(#12897) Require jump=>LOG for log params

This validates that when log_prefix or log_level is specified the jump
should be 'LOG'

Merge branch 'ticket/10165-port-commasep'

* ticket/10165-port-commasep:
  (#10165) Display multi-value: port, sport, dport and state command seperated

(#10165) Display multi-value: port, sport, dport and state command seperated

Previously the output that changed was munged when puppet was being ran, this
change provides a comma seperated output when the values change instead.

Merge branch 'ticket/master/11673_ospf'

* ticket/master/11673_ospf:
  (#11673) Adding OSPF(v3) protocol to puppetlabs-firewall

(#11673) Adding OSPF(v3) protocol to puppetlabs-firewall

Added support for ospf to the proto property.

Revert "Merge pull request #34 from mediatemple/class-firewall"

This reverts commit bfbf01b08d6cf05795dd9b69815e8556e95dcf07, reversing
changes made to 0b55830db9447d0398b6b346bf513dfa6e2ccd08.

This patch breaks the build, and wasn't ready for merge. The rspec test
scaffolding wasn't prepared and hasn't been tested with this module properly.

Merge pull request #34 from mediatemple/class-firewall

Initial creation of class firewall for issue #10984

Merge pull request #50 from grooverdan/ticket/11443_fix_error_message

(#11443) simple fix of the error message for allowed values of the jump property

(#11443) simple fix of the error message for allowed values of the jump property

The condition on jump says its allowed accept, reject and drop. Update
the error message to say the same thing

(#11334) Fix broken call to super for ruby-1.9.2 in munge.

Merge branch 'ticket/master/11334-MARK_support'

* ticket/master/11334-MARK_support:
  (#11334) Add support for MARK target and set-mark property.

(#11334) Add support for MARK target and set-mark property.

This commit adds support for the set-mark iptables property and will validate
its use against the MARK jump target. This will also support handling decimal
or hexadecimal conversion where necessary.

(#10984) Initial creation of class firewall

* Add Exec[firewall-persist] to save rules.  This allows the host to
  have iptables rules on reboot, before puppet runs.
* Debian hates you.  Add iptables init scripts for loading iptables at
  boot on releases of Debian that do not have them already.
* Add brains to the iptables/ip6tables providers to ensure kernel modules
  are loaded.

(maint) Updated CHANGELOG.md to use bullet points for Changes for v0.0.4

Merge branch 'ticket/11114-release_0.0.4'

* ticket/11114-release_0.0.4:
  (#11114) Release 0.0.4 - CHANGELOG.md and Modulefile update

(#11114) Release 0.0.4 - CHANGELOG.md and Modulefile update

Merge branch 'ticket/10957-iptables-facts'

* ticket/10957-iptables-facts:
  (#10957) add iptables_version and ip6tables_version facts

(#10957) add iptables_version and ip6tables_version facts

These facts return the version of iptables or ip6tables by running --version
on the binary in question.

Merge branch 'ticket/10723-hosts_to_cidr'

* ticket/10723-hosts_to_cidr:
  (#10723) Munge hostnames and IPs to IPs with CIDR

(#10723) Munge hostnames and IPs to IPs with CIDR

Previously when hostnames were used in the source and destination properties
they were being converted to IP address by iptables. This meant that later
comparisons were failing because the property in code (a hostname) and the
'real' property returned by introspection (an ip address) were not matching.

This code using the munge facility will automatically detect and convert
hostnames to IP addresses in the type so the comparison works as expected.

The side-effect is that puppet does the hostname to IP conversion, not
iptables.

Merge branch 'ticket/11093-log_level'

* ticket/11093-log_level:
  (#11093) Improve log_level property so it converts names to numbers

(#11093) Improve log_level property so it converts names to numbers

Previously the log_level property was constantly reloading due to the fact
that iptables was converting names to numbers. So unless you were using
numbers in your log_level setting, it was constantly telling you it needed
to be changed.

Now we convert the names to numbers in the munge so when comparing it will
always hopefully match.

