better checks for BEGIN / END

when a file has BEGIN without END, or END without BEGIN, it's now
caught in more (i.e. all) situations, and has better error
messages

put current filename / line into dctx

so that we don't mangle the filename in the stack frame.
this makes it easier to track which thing is taken from which file.

Don't cause SQL module to fail if sql_user_name expansion produces no result

This will typically be the case in accounting On and Off processing
where there is no User-Name attribute, but the expansion has been set
for use in other packet processing.

Add test of attr_filter where key attribute is missing

Move rlm_attr_filter to use a call_env

And fallback to DEFAULT if the key expansion produces no output.

audit errors for fr_strrror_printf_push() versus ifr_strerror_printf()

we should only call the push function after we have called another
API function which returns an error.

If we do a check ourselves, we should just call the printf()/const()
function.  That resets the error stack so we are the first error.

Otherwise when we call push() incorrectly, an old error will
remain on the error stack, leading to confusion

more cleanups

minor formatting / variable use

BEGIN-PROTOCOL can't be used inside of any BEGIN/END block, and
not just inside of another BEGIN-PROTOCOL

use push function for test, instead of manually changing the stack

use macros more often for common things

check and enforce PROTOCOL location

so that we can just push the new protocol, and we don't need
a push_or_update().  Which was wrong, because it incremented the
stack pointer before checking the stack entry

clarify checks

when we have END-, use the unwind function to find the matching
BEGIN-, instead of doing it manually.

when we're done reaading a file, look for unmatched BEGIN, and
remove the corresponding checks from process_include()

no need to smash stack_depth on every iteration

also cleans up corner cases of multiple ifs

make unwind() explicit

use TOP of stack frame, not ROOT

root is already used for root of dictionary, which this is not.

use name instead of bare 0

run through the formatter

just printf, not printf_push

allow STRUCT inside of a BEGIN union-thing

the BEGIN needs to use the full name, which is annoying.

the BEGIN union-thing refers to a union, where we can then find
the key attribute.  Which means that the STRUCT doesn't need a
key-name.  And therefore STRUCT devolves to ATTRIBUTE in that
case.

no need to use memcpy

allow 'key=ref' for attributes of type UNION

check union type in multiple places

attribute validation:
it can only be parented by a struct, because only structs can have
a key field.  Once we have full support for unions and refs, this
restriction can be relaxed

reading the dictionaries:
it can only used in a struct, along with other restrictions

allow union[...] syntax

for size of the union, ala string[1] or octets[1], or struct[1]

define EXT_KEY, to mirror EXT_REF

a UNION needs both a ref to the key, and also to have children.
However, everything else in the server either has a ref or children.
Plus, we don't want KEY refs to be automatically followed.

As such, we define a new extension type EXT_KEY, and then make it
largely identical to EXT_REF

don't print the attribute twice

and make the outout a bit easier to read

add FR_TYPE_UNION

which is not used for anything

remove many uses of Tmp-*

notes on MEMBER of type 'struct' with 'clone=ref'

it works in some cases, but not others.  Document why, so we can
remove other todo's from the list of v4 features

Add v3.2 dpsk xlat for calculating PMK from SSID and PSK

Using v4 naming convention

Correct debian sid release name

Update docs from raddb

Add rlm_dpsk to docs

Add sample rlm_dpsk config

Add rlm_dpsk to RHEL packaging

Add tests of rlm_dpsk auth

Port rlm_dpsk autz and auth from v3.2.x

Add alias to make FR DPSK attributes more friendly

Add internal attributes to support DPSK

Place all md4/md5 functions in a struct and swap the pointer where we're building with OpenSSL !fips

This prevents potential skew during startup

Remove errant exdents

Typo

Fix %internal.encode()

The xlat previously seemed to truncate output and skipped every other attribute

Temporarily disable casting to? from? FR_TYPE_ATTR

Code doesn't really make any sense, and it's apparently not exercised.

Fix tmpl dcursor so that fr_dcursor_head resets the iteration state

redo "fips=no" to "-fips"

as per commit 59e262 in the v3.2.x branch.

and don't document the openssl_fips_mode flag.  No one in their
right mind needs to be enabling or disabling FIPS mode for just
one application

Revert "change "fips=no" to "-fips""

This reverts commit 4340edae652b086078e8000a91899c3c73bd4e2b.

just swap out the function pointer the first time we check

so that we don't check an intermediate variable

use macro for common name

Add Debian 13 to Docker / Crossbuild tests

Add Debian 13 to CI tests

Debian sid now report "forky"

change "fips=no" to "-fips"

based on discussions with the OpenSSL developers in

https://github.com/FreeRADIUS/freeradius-server/issues/5631

and

https://docs.openssl.org/3.5/man7/property/#global-and-local

use native OSX data types

which despite the name "UInt32", are actually of different size
on different platforms.

