openswan/CHANGES

   1
   2 Note that listings are in chronological order of release times, not in order
   3 of version numbers, so you will find 2.5.x and 2.6.x releases intersperced.
   4
   5 See also docs/KNOWN_BUGS and http://bugs.openswan.org/
   6
   7 v2.6.37 (October 28th, 2011)
   8 * Fix for CVE-2011-4073 crypto helper crash [Paul/dhr]
   9 * KLIPS: Fixes to run on Linux 3.1 [David McCullough / Greg Ungerer]
  10 * KLIPS: Fix sending icmpv6 packets in an ipv6 ipsec tunnel [David McCullough]
  11 * Fix for ike_alg_get_encrypter() possibly returning NULL [Steve Grubb]
  12   (this is rhbz#747852)
  13 * Bugtracker bugs fixed:
  14    #1241 vhost allows connections with subnets proposed and ignores
  15          virtual_privat [Wolfgang Nothdurft]
  16
  17 v2.6.36 (October 5th, 2011)
  18 * CVE-2011-3380 Openswan IKE invalid key length fix [Paul/Hugh]
  19 * auto: Add --checkpubkeys option for checking expiry of X.509 certs
  20         [Mika Ilmaranta]
  21 * Update building (with SAref) on SLES10 / SLES11 / Opensuse [Shinichi Furuso]
  22 * KLIPS: backported 2.6.19 CryptoAPI for SuSe kernels [Shinichi Furuso]
  23 * KLIPS: ipsecdevices index overflow [Shinichi Furuso]
  24 * KLIPS: cleanup off by one interface,prevented module unload [Shinichi Furuso]
  25 * tncfg called incorrectly for adding more ipsecX interfaces [Shinichi Furuso]
  26 * KLIPS: ipsec_sa_getbyid() did not work properly on IPv6 [Shinichi Furuso]
  27 * NAT-T: Fix delete for port floating case [Shinichi Furuso]
  28 * IKEv2: We always sent the openswan VID instead of using #ifdef [Avesh/Paul]
  29 * IKEv2: ikev2_get_dcookie used SHA1Update() with pointer size [Avesh]
  30 * TESTING: Added some more consistent logging in prerunsetup() [Paul]
  31 * pcr_init() should memset the request helper size, not pointer size [Avesh]
  32 * Prevent deferencing ctx->trans_cur in db_trans_add() [Avesh/Paul]
  33 * XAUTH: whack_get_value() never decremeanted "tries" [Avesh]
  34 * Fix closing fd in lib/libopenswan/oswconf.c [Avesh]
  35 * rsasigkey: configdir is always set in the NSS #ifdef part [Avesh]
  36 * examples: clarify hub-spoke netkey design [Tuomo]
  37 * NAT-T: Fixed logging for broken NAT-T keepalives [Tobias Brunner]
  38 * Use iptables-save instead of iptables -L if possible (rhbz#737973) [Avesh]
  39 * ipsec verify: New kernels use nf_conntrack instead of ip_conntrack [Avesh]
  40 * LDAP/CRL needs liblber (rhbz#737975 [Avesh]
  41 * SAREF: kernel patch added for Linux 2.6.36 and 2.6.38 [Paul]
  42 * SAREF: Remap IP_IPSEC_REFINFO/BINDREF from 22/23 to 30/31 [Sony Japan]
  43 * Disable USE_IPSECPOLICY per default, was only proof of concept code [Paul]
  44   (local user could cause pluto to stop responding if /var/run is a tmpfs
  45    mount and /var/run/pluto was manually deleted, Found by Sony Japan)
  46 * Bugtracker bugs fixed:
  47    #1270 malloc is being used which does not use alloc_bytes/pfree [Paul]
  48
  49 v2.6.35 (July 23, 2011)
  50 * OCF: Fix accidental 'always' setting of large resources [Sony Japan]
  51 * OCF: Give a hard #error in ipsec_ocf.h without proper CONFIG_KLIPS_OCF [Paul]
  52 * OCF: Only include ipsec_ocf.h when using CONFIG_KLIPS_OCF
