Merge pull request #100 from mediatemple/16004-fix_uidgid

(#16004) uid/gid array_matching is contraindicated.

(#16004) array_matching is contraindicated.

With ":array_matching =>:all", uid/gid rules are reloaded with every
Puppet run.  This is ugly and annoying, and arguably wrong.

Merge pull request #91 from saysjonathan/rspec_new_api

rspec 2.11 compatibility

rspec 2.11 compatibility

Merge pull request #89 from kbarber/ticket/master/10322-error_with_same_chain_diff_table

(#10322) Insert order hash included chains from different tables

(#10322) Insert order hash included chains from different tables

This fix corrects the insert_order handling to make sure that not only are
rules from the same chain evaulated, but we also check that the table
matches as well.

Merge pull request #87 from dcarley/15556-icmp6_codes

(#15556) Support for ICMP6 type code resolutions

(#15556) Support for ICMP6 type code resolutions

Add support for IPv6 ICMP code types as strings, which differ in mapping
from IPv4. A subset of the currently supported strings for IPv4 are
supported where applicable to the IPv6 specification.

Currently the only way of determining the protocol family is by whether the
provider is :iptables or :ip6tables. This can be changed within the type in
the future.

Merge pull request #86 from Whopper92/readme_best_practices

Update formatting of README to meet Puppet Labs best practices

Update formatting of README to meet Puppet Labs best practices

Merge branch 'ticket/master/14755-stub_iptables_facts_for_set_mark_tests'

* ticket/master/14755-stub_iptables_facts_for_set_mark_tests:
  (#14755) Stub iptables facts for set_mark tests

(#14755) Stub iptables facts for set_mark tests

Tests both paths of new set_mark code for IPtables 1.3.2 and 1.4.2

Also allows these tests to run independently of the version of IPtables on
the host machine, if any at all.

Merge branch 'fix_mark'

* fix_mark:
  (#14755) Stub iptables_version for now so tests run on non-Linux hosts
  (#14755) Fix mark to not repeat rules with iptables 1.4.1+.

(#14755) Stub iptables_version for now so tests run on non-Linux hosts

Without a stub some tests fail on non-Linux hosts. This is because they are
expecting a particular version of iptables to exist which isn't always true.

The right answer for the provider is to actually allow the fact to be set
per test, but for now we are doing a global override just to make tests pass.

(#14755) Fix mark to not repeat rules with iptables 1.4.1+.

Merge branch 'ticket/master/14949'

* ticket/master/14949:
  (#14949) Added pkttype property

(#14949) Added pkttype property

This adds the pkttype property so we can match multicast and broadcast packets.

Merge pull request #85 from jasonhancock/ticket/15038-add_gre_protocol

(#15038) add gre protocol to list of acceptable protocols

(#15038) add gre protocol to list of acceptable protocols

Merge branch 'ticket/master/supported_versions'

* ticket/master/supported_versions:
  (maint) be clearer about what distributions we support

(maint) be clearer about what distributions we support

Merge branch '9364-normalise_addresses_to_cidr'

* 9364-normalise_addresses_to_cidr:
  (#9364 #10085) Normalise iptables-save to CIDR
  (#9364 #10085) Convert an existing test to CIDR

(#9364 #10085) Normalise iptables-save to CIDR

Normalise all source and destination addresses to CIDR notation as they are
reverse-parsed from iptables-save. This ensures that they match how
addresses are forward-parsed by the type with Util::Firewall.host_to_ip.

Fixes two issues which both principally affect EL5 and may affect other
providers in the future.

Issue #9364:
    Single IP addresses not representing a range should be qualified in CIDR
    notation with /32 for IPv4 and /128 for IPv6.

Issue #10085:
    Addresses with a dotted quad netmask representing a range should be
    qualifed with in CIDR notation instead.

(#9364 #10085) Convert an existing test to CIDR

Modify an existing test which has a source IP address without CIDR notation.
This will break after normalisation because [:params][:source] is expected
to be CIDR. Updating -s within [:line] too, since we aren't explcitly testing
that behaviour with this fixture.

