Remove reference to `radiusd -X` cert generation (#3573)

In 23ffb936ed1a743d817c804dc9bcd8920d6e28b0, cert generation
capabilities were removed from startup, due to long generation times.
This was left documented in the README.

Signed-off-by: Alexander Scheel <ascheel@redhat.com>

remove unused assignment

add tacacs_length()

which returns the minimum length necessary for a packet to be
passed to fr_tacacs_decode().

Note that the packet may still be invalid, because TACACS+ is a
crap protocol with almost random fields in random packets.  We
don't want to duplicate decode / validation logic in multiple places.

So even if fr_tacacs_length() returns that the buffer/buffer_len
is a TACACS+ packet, we may still have fr_tacacs_decode() return
"invalid packet".

check UNENCRYPTED flag, not multiple connections flag

more minor cleanups

free the decrypted packet when we're done, and on all error paths.

only talloc() the decrypted packet when it's needed.

xor should take 'const *hdr'

re-add packet header check

and also check arg_cnt before dereferencing anything

move to p/end instead of "remaining"

use similar macros for decoder

set 'p' before using it

minor cleanups and some notes

move to macros to avoid lots of cut&paste of similar code

and if a VP is missing, just encode it as zero.  It's not an
error.

we don't need a shell script wrapper any more

add tacacs to the fuzzer targets

use p/end for encoder

which removes many manual length calculations

use "-" instead of copying long argument lists

which makes it easier to understand what's going on

whitespace

minor cleanups

and check for arg_cnt overflowing the buffer

array[0] a the end of a struct is allowed in C

tacacs: Fix payload tests using real data

* Add encrypted payload validating the secret.
* Add flows as Request/Reply for auth/authentication/accouting
* Validating ARG_N parameters

tacacs: Enable tacacs tests

tacacs: Rename 's/TACACS_/FR_TACACS_/g'

tacacs: Add fr_tacacs_decode() function

It replaces the previsous implementation fixing several issues against
the https://tools.ietf.org/id/draft-ietf-opsawg-tacacs-07.html

tacacs: Add fr_tacacs_encode() function

It replaces the previsous implementation fixing several issues against
the https://tools.ietf.org/id/draft-ietf-opsawg-tacacs-07.html

tacacs: Fix accounting reply name

Let's use the same described in the RFC
https://tools.ietf.org/id/draft-ietf-opsawg-tacacs-07.html#rfc.section.6.2

tacacs: Add macros for start_request/request/reply packets

tacacs: Add 'TACACS-Version-Major' field

tacacs: Add 'TACACS-ArgumentList' field

tacacs: Delete fr_tacacs_packet*() old API

All the fr_whatever_packet_*() API are no longer used.

The proto_tacacs build is disabled as it uses the old listeners,
and we are replacing it with new APIs

tacacs: Typo

Update ippools queries to take advantage of allocate_existing (#3568)

Splitting the queries allows for significant perfomance boost.

Also tidied up the schemas to be consistent on providing a default value
for NOT NULL columns and not allow expiry_time to be NULL, simplifying
the queries chosing expired addresses.

tacacs: Add 'TACACS-Authentication-Continue-Flags' field

tacacs: Add 'TACACS-Length' field

tacacs: Add 'TACACS-Packet-Body-Type' field

tacacs: Add missing 'TACACS-Flags'

tacacs: Add missing 'TACACS-Packet'

tacacs: unit_test_attribute doesn't need libfreeradius-tacacs

the unit tests for tacacs are currently disabled.  Once the new
test framework is in place, unit_test_attribute will pick up
the tacacs library due to directives given in the tests

tacacs: Adjusting library build to match all.mk from other protocols

tacacs: Add references for fr_tacacs_ctx_t

tacacs: Update dictionary to be STRUCT

field structures should be fixed-width integers

"uint32" means exactly what it says.
"integer" could be just acout anything

Add allocate_existing query to v4 (#3565)

Allow for a separate query (allocate_existing) to find existing IP
addresses, split from allocate_find, which can then be used for finding
an un-allocated address.

Allows for much more efficient queries for most databases.

V4 new dhcp schema (#3563)

* Add a status to IP pool table

The status field enables IPs in the pool to be marked as dynamic,
static, declined or disabled to allow for managing static IPs within the
pool and handling DHCP-Decline packets

* Complete query changes from nas to gateway

* Replace GatewayIPAddress with the more generic Gateway

minor cleanup

map sections cannot be empty

remove duplicae shift

clean up unlang_dump()

and remove old dump_tree() which is a holdover from v0.x, and
hasn't been used (or compilable) in many years.

use table lookups for keyword selection

instead of linear search through the op list

update comments and messages

clean up "-module" handling now that we have UNLANG_IGNORE

simplify if / elsif / else handling

Typo (#3566)

clean up and clarify

update / filter can't be empty.

allow almost anything other than "else" in redundant / load-balance
sections

document new "default" for switch statements

convert assertion to run-time check

finally support "default"

add UNLANG_IGNORE return code

which tells the caller to omit the subsection entirely from
the compiled unlang tree.

