firewall: introduce drop_invalid option to allow disabling the invalid state match
authorJo-Philipp Wich <jow@openwrt.org>
Fri, 16 Jan 2009 18:09:19 +0000 (18:09 +0000)
committerJo-Philipp Wich <jow@openwrt.org>
Fri, 16 Jan 2009 18:09:19 +0000 (18:09 +0000)
SVN-Revision: 14061

package/firewall/files/uci_firewall.sh

index fd108993c8ba1c5f2da16df454443e0688e26932..f38bd6b9ae19c3e1d114c964c651804c347985a7 100755 (executable)
@@ -159,16 +159,19 @@ fw_defaults() {
        $IPTABLES -t mangle -X
        $IPTABLES -t nat -X
        $IPTABLES -X
-       
-       $IPTABLES -A INPUT -m state --state INVALID -j DROP
+
+       config_get_bool drop_invalid $1 drop_invalid 1
+
+       [ "$drop_invalid" -gt 0 ] && {
+               $IPTABLES -A INPUT -m state --state INVALID -j DROP
+               $IPTABLES -A OUTPUT -m state --state INVALID -j DROP
+               $IPTABLES -A FORWARD -m state --state INVALID -j DROP
+       }
+
        $IPTABLES -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-               
-       $IPTABLES -A OUTPUT -m state --state INVALID -j DROP
        $IPTABLES -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-       
-       $IPTABLES -A FORWARD -m state --state INVALID -j DROP
        $IPTABLES -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-       
+
        $IPTABLES -A INPUT -i lo -j ACCEPT
        $IPTABLES -A OUTPUT -o lo -j ACCEPT