

expr: add log expression

Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>

examples: nft-chain-get: export in JSON format

Signed-off-by: Alvaro Neira Ayuso <alvaroneay@gmail.com>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>