Merge branch 'ticket/master/14938-travis_matrices'

* ticket/master/14938-travis_matrices:
  (#14938) Add more test variations for travis testing

(#14938) Add more test variations for travis testing

Include different variations of Puppet to be tested, and fix any pending issues
so all tests pass.

Merge branch 'travis_ci'

* travis_ci:
  (maint) Enable travis-ci support.

(maint) Enable travis-ci support.

Merge branch '13560'

* 13560:
  (#13560) OUTPUT is a valid chain for the mangle table

(#13560) OUTPUT is a valid chain for the mangle table

Merge branch 'ticket/10025-TCP-flags-matching-support'

* ticket/10025-TCP-flags-matching-support:
  (#10025) Make tcp_flags support a feature.
  (#10025) Add support for --tcp-flags

(#10025) Make tcp_flags support a feature.

(#10025) Add support for --tcp-flags

Merge pull request #60 from dcarley/10164-icmp_any

(#10164) Reject and document icmp => "any"

Merge pull request #79 from mediatemple/limitfix

(#14641) Fix for incorrect limit command arguments for ip6tables provider

Merge pull request #80 from dcarley/10274-zero_prefixlen_addresses

(#10274) Nullify addresses with zero prefixlen

(#10274) Nullify addresses with zero prefixlen

Modify the behaviour of Util::Firewall.host_to_ip, as used by the type to
parse source and destination addresses, to return nil if the resulting CIDR
represented address has a prefix length of zero. Includes type and provider
tests for IPv4 and IPv6.

IPtables silently omits rules with source and destination addresses that
have a prefix length of zero (eg. 0.0.0.0/0) because they are functionally
equivialent to not specifying any address. This was causing rules to be
unecessarily reloaded.

The behaviour of Util::IPcidr remains the same. Now includes some additional
tests for it's identification of zero prefixlen IPv4 and IPv6 addresses.

(#10274) Document Util::Firewall.host_to_ip

Document the current behaviour of Util::Firewall.host_to_ip before it is
modified to handle addresses with zero prefix lengths.

(#14641) Fix for incorrect limit command arguments for ip6tables provider

Merge branch 'ignore_errors'

* ignore_errors:
  (#14590) Fix for when iptables-save spews out "FATAL" errors.

(#14590) Fix for when iptables-save spews out "FATAL" errors.

On some broken Virtuozzo containers, /lib/modules/$(uname -r)/modules.dep is
absent. This causes iptables-save to give some "FATAL" errors.  This patch
fixes the parser to ignore them instead of generating garbage rules that make
for errors in the puppet agent run.

Merge branch 'ticket/master/14455'

* ticket/master/14455:
  (#14455) Add tests for interface names containing a "+". Add a few missing tests for VLAN support.
  (#14455) Support interface names containing "+"

(#14455) Add tests for interface names containing a "+". Add a few missing tests for VLAN support.

(#14455) Support interface names containing "+"

Previously iniface and outiface wouldn't allow + in the interface names. This
patch fixes that.

Merge pull request #72 from jashort/ticket/13896-fix_example

(#13896) Fix Firewall Example

* (#13896) Changed 'jump' to 'action', commands to lower case

Merge pull request #69 from kbarber/ticket/10619-Unable_to_purge_rules

* (#10619) Add the table when deleting rules
* (#10619) Fix tests since we are now prefixing -t <table> during delete
* Fix extraneous trailing whitespace

Merge pull request #70 from kbarber/ticket/11305-support_vlan_interface

* (#11305) Support vlan interfaces
* (#11305) Add tests for VLAN support for iniface/outiface

Merge pull request #61 from adamgibbins/master

Improved Puppet DSL style as per the guidelines.

Fix extraneous trailing whitespace

(#10619) Fix tests since we are now prefixing -t <table> during delete

(#10619) Add the table when deleting rules

This fixes purging from tables other then 'filter'.

(#11305) Add tests for VLAN support for iniface/outiface

This adds tests generally for iniface and outiface, and includes examples
of interfaces with VLAN's to support that change.

(#11305) Support vlan interfaces (interface containing ".")

