Merge remote-tracking branch 'dechamps/ipip' into 1.1

Support MSS clamping for IP in IP (RFC 2003) packets.

This change allows tinc MSS clamping to operate on TCP streams that are
inside an IP in IP tunnel.

Add missing newlines to some error messages.

Document that invitation files MUST always start with Name = ...

Don't warn about empty lines in invitation files.

Document the --batch option.

Assume all IPPROTO_* macros exist.

Fix building documentation when using OpenBSD's make.

Update THANKS.

Const correctness.

Support autoconf's --runstatedir option.

Put the PID file in @runstatedir@ instead of @localstatedir@/run. This
requires autoconf 2.70, which is not released yet, so add a fallback to
use @localstatedir@/run if @runstatedir@ is not set.

Ensure all parameters have names in header files.

Remove unused functions.

Don't log errors when autoconnecting fails and debuglevel is 0.

If we are using libncurses, also try to link with libtinfo.

On some distributions, tinc might not be linked correctly if -ltinfo is
not explicitly specified.

Only forward SPTPS packets if Forwarding = internal.

This tries to match what is done for packets using the legacy protocol.
However, since SPTPS is end-to-end encrypted, Forwarding = kernel cannot
be implemented. In that case, we also drop the packets.

Replace remaining sizeof foo with sizeof(foo).

Disable PMTU discovery when TCPOnly is used.

Add some information about the requirements of a chroot environment.

Ensure "make distcheck" really runs without errors.

Reformat all code using astyle.

Convert sizeof foo to sizeof(foo).

While technically sizeof is an operator and doesn't need the parentheses
around expressions it operates on, except if they are type names, code
formatters don't seem to handle this very well.

Update all header guards.

Don't start with underscores, as those are reserved for system
libraries. Make sure all start with TINC_, and that they appear at
the top of the file.

Remove unused/obsolete checks from configure.ac.

doc: there is, not their is

Prepare for automatic code formatting using Artistic Style.

Update THANKS.

Fix parsing of -b flag

Only the short -b option is missing, --batch works as expected.

Releasing 1.1pre15.

Drop h and hh length modifiers from printf format strings.

Ensure packet priority is cleared when sending PMTU probe replies.

Found by the Clang static analyzer.

Fix a file descriptor leak when using an invitation.

Found by cppcheck.

Fix a compiler warning.

Force IPv4 for sptps-basic.test.

Allow forcing either IPv4 or IPv6 for sptps_test, and use IPv4 for the
sptps-basic test. Since sptps_test is only opening a single listening
socket, and you cannot control which address family it uses, this gets
around a problem where the listening side is using a different address
family than the one connecting to it.

Add missing break statements.

Make autoconnect try to heal network splits.

When we have less than three connections, we greedily try to connect to any
viable node. However, once we have three connections, try to connect to
nodes that we know of but that aren't reachable.

We also make sure that if there are 100 reachable nodes, and 1 unreachable
one, that not all 100 reachable nodes try to connect to the unreachable
at the same time.

Add LogLevel config option

Forward-port tinc 1.0's handling of device errors.

Avoid infinite loop on EBADFD

On Linux network restart, Tinc can get into a loop writing millions of error messages "Error while reading from Linux tun/tap device (tun mode) /dev/net/tun: File descriptor in bad state" to the log. https://github.com/NixOS/nixpkgs/pull/27675

It should be somehow aborted.
Here is my quick hack.

Store the invitation data after a succesful join.

This can be used by the invitee to examine the file after a join, and
process it in different ways than the tinc CLI does.

Add configurable experation time for invitations.

Set KillMode=mixed in the systemd service file.

This ensures only the main process is sent the SIGTERM, and not anything
else that might have started in the same control group, including the
tinc-down script.

Closes #145 on GitHub.

Move logging of "would block" messages to debug level 4.

Remove unused add_scalar function.

Fix NULL pointer dereference in send_udp_info

Sanitize input in id_h - prevent integer overflows

Fix some minor issues found by cppcheck.

Add field widths to sscanf() calls.

Found by cppcheck.

Remove dead stores.

Found by the Clang static analyzer.

Add missing tinc stop command to the scripts test.

Fix tests on *BSD.

Fix segfault when adding environment variables.

