we cannot use "break" alone inside of a policy

if a policy is largely like a function, then we cannot put a
"foreach" outside of the policy, and then inside of the policy
use "break" to get out of the "foreach" loop

note new behavior of "return"

set and use return point for policies.

Pushing a policy onto the stack sets the return_point.

When popping the stack, check for break/return in the child,
and a break/return point in the parent.  If so, stop unwinding
the stack

don't set unwind on BREAK

the previous break / return already set it to break / return.

compile policies as UNLANG_TYPE_POLICY

which is treated the same as GROUP for most purposes.  Except for
"return"

print policies as groups, because they have no g->vpt

clarify comments

debug braces for policies.

Not sure why we have "policy" as a keyword, but whatever

add break_point and return_point to interpreter

top frames are now both, just for sanity.

break points are "foreach" instructions.  Which SHOULD be
verified by the compiler, but it doesn't hurt to have a sanity
check.

return points are (for now) only top frames.  But marking them
up this way means that we may be able to have return points which
are in policies

remove debug message

remove debug messages

Tables no longer null terminated

Add openssl-perl as a BuildRequires in the Redhat spec file

Docker crossbuilds are broken because c_rehash is missing. The Docker build
images obtain their package list from the spec file.

dynamically expand strings as necessary.

This would be a lot easier if cf_expand_variables() took a length
We can add that to the "todo" list

if we run out of braces, anything other that ' ' or '{' is bad

parse the text AFTER the input, not after the rhs string

wipe out text as we go back up the stack

allow ${...} variable definitions in tmpl_preparse()

which is the simplest way of dealing with this issue.

add parameters in preparation for local variable expansion

don't do two parsing of conditions

and remove call to cf_expand_variables() from cf_file.c

That expansion should be called from the conditional parser,
which actually understands what it's doing, and when things are done.

remove unused flags parameter

Fix request logging

Don't have radclient.1 anymore

README.md no longer exists...

One log level global to rule them all...

radmin: Fix 'debug level'

Missing '\n' output format.

check len, and remove help message.  Fixes #2952

radmin: The cmd_copy() returns sszie_t

allow trailing space for tab completion

mash trailing spaces

Put back the subrequest code that allows subrequests to be created programatically

This reverts commit 357946056cd772591084fa1d0e1927abae12918f.

remove "WITH_PROXY" in EAP code

Remove reference to request->username

This debug info will be printed elsewhere...

Don't return NULL from radmin_help

rl_bind_key says any non-zero return value indicates error

Fix redundant declarations

Too soon...

add partial commands to radmin

with tab completion and help

don't save exit / quit / secret / etc. in history file

Fix assert in dlist.h

Allow namespaces to be registered for virtual servers

s/TLS-Session-Data/Session-Data/ s/TLS-Session-ID/Session-ID/

Newlineify module build list

Split request_data functions out and teach them about parent/child relationships

More TLS handshake information

Use full paths for headers.  This fixes some issues with stale symlinks in package build directories, and generally makes things more robust.

Add implementation of memrchr

Reduce truncation trigger length when printing config files

Don't prefix attributes with '&'.  Tends to lead to '&&'

radsqlrelay: Remove references to rlm_sql_log

radmin: Add support to keep the history in ~/.radmin_history

radmin: Fix missing \n

Revert "...and some more"

This reverts commit 087cb06426b2b5a6e696d80f6cd5f3713b5aa375.

README: fix link to Network RADIUS

SSL certificate is not issued to www.networkradius.com but
networkradius.org. Link to www.networkradius.com will cause SSL
certificate verification failure.

...and some more

Start removing stupid inst->name boilerplate from all the modules

Print what password we're going to be using and what type of password it is

Build utility code for eap_pwd.c

Call password_find function in rlm_eap_md5 and rlm_eap_pwd

Chap doesn't need normalise, as we don't try to normalise cleartext passwords

Add all.mk for EAP-PWD

radmin: The 'stats memory <option>' needs the server started with '-M'

therefore, let the use aware of it instead of see '0' values.

s/fr_skip_spaces/fr_skip_whitespace/

More whitespace macros

Fix fr_fprintf() to use the file stream instead of fd

Just use the fputs() instead of get the fileno()/write()

Clean up

use get_inst() function, which does the right thing

SQLite: Don't require a lease to have expired if we reallocate it to the previous client

The current default allocate_find query causes per-client IP allocation
instability that starts when allocate_clear rate limiting comes into
effect.

