s/fr_skip_spaces/fr_skip_whitespace/

More whitespace macros

Fix fr_fprintf() to use the file stream instead of fd

Just use the fputs() instead of get the fileno()/write()

Clean up

use get_inst() function, which does the right thing

SQLite: Don't require a lease to have expired if we reallocate it to the previous client

The current default allocate_find query causes per-client IP allocation
instability that starts when allocate_clear rate limiting comes into
effect.

With initial pool conditions the default alloc_find query selects from
the pool of all *expired* leases. It selects the least recently used IP
address (i.e. the one with the oldest expiry_time) unless a matching
username and/or callingstationid exists in the table in which case these
are prioritised in order to issue the client with their previous lease.
Normally picking the least recently used address helps to avoid issuing
the address to a different client, maximising the chance of stickiness,
which is desirable.

However, if a user makes successive authentication attempts whilst
allocate_clear rate limiting is active they are always allocated a
different IP address because their existing address is unavailable (has
not yet expired and has not been explicitly expired by allocate_clear),
with the effect that there are now multiple rows in the table containing
the same pool_key, username and callingstationid.

The normal ordering then has the undesirable effect of ensuring that
successive future IP address selections for the client will flip-flop
between addresses because username + callingstationid are first
prioritied then the *oldest expiry_time* is chosen (rather than the most
recent expiry relating to the most recent lease). This behaviour
persists once allocate_clear rate limiting is no longer in effect.

We can avoid getting having multiple rows with the same client details
by amending the allocate_find query to include an existing row matching
nasipaddress and pool_key in the available set of IP addreses regardless
of whether the lease has expired or not (i.e. re-allocation of a current
lease to the same client).

Oracle: Don't require a lease to have expired if we reallocate it to the previous client

The current default allocate_find query causes per-client IP allocation
instability that starts when allocate_clear rate limiting comes into
effect.

With initial pool conditions the default alloc_find query selects from
the pool of all *expired* leases. It selects the least recently used IP
address (i.e. the one with the oldest expiry_time) unless a matching
username and/or callingstationid exists in the table in which case these
are prioritised in order to issue the client with their previous lease.
Normally picking the least recently used address helps to avoid issuing
the address to a different client, maximising the chance of stickiness,
which is desirable.

However, if a user makes successive authentication attempts whilst
allocate_clear rate limiting is active they are always allocated a
different IP address because their existing address is unavailable (has
not yet expired and has not been explicitly expired by allocate_clear),
with the effect that there are now multiple rows in the table containing
the same pool_key, username and callingstationid.

The normal ordering then has the undesirable effect of ensuring that
successive future IP address selections for the client will flip-flop
between addresses because username + callingstationid are first
prioritied then the *oldest expiry_time* is chosen (rather than the most
recent expiry relating to the most recent lease). This behaviour
persists once allocate_clear rate limiting is no longer in effect.

We can avoid getting having multiple rows with the same client details
by amending the allocate_find query to include an existing row matching
nasipaddress and pool_key in the available set of IP addreses regardless
of whether the lease has expired or not (i.e. re-allocation of a current
lease to the same client).

MySQL: Don't require a lease to have expired if we reallocate it to the previous client

The current default allocate_find query causes per-client IP allocation
instability that starts when allocate_clear rate limiting comes into
effect.

With initial pool conditions the default alloc_find query selects from
the pool of all *expired* leases. It selects the least recently used IP
address (i.e. the one with the oldest expiry_time) unless a matching
username and/or callingstationid exists in the table in which case these
are prioritised in order to issue the client with their previous lease.
Normally picking the least recently used address helps to avoid issuing
the address to a different client, maximising the chance of stickiness,
which is desirable.

However, if a user makes successive authentication attempts whilst
allocate_clear rate limiting is active they are always allocated a
different IP address because their existing address is unavailable (has
not yet expired and has not been explicitly expired by allocate_clear),
with the effect that there are now multiple rows in the table containing
the same pool_key, username and callingstationid.

The normal ordering then has the undesirable effect of ensuring that
successive future IP address selections for the client will flip-flop
between addresses because username + callingstationid are first
prioritied then the *oldest expiry_time* is chosen (rather than the most
recent expiry relating to the most recent lease). This behaviour
persists once allocate_clear rate limiting is no longer in effect.

We can avoid getting having multiple rows with the same client details
by amending the allocate_find query to include an existing row matching
nasipaddress and pool_key in the available set of IP addreses regardless
of whether the lease has expired or not (i.e. re-allocation of a current
lease to the same client).

child is NULL for master IO handler

rename for consistency

skip NON-SPACE, not skip spaces.

