~ubuntu-branches/debian/sid/shorewall/sid

.\"      Date: 05/01/2013

.TH "SHOREWALL\&.CONF" "5" "05/01/2013" "[FIXME: source]" "[FIXME: manual]"

\fBACCEPT_DEFAULT=\fR{\fIaction\fR[(\fIparameters\fR)][:\fIlevel\fR]|\fBnone\fR}

.RS 4

.RE

.PP

\fBDROP_DEFAULT=\fR{\fIaction\fR[(\fIparameters\fR)][:\fIlevel\fR]|\fBnone\fR}

.RS 4

.RE

.PP

\fBNFQUEUE_DEFAULT=\fR{\fIaction\fR[(\fIparameters\fR)][:\fIlevel\fR]|\fBnone\fR}

.RS 4

.RE

.PP

\fBQUEUE_DEFAULT=\fR{\fIaction\fR[(\fIparameters\fR)][:\fIlevel\fR]|\fBnone\fR}

.RS 4

.RE

.PP

\fBREJECT_DEFAULT=\fR{\fIaction\fR[(\fIparameters\fR)][:\fIlevel\fR]|\fBnone\fR}

In Shorewall 4\&.4\&.0, the DROP_DEFAULT, REJECT_DEFAULT, ACCEPT_DEFAULT, QUEUE_DEFAULT and NFQUEUE_DEFAULT options were added\&.

.sp

.sp

You can pass

\fIparameters\fR

to the specified action (e\&.g\&.,

\fImyaction(audit,DROP)\fR)\&.

.sp

Beginning with Shorewall 4\&.5\&.10, the action name can be followed optionally by a colon and a log

\fIlevel\fR\&. The level will be applied to each rule in the action or body that does not already have a log level\&.

\fBARPTABLES=\fR[\fIpathname\fR]

.RS 4

Added in Shorewall 4\&.5\&.12\&. This parameter names the arptables executable to be used by Shorewall\&. If not specified or if specified as a null value, then the arptables executable located using the PATH option is used\&.

.sp

Regardless of how the arptables utility is located (specified via arptables= or located via PATH), Shorewall uses the arptables\-restore and arptables\-save utilities from that same directory\&.

.RE

.PP

\fBAUTOCOMMENT=\fR[\fBYes\fR|\fBNo\fR]

.RS 4

Formerly named AUTO_COMMENT\&. If set, if there is not a current comment when a macro is invoked, the behavior is as if the first line of the macro file was "COMMENT <macro name>"\&. The AUTO_COMMENT option has a default value of \*(AqYes\*(Aq\&.

\fBAUTOHELPERS=\fR[\fBYes\fR|\fBNo\fR]

.RS 4

Added in Shorewall 4\&.5\&.7\&. When set to

\fBYes\fR

(the default), the generated ruleset will automatically associate helpers with applications that require them (FTP, IRC, etc\&.)\&. When configuring your firewall on systems running kernel 3\&.5 or later, it is recommended that you:

.sp

.RS 4

.ie n \{\

\h'-04' 1.\h'+01'\c

.\}

.el \{\

.sp -1

.IP "  1." 4.2

.\}

Set AUTOHELPERS=No\&.

.RE

.sp

.RS 4

.ie n \{\

\h'-04' 2.\h'+01'\c

.\}

.el \{\

.sp -1

.IP "  2." 4.2

.\}

Either:

.sp

.RS 4

.ie n \{\

\h'-04' 1.\h'+01'\c

.\}

.el \{\

.sp -1

.IP "  1." 4.2

.\}

Modify

\m[blue]\fBshorewall\-conntrack\fR\m[]\&\s-2\u[6]\d\s+2

(5) to only apply helpers where they are required; or

.RE

.sp

.RS 4

.ie n \{\

\h'-04' 2.\h'+01'\c

.\}

.el \{\

.sp -1

.IP "  2." 4.2

.\}

Specify the appropriate helper in the HELPER column in

\m[blue]\fBshorewall\-rules\fR\m[]\&\s-2\u[7]\d\s+2

(5)\&.