Fix compiler warnings on *BSD.

Make sure realname is always initialized.

Ensure tests compile on *BSD.

Use getmsg()/putmsg() instead of read()/write() on Solaris.

This fixes a problem where read() returns packets from the IP layer before
fragmentation is done.

# Conflicts:
# src/solaris/device.c

Use /dev/udp instead of /dev/ip on Solaris.

# Conflicts:
# src/solaris/device.c

Ensure sptps_keypair and sptps_test get build for make check.

Use 127.0.0.1 instead of localhost to ensure tests are reproducible.

Ensure proper logging in the invite-offline test.

Add the scripts test.

This test whether all the scripts are run with the right information in
the right order.

Update .gitignore.

Add the invite-offline test.

This tests generating an invitation on the server while no tinc daemon is
running.

Remove superfluous sleep command in invite-join test.

Use unique ports for all tests.

Add DEBUG environment variable for scripts.

This contains the current debug level used by tinc. Scripts can use it
to decide whether to log debugging information of their own.

Closes #138 on GitHub.

Put script environment creation/deletion in functions.

This makes environment handling safer, and also has a single place where
we can add new environment variables that should be present for all
scripts.

route: Support ToS/DiffServ priority inheritance when routing IPv6 packets.

Signed-off-by: Vittorio Gambaletta <openwrt@vittgam.net>

Merge remote-tracking branch 'dechamps/sleep' into 1.1

Don't try to use kill() on Windows.

Add missing #defines used by fd_device.c.

Use free_known_addresses() to free memory allocated by get_known_addresses().

We know what struct addrinfo looks like, but the standard says nothing
about how it is allocated. So we cannot trust freeaddrinfo() to work
correctly on the struct addrinfo list we allocated ourselves in
get_known_addresses(). To make a distinction by allocations from the
latter and from str2addrinfo(), we keep two pointers (*ai and *kai) in
struct outgoing, and use the freeing function that is appropriate for
each.

Fix lost pointer trails in get_known_addresses().

Add fd_device

Remove the description of the LocalDiscoveryAddress option from the manual.

This option is no longer implemented.

Don't build sptps_* binaries by default.

Fix potential segfault in the replacement vasprintf() function.

Fix address memory leaks in add_edge_h().

Note that this is not as bad as it looks, because in practice
sockaddrfree() is a no-op for typical address types.

Clarify the flow of add_edge_h().

This is an attempt at making the control flow through this function
easier to understand by rearranging branches and cutting back on
indentation levels.

This is a pure refactoring; there is no change in behavior.

Fix edge updates containing local address changes.

This commit fixes a logic bug in the edge update code where local
address changes are not taken into account if they are bundled in with
other changes. This bug breaks local discovery in some scenarios.

The regression was introduced by commit
e4670fc4a0576eb76f1807ce29fa9455dd247632.

Fix edge local addresses not being set when connections are established.

This bug prevented nodes from advertising their local addresses, thus
breaking local discovery.

The regression was introduced in
ab13c14a1480561bb9f59ccfbbd6045e0484ce9c.

On Windows, don't cancel I/O when disabling the device.

I have observed cases where disable_device() can get stuck on the
GetOverlappedResult() call, especially when the computer is waking up
from sleep. This is problematic when combined with DeviceStandby=yes:

    other_side (1.2.3.4 port 655) didn't respond to PING in 5 seconds
    Closing connection with other_side (1.2.3.4 port 655)
    Disabling Windows tap device
    <STUCK>

gdb reveals the following stack trace:

    #0  0x77c7dd3c in ?? ()
    #1  0x7482aad0 in KERNELBASE!GetOverlappedResult () from C:\WINDOWS\SysWoW64\KernelBase.dll
    #2  0x0043c343 in disable_device () at mingw/device.c:244
    #3  0x0040fcee in device_disable () at net_setup.c:759
    #4  0x00405bb5 in check_reachability () at graph.c:292
    #5  0x00405be2 in graph () at graph.c:301
    #6  0x004088db in terminate_connection (c=0x4dea5c0, report=true) at net.c:108
    #7  0x00408aed in timeout_handler (data=0x5af0c0 <pingtimer>) at net.c:168
    #8  0x00403af8 in get_time_remaining (diff=0x2a8fd64) at event.c:239
    #9  0x00403b6c in event_loop () at event.c:303
    #10 0x00409904 in main_loop () at net.c:461
    #11 0x00424a95 in main2 (argc=6, argv=0x2b42a60) at tincd.c:489
    #12 0x00424788 in main (argc=6, argv=0x2b42a60) at tincd.c:416