Scheduled fuzzing: Update src/tests/fuzzer-corpus/dhcpv4.tar

Scheduled fuzzing: Update src/tests/fuzzer-corpus/util.tar

Scheduled fuzzing: Update src/tests/fuzzer-corpus/radius.tar

Scheduled fuzzing: Update src/tests/fuzzer-corpus/tftp.tar

Scheduled fuzzing: Update src/tests/fuzzer-corpus/dns.tar

Scheduled fuzzing: Update src/tests/fuzzer-corpus/bfd.tar

Scheduled fuzzing: Update src/tests/fuzzer-corpus/vmps.tar

Scheduled fuzzing: Update src/tests/fuzzer-corpus/tacacs.tar

Scheduled fuzzing: Update src/tests/fuzzer-corpus/dhcpv6.tar

add more tests to check triggers

Use enum to determine where limited port connections are tracked

Allocate array of connection pointers for static home servers

Populate and use num_ports in bio_thread_t

Add num_ports and connections to bio_thread_t

For tracking source port usage with static home servers

Split source port range and set reuse_port for all rlm_radius proxy modes

If the request has timed out request->timeout is cleared

Ensure limits are checked regardless of restricted source port range

Remove duplicate check

Increase retry timer limits for rlm_radius auth requests

Sometimes it is known that a home server will be slow to respond e.g. if
external MFA is involved that requires user intervention.

Enable new source port limiting for %radius.sendto.ipaddr()

Now tested to multiple home servers under load

Remove reference to files not in the packages

catch pop on running trigger, with empty stack

on TCP EOF, flush all writes, and shut down the BIOs

we don't need separate read / write BIOs

EOF is not always an error case

From the docs:

> If the read direction of the socket has shutdown, then the filter
> also sets EV_EOF in flags, and returns the socket error (if any) in
> fflags. It is possible for EOF to be returned (indicating the
> connection is gone) while there is still data pending in the socket
> buffer.

So we suppress printing an error on normal EOF.  Instead, we just
see if we need to reconnect the socket.

Arguably if the other end closes our read side, we _might_ be able
to write to the socket?  but we could still write to it.

check corner cases

we can't starve threads of ports :(

just pass errors through on read / write

the underlying BIO should call fr_bio_shutdown() if there is a
fatal error.

virtual_server_cf_parse returns a virtual_server_t not a CONF_SECTION

Use the thread source port range, rather than the instance

Split the restricted source port range per thread

We do use SO_REUSEPORT for some clients

Only unlink bio if it is in a chain

Correct bio chain re-link

ptrs may be NULL

at least one ptr has to be set

set flags before allocating parent

and unknown attributes can allocate EXT_VENDOR

which helps with unknown VSAs.  They previously result in a
Vendor-Specific { Foo { } } being allocated, and then an error
returned of "dict is read only".

At that point, the decoder would then create a raw top-level
attribute

revisit and clean up destructor vs shutdown

shutdown can be called on fatal error, and only stops the BIO.
the underlying BIO is still there.  This allows it to be called
from a BIO which is in the middle of a chain.

destructor calls shutdown first, and then frees the resources.
this allows a destructor to be called from anywhere, and then the
entire chain is shut down

clean up shutdown and destructor

some shutdowns can fail, so the function needs to return an rcode.

the destructors should just call the shutdown, so the caller can
just talloc_free() things, and have it all work properly.

the shutdown doesn't need to reset the destructors, as the main
fr_bio_shutdown() will do that.

update sbuff macros to catch more corner cases

FR_SBUFF_IN() is for reading from the sbuff.
FR_SBUFF_OUT() is for writing to the sbuff.

Using the same description for both is very confusing.  Allowing
a writeable sbuff to take 'char const*' input is bad.

hoist common checks to macro

use the correct sbuff macro.

OUT is for printing, IN is for parsing pre-existing data.

use the correct sbuff macro.

Ensure fr_bio_fd_open returns an error when there is one

WS

Add another Calix VSA we observed in the wild

Use better method for un-marshalling Perl values to pairs

No need to talloc a temporary box

Cast ruby string length to a consistent type

Add test using float value in mRuby