.if n \{\

.sp

.\}

.RS 4

.it 1 an-trap

.nr an-no-space-flag 1

.nr an-break-flag 1

.br

.ps +1

\fBNote\fR

.ps -1

.br

The macros for those applications requiring a helper automatically specify the appropriate HELPER where required\&.

.sp .5v

.RE

.RE

.RE

.RE

.PP

\fBBLACKLIST=\fR[{\fBALL\fR|\fB\fIstate\fR\fR\fB[,\&.\&.\&.]\fR}]

.RS 4

where state is one of NEW, ESTABLISHED, RELATED, INVALID,or UNTRACKED\&.

.sp

Added in Shorewall 4\&.5\&.13 to replace the BLACKLISTNEWONLY option below\&. Specifies the connection tracking states that are to be subject to blacklist screening\&. If neither BLACKLIST nor BLACKLISTNEWONLY are specified then the states subject to blacklisting are NEW,ESTABLISHED,INVALID,UNTRACKED\&.

.sp

ALL sends all packets through the blacklist chains\&.

.sp

Note: The ESTABLISHED state may not be specified if FASTACCEPT is specified\&.

.RE

.PP

\m[blue]\fBshorewall\-rules\fR\m[]\&\s-2\u[7]\d\s+2

\m[blue]\fBshorewall\-blrules\fR\m[]\&\s-2\u[8]\d\s+2(5)\&.

\fBBLACKLIST_LOG_LEVEL=\fR[\fIlog\-level\fR]

Formerly named BLACKLIST_LOGLEVEL\&. This parameter determines if packets from blacklisted hosts are logged and it determines the syslog level that they are to be logged at\&. Its value is a syslog level (Example: BLACKLIST_LOG_LEVEL=debug)\&. If you do not assign a value or if you assign an empty value then packets from blacklisted hosts are not logged\&. The setting determines the log level of packets sent to the

\m[blue]\fBshorewall\-blrules\fR\m[]\&\s-2\u[8]\d\s+2(5)\&.

Deprecated in Shorewall 4\&.5\&.13 in favor of BLACKLIST above\&.

.sp

\fByes\fR, blacklists are only consulted for new connections and for packets in the INVALID connection state (such as TCP SYN,ACK when there has been no corresponding SYN)\&. That includes entries in the

\m[blue]\fBshorewall\-blrules\fR\m[]\&\s-2\u[9]\d\s+2

\m[blue]\fBshorewall\-rules\fR\m[]\&\s-2\u[7]\d\s+2

\fBCHAIN_SCRIPTS=\fR{\fBYes\fR|\fBNo\fR}

.RS 4

Added in Shorewall 4\&.5\&.16\&. Prior to the availability of BEGIN PERL\&.\&.\&.\&.END PERL in configuration files, the only way to execute a chain\-specific script was to create a script file with the same name as the chain and place it in a directory on the CONFIG_PATH\&. That facility has the drawback that the compiler will attempt to run a non\-script file just because it has the same name as a chain\&. To disable this facility, set CHAIN_SCRIPTS=No\&. If not specified or specified as the empty value, CHAIN_SCRIPTS=Yes is assumed\&.

.RE

.PP

\m[blue]\fBshorewall\-tcrules\fR\m[]\&\s-2\u[10]\d\s+2(5)\&. If not specified, CLEAR_TC=Yes is assumed\&.

.RE

.PP

\fBDEFER_DNS_RESOLUTION=\fR[\fBYes\fR|\fBNo\fR]

.RS 4

Added in Shorewall 4\&.5\&.12\&. When set to \*(AqYes\*(Aq (the default), DNS names are validated in the compiler and then passed on to the generated script where they are resolved by iptables\-restore\&. This is an advantage if you use AUTOMAKE=Yes and the IP address associated with the DNS name is subject to change\&. When DEFER_DNS_RESOLUTION=No, DNS names are converted into IP addresses by the compiler\&. This has the advantage that when AUTOMAKE=Yes, the

\fBstart\fR

and

\fBrestart\fR

commands will succeed even if no DNS server is reachable (assuming that the configuration hasn\*(Aqt changed since the compiled script was last generated)\&.

