NPF_MAX_NETMASK
KASSERT(length <= NPF_MAX_NETMASK);
assert((mask && mask <= NPF_MAX_NETMASK) || mask == NPF_NO_NETMASK);
unsigned max_mask = NPF_MAX_NETMASK;