When making global changes, using "perl -p -i -e s/find/replace/g"
is MUCH safer and MUCH better than using random other tools.

set server namespace

typo

move concepts to the concepts directory

move concepts page to concepts directory

smb_ctrl can be NULL

Split up mschap challenge processing

Call central password find function

Fix crash on failure

typo (#2938)

more typos

doc: Add 'update-check.doc' target to update scripts/checks/*.txt db

more typos

typo

remove man pages that no longer exist

rlm_lua: Fix 'func_instantiate' and 'func_detach'

just print out each thing as we see it

which makes the output a little harder to read.  But it also
means that the output is organized alphabetically.  And therefore
doesn't change with different hashing methods of the parent shell

doc: Add sanity checks to verify if the rlm_$name FR_CONF_ is documented

Don't require a lease to have expired if we reallocate it to the previous client

The current default allocate_find query causes per-client IP allocation
instability that starts when allocate_clear rate limiting comes into effect.

With initial pool conditions the default alloc_find query selects from the pool
of all *expired* leases. It selects the least recently used IP address (i.e.
the one with the oldest expiry_time) unless a matching username and/or
callingstationid exists in the table in which case these are prioritised in
order to issue the client with their previous lease. Normally picking the least
recently used address helps to avoid issuing the address to a different client,
maximising the chance of stickiness, which is desirable.

However, if a user makes successive authentication attempts whilst
allocate_clear rate limiting is active they are always allocated a different IP
address because their existing address is unavailable (has not yet expired and
has not been explicitly expired by allocate_clear), with the effect that there
are now multiple rows in the table containing the same pool_key, username and
callingstationid.

The normal ordering then has the undesirable effect of ensuring that successive
future IP address selections for the client will flip-flop between addresses
because username + callingstationid are first prioritied then the *oldest
expiry_time* is chosen (rather than the most recent expiry relating to the most
recent lease). This behaviour persists once allocate_clear rate limiting is no
longer in effect.

We can avoid getting having multiple rows with the same client details by
amending the allocate_find query to include an existing row matching
nasipaddress and pool_key in the available set of IP addreses regardless of
whether the lease has expired or not (i.e. re-allocation of a current lease to
the same client).

rlm_chap: Add documentation for 'normalise' (#2934)

Minor behaviour changes in password.c

- Always process Password-With-Header
- Don't require the use of a temporary ctx, and explicitly signal if attributes should be freed after use

update and clarify

use NUM_ELEMENTS() everywhere

perl -p -i -e 's,sizeof\(([^)]+)\)\s+/\s+sizeof\([^\[)]+\[0\]\),NUM_ELEMENTS($1),;s,sizeof\(([^)]+)\)\s+/\s+sizeof\(\*[^\[)]+\),NUM_ELEMENTS($1),' $(find src -name "*.c" -print)

Hmm... Perl...

word smithing and cleanup

Stupid picky compiler

SSHA1 available without OpenSSL

Instance is now used in rlm_chap

Various fixes in password.c, rlm_pap and rlm_chap

- Move password attributes under Password-Root
- Apply tighter bounds checks on hash length in password.c
- Failover between "known good" password types in password.c if one type can't be normalised or is the wrong length.
- Merge password info arrays into one table in password.c
- Provide two public functions in password.c, one provides a cannonical version of a password attribute, the other rewrites all the password attributes in the request->control list to their canonical form.
- s/(S?)SHA-Password/\1SHA1-Password/
- Support multiple levels of preprocessing callbacks
- Support restricting password types password.c can return
- Use Password-Root TLV to be more efficient about locating candidate "known good" passwords (should be MUCH faster, and no longer quadratic).
- Use proper hash length macros in the hash info table in password.c
- Split SHA2-Password and SHA3-Password values into SHA[23]-(224|256|348|512)-Password attributes automatically.
- Provide macro wrappers to allow us to easily add additional EVP based hashing mechanisms.
- Fix pap_auth_func signature so known_good is also constified.
- Prevent normalisation of Cleartext-Password, that's probably always the wrong thing to do.

Don't print too much of the salted hash string

Remove normalisation call from proto_radius_auth.c

As discussed. It's bad to mix internal attribute processing with protocols.

The normalisation could be applied equally well to many protocols, and rlm_pap and rlm_chap will do their own normalisation without mangling the existing attributes in the request.