.sp

It is important to note that changing DISABLE_IPV6=Yes to DISABLE_IPV6=No does

\fInot\fR

enable IPV6\&. The recommended approach for enabling IPv6 on your system is:

.sp

.RS 4

.ie n \{\

\h'-04'\(bu\h'+03'\c

.\}

.el \{\

.sp -1

.IP \(bu 2.3

.\}

Install, configure and start

\m[blue]\fBShorewall6\fR\m[]\&\s-2\u[11]\d\s+2\&.

.RE

.sp

.RS 4

.ie n \{\

\h'-04'\(bu\h'+03'\c

.\}

.el \{\

.sp -1

.IP \(bu 2.3

.\}

Change DISABLE_IPV6=Yes to DISABLE_IPV6=No

.RE

.sp

.RS 4

.ie n \{\

\h'-04'\(bu\h'+03'\c

.\}

.el \{\

.sp -1

.IP \(bu 2.3

.\}

Restart Shorewall

.RE

\m[blue]\fBshorewall\-rules\fR\m[]\&\s-2\u[7]\d\s+2(5)\&.

\m[blue]\fBhttp://www\&.shorewall\&.net/ISO\-3661\&.html\fR\m[]\&. If not specified, the default value is

\fBHELPERS\fR=[\fIhelper\fR[,\fIhelper\fR\&.\&.\&.]]

.RS 4

Added in Shorewall 4\&.5\&.7\&. This option lists the Netfilter application helps that are to be enabled\&. If not specified, the default is to enable all helpers\&.

.sp

Possible values for

\fIhelper\fR

are:

.sp

.RS 4

.ie n \{\

\h'-04'\(bu\h'+03'\c

.\}

.el \{\

.sp -1

.IP \(bu 2.3

.\}

\fBamanda\fR

.RE

.sp

.RS 4

.ie n \{\

\h'-04'\(bu\h'+03'\c

.\}

.el \{\

.sp -1

.IP \(bu 2.3

.\}

\fBftp\fR

.RE

.sp

.RS 4

.ie n \{\

\h'-04'\(bu\h'+03'\c

.\}

.el \{\

.sp -1

.IP \(bu 2.3

.\}

\fBh323\fR

.RE

.sp

.RS 4

.ie n \{\

\h'-04'\(bu\h'+03'\c

.\}

.el \{\

.sp -1

.IP \(bu 2.3

.\}

\fBirc\fR

.RE

.sp

.RS 4

.ie n \{\

\h'-04'\(bu\h'+03'\c

.\}

.el \{\

.sp -1

.IP \(bu 2.3

.\}

\fBnetbios\-ns\fR

.RE

.sp

.RS 4

.ie n \{\

\h'-04'\(bu\h'+03'\c

.\}

.el \{\

.sp -1

.IP \(bu 2.3

.\}

\fBnone\fR

\- This special value was added in Shorewall 4\&.5\&.16 and indicates that no helpers are to be enabled\&. It also prevents the compiler for probing for helper support; such probing generates messages on the system log of the form "xt_CT: No such helper XXX" where XXX is the helper name\&. When used,

\fBnone\fR

must be the only helper specified\&.

.RE

.sp

.RS 4

.ie n \{\

\h'-04'\(bu\h'+03'\c

.\}

.el \{\

.sp -1

.IP \(bu 2.3

.\}

\fBpptp\fR

.RE

.sp

.RS 4

.ie n \{\

\h'-04'\(bu\h'+03'\c

.\}

.el \{\

.sp -1

.IP \(bu 2.3

.\}

\fBsane\fR

.RE

.sp

.RS 4

.ie n \{\

\h'-04'\(bu\h'+03'\c

.\}

.el \{\

.sp -1

.IP \(bu 2.3

.\}

\fBsip\fR

.RE

.sp

.RS 4

.ie n \{\

\h'-04'\(bu\h'+03'\c

.\}

.el \{\

.sp -1

.IP \(bu 2.3

.\}

\fBsnmp\fR

.RE

.sp

.RS 4

.ie n \{\

\h'-04'\(bu\h'+03'\c

.\}

.el \{\

.sp -1

.IP \(bu 2.3

.\}

\fBtftp\fR

.RE

.sp

When HELPERS is specified on a system running Kernel 3\&.5\&.0 or later, automatic association of helpers to connections is disabled\&.