  53 * MAST: Add ipsec_xmit_sanity_check_dev() in the mast path [Paul]
  54 * MAST: Be more careful about {mast,ipsec}priv structure [Bart]
  55 * MAST: Fix host-host connections, bug introduced in v2.6.34 [David]
  56 * SAREF: Fix crasher in ipsec.ko unload with saref kernel [Sony Japan]
  57 * SAREF: ip_cmsg_recv_ipsec_refinfo() doesn't initialize refs array [Sony Japan]
  58 * SAREF: Added null check of secpath_dup(NULL) [Sony Japan]
  59 * KLIPS: Fix possible double skb free [Sony Japan]
  60 * KLIPS: Fix MTU on interface - bug introduced in 2.6.33 [Wolfgang Nothdurft]
  61 * KLIPS: debug messages often had pre-refactor names in prefix [Paul]
  62 * DPD: Do not ignore failure in dpd_init() but return STF_FAIL [Paul]
  63 * pluto: Fix IPcomp pull-up from 2.4 introduced in 2.6.20 [Paul]
  64          (malloc <-> pfree caused assertion with LEAK_DETECTIVE set)
  65 * pluto: st_peeridentity_port missed ntohs() causing interop
  66          failure between big/little-endian machines [Magnus Öberg]
  67 * pluto: Fix for Tuomo's (rare) crasher where globals were not reset [dhr]
  68
  69 v2.6.34 (June 8, 2011))
  70 * Fix build without USE_EXTRACRYPTO introduced in 2.6.33 [Tuomo]
  71 * Fix new leftmtu= option to pass correctly to _updown [Mattias Walstrom]
  72 * Add Apple iOS work-around to l2tp example configs [Tuomo]
  73 * KLIPS: Support to compile on Linux 2.6.38 and 2.6.39 [David]
  74 * KLIPS: Make sin_family setting in delflow the same as addflow [David]
  75 * KLIPS: IPv6 and SLES10 compile fixes [Sony Japan]
  76 * KLIPS: IPv6 outbound policy check used wrong index [Sony Japan]
  77 * KLIPS: Enable CryptoAPI per default [Paul]
  78 * KLIPS: Module unload fixes [David]
  79 * KLIPS: Routing cache corruption due to ip_select_ident [David]
  80 * KLIPS: Only fixup the ethernet header it might be on [David]
  81 * KLIPS: Fix for ixs->skb->dev is null at the top of ipsec_xmit_send [David]
  82 * MAST: refcount bug in transport mode prevented ipsec.ko unload [Sony Japan]
  83 * MAST: Don't autopick mast [David]
  84 * NETKEY: Fix AH mode [Avesh]
  85   - rh #704548
  86 * DYNDNS: using hostnames could lead to loss of ports in SA [Avesh]
  87   - rh #703473
  88 * Many uml testing harness fixes and updates, mostly IPv6 related [Paul/Hugh]
  89 * "ipsec look" now shows NETKEY/XFRM and IPv6 routing table [Paul]
  90 * "ipsec look" now shows iptables NEW_IPSEC_CONN mangle table [Paul]
  91 * "ipsec look" and "ipsec barf" now shows ip6tables like iptables [Paul]
  92 * Fix inbound policy --addin, and added --replacein [David]
  93 * KLIPS: Fix family check when policies are not set [David]
  94 * MAST: Fix family check when policies are not set [Sony Japan]
  95 * Improve build speed (don't recalculate build version all the time [David]
  96 * XAUTH: Fix rekey with Cisco when remote_peer_type=cisco [Avesh]
  97 * Openswan (IKEv2/IKEv1) icmp issue (redhat bz 681974) [Avesh]
  98 * IKEv2: port range was hardcoded to 0-65535, not local policy [Avesh]
  99 * MAST: Fix oops on module unload [David]
 100 * Improve build speed, calculate version once [David]
 101 * Import OpenWRT packaging updates [Simon]
