Fix memory leak in trustrouter.c

In the trustrouter.c file, servers were being created using
talloc_zero() instead of tls_server_conf_alloc(). Thus, the
destructor _tls_server_conf_free() which frees the SSL_CTX
object was not being called.

Merge pull request #1982 from alejandro-perez/v3.0.x

Some fixes to the trustrouter related code

Set idle_timeout to 5s to all the dynamic home servers

Dynamically generated home servers get eventually replaced.
We want sockets using these servers to close as soon as possible, to make sure that whenever a pool is replaced, sockets using old ones will not last long (hopefully less than 300s).

Increase the amount of time a pool spends in the garbage list

Under specific circumstances (e.g high authentication load) a client might keep using an old pool since the socket did not expire. 60 seconds seems too low.
Increased to make sure we do not delete it while it is still being used.

Remove unnecessary check to update REALM

Existing code precluded a REALM from being updated if there were traffic within the last 5 minutes.
This is an error since when the TLS keys expire, the home server will reject client’s attempts to establish a connection, leading to up to 5 minutes of denied user authentications.

note recent changes

disable internal OpenSSL cache

8 and 9 have tags, too

set S_IWUSER when creating the file, not later

added one more attribute

update detail reader documentation

Closes #1973

Patch from Jeff Gehlbach

The problem is that "radiusObject" is defined with an OBJECT-IDENTITY
macro, but it needs to be done with OBJECT-TYPE (i.e. a leaf node) to be
eligible for use in the OBJECTS clause of a NOTIFICATION-TYPE macro.
I've gotten jsmiparser happy by making that change, declaring the
object's syntax to be SNMP-FRAMEWORK-MIB::SnmpAdminString and setting
its max-access to "accessible-for-notify". These changes are reflected
in the attached version of the MIB definition.

Merge pull request #1964 from alanbuxey/v3.0.x

stop rotation of the session database files

stop rotation of the session database files

you really don't want to be rotating these under the server - they are
not normal log files but are stateful session files (used by various
utilities). these were removed from the logrotate some time ago but
appear to have crept back in.

terminate && check VP

account for trailing zero.  Closes #1960

Revert "these messages don't need to go to the main radiusd.log"

This reverts commit 1f1a02baae35080b4037af88c709ef6c0ccdd2d7.

note recent changes

these messages don't need to go to the main radiusd.log

Merge pull request #1961 from alanbuxey/patch-8

corrected some types and grammar in comments

corrected some types and grammar in comments

Don't crash on unexpected regex.  Closes #1959

check for request->packet.  Closes #1935

Fix typo.  Closes #1955

note recent changes

these attributes are byte, not integer.  Closes #1954

start of peapv1

Merge pull request #1952 from spbnick/rlm_ldap_segfault_fix

Handle connection error in rlm_ldap_cacheable_groupobj

Allow utc.  Patch from Peter Lambrechtsen

Handle connection error in rlm_ldap_cacheable_groupobj

Closes #1951

cf_log_err(), not fr_strerror_printf()

map_cast_from_hex() does not produce error messages

note recent changes

re-add SSL wrappers for freeing VPs and Certs.

because OpenSSL caches things at it's own pleasure...

more cisco VPN attributes

Add Attribute 3076/85 (CVPN3000-Tunnel-Group-Lock)

http://www.cisco.com/c/en/us/support/docs/security/ios-easy-vpn/117634-configure-asa-00.html

note recent changes

Search from the beginning for altname.  Closes #1946

Allow no cert when psk is configured

remove outdated link

Ensure that error is always initialized

Remove always-false condition from cf_item_parse

Remove always-false condition in rlm_eap_fast

return RLM_MODULE_FAIL for default switch statement

close open FDs on error, and use error path in more situations

remove unused variable

Merge pull request #1941 from spbnick/openssl_1_1_cert_perms_fix

Relax OpenSSL permissions for default key files

Relax OpenSSL permissions for default key files

Recent versions of OpenSSL appear to create keys with owner-only
permissions. Allow owning group to read the created default key files
in raddb/certs, so that they stay the same as with older OpenSSL, and
that the server can read its key.

port ranges haven't been supported for years

request->packet cannot be NULL. Helps with #1935

Allo session resumption for RadSec connectins.  Closes #1936

Coverity.  Closes #1937

more checks for client certificate expiration

Remove microseconds from %S.  Closes #1934

note recent changes

enforce TLS client certificate expiration on session resumption.