Fix Auth-Type checks in rlm_pap and rlm_chap

They were looking in the wrong list, and the output should not have been an error

PAP no longer checks for input password hashes, so we need to work around that in tests that remove &control:Cleartext-Password

Password should be const in fr_radius_encode_chap_password

Provide length of the match in prefix search functions

more compiler fixes

pbkdf2 isn't always built

cleanups and use common includes

Update 'check.doc' target to save the input as parameter

The list of expected missing xlat's calls should be versioned
in scripts/checks/missing-xlat-doc.txt

move to table lookups instead of if / then / else

shut up compiler

use known array size instead of anything else

use pointers in table, instead of ints & a switch statement

Add missing config options in raddb/

It helps #2919 involving the modules:

rlm_cipher
rlm_eap
rlm_ldap
rlm_lua
rlm_mschap
rlm_passwd
rlm_radius
rlm_redis_ippool

call password_normalise()

so that we don't do all that work ourselves.

load simple things first

We can later add checks that new dictionary entries are NOT
added after some point.  Otherwise the server fails with
"unknown attribute" error, instead of "attribute definition
is too late"

new attributes MUST be define in the "bootstrap" phase

use consistent names

so `git grep` finds things

call password_normalise()

which then means we don't need to loop over the attributes ourselves

call password_normalise(), just in case

call password_normalise() instead of doing it ourselves

add server_init() and server_free()

so that src/lib/server/ can be initialized all at once.

And the callers then don't need to have a list of init/free
functions

add password_normalise() which normalises all passwords

Add missing config options in raddb/

It helps #2919 involving the modules:

rlm_attr_filter
rlm_cache
rlm_rest
rlm_sometimes

Let the PAP module normalize passwords

No, we do NOT want it to fail if there's no User-Password
in the request.  Instead, we want it to do stuff

remove warning which is now in proto_radius_auth

we don't need User-Password here.

 rlm_lua: Remove unused options (#2929)

* rlm_lua: Remove unused options

* rlm_lua: The correct should be 'fr.requests'

added documentation for the CHAP module

typo

don't be retarded.  Use a percentage.

Who was the idiot who wrote that code?

Copy "normalise password" code from rlm_pap to proto_radius_auth

Instead of having this code in multiple modules, just have it
once in proto_radius_auth.  That way it runs just before the
"authenticate" section.

And, it ALWAYS runs.  If people delete the "pap" module from
"recv Access-Request", then everything still works.

don't normalize passwords

it should be done elsewhere

rlm_lua: Clean up (#2926)

* rlm_lua: Clean up

* rlm_lua: Clean up related to 9bc7d44921

rlm_rest: Clean up (#2928)

un-break CHAP module

If there's no "known good" password, we still set Auth-Type = CHAP,
because that's the only thing which cam be done.  We issue a
warning, but we hope that a subsequent module will do the right thing

typos

add more documentation

It helps to print out "Ready to process requests"

more cleanups and rearrangement

more cleanups and split authentication into its own page

cleanups and typos

Use cf_table_parse_ctx_t structure instead of passing in the table directly Closes #2925

No enum name needed

radsqlrelay systemd watchdog (#2922)

* radsqlrelay: Clean up strict and warnings pragmas

The modules we use are clean so ensure that these pragmas apply to
includes.

* radsqlrelay: Add support for systemd watchdogs

systemd can terminate (and restart) the service if it stops providing
watchdogs for a defined interval.

* radsqlrelay: Don't get stuck processing the same broken SQL statements

If the file contains a broken SQL statement then it is continually
retried with a 1 sec delay.

Restarting the radsqlrelay will replay the entire file (which could get
stuck even earlier due to duplicate key fields).

We instead continue when we encounter a failing statement unless the
failure was the result of a database disconnect in which case it is
resumed once the connection is available.

doc: typos and small fixes

doc: install & upgrade on the intro page

cherry pick text from #2921

doc: move 'upgrading' to 'install & upgrade' section

doc: start splitting up install document

doc: update dependencies page

doc: move build dependencies to installation section

doc: move installation to new 'install & upgrade' section

Move stupid perl hack to where it should be

Not you...

Add back source files that should not have been removed

This reverts commit 4e6df7bd9827452339bd3e8f7f219f49715536f2.

rearrange, reformat, and do word smithing

many small pages is better than few large pages

these files should not have been committed

I went up the mountain, and wrote the wisdom I received

improve "how to build docs"

fix ldap config example

{cleartext} is not interpreted by OpenLDAP