make 'utc = yes' works for converting strings into unix timestamp
as well.

don't error when we see the data that LD_PRELOAD added

update documentation

to make it excruciatingly clear what to do

Satisfy clang scan

remove unnecessary assignment to satisfy clang

Backport 71376698999b17dc7b0d289086966a2b0c84d2dc

Add a GitHub Actions workflow

.travis.yml retained for the time being

add wrapper function

get the session ID only if we're caching it

move "cache save" so that it runs after the tls success has been seen

added "cache refresh" method

so that the cache lifetime can be extended when a session is
resumed.

rename config item to be more standard

Add TLS cache wrappers.

update readme for 2020.

Modern systems can do 10K+ RSA 2048 per second, not dozens

add some notes on CoA for TLS

update Oracle for changes as per commit 42229e776

add "SELECT true" as fail-over for on/off queries

If there are no rows to update, then the on/off queries will
return "no rows updated".  The server will then fail over to the
next query, which says "that's fine"

copied from v4 with edits to make it appropriate for v3

copied from v4 with edits to make it appropriate for v3

rlm_sql: Use the non-xlat escape function for the group membership query

Use the basic sql_escape_func when expanding the group membership query that
uses our existing SQL handle.

If we use sql_escape_for_xlat_func, which reserves a connection, then when the
connection pool is exhausted we erroneously conclude that the user is not a
member of any groups.

add some better examples

add tests for ascend data filters

also allow $-INCLUDE

because that's what the config file reader uses

printf is more portable than "echo -n"

Make sure we never merge flags by mistake

use "text" instead of "varchar".

there's no reason to fix these fields at a small size

Anchor with a space so we don't mangle the middle of flags

Fixes #3693

rlm_python3: Strip out -frecord-gcc-switches #3693 (#3699)

We decide if enable that yes or no.

we don't use this nonsense, or libtool garbage any more

DHCP: Dedicated rlm_sql instance to support option lookup

New dhcp_sql instance of rlm_sql for use with DHCP:

  - Separate queries.conf and schema.sql, etc. for DHCP vs RADIUS.
  - Group lookup is disabled by default and there are no check queries provided
    to reduce query load for typical use cases.
  - No accounting-related configuration items and queries.

The schema provides dhcpreply, dhcpgroupreply and dhcpgroup (née "usergroup")
tables as per corresponding RADIUS authorize schema, except:

  - Rename column Username -> Identifier since the lookup key varies based on
    "contexts". There will typically be multiple option merges from different
    context to set network-specific options, device-specific options, classes,
    etc.
    - Set Identifier for lookup using the DHCP-SQL-Option-Identifier internal
      attribute (which gets escaped into SQL-User-Name, as usual).
  - Add a Context column ("network", "subnet", "group", "class-abc", etc.) to
    support lookups using the same tables but with the options data partitioned
    between contexts.
    - Set current Context using the DHCP-SQL-Option-Context internal attribute.
      This is not SQL escaped, however it is not set from tainted data.

Example policy for performing SQL options lookup from SQL provided in
policy.d/dhcp.

Correct test unlang

Add test for prepend operator

Correct sequence of operators in token.c

Add prepend handling for whole list copying

Allows for
    update {
        &reply: ^= &request
    }
which would insert all entry from request at the beginning of reply

Add an operator parameter to fr_pair_list_move

If the passed in operator is T_OP_PREPEND then any added attributes are
prepended to the "to" list rather than appended.

Existing calls to fr_pair_list_move are updated to call with T_OP_ADD to
preserve existing behaviour.

Use fr_pair_prepend in map_to_request

Add fr_pair_prepend to prepend a list onto another

Allow parsing of prepend operator ^= in config and correct comment

Add "prepend" functionality to radius_pairmove

radis_pairmove is used by rlm_files for adding attributes to the reply
list.  This allows for syntax such as:

<match key>
<attribute> ^= <value>

which will insert <attribute> = <value> at the top of the reply list.

Intended for DHCP use where, for example, the sequence that search
domains are returned is significant.

Add prepend operator ^=

To be used in attribute assignement to get the new attribute prepended
to the list.

Beneficial in DHCP where the order of multiple instances of an attribute
is significant.

DHCP: Batch ADSL Forum vendor-specific options so they are encoded together

account for the option header, too

Add test for substring request longer than input

Tests for substring xlat

Add a "substring" xlat function

Return a substring of the string representation of a string or attribute
using the syntax:
"%{substring:<string:attribute> <start> <len>}"

Negative `start` or `len` values count from the end of the string

s/DHCP-Network-IP-Address/DHCP-Network-Subnet/g

DHCP: Lookup device's group memberships before network/pool lookup

This allows group membership to be used to guard access to the pool,
akin to "allow members of" in other DHCP servers.

DHCP: Add DHCP-Group-Name to request list rather than control

This means that it is available in as a membership guard for the pools
defined using rlm_files.

DHCP: Clarify comments to ensure that the dhcp_subnet policy is enabled

DHCP: Refer to the the term "multinet", equivalent to a "shared-network"

This seems to be used most frequently in the context of Microsoft DHCP.

DHCP: Reference to DOCSIS cable modems as a scenario for using subnet override

DHCP: Policy support for shared-network: Layer 2 with multiple subnets

Many networks support multiple co-existing subnets without VLAN separation,
i.e. we have one pool containing equally valid IP addresses from each subnet.

To support this configuration we differentiate selecting a pool based on the
default or overriden DHCP-Network-IP-Address (indicating the Layer 2 network
originating the request) versus setting the reply options for the subnet to
which the allocated IP address belongs, in particular DHCP-Subnet-Mask,
DHCP-Router-Address and DHCP-Broadcast-Address.

