Add a new condition to mark IKE_SAs that are currently being reauthenticated

starter: Load config again when restarting charon

This got lost in 041e763b.

Clear virtual IPs before storing assigned ones on the IKE_SA

Otherwise we'll end up with duplicate or invalid VIPs stored on the
IKE_SA.

In mode_config, destroy temporary pool list instead of the virtual IP list twice

Merge branch 'android-client-cert'

Introduces IKEv2 client certificate authentication for the Android App.

android: Native parts handle ikev2-cert VPN type

android: android_creds_t can provide a user's private key and certificate

android: Added JNI method to retrieve user certificate and private key

To simplify things the private key, the user certificate and the CA
certificates are all put into the same list.

android: Don't show the password dialog if not required

android: Enable pkcs8 plugin

android: Pass the type of VPN to the native parts

android: Make sure NULL jstrings are converted properly

android: Display the selected certificate alias in the profile list

android: Allow configuration of a user certificate

android: Remove NOT NULL constraint from username column

android: Separate view added to select certificates

android: Don't try to load the profile with ID 0

android: Spinner added to select the VPN type

Merge branch 'multi-vip'

Brings support for multiple virtual IPs and multiple pools in
left/rigthsourceip definitions. Also introduces the new left/rightdns
options to configure requested DNS server address family and respond
with multiple connection specific servers.

Merge branch 'eap-client-select'

This brings support for EAP-Nak payloads on the client (to select a
specific or supported method), and the server (via the eap-dynamic
plugin which selects a method supported/requested by the client).

NEWS about eap-dynamic plugin added

Documentation for eap-dynamic added

Log the proper type for virtual EAP methods

Added an option to prefer types sent by peer in eap-dynamic plugin

eap-dynamic plugin handles EAP-Nak messages and selects a method supported by the peer

Preferred EAP methods for eap-dynamic can be configured

The eap-dynamic plugin uses the first supported method as default

Added eap-dynamic plugin which can proxy any other EAP method

Use eap_vendor_type_from_string() in stroke

Function added that parses EAP method strings ([eap-]type[-vendor])

Added method to enumerate EAP types contained in an EAP-Nak

Encode EAP-Naks in expanded format if we got an expanded type request

Since methods defined by the IETF (vendor ID 0) could also be encoded in
expanded type format the previous check was insufficient.

Allow clients to request a configured EAP method via EAP-Nak

Virtual EAP methods handle EAP-Naks themselves

Send EAP-Nak with supported types if requested type is unsupported

Filter invalid EAP authentication types when enumerating them

Valid authentication types defined by the IETF are 4-253 and 255.

Move our pseudo EAP types out of the range of valid EAP methods

version bump to 5.0.1dr4

Added multiple left/rightsourceip NEWS

Added NEWS for left/rightdns options

Updated ipsec.conf.5 with multiple left/rightsourceip support

Added a note to _updown for the new PLUTO_MY_SOURCEIP* variables

Be less verbose if IP allocation for a single pool fails

DHCP plugin returns virtual IPs for IPv4 requests only

Check address family in HA virtual IP backend

Strictly enforce address family match while acquiring mem_pool IPs

Don't parse comma separated pool names in attr-sql

We now handle multiple pools at a deeper level, making that special
handling obsolete. Comma separated pools are parsed in stroke.

Handle comma separated pools as multiple pool names in SQL plugin

Request and acquire multiple virtual IPs in IKEv1 Mode Config

Request and acquire multiple virtual IPs in IKEv2 configuration payload

Pass all configured pool names to attribute provider enumerator

Pass a list instead of a single virtual IP to attribute enumerators

Support multiple addresses/pools in left/rightsourceip

Support multiple address pools configured on a peer_cfg

Support multiple virtual IPs on peer_cfg and ike_sa classes

Ported tun_device de-/initialization to FreeBSD

struct iphdr is Linux specific use struct ip instead

Include stdint.h for UINT32_MAX on FreeBSD

Ported tun_device initialization to OS X utun

android: Field added to store the type of a VPN profile

android: Enum added for VPN types

android: Simplified handling of error dialog that is displayed if VpnService API is not supported

android: LoginDialog refactored so it also works when the device is rotated

android: Added a field to store selected user certificate

Ewa did the new Polish translation

Log configured IKE_SA proposals as initiator

Log configured CHILD_SA proposals as initiator

Fall back to local address as IKEv1 identity if nothing else is configured

Removed deprecated options from ipsec.conf template

Apply send delay before adding non-ESP marker

Otherwise the packet header could not be parsed correctly when NAT-T is
used.

Add a getter for the mem_pool_t base address

use pen_type_t for PA Message Subtype

Added a method to enumerate registered EAP methods

Remove unused ipsec.conf left/rightnatip keyword

Add description about DNS server variables to _updown

Add a DNS attribute handler to updown, passing servers to updown script

Add a description of the leftdns option to ipsec.conf.5

Add a stroke attribute_handler requesting DNS servers given with leftdns

Serve ipsec.conf rightdns servers through stroke attribute provider

Add a left/rightdns keyword to configure connection specific DNS attributes

Remove unused src/dst variables in send_no_marker()

use pen_type_t for attribute request entries

define pen_type_t as a vendor-specific type

Don't use POSIX semaphores if a MONOTONIC clock is available

POSIX semaphores use CLOCK_REALTIME, but our semaphore_t abstraction
expects CLOCK_MONOTONIC based times. Use the mutex/condvar based
fallback if time_monotonic() actuall returns monotonic times.

Remove the unused second IKE_SA entry match function argument

LLVMs clang complains about this parameter, so remove it.

Add a mutex/condvar based semaphore implementation if sem_timedwait is unavailable

Fixes #214.

added IBM and OpenPTS Private Enterprise Numbers

Add keymat_t constructor registration function

Using the register_constructor function enables custom keymat_t
implementations per IKE version. If no constructor is registered the
default behavior is preserved.

fixed caption

implemented IETF Attribute Request attribute

version bump to 5.0.1dr3

openssl: Fix registration of the PUBKEY builder

libtls drops support for RSA suites if it does not find an RSA backend
(final builder for RSA public keys).

Without the ties to PAM we can build eap-gtc on Android

CAP_AUDIT_WRITE is now required by xauth-pam not eap-gtc plugin

Removed manual EAP method registration in eap-gtc plugin

Enable build of eap-tls, eap-ttls and eap-peap on Android

Add a wrapper around vstr_add_fmt() to avoid having to link libcharon against libvstr

At least on Android the latter would be required.

starter: Restore original config in case also= is used (which reads the same values)

Increased log level when listing interfaces and IP addresses during startup

This avoids confusing log messages in starter and ipsec statusall
already lists the available addresses anyway.

Only load kernel plugins in starter when flushing SAD/SPD entries

This avoids keeping the kernel sockets open when they are not actually
needed, which could lead to resource problems (in particular with PF_KEY
where all open sockets receive all messages).

Fixes #217.