note recent changes

document new config

Merge pull request #2481 from 2128506/v3.0.x

V3.0.x

Expose more TLS options in MySQL driver
Availability of TLS and reconnect options in MySQL driver checked by using MySQL version instead of ifdefs

check home server, not pool for virtual server.

We already picked a home server from the pool.  And in some
cases, there's no pool, just a home server.

add Module-Failure-Message here, too.  Helps with #2464

add Module-Failure-Message on failure.  Addresses #2464

bump the upper limit by a bit, to daily or so

add 'M' as per v4 for packet usec

only print open / close messages in debug mode

otherwise we spam the logs with things that aren't relevant.

The code already produces ERROR messages for error situations,
so that's fine.

Merge pull request #2359 from mcnewton/v3.0.x

add crypt xlat

add crypt xlat

fixes for OpenSSL 1.1.1

Only send a single session ticket if the session cache is enabled,
and no session tickets if its not

whitespace and minor fixes

It's important to keep consistent formatting, otherwise it
all goes to heck

Merge pull request #2429 from maximumG/2395-sqlippool-allocate-clear_v3

issue 2395 sqlippool allocate clear v3

more notes

Merge pull request #2439 from restena-sw/patch-1

clarify which CA certs to include when using certificate_file without ca_file

clarify which CA certs to include when using certificate_file without ca_file

Sending the root serves no useful purpose; the client has this root CA installed and verifies against that trust base, or it doesn't. No amount of sending it as part of the untrusted cert data will make the root CA any more or less trusted.
The previous wording was confusing for eduroam admins and consequently we see many who send a superfluous *root* certificate with their server cert. This typically costs another 1-2 roundtrips for no real purpose.
The new wording is more explicit that *intermediate* CAs are a good idea, but no root.

Add support for timeout on sqlippool allocate_clear

Add allocate_clear_timeout support to sqlippol

if not otherwise specified, set maximum TLS version to 1.2.

If TLS 1.4 is defined, we just use TLS 1.2.  As we have no idea
what to do for TLS 1.4.

If TLS 1.3 is defined, we use TLS 1.2.  Because the standards
for EAP-TLS are not finished yet.  Much less those for TTLS and
PEAP.

keep just the license text

added dictionary for RFC 8045

Note that it has 3 attributes, all TLVs.  Unlike other dictionaries,
these attributes share the same sub-TLV space.  Since we can't
represent that in v3, we just gave them different names.

update copyright to 2019

add LICENSE to CC BY 4.0

and fix various formatting issues

notes on cipher_server_preference being likely wrong

config is 'const'

Merge pull request #2419 from alejandro-perez/patch-1

Complete and improve realm module documentation

Complete and improve realm module documentation

Add attribute number 14 (HPE-Port-MA-Port-Mode)

        <Attribute profile="in out" type="Unsigned32" name="HPE-Port-MA-Port-Mode" id="14">
          <ValidValues>
            <ValidValue enumOrdinal="0" value="User-Based"/>
            <ValidValue enumOrdinal="1" value="Port-Based"/>
          </ValidValues>
        </Attribute>

note recent changes

check for Vendor-Specific only if vendor==0

remove sql_fields

Lots of code, and nothing ever used it.

Add latest-alpine Dockerhub tag, too

Fixes #2306

only do clear if it's configured

Merge pull request #2394 from alejandro-perez/patch-3

Use tabs for indentation

Use tabs for indentation

Merge pull request #2393 from alejandro-perez/patch-2

Be a bit more verbose in trustrouter.c

Merge pull request #2392 from alejandro-perez/patch-1

Make realm examples be more generic

Be a bit more verbose in trustrouter.c

Add realm name associated to trust router queries in debug messages

Make realm examples be more generic

Current examples were very specific referring to Painless Security and janet.
Use more generic realms.

note recent changes

Merge pull request #2391 from mcnewton/v3fixes

Tidying for next release

make lintian happy on debian stretch

enable more hardening options on debian

consistent formatting

typos

update some copyrights

notes on PSK, certs, and TLS 1.3

note recent changes

Fix code to note that PSK + certs is forbidden by the spec

disable TLS 1.3 for EAP-FAST

push free coa until after child has returned

Note recent changes

typo

perhaps a better way of working around the issue.