This is a relatively minor optimization, but it can be useful.

have "switch" call compile_case() directly.

As it's already iterating over the child list, it might as well
do that.

This change also avoids all of the extra logic in compile_children()

make "tail" a pointer to "children"

which simplifies the update logic.

This change can finally be done after all of the previous (ab)uses
of "tail" have been removed.

hoist if / elsif / else checks into compile_children()

which removes the need for a hacky previous_if() function which
looks at g->tail.  Instead, the flags are on the local stack in
the compile_children() function

free the compiled unlang_t when the section is freed

it's not clear how the unlang_t was freed earlier, other than
when the NULL context was freed.

check for closed in the current item, not on the next one

which then lets us hoist add_child() into compile_children()

hoist "check for loop in policies"

to the place where it's needed.

hoist "function" compilation into it's own function

use sorted tables for looking up keywords

for both CONF_SECTION and CONF_PAIR

which simplifies the code a fair bit

forbid using keywords as module names

remove provisions for "group authorize { ...}"

which didn't work because it didn't change the default return
codes or initialize unlang_ctx2

minor cleanps and rearrangements

clean up compile_children()

remove unnecessary reference to "parent", as compile_module()
already does those checks.

remove redundant check for "next" when compiling "actions"
subsection.  The check is already done in compile_action_subsection()

set the action defaults BEFORE parsing "actions" subsection

Hoist "disallow foo = bar" into earlier in the CONF_PAIR processing

disable reference to dhcp_sqlippool by default

but leave it there, commented out.

The default configuration may not use dhcp_sqlippool

don't compile module actions in compile_children()

because it's already done in compile_module(), and that function
doesn't recurse into compile_children() for compiling the actions.

move assignments to assertions

things should already have been set up properly when we call
add_child()

clean up add_child()

it errored out on an attempt to add a child to a closed section.
However, compile_item() already checked for that, and skipped
subsequent statments with a warning message.

This change lets add_child() take fewer arguments, and always
succeed.

hoist compiling break / return higher

into section which handles a CONF_PAIR

compile_action_defaults() doesn't need to return anything

token: Add token for regexes

value: Expose and update escaping fules, and fix issue with fr_value_box_strdup_buffer

tmpl: strip the vp_ prefix from the vp_tmpl types

It's annoying and inconsistent

sbuff: Various fixes

sbuff: Implementation for doing streaming reads on `FILE *`

No idea if it works

talloc: Fix talloc_bstrdup

we receive a decline, we don't send one

Ignore user-provided dhparams in FIPS mode (#3557)

OpenSSL in RHEL 8.3 introduces a breaking change in FIPS mode:
user-provided dhparams will be ignored (and dhparam generation
may fail as well), unless they are on the FIPS approved list of
parameters. However, OpenSSL since v1.1.1 will automatically select
an appropriate DH parameter set anyways, if the user did not provide
any. These will be FIPS approved.

Signed-off-by: Alexander Scheel <ascheel@redhat.com>

redis_ippool: Provide examples for the device key (#3558)

use braces

print policies as "policy foo" instead of just "foo"

don't call the "recv.Access-Request" method

and disable it in the source

print out better names

just reference the attribute directly

no need to call asprintf to duplicate a string

Improve verbosity with right-hand side errors (#3556)

Add comparisons with NULL in TEST_CHECK_STRCMP() to silence -Werror=address (#3555)

unit_test_attribute:  Allow lines ranges to be specified so that specific tests in command files can be executed

Fix function name

Library functions should be prefixed with the name of the source file they're in.

Make _fr_dbuff_set() return bytes required to complete failing advancement; add FR_DBUFF_SET_RETURN() (#3550)

add utc to time_t

which is significantly faster than timegm() in OSX.  That function
takes a lock to get time zone information, which we don't need.

Remove DHCP policy and update queries (#3551)

Move the definition of the pool_key into the module config rather than
policy.

Bring queries into line with V3 queries and then simplify further,
removing references to fields not needed for DHCP.  Adding queries for
PostgreSQL

sbuff: Fix stupid, pedantic clang scan issues in the sbuff tests

remove rlm_example here, too

remove rlm_example

we now have sufficient modules which serve as examples.

one more fix