]> git.proxmox.com Git - mirror_ubuntu-kernels.git/commit
netfilter: don't reset nf_trace in nf_reset()
authorPatrick McHardy <kaber@trash.net>
Fri, 5 Apr 2013 18:42:05 +0000 (20:42 +0200)
committerDavid S. Miller <davem@davemloft.net>
Fri, 5 Apr 2013 19:38:10 +0000 (15:38 -0400)
commit124dff01afbdbff251f0385beca84ba1b9adda68
tree57fe790d91b0d56df456f61b25cce398bc6f4271
parent34e2ed34a035de07277cca817fe8264324398141
netfilter: don't reset nf_trace in nf_reset()

Commit 130549fe ("netfilter: reset nf_trace in nf_reset") added code
to reset nf_trace in nf_reset(). This is wrong and unnecessary.

nf_reset() is used in the following cases:

- when passing packets up the the socket layer, at which point we want to
  release all netfilter references that might keep modules pinned while
  the packet is queued. nf_trace doesn't matter anymore at this point.

- when encapsulating or decapsulating IPsec packets. We want to continue
  tracing these packets after IPsec processing.

- when passing packets through virtual network devices. Only devices on
  that encapsulate in IPv4/v6 matter since otherwise nf_trace is not
  used anymore. Its not entirely clear whether those packets should
  be traced after that, however we've always done that.

- when passing packets through virtual network devices that make the
  packet cross network namespace boundaries. This is the only cases
  where we clearly want to reset nf_trace and is also what the
  original patch intended to fix.

Add a new function nf_reset_trace() and use it in dev_forward_skb() to
fix this properly.

Signed-off-by: Patrick McHardy <kaber@trash.net>
Signed-off-by: David S. Miller <davem@davemloft.net>
include/linux/skbuff.h
net/core/dev.c