Merge pull request #1933 from spaetow/patch-1

Add enhanced checks to avoid targeted_id_salt leakage over %, {, and } in the salt

Update moonshot-targeted-ids

Merge pull request #1931 from sjbronner/patch-1

Fix command for linking modules in mods-enabled.

bump for 3.0.14

radtest should use Cleartext-Password for EAP

Fix command for linking modules in mods-enabled.

Running `ln -s mods-available/foo mods-enabled/foo` will result in a dead link: `mods-enabled/foo` will point to `mods-enabled/mods-available/foo`, which doesn't exist. The link is relative from its location, not from the current directory from which it was created.

The easiest method that allows using tab completion is to link from within `mods-enabled`. The second parameter to `ln` can be left off in that case, as well. This is the change I have proposed. Another alternative would be to run `ln -s ../mods-available/foo mods-enabled/foo` from the `raddb` directory.

note recent changes

add missing \n

note recent changes

print summary if asked to do summary.  Even without -x

fr_log_fp ,ay be NULL.  Closes #1926

rely on talloc for certs, too

Don't double free VPs.  Fixes #1927

document IPv6 addresses

quiet compiler

Fix buffer overflow in fr_pton_port

note recent changes

Merge pull request #1592 from spbnick/dlopen_actual_libpython

Dlopen the actual linked libpython

Document python_path and gotchas.  Addresses #1845

add modules.sql.fail trigger.  Fixes #1923

The connection pool knows when connections are opened / closed.
It doesn't know as much when a connection fails

mod_conn_create should not be global

set talloc ctx to handler

set talloc parent to sock for thread safety

recursive recursion is bad

fmt may be NULL.  Fixes #1922

add usec resolution to %S.  Fixes #1917

typo

better documentation for ipaddr & friends.  Fixes #1921

Merge pull request #1920 from spbnick/auth_type_system_removal

Remove mentions of Auth-Type = System from docs

Remove mentions of Auth-Type = System from docs

Remove mentions of "Auth-Type = System" support from the manpages,
as it is removed.

Merge pull request #1919 from spbnick/fr_pton4_hostname_fix

Handle hostnames in fr_pton4/6

Handle hostnames in fr_pton4/6

Make fr_pton4/6 handle hostnames longer than the longest address +
prefix.

Merge pull request #1916 from spbnick/v3.0.x_openssl_1.1_fix_2

V3.0.x openssl 1.1 fix 2

Check for EVP_CIPHER_CTX_new in rlm_eap_pwd

Switch to checking for EVP_CIPHER_CTX_new instead of EVP_cleanup to detect
presence of libcrypto in rlm_eap_pwd configure.ac, because EVP_cleanup was
removed as symbol from OpenSSL 1.1, and the check would always fail.

Previously only rlm_eap_fast configure.ac was switched.

Switch rlm_eap_pwd to HMAC_CTX_new/free

Switch rlm_eap_pwd.c to using HMAC_CTX_new and HMAC_CTX_free to
allocate/free HMAC contexts, thus making it support OpenSSL v1.1.0.

Use openssl dhparam instead of obsolete gendh

Use `openssl dhparam` command in raddb/certs/Makefile instead of the
obsolete (and removed in OpenSSL v1.1.0) `openssl gendh`.

Merge pull request #1915 from spbnick/zero_char_pointer_compare_fix

Fix three cases of comparing pointer to zero char

Fix three cases of comparing pointer to zero char

Fix three cases of comparing pointer to a zero character, where pointers
were apparently intended to be dereferenced first and then compared.
Found with the help of GCC 7 warnings.

Dictionary from cnergee.

Which modifications so that the names don't conflict with
existing ones.

suid down after fchown.  Fixes #1914

Dlopen the actual linked libpython

In rlm_python, if dl_iterate_phdr(3) is available, dlopen libpython
shared library at the actual path it was linked with on loading, instead
of with just its linker name (version-less SONAME).

This removes the need to have the linker name symlink (e.g.
"libpython2.7.so") in library directory, which is normally installed
only with the development packages. I.e. this removes the requirement of
having python-devel/libpython-dev installed, when loading rlm_python.

Added systemd reload.  Fixes #1662

v3.0.x has limited support for reload.  While it limited, it
is possible.  So supporting it is useful

make the install process a little clearer

pull openssl out as a macro