Only warn about the OpenSSL bug if we're using TLS1.3.

free request->coa on cancel, too

disable TLS 1.3 for OpenSSL >1.1, AND PSK AND certs

because OpenSSL doesn't support it.  Should help with #2390

move "check for connection down" to coa_retransmit

as it is called from multiple places, it should check for
error conditions that apply to it.

add CANCELLED state to request state machine.

This is administratively cancelled, to distinguish it from a
"finished normally" state.  The main difference is that for
"finished normally", we send CoA packets.  On cancellation,
we do not.

don't free request->coa on a timer

the timer is hit multiple times, and not just at max_request_time

this hasn't been in the server for a while

note recent changes

request->home_server may be NULL

don't print two error messages

Fix timers with CoA.  May help with #2308 and #2328

The maximum time for CoA packets should be enforced from
when the CoA packet started, OR from `mrd`.  Further, the
max time calculation shouldn't touch `request->delay`, because
that is used by `coa_retransmit()`

fix problems with previous commit

and more...

remove more spurious commits

remove merge text

fix typos  From #2296

typo.  Fixes #2357

note recent changes

Merge pull request #2387 from mcnewton/hintsfix

Fix crash processing hints when using Fall-Through

Remove unnecessary pointer

radius_pairmove can change request->packet->vps in some situations
meaning request_pairs is left dangling at an old address.

This restores the v2 "Fall-Through = Yes" behaviour, too (i.e.
match on the current version of the request, not the original
incoming packet attributes).

Fixes #2380

Clarify documentation on how hints works

Merge pull request #2386 from alejandro-perez/v3.0.x

Fix typo when verifying psk_identity and psk_password status

Fix typo when verifying psk_identity and psk_password status

Fix merge issue

Fix relatively severe memory leak in EAP-PWD

# Conflicts:
# src/modules/rlm_eap/types/rlm_eap_pwd/rlm_eap_pwd.c

allow certs && PSK.

Also document this in the default config

more descriptive error message

rearrange checks and make the error messages more descriptive

change test to soft fail if there's no session

in SSL init isn't finished, it's a soft fail if SSL_get_session()
doesn't return a session.

bump copyright

note recent changes

Merge pull request #2384 from alejandro-perez/v3.0.x

Add libssl1.1 as patched for Heartbleed

Merge pull request #2383 from SearchLightNZ/sqlippool_skip_locked

Include SKIP LOCKED queries as options for sqlippool, some notes, and some tidy up.

Add libssl1.1 as patched for Heartbleed

Add a note that ORDER BY RANDOM() is very slow.

This first gets all the free IPs, then randomises them, then selects the first one.

Comment out sqlippool PostgreSQL allocate_find query, so only one allocate_find query is uncommented, mirroring MySQL and Oracle queries configs.

Add SKIP LOCKED variations of sqlippool allocate_find queries as options.

Prevent crash in EAP-Fast if CHAP-Challenge is not the length we expect

remove references to v3.1.x, and replace with master

clarify message

close when connect fails

free empty nodes, too

note recent changes

don't artificially truncate debug output.  Fixes #2381

The buffer size for VPs being printed should be as long as
the attribute name, plus spaces, plus operator, plus quotes,
plus encoded content.  In the worst case, where a printable
string contains all binary data, it will be 4x the length of
the string.  So we'll need ~64 + 6 + 4*247, or a bit more than
1K of room.

That's pathological, so we don't care so much about it.
Instead, increase the size of the buffer so that common cases
aren't truncated.

Note also that we print out the *full* string, even if the
encoded version is truncated to 257 octets.  There's currently
no good way to expose that, unfortunately.  We would need to
add a callback to the *encoding* routine which took a print
function, and could then pass the *encoded* length to the print
function.

make it dependent on max_request_time

set timer for free of dynamic clients

instead of magic in client_free() where it's not really needed,
put the timer into listen.c.