Merge branch 'v3.0.x' into tr_rekey_rebased

Merge pull request #2035 from jimdigriz/winbind-v3.0.x

winbind build (v3.0.x)

winbind build

Fix for mikrotik_snmp not working

If the interface table is above a certain size, MikroTik does not show the ppp interfaces in the interfae table, but they are always in the mtxrInterfaceStatsName in MIKROTIK-MIB. Simply switching to that fixes the problem and should not break compatibility for current users.

Initialise home server prefix len to /32

Required since 9e659f9 compares prefix, this allows home servers to be found by IP for stats lookup

Merge pull request #2029 from candlerb/candlerb/samba

Convert freeradius LDAP schema to Samba4/AD format

Convert freeradius LDAP schema to Samba4/AD format

note recent changes

Allow paircompare to work with attribute references and expansions.  Hopefully Fixes #1947

don't re-open the file every time...

only open it when a new entry is created

FD may be -1 in entry

we always append to the file

clean up exfile code.

If it's not locking, skip all of the management logic

remove exfile_unlock()

It was only used in the detail file, when the detail file
called fdopen().  The exfile API called dup() just so that the
detail module could call fclose() on the fdopen'd FILE pointer,
and not have the underlying FD close.

It's better to just have the detail module dup() the FD itself,
and leave the main FD unchanged

remove dup().  It's not necessary

re-lock on re-open

Add note about rest fixes

Only switch ctx->state after we've received all the header lines for a header. Fixes #2027

fix typo introduced by commit fd672a96

fix typo.

bump for 3.0.16

travis fix for picky compiler

note recent changes

FR-AD-003 - Pass correct statement length into sqlite3_prepare[_v2]

FR-AD-002 - Bind the lifetime of program name and python path to the module

PySys_SetPath and PySys_SetName don't appear to duplicate the buffer, they just store a pointer.

a normal ASN1 time is 13 octets

YYMMDDHHMMSSZ

be more flexible about truncated ASN1 times

note recent changes

remove deprecated configuration item

print error on deprecated config items

print out why we couldn't parse the expiry time

swap checks for people who get excited over multiple messages

FR-GV-305 read the correct offset instead of uninitialized memory

FR-GV-304 - check for option overflowing the packet

FR-GV-303 - do memchr() of end-p, not q-p

FR-GV-302 - do checks based on pointers, not on decoded data

because decoded data may be empty

make data2vp_extended() be more like data2vp_wimax()

There is no exploit, but making the code simpler is good.

FR-GV-301 - handle malformed WiMAX attributes

FR-GV-206 - decode option 60 (string) not 63 (octets), and check length

FR-GV-201 - check input / output length in make_secret()

FR-AD-001 - (v3) use strncmp() instead of memcmp() for bounded data

Merge pull request #2014 from philmayers/patch-1

Add openssl to BuildRequires

Add openssl to BuildRequires

The build step:

BOOTSTRAP raddb/certs/

...run `openssl dhparam -out dh -2 2048` which means you need to BuildRequires: openssl - openssl-devel does not pull in the binaries

Use a mutex for accessing TIDC calls.

TIDC calls need to be serialized to prevent failures.
This commits introduces a new mutex for that purpose, and refactors
tr_query_realm() to make use of the new helper simplifying the code.

Implemented rekey functionality for the trust router client.

* Added rekeyer thread running a specific event list.
* Added option to enable/disable rekey functionality.

Each time a REALM is successfully queried from the trust router server, a
rekey event is scheduled to be executed 120s before the TLS keys associated
to that REALM expire (based on the home_server_t.expiration filed).

A rekey event consists on executing a new TIDC query using the same parameters
as for the original creation of the dynamic REALM, obtaining a fresh set of home
servers with new TLS keys.

If the rekey process succeeds, a new rekey event is scheduled as described
above. If a rekey event fails, it tries again after 10 seconds.
If it fails 5 times in a row, it stops trying to rekey the realm.

Define home server expiration field and configuration option.

TLS keys associated to dynamic home servers and realms expire.
However, FR does not know anything about this expiration time.
Instead, FR tries to use a home server until it fail to establish
the connection. Then a new REALM is negotiated and used until
the new keys expire.

This behaviour has the problem that it requires a failed connection
(and hence authentication) to realize REALM's keys are no longer
usable.

This commit introduces a new filed into the home_server_t struct,
called "expiration" that marks the point in time after the REALM
should not be used.

Ideally this field is established based on the received information
from libtr. However, an accessor for this information is missing.
While this accessor is implemented, a new configuration option
"realm_lifetime" is provided to manually indicate the lifetime of
a realm.

NOTE: Whereas "home_server_t.expiration" is an absolute time_t value
indicating a timestamp, "realm_lifetime" is a relative amount
of time to be added to time() at a REALM creation.

Coding style fixes.

* Trimmed trailing whites.
* Adopt proper line length.
* Add missing spaces after commas.

Fix typo for huntgroups bug as described in http://freeradius.1045715.n5.nabble.com/Problem-with-huntgroups-upgrading-from-2-2-9-to-3-0-x-td5744845.html

note recent changes

don't process VMPS packets twice

This doesn't need bash. SH is more portable

DLT_LINUX_SLL isn't defined everywhere

Add OpenBSD

default to using 2048 bit keys

Fixes for LibreSSL

length in bytes, not chbind packets

typo

Fix OpenSSL API issue.  Based on a patch from Guido Vranken

Provide HOSTNAME in the default unit files

# Conflicts:
# redhat/radiusd.service

move rad_authlog() for Access-Reject

to after running post-auth

Use the correct preun command

incorporate all redhat specific files into the tarball.  Closes #1987

Manual pull of patch

fix typo.  Closes #2006

Merge pull request #2003 from mcnewton/v3.0.x

update starent dictionary as posted to mailing list

update starent dictionary as posted to mailing list

notes on db_dir vs logdir

as posted to the list

fix printing of long hex values

do less alloc/free

don't truncate at 1K

ifdef out the whole function...

fixes for builds without TCP

expose WITH_DHCP to Make, and then don't build proto_dhcp

note recent changes

parse port.  Closes #2000

note recent changes

set 'sess = NULL' after freeing it.  Closes #1999

note that 3.0.14 wasn't released in March...

bump for 3.0.15

bump for 3.0.15

note recent updates

remove unnecessary assert

check before dereference.

Found by PVS-Studio

check before dereference.

Found by PVS-Studio

check for username, too

Merge pull request #1996 from alejandro-perez/v3.0.x

Fix deadlock

Fix deadlock.

This fixes a regression introduced in #8391d0ba8ebd2599212317259d26a17cfebb5b2a

note recent changes

make outgoing SSL_connect() non-blocking

Merge pull request #1995 from spaetow/patch-1

Update freeradius.spec with contents of PR #1991

As part of PR 1991, I forgot to update the FR SPEC file with the updated file list for mysql, postgresql and sqlite. Apologies!

Merge pull request #1991 from spaetow/v3.0.x

Add SQL backing to Moonshot-*-TargetedId generation

remove references to sql_log

note recent changes

as posted to the list

Merge branch 'v3.0.x' into v3.0.x

note recent changes

reduce scope of variable.  Found by PVS-Studio

request by be NULL.  Found by PVS-Studio

move shutdown calls into check for ssn->ssl.  Found by PVS-Studio