fw4: don't inherit zone family from ct helpers
authorStijn Tintel <stijn@linux-ipv6.be>
Mon, 1 Aug 2022 09:40:14 +0000 (12:40 +0300)
committerStijn Tintel <stijn@linux-ipv6.be>
Mon, 1 Aug 2022 10:39:49 +0000 (13:39 +0300)
commit111a7f780ab26b1377960c6eb47e1e5f169cc178
tree50fee24b90cf6c00ccff39d0908f19e6c9539c95
parent15c38317eff2bdef963cc3032512ce6cf191dadb
fw4: don't inherit zone family from ct helpers

It's perfectly valid to use a conntrack helper that only supports a
single address family in a zone where both IPv4 and IPv6 are used.
Restricting a zone to a certain family due to limitations of the
associated conntrack helpers may result in unexpected behaviour, which
in turn may have unintended security implications.

Don't inherit zone family from conntrack helper restrictions to avoid
this and add test coverage.

Signed-off-by: Stijn Tintel <stijn@linux-ipv6.be>
Acked-by: Jo-Philipp Wich <jo@mein.io>
root/usr/share/ucode/fw4.uc
tests/02_zones/06_family_selections