netfilter: updates