 102 * contrib: added openswan patch for 2.4.37.9 [Yannick Koehler]
 103 * KLIPS: Fix for compiling on 2.6.22 (Fedora Core 6 based) kernels [Paul]
 104 * KLIPS IPV6: Fix packet fragmentation [Paul]
 105 * Added PLUTO_CONN_ADDRFAMILY= to updown.* (to disable SAref on v6) [Paul]
 106 * KLIPS: cleanup packaging/*/config-* files [Paul]
 107 * Fix a bunch of gcc unused-but-set-variable warnings [Paul]
 108 * Fix some WERROR warnings [mcr]
 109 * Various file descriptor leaks and mimor memleaks [Avesh/dhr]
 110 * Removed reference to http://www.freeswan.org from ipsec --help [Tuomo]
 111 * Bugtracker bugs fixed:
 112    #1233 WARNING: at net/ipv4/af_inet.c:151 inet_sock_destruct on stop [David]
 113
 114 v2.6.33 (February 18, 2011)
 115 * Merge in the klips-ipv6 branch [David]
 116 * modprobe more crypto modules on startup (gcm, camelia, sha2* etc) [Paul]
 117 * Added %v4:26/8 to virtual_private ("thanks" to T-Mobile/Rogers/FIDO) [Paul]
 118 * Pluto did not start nhelpers due to --nofork, bug introduced in 2.6.32 [Paul]
 119 * OCF: Set the OCF queues to 10000 when 256MB+ RAM and 1000+ bogomips [Paul]
 120 * Improved NetworkManager support [Avesh]
 121   - This is Red Hat bugzilla 642722, 658253, 659709 and 641068
 122 * ipsec verify now also shows parse errors in ipsec.conf [Paul]
 123 * Always build SHA2 family support for IKE [Paul]
 124 * KLIPS: Add a new option to override the replay window via /sys [David]
 125   (echo 0 > /sys/module/ipsec/parameters/ipsec_replaywin_override)
 126 * Add aesni_intel to the list of crypto modules we attempt to load [Paul]
 127 * enable dumpdir= in stock ipsec.conf for use with abrtd [Paul]
 128 * New per-conn keyword mtu= allows setting the mtu per tunnel [Paul]
 129 * per-conn keyword metric= did not export to userland or updown [Paul/Tuomo]
 130 * Cleaned up and moved some old docs [Paul]
 131 * KLIPS: arp_broken_ops is no longer exported in 2.6.37+ [Paul]
 132 * KLIPS: Fix crasher in ipsec_xmit_state_delete [David]
 133 * KLIPS: Fix oops if packet is received on detached tunnel [David]
 134 * Bugtracker bugs fixed:
 135    # 601 KLIPS: NAT-OA UDP checksum bad in transport mode when both sides are
 136          NATted [Wolfgang]
 137    # 645 hundreds of replacements [...]: 000 #3: pending Phase 2 [Anthony Tong]
 138    #1182 Verification of X509 certificate signed by SHA2 [fryasu@yahoo.co.jp]
 139    #1183 Fix documentation typo (in ipsec.conf) [Tuomo]
 140    #1190 nat-t broke on transport mode for klips between 2.6.31 and 2.6.32
 141          [Paul]
 142    #1199 when leftsubnet has a different netmask than the localnet, a route
 143          is added for the localnet to the ipsec device [Tuomo]
 144    #1201 dpd + ddns does not work [Mattias Walström]
 145    #1204 Workaround for iPhone/MacOS X NAT problem [Wolfgang Nothdurft]
 146    #1210 Failes to compile with uClibc >= 0.9.29 [mb@openwrt]
 147
 148 v2.6.32 (December 17, 2010)
 149 * Remove by default forced -DLEAK_DETECTIVE [Tuomo]
 150 * Makefile.inc now uses USE_LEAK_DETECTIVE?=false [Paul]
 151 * NOMMU: Add -DCOMPILER_HAS_NO_PRINTF_LIKE to support arm-elf-gcc [Paul]
 152 * NOMMU: If pluto is started with --nofork, then also disable nhelpers [Paul]
