unity: Allow UNITY_LOCAL_LAN to be longer than 8 bytes

unity: Fix memory leak in provider

ipsec.conf.5: closeaction is now supported for IKEv1

ikev1: Reestablish IKE_SA/CHILD_SAs if it gets deleted by the peer

We call ike_sa_t.reestablish() so the IKE_SA is only recreated if any
CHILD_SA requires it.

ike: Migrate queued CHILD_SA-creating tasks when reestablishing an IKE_SA

ikev1: Support closeaction of CHILD_SA.

When a CHILD_SA is closed in IKEv1, if it is not being rekeyed and
closeaction has been set, we can now perform a restart or hold as is
currently done for IKEv2.

Merge branch 'kernel-pfroute-mobility'

This improves the behavior of the kernel-pfroute plugin (and sometimes
the kernel-pfkey plugin) in case of mobility, mostly when used as as
client but also as gateway, if clients are mobile.

kernel-pfroute: Ignore IP address changes if address is %any

kernel-pfroute: Properly enumerate sockaddrs in interface messages

The ifa_msghdr and rt_msghdr structs are not compatible (at least not on
FreeBSD).

kernel-pfroute: Provide name of interfaces on which virtual IPs are installed

kernel-pfroute: Ignore virtual IPs in address map

As the virtual flag is set after the address has been added to the map,
we make sure we ignore virtual IPs when doing lookups.

kernel-pfroute: Make sure source addresses are not virtual and usable

It seems we sometimes get the virtual IP as source (with
rightsubnet=0.0.0.0/0) even if the exclude route is already
installed.  Might be a timing issue because shortly afterwards the
lookup seems to succeed.

kernel-pfroute: Don't report an error when trying to reinstall a route

kernel-pfkey: Provide interface name when installing exclude route

kernel-pfroute: Reinstall routes on interface/address changes

kernel-pfroute: Trigger a roam event if a new interface appears

kernel-pfroute: Use ref_get() to allocate sequence numbers

kernel-pfroute: Make time that is waited for VIPs to appear configurable

One second might be too short for IPs to appear/disappear, especially on
virtualized hosts.

kernel-pfroute: Retry route lookup without source address on failure

The known source address might be gone resulting in an error, making
learning a new source address impossible.

kernel-pfkey: Remove latest IPsec SA mapping when deleting a policy

If IPsec SAs are rekeyed due to an address change (e.g. because
update_sa is not supported) the exact same policy with the same reqid
will be installed, but with different addresses.  After the rekeying the
old SA and its policies are removed, using the first matching mapping
breaks the mapping between the policies and the new SA (at least on
FreeBSD, the Linux kernel might only use the reqid for this).  Using the
oldest matching SA is still an approximation but it solves the above
issue.

kernel-pfkey: Correctly handle IPSEC_PROTO_ANY in an acquire

linked-list: Remove barely used has_more() method

This required some refactoring when handling encrypted payloads.

Also changed log messages so that "encrypted payload" is logged instead
of "encryption payload" (even if we internally still call it that) as
that's the name used in RFC 5996.

linked-list: Don't require an argument for the item when enumerating

linked-list: Remove unused clone_function() method

linked-list: Remove barely used find_last() method

linked-list: Remove unused replace() method

Its functionality can be replicated by calling insert_before() followed
by remove_at().  Not the other way around, though, because remove_at()
changes the enumerator position.

Merge branch 'array'

Introduces a new lightweight array collection having minimal memory overhead.
The new class replaces various linked lists that are used during the full
lifetime of an SA, reducing memory requirements by about 5KB or more per tunnel.

child-sa: refactor proxy transport mode address lookup

child-sa: replace traffic selector lists by arrays

Saves up to another 0.5KB of memory per CHILD_SA.

child-sa: replace get_traffic_selectors() with create_ts_enumerator()

Not directly returning a linked list allows us to change the internals of
the CHILD_SA transparently.

ikev2: replace linked lists by arrays in task manager

Eliminates another three lists, 0.5KB per IKE_SA.

auth-cfg: use array instead of linked list

Saves another 4 linked lists (1KB) per IKE_SA

proposal: use array to store proposal list

Removes another two linked lists (0.5KB) of memory per IKE/CHILD_SA pair.

proposal: use a single list to store all transforms

Beside that it makes the code actually simpler, it reduces the number of lists
stored by each IKE_SA and each CHILD_SA by 4, which can be up to 1KB per SA.

ike-sa: use arrays instead of linked lists in long lived collections

This saves about 1.5KB of memory per IKE_SA.

unit-tests: implement tests for array collection

array: introduce an array collection storing elements very efficiently

Currently we use the very versatile linked-list collection to store elements
with variable count. This is fine, but very inefficient: Due to the many
methods in the linked list, on 64-bit platforms an empty list alone is more
than 200 bytes. As we currently have about 50 lists per IKE_SA/CHILD_SA pair,
this takes up to 10KB just for managing the empty lists. This is about the
half of memory used by an IKE_SA/CHILD_SA pair, and obviously way too much.

The new array type is not an object, but a collection of functions on an
abstract type.