Also, the default value when the jump value is 'LOG' is now set to 4 (warn)
based on iptables own defaults.

Merge pull request #38 from mediatemple/owner-match

(#10718) Add owner-match support

(#10718) Add owner-match support

Merge pull request #39 from mediatemple/ipencap-fixtures

(#10997) Add fixtures for ipencap

Merge pull request #37 from mediatemple/whitespace

Whitespace cleanup. (#11034)

Merge branch 'ticket/10997-ipencap'

* ticket/10997-ipencap:
  (#10997) Add ipencap (protocol 4) support to firewall type property 'proto'

(#10997) Add ipencap (protocol 4) support to firewall type property 'proto'

This change adds ipencap as a viable option, and adds it to tests as well.

Merge pull request #33 from saysjonathan/ticket/10690-port

(#10690) add port property support to ip6tables

(#10690) add port property support to ip6tables

Add fixtures for ipencap

Whitespace cleanup.

Merge pull request #32 from kbarber/ticket/10792-release_0.0.3

(#10792) Release 0.0.3 - CHANGELOG and Modulefile update

(#10792) Release 0.0.3 - CHANGELOG and Modulefile update

Merge branch 'maint/fix_copyright_and_licensing'

* maint/fix_copyright_and_licensing:
  (maint) Fix licensing references to GNU GPL.

(maint) Fix licensing references to GNU GPL.

Merge branch 'ticket/10693-limit_module'

* ticket/10693-limit_module:
  (#10693) Ensure -m limit is added for iptables when using 'limit' param

(#10693) Ensure -m limit is added for iptables when using 'limit' param

Previously we had only been adding --limit to the iptables arguments
which meant the 'limit' parameter was not working at all. This patch
fixes that.

Merge branch 'ticket/10690-multiport_ports'

* ticket/10690-multiport_ports:
  (#10690) Create new port property

(#10690) Create new port property

This new property will allow you to specify ports that match both destination
and source.

This works the same as dport and sport parameters, so it provides array
support and hyphen separated ranges of ports as well.

Merge branch 'ticket/10700-comment_validation'

* ticket/10700-comment_validation:
  (#10700) allow additional characters in comment string

(#10700) allow additional characters in comment string

Merge branch 'ticket/9082-state-change'

* ticket/9082-state-change:
  (#9082) Sort iptables --state option values internally to keep it consistent across runs

(#9082) Sort iptables --state option values internally to keep it consistent across runs

Previously we were getting multiple re-runs due to the fact that iptables
returns a different order with iptables-save then what was used when creating
the rule.

This patch fixes that by sorting states with should=.

Added unit tests to ensure states are correctly sorted. Also added comments in
code to ensure people understand why

Merge pull request #26 from kbarber/ticket/10324-extra_spaces

(#10324) Remove extraneous whitespace from iptables rule line in spec tes

(#10324) Remove extraneous whitespace from iptables rule line in spec tests

The extra spaces between port numbers were messing up the parse and
putting elements in the wrong parts of the hash during rule_to_hash.

This wasn't causing a test problem now, but was creating an issue for
other work people were doing on the module.

Merge pull request #23 from kbarber/ticket/10303-release_0.0.2

(#10303) Release 0.0.2 - CHANGELOG and Modulefile update

(#10303) Release 0.0.2 - CHANGELOG and Modulefile update

Merge pull request #22 from kbarber/ticket/10295-util_loader

(#10295) Work around bug #4248 whereby the puppet/util paths are not bein

(#10295) Work around bug #4248 whereby the puppet/util paths are not being loaded correctly on the puppetmaster

This patch suggested by Dan Carley will work-around the puppet/util error
specified in bug #4248 by loading relative paths instead.

This also fixes the load errors related to running the resource in a standalone
puppet case as well.

If the load fails for some reason, we fall back to the normal load behaviour.
This order is important as we want to load libraries before sync in case the
user has disabled pluginsync in the meantime. This will ensure we attempt to
get the latest copy, but have a fall back just in case.