.RE

.PP

\m[blue]\fBshorewall\-tcrules\fR\m[]\&\s-2\u[10]\d\s+2(5) if you had a multi\-ISP configuration that uses the track option\&.

\fBIGNOREUNKNOWNVARIABLES=\fR[\fBYes\fR|\fBNo\fR]

.RS 4

Added in Shorewall 4\&.5\&.11\&. Normally, if an unknown shell variable is encountered in a configuration file (except in ?IF and ?ELSIF directives), the compiler raises a fatal error\&. If IGNOREUNKNOWNVARIABLES is set to

\fBYes\fR, then such variables simply expand to an empty string\&. Default is

\fBNo\fR\&.

.RE

.PP

\m[blue]\fBshorewall\-zones\fR\m[]\&\s-2\u[12]\d\s+2(5))\&. Normally, you want to have a set of special rules for the subzone and if a connection doesn\*(Aqt match any of those subzone\-specific rules then you want the parent zone rules and policies to be applied; see

\m[blue]\fBshorewall\-nesting\fR\m[]\&\s-2\u[13]\d\s+2(5)\&. With IMPLICIT_CONTINUE=Yes, that happens automatically\&.

\fBINVALID_DISPOSITION=[A_DROP|A_REJECT|DROP|REJECT|CONTINUE]\fR

.RS 4

Added in Shorewall 4\&.5\&.13\&. Shorewall has traditionally passed INVALID packets through the NEW section of

\m[blue]\fBshorewall\-rules\fR\m[]\&\s-2\u[7]\d\s+2

(5)\&. When a packet in INVALID state fails to match any rule in the INVALID section, the packet is disposed of based on this setting\&. The default value is CONTINUE for compatibility with earlier versions\&.

.RE

.PP

\fBINVALID_LOG_LEVEL=\fR\fIlog\-level\fR

.RS 4

Added in Shorewall 4\&.5\&.13\&. Packets in the INVALID state that do not match any rule in the INVALID section of

\m[blue]\fBshorewall\-rules\fR\m[]\&\s-2\u[14]\d\s+2

(5) are logged at this level\&. The default value is empty which means no logging is performed\&.

.RE

.PP

This option indicates that zone\-related ipsec information is found in the zones file (\m[blue]\fBshorewall\-zones\fR\m[]\&\s-2\u[12]\d\s+2(5))\&. The option indicates to the compiler that this is not a legacy configuration where the ipsec information was contained in a separate file\&. The value of this option must not be changed and the option must not be deleted\&.

Regardless of how the iptables utility is located (specified via IPTABLES= or located via PATH), Shorewall uses the iptables\-restore and iptables\-save utilities from that same directory\&.

\m[blue]\fBshorewall\-interfaces\fR\m[]\&\s-2\u[15]\d\s+2(5)\&.

\m[blue]\fBshorewall\-interfaces\fR\m[]\&\s-2\u[15]\d\s+2(5)\&.

\m[blue]\fBshorewall\-zones\fR\m[]\&\s-2\u[12]\d\s+2

.sp

Beginning with Shorewall 4\&.5\&.12, when LOGTAGONLY=Yes, you have more control over the generated log prefix\&. Beginning with that release, the tag is interpreted as a

\fIchain name\fR

and a

\fIdisposition\fR

separated by a comma\&. So this rule:

.sp

.if n \{\

.RS 4

.\}

.nf

#ACTION                                SOURCE         DEST

LOG:info:foo,bar                 net                   fw

.fi

.if n \{\

.RE

.\}

.sp

would generate the following log prefix when using the default LOGFORMAT setting:

.RS 4

Shorewall:foo:bar:

.RE

Similarly,

.sp

.if n \{\

.RS 4

.\}

.nf

#ACTION                               SOURCE            DEST

LOG:info:,bar                        net                    fw

.fi

.if n \{\

.RE

.\}

.sp

would generate

.RS 4

Shorewall:net2fw:bar:

.RE

\m[blue]\fBshorewall\-maclist\fR\m[]\&\s-2\u[16]\d\s+2(5) can be improved by setting the MACLIST_TTL variable in

\m[blue]\fBshorewall\&.conf\fR\m[]\&\s-2\u[17]\d\s+2(5)\&.

\m[blue]\fBshorewall\-maclist\fR\m[]\&\s-2\u[16]\d\s+2(5)\&. If there is a match then the source IP address is added to the \*(AqRecent\*(Aq set for that interface\&. Subsequent connection attempts from that IP address occurring within $MACLIST_TTL seconds will be accepted without having to scan all of the entries\&. After $MACLIST_TTL from the first accepted connection request from an IP address, the next connection request from that IP address will be checked against the entire list\&.

\fBNFACCT=\fR[\fIpathname\fR]

.RS 4

Added in Shorewall 4\&.5\&.7\&. Specifies the pathname of the nfacct utiliity\&. If not specified, Shorewall will use the PATH settting to find the program\&.

.RE

.PP

\fBNULL_ROUTE_RFC1918=\fR[\fBYes\fR|\fBNo\fR|\fBblackhole\fR|\fBunreachable\fR|\fBprohibit\fR]

\m[blue]\fBshorewall\-interfaces\fR\m[]\&\s-2\u[15]\d\s+2(5)), this option ensures that packets with an RFC1918 source address are only accepted from interfaces having known routes to networks using such addresses\&.

.sp

Beginning with Shorewall 4\&.5\&.15, you may specify

\fBblackhole\fR,

\fBunreachable\fR

or

\fBprohibit\fR

to set the type of route to be created\&. See

\m[blue]\fBhttp://www\&.shorewall\&.net/MultiISP\&.html#null_routing\fR\m[]\&.

\m[blue]\fBthe complete matrix of host groups defined by the zones, interfaces and hosts files\fR\m[]\&\s-2\u[18]\d\s+2\&. Any traffic that didn\*(Aqt correspond to an element of that matrix was rejected in one of the built\-in chains\&. When the matrix is sparse, this results in lots of largely useless rules\&.

.sp

Beginning in Shorewall 4\&.5\&.10, this option also suppresses duplicate adjacent rules and duplicate non\-adjacent rules that don\*(Aqt include

\fBmark\fR,

\fBconnmark\fR,

\fBdscp\fR,

\fBecn\fR,

\fBset\fR,

\fBtos\fR

or

\fBu32\fR

matches\&.

\fBRELATED_DISPOSITION=[ACCEPT|A_ACCEPT|A_DROP|A_REJECT|DROP|REJECT|CONTINUE]\fR

\m[blue]\fBshorewall\-rules\fR\m[]\&\s-2\u[7]\d\s+2

\m[blue]\fBshorewall\-rules\fR\m[]\&\s-2\u[7]\d\s+2

\m[blue]\fBShorewall Init Package\fR\m[]\&\s-2\u[19]\d\s+2\&.

\fBRESTORE_ROUTEMARKS=\fR[\fBYes\fR|\fBNo\fR]

.RS 4

Added in Shorewall 4\&.5\&.9\&. When set to

\fBYes\fR

(the default), provider marks are restored unconditionally at the top of the mangle OUTPUT and PREROUTING chains, even if the saved mark is zero\&. When this option is set to

\fBNo\fR, the mark is restored even when it is zero\&. If you have problems with IPSEC ESP packets not being routed correctly on output, try setting this option to

\fBNo\fR\&.

.RE

.PP

\m[blue]\fBshorewall\-interfaces\fR\m[]\&\s-2\u[15]\d\s+2(5)\&.

