kernel-utun: install a bypass route along with an SA to its destination

If the tunneled subnet includes the IKE peer (default route), we have to avoid
that our IKE and ESP packets use the route (and source address) over the utun.

kernel-utun: implement get_nexthop() lookup using PF_ROUTE

kernel-utun: read PF_ROUTE messages from kernel using a receiver thread

kernel-utun: when installing host routes, set flag and omit netmask

kernel-utun: use always the same process ID, regardless of calling thread

kernel-utun: install policy by adding routes to utun device

kernel-utun: implement add/del_route() using PF_ROUTE

kernel-utun: use PF_KEY style setsockopts to create IKE bypass policies

kernel-utun: succeed UDP decapsulation call, as add_sa() does this for us

kernel-utun: filter address enumeration based on passed "which" flags

kernel-utun: specify NATT port when installing an SA with UDP encapsulation

kernel-utun: set a lower MTU and up() utun after installing address

kernel-utun: start traffic forwarding after enabling crypto on utun

kernel-utun: implement address enumeration, currently without support for kind

kernel-utun: allocate SPI from kernel, create utun before doing so

kernel-utun: add_sa() installs SA to utun

kernel-utun: enable utun crypto extensions when creating utun device

kernel-utun: Add a globally accessible enumerator for known utun devices

kernel-utun: support multiple tun devices, one for each virtual IP

kernel-utun: create a tun device when installing virtual IPs

kernel-utun: do interface lookup using getifaddrs()

kernel-utun: support SPI allocation directly in kernel-ipsec

kernel-utun: Add a stub for an OS X kernel backend using crypto-enabled utun

tun_device: add a getter for the address previously passed to set_address()

tun_device: Add a getter for the underlying file descriptor

child-sa: pass traffic selector to add_sa() regardless of IPsec mode

This lets the kernel backend decide what to do with it, and in fact all kernel
interfaces already handle this correctly.

socket-default: to bind to one dynamic port on OS X, create v4 socket before v6

It seems that the order of binding sockets of different address families to the
same dynamic port must be v6-before-v4 on Linux, but v4-before-v6 on OS X.

.gitignore: add OS X .DS_Store files

host: initialize sockaddr->sa_len if it is available

kernel-pfroute: fix length check when receiving PF_ROUTE messages

kernel-netlink: remove obsolete pluto specific behavior

socket-default: refactor socket pair opening to a function

socket-default: Don't try to send packet if we haven't a socket for given family

socket-default: Use -1 if socket is not available, as 0 is actually a valid fd

tun-device: use host_create_netmask() to calculate interface netmask

host: add a netmask constructor taking the number of network bits

host: remove unused host_t.get_differences() method

host: print %#H format specifiers not as %any, but with the port

semaphore: similar to thread_create(), semaphore_create() is used by Mach

The compiler spits no warning, but the wrong symbol is used when calling
semaphore_create() from strongSwan. Override the name with a #define to force
the use of our semaphore_create().

charon-cmd: Use dynamic ports with the socket-default plugin

settings: Add a set_default_str() to set a different default for a key

The value is set only if it is not configured in strongswan.conf or has
not been set() otherwise.

charon-cmd: prompt for EAP passwords on-demand using a callback credential set

charon-cmd: authenticate with EAP if no private key is given

charon-cmd: pass arguments to all handlers, even if already handled

charon-cmd: build long_opts only once when reading arguments in charon-cmd

charon-cmd: add support for using dynamic ports in charon-cmd

socket-dynamic: when sending from port zero, allocate a free port dynamically

controller: clean up job data if a thread gets cancelled waiting in a function

Controller functions are thread cancellation points, so register a cancellation
handler cleaning up job data.

charon-cmd: load certificates and RSA private keys

charon-cmd: add a connection object and its initiation to charon-cmd

charon-cmd: move command line options to separate file, obsolete short options

charon-cmd: add a stub for charon-cmd, a simple command line IKE client

eap-radius: Add an option to exclude ports from Called/Calling-Station-Id

version bump to 5.0.4dr1

fixed another printf statement

fixed printf statements

emit a single assig_vips bus message for all VIPs

ifmap plugin subscribes to assing_vip bus signal

Added missing sasl Doxygen group

unity: Check IKE_SA in only after enumerating virtual IPs

fixed configure options

cleaned up XML code in tnccs-11 plugin

duplicheck: track multiple IKE_SAs in checking state to avoid any races

When two consequent duplicates have been detected, track state of each checking
IKE_SA separately, avoiding potential race conditions between the active SA
and the different SAs in checking state.

fixed memory leak

properly handle orphaned renewSession jobs

support chunked HTTP responses

implemented periodic IF-MAP RenewSession request

Refactor check_for_rekeyed_child() in quick_mode task

Reuse reqid of an existing Quick Mode, even if it has been rekeyed

If two peers rekey Quick Modes at the same time, the original Quick Mode is
in REKEYING state and hence the requid is not reused. This is required though,
as two identical policies won't work if they have different requids.

List all stroke counters when "all" is given, and report if connection not known

Defer CHILD_SA rekeying if allocating an SPI fails

Accept a certificate/key pair to use client authentication in tls_test

version bump to 5.0.3

allow retrieval of private keys from other credential sets

improve checking of sent and received http messages

Updated strongswan.conf(5) man page

Load raw keys before possibly destroying the identity

If no identity (or %any) is configured the identification_t object is
destroyed and an invalid object was associated with the created pubkey
certificate.
Actually using %any does not work as the certificate would not match
when the client later provides an identity.

ipseckey: Use proper daemon name for enable option

Properly handle situation if no resolver plugins are loaded

fixed capability metadata

fix start of wpa_supplicant

updated strongswan.conf man page for tn_ifmap plugin

renamed tnc_ifmap2 plugin to tnc_ifmap

removed obsoleted tnc_ifmap plugin

implemented http basic authentication

parse IF-MAP server URI

implemented publish_enforcement_report and endSession methods

implemented publish_ike_sa method

ifmap message type is known

implemented publish_device_ip method

added IF-MAP SOAP error handling

created tnc_ifmap2_soap_msg class

implement NewSession and PurgePublisher messages using the libxml2 library

set up a new IF-MAP session

fixed typo

Fixed Doxygen comment in eap_radius plugin

Fix detection and use of netinet/ip6.h on FreeBSD

Don't set USE_ATTR_SQL when the sql plugin is enabled only

Make some private functions in plugins static

Fixes monolithic build.

Use new strongSwan HA kernel patchset keeping iptables ABI

Allows us to install stock debian iptables without the need for patching and
compiling our own.