With initial pool conditions the default alloc_find query selects from
the pool of all *expired* leases. It selects the least recently used IP
address (i.e. the one with the oldest expiry_time) unless a matching
username and/or callingstationid exists in the table in which case these
are prioritised in order to issue the client with their previous lease.
Normally picking the least recently used address helps to avoid issuing
the address to a different client, maximising the chance of stickiness,
which is desirable.

However, if a user makes successive authentication attempts whilst
allocate_clear rate limiting is active they are always allocated a
different IP address because their existing address is unavailable (has
not yet expired and has not been explicitly expired by allocate_clear),
with the effect that there are now multiple rows in the table containing
the same pool_key, username and callingstationid.

The normal ordering then has the undesirable effect of ensuring that
successive future IP address selections for the client will flip-flop
between addresses because username + callingstationid are first
prioritied then the *oldest expiry_time* is chosen (rather than the most
recent expiry relating to the most recent lease). This behaviour
persists once allocate_clear rate limiting is no longer in effect.

We can avoid getting having multiple rows with the same client details
by amending the allocate_find query to include an existing row matching
nasipaddress and pool_key in the available set of IP addreses regardless
of whether the lease has expired or not (i.e. re-allocation of a current
lease to the same client).

Oracle: Don't require a lease to have expired if we reallocate it to the previous client

The current default allocate_find query causes per-client IP allocation
instability that starts when allocate_clear rate limiting comes into
effect.

With initial pool conditions the default alloc_find query selects from
the pool of all *expired* leases. It selects the least recently used IP
address (i.e. the one with the oldest expiry_time) unless a matching
username and/or callingstationid exists in the table in which case these
are prioritised in order to issue the client with their previous lease.
Normally picking the least recently used address helps to avoid issuing
the address to a different client, maximising the chance of stickiness,
which is desirable.

However, if a user makes successive authentication attempts whilst
allocate_clear rate limiting is active they are always allocated a
different IP address because their existing address is unavailable (has
not yet expired and has not been explicitly expired by allocate_clear),
with the effect that there are now multiple rows in the table containing
the same pool_key, username and callingstationid.

The normal ordering then has the undesirable effect of ensuring that
successive future IP address selections for the client will flip-flop
between addresses because username + callingstationid are first
prioritied then the *oldest expiry_time* is chosen (rather than the most
recent expiry relating to the most recent lease). This behaviour
persists once allocate_clear rate limiting is no longer in effect.

We can avoid getting having multiple rows with the same client details
by amending the allocate_find query to include an existing row matching
nasipaddress and pool_key in the available set of IP addreses regardless
of whether the lease has expired or not (i.e. re-allocation of a current
lease to the same client).

MySQL: Don't require a lease to have expired if we reallocate it to the previous client

The current default allocate_find query causes per-client IP allocation
instability that starts when allocate_clear rate limiting comes into
effect.

With initial pool conditions the default alloc_find query selects from
the pool of all *expired* leases. It selects the least recently used IP
address (i.e. the one with the oldest expiry_time) unless a matching
username and/or callingstationid exists in the table in which case these
are prioritised in order to issue the client with their previous lease.
Normally picking the least recently used address helps to avoid issuing
the address to a different client, maximising the chance of stickiness,
which is desirable.

However, if a user makes successive authentication attempts whilst
allocate_clear rate limiting is active they are always allocated a
different IP address because their existing address is unavailable (has
not yet expired and has not been explicitly expired by allocate_clear),
with the effect that there are now multiple rows in the table containing
the same pool_key, username and callingstationid.

The normal ordering then has the undesirable effect of ensuring that
successive future IP address selections for the client will flip-flop
between addresses because username + callingstationid are first
prioritied then the *oldest expiry_time* is chosen (rather than the most
recent expiry relating to the most recent lease). This behaviour
persists once allocate_clear rate limiting is no longer in effect.

We can avoid getting having multiple rows with the same client details
by amending the allocate_find query to include an existing row matching
nasipaddress and pool_key in the available set of IP addreses regardless
of whether the lease has expired or not (i.e. re-allocation of a current
lease to the same client).

child is NULL for master IO handler

rename for consistency

skip NON-SPACE, not skip spaces.

