ldap: Add references for Active Directory 'Nested groups' (#3532)

v3.0.x certs: Don't drop extensions when creating server certificates; doc and Makefile tidy (#3529)

* certs: Reorder the deps for the Makefile targets

Makes the output of running `make` more logical: First the all the CA
certs steps, then the server cert steps, then the client cert steps.

* certs: Include configured extensions in the server and inner-server certs

We set "[ CA_default ] ... copy_extensions = copy" to ensure that the
basic constrains, key usage and subject alternate name extensions set in
the config file and included in the CSR are actually applied to the
resulting certificate.

* certs: Refer to safer Makefile targets

note recent changes

not available in older versions of OpenSSL

merge constant time fixes from "master"

Based on a patch from Daniel De Almeida Braga.

The code is now largely the same between master and v3.0.x,
which makes it easier to see that it's correct

Update dictionary.ruckus (#3523)

Add Ruckus-FlexAuth-AVP for ICX Switches

run through format.pl

Update dictionary.juniper (#3522)

Add Juniper-AV-Pair ATTRIBUTE

rlm_python3: Fix build against Python 3.8.x (#3504)

We don't need the compiler '-specs=/path/whatever.specs' that comes from Python

Update dictionary.foundry for 3.0.x (#3505)

Add Foundry-COA-Command and Foundry-Voice-Phone-Config for ICX Switches

request->home_server may be NULL after proxying

if all proxying fails

note recent changes

retry TCP / Radsec proxying if the connection attempt fails

set label for TLS 1.3 in eaptls_success()

as the label is the same for all TLS-based EAP versions.
If it ends up being different for FAST or TEAP, well, we can change
that later.

switch to just using TLS1_3_VERSION

instead of checking for a particular revision of OpenSSL

note recent changes

echo EAP-Key-Name back, if requested

as per RFC 7268 Section 2.2

v3.0.x: TLSv1.3 support for EAP-{TLS,TTLS,PEAP} (#3516)

* eap-tls: tls version 1.3

draft-ietf-emu-eap-tls13 (tls) and draft-ietf-emu-tls-eap-types (ttls/peap)

* SQUASH: remove unneeded line, compilers complain about more readable code rather than sensibly optimise away

https://github.com/FreeRADIUS/freeradius-server/pull/3516#pullrequestreview-443451513

* SQUASH: comment about early data

* SQUASH: middleware boxen comment

* SQUASH: method of using context is too confusing retain original behaviour

Apply previous pool changes for default server to decoupled-accounting

Amalgam of:

c388934758640bf6708f2b489f48218080212a0b
81cf0fb15e3c734fb029d355031c5fea62959e24

Bring v3 dhcp_sqlippool config in line with V4

Rather than putting returned addresses into Framed-IP-Address and then
copying into DHCP-Your-IP-Address, place the IP address directly into
the correct attribute.

Add comment to clarify need for Pool-Name

New helper scripts for defining IP pools and aligning sqlippools

generate_pool_addresses.pl allow multiple pools, each containing one or more
address ranges (IPv4 or IPv6) to the specified by YAML file and will output a
list of addresses meeting the specification.

These address ranges may be defined as contiguous or sparse (useful in the case
of IPv6!). In the case of sparse ranges, if a file listing pre-existing
addresses is supplied then these are used. The remainder of the addresses (up
to the given capacity of the range) are allocated randomly.

align_sql_pools.pl takes the list of addresses output by
generate_pool_addresses.pl and generates a set of dialect-specific SQL
statements to align the sqlippools, preserving any existing leases that are
using an addresses that is retained in the pool.

Add 'dictionary.format' target just to keep organized

Add missing DHCP6 Alcatel attributes

note recent changes

check for TAG_ANY.  Fixes #3491

looks like package has been renamed

freeradius.spec: tidy

update freeradius.spec for new sql configs

Minor spelling fixes in man files

Signed-off-by: Alexander Scheel <ascheel@redhat.com>

use talloc_zero_array

more debug messages

more complaints

DHCP Release pool config should be a comment as with other examples

Refresh dhcp-ippool queries and stored procedures

Almost identical to the RADIUS ippool queries but worth maintaining
differentiation since in future the queries may honour a
Requested-IP-Address.

proto_dhcp: Server must echo DHCP-Client-Identifier if given

As per RFC 6842.

dhcp_sqlippool: Key pool entries by DHCP-Client-Identifier if it is given

dhcp-sqlippools: Realign module configuration with sqlippools

Since the introduction of dynamic pool names this has been looking for
pool_name with an incorrect scope.