Merge pull request #68 from kbarber/ticket/master/13216-fixed_setup_instructions_in_readme

(#13216) Fix README so setup instructions actually work

(#13216) Fix README so setup instructions actually work

The old setup instructions were vague, and incorrect. This fixes those
instructions so they actually work, and breaks them out into their own
section.(#13216) Fix README so setup instructions actually work

Merge pull request #67 from dcarley/13201-autoreq_chain

(#13201) Firewall autorequire Firewallchains

(#13201) Tests and docstring for chain autorequire

Test for autorequire behaviour on :chain, :jump, and :chain + :jump params.
With both specified and default/undef :table and :provider params.

Document autorequire behaviour in docstring.

(#13201) Firewall autorequire Firewallchains

Autorequire Firewallchain resources for Firewall resources that have jump or
chain parameters. Remove require params from README examples now that
they're not essential.

Only deals with iptables and ip6tables providers, which have support for
chains. Doesn't attempt to weed out chains that might be builtin. Just let
Puppet determine which of the resources are really managed.

Merge pull request #63 from kbarber/ticket/master/13192_allvalidchains_order

(#13192) Fix allvalidchain iteration

(#13192) Fix allvalidchain iteration

Before this patch, we were getting errors because chain & table were swapped
during creation.

Merge pull request #62 from kbarber/ticket/10162-firewallchain_support_for_merge

Ticket/10162 firewallchain support for merge

(#10162) Fix examples for firewallchain in README

(#10162) Modify firewallchain name to be chain:table:protocol

We've decided to change the ordering of the namevar so that it is now:

    chain:table:protocol

So its closer to a linear hierachy ie. chain in table in protocol.

Previously this was table:chain:protocol which made less sense.

(#10162) Various fixes for firewallchain resource

* Convert commands to optional_commands to avoid iptables installation chicken
  & egg scenarios.
* Downcase tables to match the table names in xtables
* Force fully qualifying the name as <table>:<chain>:<protocol>, we can add
  meaningful defaults later.
* puppet resource <name> command wasn't working as expected, but stripping out
  some of the meaningful defaults I was able to get this to work.
* Reformat some of the code to avoid overrunning 80 chars where possible
* Remove trailing whitespace
* Add flush to provider so that resource modifications immediately update the
  resource in reports and when using puppet resource.
* Removed any commented out code
* Improved documentation
* Change policy so its undefined when not set, instead of being :empty
* Fix test mocking so they will run on a Mac

(#10162) add firewallchain type and iptables_chain provider

Add firewallchain type and iptables_chain provider. This is required
to support the firewall class and it is envisaged that an autorequire
will be used to automatically require the user chain. This type can also set
policies on inbuilt chains.

Provider covers ebtables (optional), iptables, ip6tables.

Make Puppet DSL compliant with the style guides and puppet lint.

(#10164) Reject and document icmp => "any"

iptables accepts the string "any" as an ICMP type and stores it behind the
scenes as the fake (IANA reserved) numeric 255. This is functionally
equivalent to not specifying an `--icmp-type` argument.

ip6tables didn't carry this "feature" over. Like many other providers, the
matching of any ICMP packet type is only achieved by omitting the
`--icmpv6-type` arugment.

For the purpose of simpler logic and future provider compatibility we
prevent people from using the value "any" and advise them to omit/undefine
the param instead.

Include a test that somewhat duplicates the prevention of invalid strings
but would preserve this behaviour should icmp_name_to_number() ever change.

Merge branch '12897-validate_log_params'

(#12897) Require jump=>LOG for log params

(#12897) Require jump=>LOG for log params

This validates that when log_prefix or log_level is specified the jump
should be 'LOG'

Merge branch 'ticket/10165-port-commasep'

* ticket/10165-port-commasep:
  (#10165) Display multi-value: port, sport, dport and state command seperated

(#10165) Display multi-value: port, sport, dport and state command seperated

Previously the output that changed was munged when puppet was being ran, this
change provides a comma seperated output when the values change instead.

Merge branch 'ticket/master/11673_ospf'

* ticket/master/11673_ospf:
  (#11673) Adding OSPF(v3) protocol to puppetlabs-firewall

(#11673) Adding OSPF(v3) protocol to puppetlabs-firewall

Added support for ospf to the proto property.