 153 * NOMMU: Added HAVE_NO_FORK?= option to Makefile.inc (default false) [Paul]
 154 * INTEROP: Ignore IKEv1 notification type 40001 (Netscreen private use)
 155     [Andreas/Daniel]
 156 * IKEv2: Fix crash on receiving retransmited STATE_PARENT_I2 on bad AUTH [Paul]
 157 * IKEv2: Check for USE_TRANSPORT_MODE in all received notification payloads,
 158     not just the first notify payload. This is Red Hat bugzilla 646718 [Avesh]
 159 * MAST: The mastX interface no longer gets/needs an IP address [Paul]
 160 * MAST: avoid routes towards virtual ipsecN interface [Bart/Roel]
 161 * Support for Isomorphic Algorithms and Identity Disks [Olivia Wilde]
 162 * SAREF: set sareftrack=yes as the default policy [Paul]
 163 * Fix printf format arguments [Simon]
 164 * Added ipsec addconn --checkconfig and initscript support [Harald]
 165 * Fix for:  either "local" is duplicate, or "secondary" is garbage [Simon]
 166 * KLIPS: Better interface handling in _startklips [Paul]
 167 * fix interface parsing in getinterfaceinfo() [Bart/Roel]
 168 * KLIPS: Support more then 9 ipsec/mast interfaces in parser [Simon]
 169 * OCF: Change some hardcoded variables to module paramters [David]
 170   -ipsec_ocf_batch(1): Make OCF queue packets rather than process immediately
 171   -ipsec_ocf_cbimm(1): Does OCF immediately (ie., at irq time) run callbacks
 172                    or queue and call later"
 173   -ipsec_ixs_cache_allocated_max(1000):
 174 * OCF: Fix up usage of crp_olen as returned from ocf [David]
 175 * OCF: Order algs correctly for processing when mixing AUTH/CIPHER algs [David]
 176 * OCF: Update to OCF for SMP systems to allow using multiple CPU's [David]
 177 * OCF: Added /proc/net/ipsec/ocf to indicate if we support OCF or not [Paul]
 178 * OCF: move netif_wake_queue inside the lock in ipsec_xmit_state_delete [David]
 179 * OCF: OCF: Attempt to load OCF kernel HW module on startup [Paul]
 180 * SMP/OCF: Fix up queue stop/start on SMP systems [David]
 181 * OCF: Fix OCF deadlock (do not call schedule with a lock) [David]
 182 * Fix bad memory read with full debugging enabled (pbs_room vs pbs_left) [Dhr]
 183 * Fix bad memory read with -lefence in osw_alias_cmp() [Dhr]
 184 * Fix for STF_INLINE case in quick_inI1_outR1_cryptocontinue1() [Dhr]
 185 * KLIPS: make kpatch is more robust, less manual patching [Paul]
 186 * UML: Various minor fixes to get uml system back online [Paul]
 187 * SPEC: Add "development" define in spec file to build devel version [Tuomo]
 188 * RSA: Fix generation of ipsec.secrets when missing on first startup [Paul]
 189 * DPD: DPD_ACTION_RESTART would always execute DPD_ACTION_RESTART_BY_PEER [dhr]
 190 * DPD: DPD_ACTION_CLEAR crash on CK_INSTANCE with -lefence [Tuomo]
 191 * DPD: flush_pending_by_connection() when doing a %clear on DPD timeout [dhr]
 192 * NAT: Put old/new style chatter into DBG_NATT [Paul]
 193 * NETKEY: Reduce bogus noise about Old/New NAT-T support [Paul]
 194 * Bugtracker bugs fixed:
 195    #1095 Local packets are dropped on ipsec device when marking packets in
 196          OUTPUT chain [Wolfgang Nothdurft]
 197    #1160 init.d script not reporting correct exit status on config parse