This is with TAP-Win32 9.0.0.9. I suspect driver bugs related to sleep.
In any case, this commit fixes the issue by cancelling I/O only when the
entire tinc process is being gracefully shut down, as opposed to every
time the device is disabled. Thankfully, the driver seems to be
perfectly fine with this code issuing TAP_IOCTL_SET_MEDIA_STATUS ioctls
while there are I/O operations inflight.

Fix crash on Windows when a socket is available for both write and read.

Currently, if both write and read events fire at the same time on a
socket, the Windows-specific event loop will call both the write and
read callbacks, in that order. Problem is, the write callback could have
deleted the io handle, which makes the next call to the write callback a
use-after-free typically resulting in a hard crash.

In practice, this issue is triggered quite easily by putting the
computer to sleep, which basically freezes the tinc process. When the
computer wakes up and the process resumes, all TCP connections are
suddenly gone; as a result, the following sequence of events might
appear in the logs:

    Metadata socket read error for node1 (1.2.3.4 port 655): (10054) An existing connection was forcibly closed by the remote host.
    Closing connection with node1 (1.2.3.4 port 655)
    Sending DEL_EDGE to everyone (BROADCAST): 13 4bf6 mynode node1
    Sending 43 bytes of metadata to node2 (5.6.7.8 port 655)
    Could not send 10891 bytes of data to node2 (5.6.7.8 port 655): (10054) An existing connection was forcibly closed by the remote host.a
    Closing connection with node2 (5.6.7.8 port 655)
    <CRASH>

In this example the crash occurs because the socket to node2 was
signaled for reading *in addition* to writing, but since the connection
was terminated, the attempt to call the read callback crashed the
process.

This commit fixes the problem by not even attempting to fire the write
callback when the write event on the socket is signaled - instead, we
just rely on the part of the event loop that simulates level-triggered
write events. Arguably that's even cleaner and faster, because the code
being removed was technically redundant - we have to go through that
write check loop anyway.

Enforce maximum amount of bytes sent/received on meta-connections.

This is 2^{block_length_in_bits / 2 - 1}.

Use AES256 and SHA256 by default for the legacy protocol.

At the start of the decade, there were still distributions that shipped
with versions of OpenSSL that did not support these algorithms. By now
everyone should support them. The old defaults were Blowfish and SHA1,
both of which are not considered secure anymore.

The meta-protocol now always uses AES in CFB mode, but the key length
will adapt to the one specified by the Cipher option. The digest for the
meta-protocol is hardcoded to SHA256.

Fix typo in src/upnp.c.

tincctl: Avoid falling back to 1024 bits RSA key generation when an invalid key size is specified.

Also warn the user if a key smaller than 2048 bits is being generated.

Signed-off-by: Vittorio Gambaletta <openwrt@vittgam.net>

fsck: Fix ed25519 public key reading, and fclose usage.

Signed-off-by: Vittorio Gambaletta <openwrt@vittgam.net>

Log warnings about dropped packets only with debug level 5 or higher.

Fix error handling when setting up the UDP socket.

Due to this typo, if tinc managed to set up the TCP socket but not the
UDP socket, it would continue anyway.

The regression was introduced in
6bc5d626a8726fc23365ee705761a3c666a08ad4.

Fix compiling with OpenSSL < 1.1.0.

Add missing m4 files.

ax_cflags_warn_all.m4 depends on them.

Fix potential memory leaks found by the Clang static analyzer.

Fix warnings from the Clang static analyzer.

These are all false positives or harmless dead stores.

Force nul-termination of strings after vsnprintf().

Apparently, on Windows this function might not always be properly
terminated.

Use EVP_MD_CTX_destroy() instead of _free().

Thanks to azrdev for pointing out the build failure on Fedora 23.

Check return value of RSA_generate_key_ex().

Add -Wall to CFLAGS.

Ensure compatibility with OpenSSL 1.1.0.

Fix the previous commit.