DHCP sqlippools: De-allocate IP address upon receiving DHCP Release

Allow the developer build macro WITH_VERIFY_PTR to be disabled

-DWITH_VERIFY_PTR=1 significantly scews the function call profile.

rlm_perl: Add missing %RAD_PERLCONF as our()

crypt may return a string when the salt is invalid

allow unpacking the rest of the string

more error messages

Add ubuntu20 to Jenkins

MySQL: Use correct syntax for creating the radius user

This syntax works from at least MySQL 5.7 to MySQL 8 and corresponding MariaDB
versions.

dynamic_home_servers.md: Add references for listing the home servers

Python3 fixes (#3350)

* python3-config for Python 3.8 requires --embed parameter

As described in https://bugs.python.org/issue36721, python3-config now
requires --embed for embedded interpreters. Otherwise, -lpython3.8 is
not included in ldflags

* Python 3.8 has removed the "m" suffix in the library name

As discussed in: https://bugs.python.org/issue36707

* Use dl_iterate_phdr to find the appropriate python library

Otherwise, installation of the libpython3-dev packages is required
in most distributions

* Update configure file for rlm_python3

* Use AX_COMPARE_VERSION to check Python version

rlm_sql_mongo: Added support for aggregation pipelines to findAndModify

MariaDB sqlippools: New SP that emulates SKIP LOCKED using "user locks"

If we're careful we can emulate the SKIP LOCKED pragma by using user locks with
names based on the framedipaddress.

Testing shows greatly improved throughput largely due to preventing thread
starvation under highly concurrent load.

radmin: Add capability to show more about the home servers

Now we can know the home server name and if is dynamic or no.

e.g:

radmin> show home_server list all

update crossbuild dockerfiles

- add ubuntu20
- add centos8
- bump node from v8 to v10
- fix llvm key on some images
- fix nodesource source repo issue in centos

fix files tests

crossbuild: env var to pass options to docker build

e.g. --no-cache

add dockerfile for ubuntu20

manually set reply->code = challenge

for the case when we manually create an identity request

update debian/ubuntu build-dep

catch EAGAIN, too

radclient: The '-c' value should be >= 1

If we pass '-c 0' causes an infinity loop.

remove 256 limit on "show clients" and "show home servers"

remove duplication

note recent changes

clean up and point to "howto" guide

Fix rad_authenticate() to handle the new 'Home-Server-Name'

doc/configuration/dynamic_home_servers.md: Fix typo

home_server_delete() should delete also from 'home_servers_bynumber'

home_server_delete() should look up by name, not file

Fix missing \n

home_server_afrom_file() single exit

home_server_afrom_cs() expects the subsection

Fix typo, it's should be 'home_server'

home_server_afrom_file() expects the file fullpath.

Verify if 'directory' is set before proceeding.

Update proxy.conf with new 'directory' parameter

resource-check virtual server for triggering control flow updates (#3398)

rlm_always: xlat for setting module status and rcode via unlang (#3396)

Parity with: radmin -e 'set module status db_status {alive,dead,notfound,...}'

enable delta CRLs.  Fixes #3393

Fix typo, It should be WITH_TLS. (#3394)

document updates

error out on TCP / TLS home servers

Typo (#3391)

experimental document on dynamic home servers

add `%{home_server_exists:name}`

allow proxying to home servers by name

use a better name

realms: Clarify the message (#3388)

proxy: Add missed 'dynamic' option in proxy.conf (#3389)

radmin: Fix 'home_server' (#3387)

Quiet the compiler (#3386)

realms: Fix missing closedir() (#3385)

fix issues and allow for loading of dynamic home servers at boot

fix typos

added provisions for dynamic home servers

and glued them into radmin.

Untested as of yet.

allow request_will_proxy() to return an error

and check it in request_running()

rlm_cache: Fix sanity check for driver name (#3371)

Fix memory leak in radsniff (#3360)

We should call pcap_freealldevs() always after pcap_findalldevs()

note recent changes

allow receiving CoA packets on TLS listeners, too.  Helps with #3356

allow reception of CoA responses over TLS.  Helps with #3356

fix typo