.RE

.PP

\fBRPFILTER_DISPOSITION=\fR[\fBDROP\fR|\fBREJECT\fR|A_DROP|A_REJECT]

.RS 4

Added in Shorewall 4\&.5\&.7\&. Determines the disposition of packets entering from interfaces the

\fBrpfilter\fR

option (see

\m[blue]\fBshorewall\-interfaces\fR\m[]\&\s-2\u[15]\d\s+2(5))\&. Packets disposed of by this option are those whose response packets would not be sent through the same interface receiving the packet\&.

.RE

.PP

\fBRPFILTER_LOG_LEVEL=\fR\fIlog\-level\fR

.RS 4

Added in shorewall 4\&.5\&.7\&. Determines the logging of packets disposed via the RPFILTER_DISPOSITION\&. The default value is

\fBinfo\fR\&.

.RE

.PP

\fBSAVE_ARPTABLES=\fR{\fBYes\fR|\fBNo\fR}

.RS 4

Added in Shorewall 4\&.5\&.12\&. If SAVE_ARPTABLES=Yes, then the current arptables contents will be saved by

\fBshorewall save\fR

command and restored by

\fBshorewall restore\fR

command\&. Default value is No\&.

\fBsfilter\fR

\m[blue]\fBshorewall\-interfaces\fR\m[]\&\s-2\u[15]\d\s+2(5)) and of

option\&.\&\s-2\u[20]\d\s+2

\fBsfilter\fR

\m[blue]\fBshorewall\-interfaces\fR\m[]\&\s-2\u[15]\d\s+2(5)) and of

option\&.\&\s-2\u[21]\d\s+2

\m[blue]\fBshorewall\-interfaces\fR\m[]\&\s-2\u[15]\d\s+2(5)) to be dropped\&. A_DROP causes the packets to be audited prior to being dropped and requires AUDIT_TARGET support in the kernel and iptables\&.

\m[blue]\fBshorewall\-interfaces\fR\m[]\&\s-2\u[15]\d\s+2(5))\&. If set to the empty value ( SMURF_LOG_LEVEL="" ) then smurfs are not logged\&.

\m[blue]\fBshorewall\-tcinterfaces\fR\m[]\&\s-2\u[22]\d\s+2(5) and

\m[blue]\fBshorewall\-tcpri\fR\m[]\&\s-2\u[23]\d\s+2(5) is enabled\&.

\m[blue]\fBshorewall\-providers\fR\m[]\&\s-2\u[24]\d\s+2(5)\&.

\m[blue]\fBshorewall\-tcpri\fR\m[]\&\s-2\u[23]\d\s+2(5)\&. The

\m[blue]\fBshorewall\-interfaces\fR\m[]\&\s-2\u[15]\d\s+2(5)) and must have a value of ACCEPT (accept the packet), REJECT (send an RST response) or DROP (ignore the packet)\&. If not set or if set to the empty value (e\&.g\&., TCP_FLAGS_DISPOSITION="") then TCP_FLAGS_DISPOSITION=DROP is assumed\&.

\m[blue]\fBshorewall\-providers\fR\m[]\&\s-2\u[24]\d\s+2(5)\&. May be overridden on an individual provider through use of the

\m[blue]\fBshorewall\-tcrules\fR\m[]\&\s-2\u[10]\d\s+2(5)\&. Previously, when TC_EXPERT=No, packets arriving through \*(Aqtracked\*(Aq provider interfaces were unconditionally passed to the PREROUTING tcrules\&. This was done so that tcrules could reset the packet mark to zero, thus allowing the packet to be routed using the \*(Aqmain\*(Aq routing table\&. Using the main table allowed dynamic routes (such as those added for VPNs) to be effective\&. The rtrules file was created to provide a better alternative to clearing the packet mark\&. As a consequence, passing these packets to PREROUTING complicates things without providing any real benefit\&. Beginning with Shorewall 4\&.4\&.6, when TRACK_PROVIDERS=Yes and TC_EXPERT=No, packets arriving through \*(Aqtracked\*(Aq interfaces will not be passed to the PREROUTING rules\&. Since TRACK_PROVIDERS was just introduced in 4\&.4\&.3, this change should be transparent to most, if not all, users\&.