DHCP: Add dhcp_override_network to DECLINE and RELEASE processing

DHCP: Fix non-existent DHCP option

helps to add this

check "version" for the Antora pages, too

v3: Remove requirement for Perl Template::Toolkit (#3668)

* Remove requirement for Perl Template::Toolkit

Template Toolkit is only needed if the perl IP pool tools are to produce
SQL output rather than directly operate on the database - so it is not a
hard requirement.

* Split perl utils into new package for .deb

Remove Perl dependencies from freeradius-utils and create a new
freeradius-perl-util for helper Perl scripts

* Split perl utils into new package for .rpm

Remove Perl dependencies from freeradius-utils and create a new
freeradius-perl-util for helper Perl scripts

listener may be NULL when originating CoA packets

use the correct version

add base antora site

taken from v4 with some edits.  We need to go through all of the
v4 pages, and back-port them one by one to v3

port antora, etc. checks from master

TLS 1.3: send 0x00 only when there's no application data

eap-tls: fix Session Id for non-TLSv1.3 introduced by e8b4d28e140cd354ec3f72619bb4dd9ed4f261cc

Revert "add configuration flag for EAP-TLS 1.3"

This reverts commit 00fa072c05eecd41e5f4b6f61a46c28a35644975.

After discussion in the IETF, 0x00 is much preferred to close_notify

Update Mikrotik dictionary

Based on https://wiki.mikrotik.com/wiki/Manual:RADIUS_Client/reference_dictionary

Improve comments

Better explanation of overriding DHCP-Network-IP-Address

Tidy up and improve comments

Explain how DHCP-Network-IP-Address is derrived and give an example of
how to override it for shared network setups.

Simplify the group options policy / files module

Correct name of dhcp_network policy

Sample config to allow for DHCP group options

Defines an internal attribute of DHCP-Group-Name.  Clients are then
looked up in a "passwd" style file to determine group membership,
followed by a lookup into a "files" instance to add appropriate options.

Tidy DHCP site config from previous merge error

Add files module instance to lookup host specific options

Remove remaining calls to dhcp_determine_subnet

Move subnet test to instance of rlm_files

To keep config in config files as much as possible, replace
determine_subnet with an instance of the rlm_files module.  This
instance can set global DHCP options along with subnet specific options
and the Pool-Name for SQL ippool lookups.

Make DHCP-Network-IP-Address an IPv4 prefix

Allows "closest containing subnet" matching in rlm_files

Add tests for PBKDF2 passwords. ref #2649

Add support for PBKDF2 passwords. ref #2649

Add attributes for PBKFD2/SSHA3 passwords. ref #2649

Update fr_base64_decode() to process 24bits

Fix DIAG_{ON,OFF} for external includes

Just to mute warnings with external headers.

Correct behaviour of allow_muliple_keys in rlm_passwd

Amend rlm_passwd so the allow_mulitple_keys behaviour matches
documentation - only using the first matching record in the data file.

don't use for (init ... next_by_num)

fr_cursor_next_by_* functions start at the current cursor position
unless they have been previously called.  This resulted in the first key
attribute value being looked up twice - once as a result of
fr_cursor_init and once after the first call to fr_cursor_next_by_num

allow "-", as with "-eap", in the "authenticate" section

Support in-network tests for ipv{4,6}prefix types when comparing lists

add missing brace

Calculate DHCP-Network-IP-Address as the basis of identifying a client's subnet (#3650)

* Add new internal attributes to DHCP dictionary

DHCP-Network-IP-Address - used to store the address to be used in
determining the subnet a client belongs to
DHCP-Subnet-Name - an internal name for the selected subnet.

Also, correct the type for option 118.

* Determine the address to be used to identify client subnet

After parsing the DHCP packet, check Relay-Link-Selection option,
Subnet-Selection-Option option then giaddr and finally ciaddr to
determine address to lookup client's subnet.

* Add sample config for looking up DHCP subnet name

Create a policy that maps DHCP-Network-IP-Address to DHCP-Subnet-Name
and then call that from each processing section.

Extend comment regarding alive_update query

Add explanitory comment for alive_update query

Add counter to DHCP ippool schema

By updating a counter every time a REQUEST is responded to sucessfully
we ensure that records are changed, thus all database engines return an
affected row count of 1 for successful matches.  This safeguards the new
DHCP site config which uses the affected row count to determine between
ACK and NAK responses.

Remove allocate_clear queries

SQLite ippool schema / query tidy up

PostgreSQL ippool schema / query tidy up

Oracle ippool schema / query tidy up

MySQL ippool schema / query tidy up

MS SQL ippool schema / query tidying

Move common DHCP reply attributes to a single policy

DISCOVER, REQUEST and INFORM all have a common set of reply attributes.
Rather than explicity set them in each section, call a common policy to
set them in one place.

Also, move the commented out setting of reply packet type for DISCOVER
so it reads more clearly.

mod_perl: Print out the version

note recent changes

Minor fixes following detailed testing

Default _begin and _commit queries to blank

Most databases are autocommit, so where a method only calls a single
update there is no need to wrap in "START TRANSACTION" and "COMMIT".
Also different databases have different syntax for this.  Safer to have
blank and only explicitly add transaction commands where needed (Oracle)

sqlippools: allocate_requested queries for SQLite

sqlippools: allocate_requested queries for Oracle

sqlippools: allocate_requested queries for MySQL