I believe this fix will need to be applied for some time to support older Puppet
versions.

I've updated the documentation to provide more thorough instructions for
cases where people are using environments, and to tell people to pluginsync
on the master and potentially restart their puppetmaster first just in case.

Merge pull request #21 from kbarber/ticket/10002-range_of_ports

(#10002) Change to dport and sport to handle ranges, and fix handling of

(#10002) Change to dport and sport to handle ranges, and fix handling of name to port.

We hadn't been allowing ranges of the kind 22:1000 for ranges. This patch
fixes that. Thanks to Jason Hancock for finding this issue and providing a sample
patch.

Instead of using colon though, it was decided we would use a hyphen to specify a range
as its more agnostic. This patch does the filtering for both writing the rule and
reading the rule.

Also - the way we were doing name to port conversion had been broken. I found
this out while fixing the ranges, and have now fixed it and added tests.

Merge pull request #20 from kbarber/ticket/10263-tests_fail_on_puppet-2.6.x

(#10263) Fix tests on Puppet 2.6.x

(#10263) Fix tests on Puppet 2.6.x

Due to the lack of Puppet::Test::LogCollector class, tests fail on puppet
2.6.x. Instead of just using the class, I'm testing its existance first
and only using it if it exists. Otherwise, I'm going to fall back to 2.6.x
methodology.

This seems to make tests work on 2.6.7 (and up) and 2.7.1 (and up) which is
sufficient for now.

Merge pull request #17 from kbarber/ticket/10163-doc_cleanup

(#10163) Cleanup some of the inline documentation and README file to alig

(#10163) Cleanup some of the inline documentation and README file to align with general forge usage.

* The README.markdown file had a lot of property information that was
  duplicated in the type itself. The README.markdown file has more info in
  some cases, I have moved this into the type.
* The README.markdown lacked documentation on how to install the module using
  the forge which meant users accessing it via github would be inclined to
  download the development version from github instead.
* Cleaned up doc string alignments and made it consistent with all types.

Merge pull request #15 from kbarber/ticket/9362-action_property

(#9362) Create action property and perform transformation for accept, dro

(#9362) Create action property and perform transformation for accept, drop, reject value for iptables jump parameter.

This commit introduces the new 'action' parameter which is designed to designate
the action to take when a match succeeds. This is a cross-platform parameter and
for the values 'accept','drop','reject' it will take the place of the existing
jump parameter.

The jump parameter is deemed as an iptables specific parameter so by splitting
out this parameter for common actions it allows us to extend the firewall
resource to include other providers much more easily in the future. By having
such a common parameter we will be able to compare resources between boxes that
may have different firewall implementations.

The new behaviour is to force the usage for action parameter, and using
'accept', 'drop' or 'reject' for jump will now no longer work.

Also - the default of 'accept' for jump has been removed which means you MUST
specify an action if you want your rule to do something. Without an action the
rule will match, but do nothing (so only useful for keeping counters generally).

To aid in the testing of this new property I've added new ways to test converting
iptables rules to hashes and hashes to general_args. This should simplify the
testing of new bugs as well.

Merge pull request #16 from kbarber/ticket/10088-contributing

(#10088) Provide a customised version of CONTRIBUTING.md

(#10088) Provide a customised version of CONTRIBUTING.md

The goal here is to provide some clear documentation to point contributors
at when they want to submit code. This document is a copy of the facter one,
slight modified for puppetlabs-firewall.

Merge pull request #14 from kbarber/ticket/10026-type_rspec_rake_cleanup

Ticket/10026 type rspec rake cleanup

(#10026) Re-arrange provider and type spec files to align with Puppet.

If moved the spec files now under 'puppet' to align with how Puppet does it. This
also makes more sense as this lines up with the module/class names now.

The iptables_type_spec.rb is now just firewall_type.rb to designate it is for
the generic firewall type.

iptables_prov_spec.rb is now iptables_spec.rb. The provider part is implicit
in the path.