.RE

.PP

\fBUNTRACKED_DISPOSITION=[ACCEPT|A_ACCEPT|A_DROP|A_REJECT|DROP|REJECT|CONTINUE]\fR

.RS 4

Added in Shorewall 4\&.5\&.13\&. Shorewall has traditionally passed UNTRACKED packets through the NEW section of

\m[blue]\fBshorewall\-rules\fR\m[]\&\s-2\u[7]\d\s+2

(5)\&. When a packet in UNTRACKED state fails to match any rule in the UNTRACKED section, the packet is disposed of based on this setting\&. The default value is CONTINUE for compatibility with earlier versions\&.

.RE

.PP

\fBUNTRACKED_LOG_LEVEL=\fR\fIlog\-level\fR

.RS 4

Added in Shorewall 4\&.5\&.13\&. Packets in the UNTRACKED state that do not match any rule in the UNTRACKED section of

\m[blue]\fBshorewall\-rules\fR\m[]\&\s-2\u[7]\d\s+2

(5) are logged at this level\&. The default value is empty which means no logging is performed\&.

\m[blue]\fBproviders\fR\m[]\&\s-2\u[24]\d\s+2(5) file must remain empty (or contain "\-")\&.

\m[blue]\fBrouting_rules\fR\m[]\&\s-2\u[25]\d\s+2(5), the range 1\-998 may be used for inserting rules that bypass the main table\&.

\fBUSE_RT_NAMES=\fR[\fBYes\fR|\fBNo\fR]

.RS 4

Added in Shorewall 4\&.5\&.15\&. When set to \*(AqYes\*(Aq, Shorewall will use routing table (provider) names in the generated script rather than table numbers\&. When set to \*(AqNo\*(Aq (the default), routing table numbers will be used\&.

.if n \{\

.sp

.\}

.RS 4

.it 1 an-trap

.nr an-no-space-flag 1

.nr an-break-flag 1

.br

.ps +1

\fBCaution\fR

.ps -1

.br

If you set USE_RT_NAMES=Yes and KEEP_RT_TABLES=Yes, then you must insure that all of your providers have entries in /etc/iproute2/rt_tables as well as the following entries:

.RS 4

255 local

.RE

.RS 4

254 main

.RE

.RS 4

253 default

.RE

.RS 4

250 balance

.RE

.RS 4

0 unspec

.RE

Without these entries, the firewall will fail to start\&.

.sp .5v

.RE

.RE

.PP

\fBWARNOLDCAPVERSION=\fR[\fBYes\fR|\fBNo\fR]

.RS 4

Added in Shorewall 4\&.5\&.12\&. When set to

\fBYes\fR

(the default), the compiler issues a warning when it finds a capabilities file that doesn\*(Aqt specify all of the capabilities supported by the compiler\&. When WARNOLDCAPVERSION is set to

\fBNo\fR, no warning is issued\&.

.RE

.PP

shorewall-conntrack

.RS 4

\%http://www.shorewall.net/manpages/shorewall-conntrack.html

.RE

.IP " 7." 4

.IP " 8." 4

.IP " 9." 4

.IP "10." 4

.IP "11." 4

Shorewall6

.RS 4

\%http://www.shorewall.net/manpages/../IPv6Support.html

.RE

.IP "12." 4

.IP "13." 4

.IP "14." 4

shorewall-rules

.RS 4

\%http://www.shorewall.net/manpages/manpages/shorewall-rules.html

.RE

.IP "15." 4

.IP "16." 4

.IP "17." 4

.IP "18." 4

.IP "19." 4

Hairpin packets are packets that are routed out of the same interface that they arrived on.

.IP "21." 4

Hairpin packets are packets that are routed out of the same interface that they arrived on.

.IP "22." 4

.IP "23." 4

.IP "24." 4

.IP "25." 4