When making global changes, using "perl -p -i -e s/find/replace/g"
is MUCH safer and MUCH better than using random other tools.

set server namespace

typo

move concepts to the concepts directory

move concepts page to concepts directory

smb_ctrl can be NULL

Split up mschap challenge processing

Call central password find function

Fix crash on failure

typo (#2938)

more typos

doc: Add 'update-check.doc' target to update scripts/checks/*.txt db

more typos

typo

remove man pages that no longer exist

rlm_lua: Fix 'func_instantiate' and 'func_detach'

just print out each thing as we see it

which makes the output a little harder to read.  But it also
means that the output is organized alphabetically.  And therefore
doesn't change with different hashing methods of the parent shell

doc: Add sanity checks to verify if the rlm_$name FR_CONF_ is documented

Don't require a lease to have expired if we reallocate it to the previous client

The current default allocate_find query causes per-client IP allocation
instability that starts when allocate_clear rate limiting comes into effect.

With initial pool conditions the default alloc_find query selects from the pool
of all *expired* leases. It selects the least recently used IP address (i.e.
the one with the oldest expiry_time) unless a matching username and/or
callingstationid exists in the table in which case these are prioritised in
order to issue the client with their previous lease. Normally picking the least
recently used address helps to avoid issuing the address to a different client,
maximising the chance of stickiness, which is desirable.

However, if a user makes successive authentication attempts whilst
allocate_clear rate limiting is active they are always allocated a different IP
address because their existing address is unavailable (has not yet expired and
has not been explicitly expired by allocate_clear), with the effect that there
are now multiple rows in the table containing the same pool_key, username and
callingstationid.

The normal ordering then has the undesirable effect of ensuring that successive
future IP address selections for the client will flip-flop between addresses
because username + callingstationid are first prioritied then the *oldest
expiry_time* is chosen (rather than the most recent expiry relating to the most
recent lease). This behaviour persists once allocate_clear rate limiting is no
longer in effect.

We can avoid getting having multiple rows with the same client details by
amending the allocate_find query to include an existing row matching
nasipaddress and pool_key in the available set of IP addreses regardless of
whether the lease has expired or not (i.e. re-allocation of a current lease to
the same client).

rlm_chap: Add documentation for 'normalise' (#2934)

Minor behaviour changes in password.c

- Always process Password-With-Header
- Don't require the use of a temporary ctx, and explicitly signal if attributes should be freed after use

update and clarify

use NUM_ELEMENTS() everywhere

perl -p -i -e 's,sizeof\(([^)]+)\)\s+/\s+sizeof\([^\[)]+\[0\]\),NUM_ELEMENTS($1),;s,sizeof\(([^)]+)\)\s+/\s+sizeof\(\*[^\[)]+\),NUM_ELEMENTS($1),' $(find src -name "*.c" -print)

Hmm... Perl...

word smithing and cleanup

Stupid picky compiler

SSHA1 available without OpenSSL

Instance is now used in rlm_chap

Various fixes in password.c, rlm_pap and rlm_chap

- Move password attributes under Password-Root
- Apply tighter bounds checks on hash length in password.c
- Failover between "known good" password types in password.c if one type can't be normalised or is the wrong length.
- Merge password info arrays into one table in password.c
- Provide two public functions in password.c, one provides a cannonical version of a password attribute, the other rewrites all the password attributes in the request->control list to their canonical form.
- s/(S?)SHA-Password/\1SHA1-Password/
- Support multiple levels of preprocessing callbacks
- Support restricting password types password.c can return
- Use Password-Root TLV to be more efficient about locating candidate "known good" passwords (should be MUCH faster, and no longer quadratic).
- Use proper hash length macros in the hash info table in password.c
- Split SHA2-Password and SHA3-Password values into SHA[23]-(224|256|348|512)-Password attributes automatically.
- Provide macro wrappers to allow us to easily add additional EVP based hashing mechanisms.
- Fix pap_auth_func signature so known_good is also constified.
- Prevent normalisation of Cleartext-Password, that's probably always the wrong thing to do.

Don't print too much of the salted hash string