(#10026) Add aliases for test,specs,tests to Rakefile and provide -T as default.

I've cleaned up the Rakefile a bit so that the aliases:

* test
* specs
* tests

Now point to "spec". The (s) versions are used by rvm but generally these are
all provided for convenience in case someone uses the wrong form.

I've also changed the default rake task to show the list of tasks (rake -T).

The description for rake spec is also a bit longer.

Merge branch 'ticket/9439-existing_rules'

* ticket/9439-existing_rules:
  (#9439) fix parsing and deleting existing rules

Reviewed-by: Ken Barber <ken@bob.sh>

(#9439) fix parsing and deleting existing rules

Previously we hadn't been able to parse existing rules that were missing
a comment field. This patch fixes that by using an MD5 hash of the iptables
raw line as the name of the property.

We have also cleaned up the way we delete arguments by adding a new
delete_args function to return valid delete_args. Instead of having to work
out the rule order we now just delete the rule based on the specification.

Merge pull request #11 from kbarber/ticket/9583-missing_distro_support

(#9583) Fix provider detection for gentoo and unsupported linuxes for the

(#9583) Fix provider detection for gentoo and unsupported linuxes for the iptables provider.

Previously we had fairly specific confine settings for named distributions
of linux for the iptables provider. This was silly, since the commands
defined in the provider should be enough to confine the provider to Linux
only systems.

I've removed the confine, and replaced the defaultfor to be:

  :kernel => :linux

Which should avoid the need to keep adding extra Linux distributions.

I've also added some spec tests for provider detection which should help
catch any failures around the command based detection in the future.

Merge pull request #10 from kbarber/ticket/9576-test_cleanup

(#9576) rspec test cleanup

Reviewed-by: Ken Barber <ken@bob.sh>

(#9576) Stub provider so it works properly outside of Linux.

(#9576) Stub iptables type so it will execute on platforms other then linux.

This change will help us target other platforms for this type. I've also
removed old helpers to align with Puppet core spec_helper. While this might
seem more invconvenient it provides more consistency with core Puppet type
testing.

(#9576) Align spec framework with Puppet core.

The point of this change is to align the spec testing behaviour with Puppet core
so we can get similar behaviour and less problems if we ever want to move this
type into core.

Merge pull request #9 from bookest/patch-1

use iptables-save in the persistent rules example

use iptables-save in the persistent rules example

fix provider source parameter

create ip6tables test manifest

create ip6tables provider

add newvalue ipv6-icmp to proto

improving rule slicing and dicing

convert class variables to instance variables so we can have unique attributes for each type

small refactor of value munging of existing rules

Merge branch 'master' of github.com:puppetlabs/puppetlabs-firewall

allow only a single source or destination value per resource. fixes #2

allow only a single source or destination value per resource. fixes #4

fix state array in readme.pp rule

fix --libdir in iptables example run script

Fix iptables option ordering issues (thanks to Adrian Bridgett)

Removed a bug I introduced from the last commit. 'desc' is not valid in ensure values.

(#6) - added action property to type for future provider support.

Applied docs to explain putting rejects in post stage (#4). Plus some re-organisation of documentation to bundle property types together.

Removed iptables stuff, introduced features and cleaned up docs & validation.

I've removed a lot of iptables specific stuff from the type, also
allowed any chain to be defined in :chain or :jump so we can support
user chains.

A lot of the documentation for the type has been cleaned up a little
and validation has been simplified where applicable.

This commit brings in the usage of features so we can start to introduce
more backend providers. The work is just a start for now and will
probably radically change once we have other working providers in
place.

replace String#lines with a String#split to ensure compatibility with Ruby 1.8.5

ensure the name parameter starts with a digit

Added quickstart not on how to make firewall rules persistent.

use setup methods in iptables_prov_spec

use setup_resource method in iptables_type_spec

create helper methods for provider, resource, and instance setup

Add note about pluginsync for installation.

add masquerade sample to test manifest

fix outiface validation to check for postrouting chain

Small example for MASQUERADE.