Revert "Merge pull request #34 from mediatemple/class-firewall"

This reverts commit bfbf01b08d6cf05795dd9b69815e8556e95dcf07, reversing
changes made to 0b55830db9447d0398b6b346bf513dfa6e2ccd08.

This patch breaks the build, and wasn't ready for merge. The rspec test
scaffolding wasn't prepared and hasn't been tested with this module properly.

Merge pull request #34 from mediatemple/class-firewall

Initial creation of class firewall for issue #10984

Merge pull request #50 from grooverdan/ticket/11443_fix_error_message

(#11443) simple fix of the error message for allowed values of the jump property

(#11443) simple fix of the error message for allowed values of the jump property

The condition on jump says its allowed accept, reject and drop. Update
the error message to say the same thing

(#11334) Fix broken call to super for ruby-1.9.2 in munge.

Merge branch 'ticket/master/11334-MARK_support'

* ticket/master/11334-MARK_support:
  (#11334) Add support for MARK target and set-mark property.

(#11334) Add support for MARK target and set-mark property.

This commit adds support for the set-mark iptables property and will validate
its use against the MARK jump target. This will also support handling decimal
or hexadecimal conversion where necessary.

(#10984) Initial creation of class firewall

* Add Exec[firewall-persist] to save rules.  This allows the host to
  have iptables rules on reboot, before puppet runs.
* Debian hates you.  Add iptables init scripts for loading iptables at
  boot on releases of Debian that do not have them already.
* Add brains to the iptables/ip6tables providers to ensure kernel modules
  are loaded.

(maint) Updated CHANGELOG.md to use bullet points for Changes for v0.0.4

Merge branch 'ticket/11114-release_0.0.4'

* ticket/11114-release_0.0.4:
  (#11114) Release 0.0.4 - CHANGELOG.md and Modulefile update

(#11114) Release 0.0.4 - CHANGELOG.md and Modulefile update

Merge branch 'ticket/10957-iptables-facts'

* ticket/10957-iptables-facts:
  (#10957) add iptables_version and ip6tables_version facts

(#10957) add iptables_version and ip6tables_version facts

These facts return the version of iptables or ip6tables by running --version
on the binary in question.

Merge branch 'ticket/10723-hosts_to_cidr'

* ticket/10723-hosts_to_cidr:
  (#10723) Munge hostnames and IPs to IPs with CIDR

(#10723) Munge hostnames and IPs to IPs with CIDR

Previously when hostnames were used in the source and destination properties
they were being converted to IP address by iptables. This meant that later
comparisons were failing because the property in code (a hostname) and the
'real' property returned by introspection (an ip address) were not matching.

This code using the munge facility will automatically detect and convert
hostnames to IP addresses in the type so the comparison works as expected.

The side-effect is that puppet does the hostname to IP conversion, not
iptables.

Merge branch 'ticket/11093-log_level'

* ticket/11093-log_level:
  (#11093) Improve log_level property so it converts names to numbers

(#11093) Improve log_level property so it converts names to numbers

Previously the log_level property was constantly reloading due to the fact
that iptables was converting names to numbers. So unless you were using
numbers in your log_level setting, it was constantly telling you it needed
to be changed.

Now we convert the names to numbers in the munge so when comparing it will
always hopefully match.

Also, the default value when the jump value is 'LOG' is now set to 4 (warn)
based on iptables own defaults.

Merge pull request #38 from mediatemple/owner-match

(#10718) Add owner-match support

(#10718) Add owner-match support

Merge pull request #39 from mediatemple/ipencap-fixtures

(#10997) Add fixtures for ipencap

Merge pull request #37 from mediatemple/whitespace

Whitespace cleanup. (#11034)

Merge branch 'ticket/10997-ipencap'

* ticket/10997-ipencap:
  (#10997) Add ipencap (protocol 4) support to firewall type property 'proto'

(#10997) Add ipencap (protocol 4) support to firewall type property 'proto'

This change adds ipencap as a viable option, and adds it to tests as well.

Merge pull request #33 from saysjonathan/ticket/10690-port

(#10690) add port property support to ip6tables

(#10690) add port property support to ip6tables

Add fixtures for ipencap