The following lists are per IKE_SA and should be considered for a replacement
with more efficient arrays (this uses load-testers on-demand created dynamic
configurations, other scenarios have different lists):

14 -> ike_sa_create() @ src/libcharon/sa/ike_sa.c:2198
10 -> auth_cfg_create() @ src/libstrongswan/credentials/auth_cfg.c:1088
 6 -> task_manager_v2_create() @ src/libcharon/sa/ikev2/task_manager_v2.c:1505
 6 -> proposal_create() @ src/libcharon/config/proposal.c:592
 5 -> peer_cfg_create() @ src/libcharon/config/peer_cfg.c:657
 4 -> child_sa_create() @ src/libcharon/sa/child_sa.c:1090
 2 -> child_cfg_create() @ src/libcharon/config/child_cfg.c:536
 1 -> ike_cfg_create() @ src/libcharon/config/ike_cfg.c:330
 1 -> put_connected_peers() @ src/libcharon/sa/ike_sa_manager.c:854

kernel-libipsec: Log error if no local address is found when installing routes

dumm: Sort templates by name

testing: Don't load certificates explicitly and delete CA certificates in PKCS#12 scenarios

Certificates are now properly extracted from PKCS#12 files.

stroke: Add certificates extracted from PKCS#12 files to correct credential set

Only keys and shared secrets are moved from the temporary credential set after
loading all secrets.

pkcs12: Add plugin dependencies with soft dependencies on the most common algorithms

leak-detective: remove hdr entry when reallocating zero bytes

leak-detective: print total of allocated/leaked bytes in usage/report

dumm: add include for in.h, if_bridge.h now uses struct in6_addr

Recognize critical IssuingDistributionPoint CRL extension

Override policy recommendation in enforcement

openssl plugin can replace random, hmac, and gcm plugins

Added openssl-ikev2/net2net-pkcs12 scenario

Added ikev2/net2net-pkcs12 scenario

Version bump to 5.1.0dr3

conntrack -F makes ikev2/nat-rw scenario to work always

leak-detective: add a usage threshold option based on the number of allocations

leak-detective: set_state() only affects the calling thread

The only user (bfd backtraces) is fine with that, and we really should not
mess the enable flag while doing allocations with other threads.

leak-detective: take a copy of backtrace while printing traces

As we don't want to hold the lock, we must make sure backtraces keep valid
while printing them.

backtrace: add a clone() method

leak-detective: remove hdr from the allocation list during realloc()

If realloc moves an allocation, the original allocation gets freed. We
therefore must remove the hdr from the list, as it is invalid. We can add it
afterwards once it has been updated, allowing us to unlock the list during
reallocation.

Fixed alignment of device ID column

android: New release after adding support for EAP-TNC

Also disabled listening on IPv6 because the Linux kernel currently does
not support UDP encapsulation for IPv6.

Merge branch 'android-byod'

Adds support for EAP-TNC with a custom Android-specific IMC that
collects data such as installed packages, file hashes or system
settings.

Some parts of the implementation are based on the bachelor semester
project 'strongSwan Android 4 Client with Endpoint Assessment' by
Christoph Bühler and Patrick Lötscher.

android: Properly handle dotted-quad notation of IPv6 addresses

For nestat output like ::ffff:127.0.0.1:9876 we shall not treat 127 as
port but 9876 instead.

android: Allow IMC state to be dismissed with a swipe gesture

android: Use explicit locale when converting settings names

Apparently, these functions use the user's default locale which might not
yield the expected result (e.g. lowercase I is not i in the Turkish
locale but ı instead).

android: Add information about transmitted data if EAP-TNC is selected

android: Reuse certificate selector as generic two line button

android: Add device ID in BeginHandshake

android: Add new VpnType to enable BYOD features

Use strpfx() helper where appropriate

utils: Add helper function to check a string for a given prefix

utils: Convert string helper macros to static inline functions

android: Use a different set of plugins if BYOD features are enabled

android: IMC state fragment is a button that shows remediation instructions or log

android: Show remediation instructions instead of log on failure

android: Properly hide the IMC state fragment initially

android: Add activity that displays a list of remediation instructions

On large displays a two-pane layout is used that displays the list next
to the actual instructions.

android: Add fragment for a list of remediation instructions

This fragment can later be used in one- or two-pane layouts.

android: Add adapter for remediation instructions

android: Add fragment that displays a single remediation instruction

android: RemediationInstruction implements Parcelable interface

android: Background for state panels provides separator

android: Add fragment that displays the IMC state

The fragment hides itself if the state is unknown or the assessment
succeeded.

android: Handle and store IETF remediation instructions

android: Add a parser for XML remediation instructions

android: Show different error message depending on IMC state

android: Clear error only when the user explicitly dismisses the dialog

The previous code worked fine on rotation changes as the fragment is
destroyed and recreated causing onCreate to be called, which restores the
saved error state.  But if the user switches to a different application
and then back this is not the case.  The dialog still gets dismissed (as
we have to do so to avoid nasty exceptions on rotation changes) but since
that implicitly cleared the error state the UI was never fully restored.

android: Add state of IMC to VpnStateService and update it via JNI

android: Handle TCG file measurement related attributes using PTS

android: Android IMC state provides a Platform Trust Service (PTS) instance

android: Provide a public interface for Android IMC state

libimcv: Properly deinitialize libimcv

Other users of imcv_pa_tnc_attributes (libpts) check if it is NULL before
removing vendor IDs.

android: Define IMC functions static and with lower-case names

libpts: Skip unreadable files when measuring directories

android: Add measurement collector for ITA Device ID

android: Add measurement collector for ITA Settings

android: Handle ITA PA-TNC attributes

android: Overload for getMeasurement() that takes a String array as argument

android: Add measurement collector for Port Filter

This collector reports all listening TCP and UDP sockets/ports.

android: Enum type for transport protocols added

android: Add measurement collector for Installed Packages

android: Add measurement collector for Product Information