 198          error [James Mead]
 199    #1162 IKEv2 transport mode interop with racoon [PATCH] [Avesh]
 200    #1170 pluto option --impair-shared-phase1 causes segfaults on --down'ing
 201          a connection
 202
 203 v2.6.31 (October 18, 2010)
 204 * Fix for OCSP compile of commit 934ce6c9443832c [Paul]
 205
 206 v2.6.30 (October 18, 2010)
 207 * Fix for: ASSERTION FAILED at connections.c:1579: c->kind == CK_TEMPLATE
 208    [Paul]
 209 * Add --listen/listen= option to limit listening to a single IP [Paul]
 210 * sa_policy_bit_names was missing ModeConfig DNS and WINS bit names [Paul]
 211 * SAREF: Add sareftrack=<no|yes|conntrack> connection option [Paul]
 212 * Fix for "handling event EVENT_RETRANSMIT for <invalid>" [Paul]
 213 * Fix for specifying protport=47 (GRE has no ports) [Paul]
 214 * IKEv2: Don't fill traffic selector struct in IKEv2 child SA when not recv'd
 215    [Paul]
 216 * MODULES: Add geode-aes to the list of crypto modules to load [Paul]
 217 * Don't install ipsec init script as /etc/init.d/setup [David]
 218 * Don't create rc.? symlinks - let user use chkconfig etc instead [Paul]
 219 * Bugtracker bugs fixed:
 220    # 252/619 more than 20 payloads in message; ignored [paul]
 221    # 690 ipsec lwdnsq --help not implemented
 222    # 860 Port --random for newhostkey [Paul]
 223    #1005 Incorrect message "R_U_THERE_ACK has unexpected sequence number"
 224          [Mike]
 225    #1040 Fix to compile without DEBUG [Paul]
 226    #1054 Startup warning: "ignored obsolete keyword (null)" [Michael Smith]
 227    #1112 Prototypes only, if function enabled in c-source with KLIPS or
 228          PFKEY [Henry N.]
 229    #1115 Fix various warnings u_char * vs. char * for sscanf,... [Henry N.]
 230    #1149 pluto uses empty NAT_OA as IDci, Server behind NAT and non natted
 231          Windows XP [Wolfgang Nothdurft]
 232    #1151 The ipsec module is not removed by 'ipsec setup stop' [Paul]
 233
 234 v2.6.29 (September 27, 2010)
 235 ! This release is made for CVE-2010-3302 and CVE-2010-3308
 236 ! Duplicate CVE's issues for these are CVE-2010-3752 and CVE-2010-3753
 237 * XAUTH: Avoid buffer overflow in CISCO DNS info [dhr/paul]
 238          Avoid shell problems with single quotes CISCO DNS paramters [dhr/paul]
 239   http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=2010-3302
 240 * XAUTH: Avoid buffer overflow in CISCO BANNER [dhr/paul]
 241          Avoid shell problems with single quotes in CISCO paramters [dhr/paul]
 242   http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=2010-3308
 243 * NETKEY: Fix for spurious %hold netlink-acquires [Paul/dhr]
 244 * KLIPS: Fix compiling on 2.6.18 based RHEL5 kernels [Paul]
 245 * Various fixes based on automated source code review [dhr]
 246 * SAREF: Updated for 2.6.35 kernel [Harald]
 247 * KLIPS: Updated for 2.6.35 kernel [Harald]
 248 * PACKAGING Use Epoch 1: for Debian/Ubuntu [Simon]
 249 * MAST: fix iptables rule "leak" on rekey [Bart]
 250 * MAST: use only the most recent iptables rule [Bart]
 251 * pluto: restrict rekeymargin to be smaller than salifetime [Bart]
 252 * MAST: ensure we don't end up with mtu=0 on mast0 [Bart/Paul]
 253 * MAST: enforce outgoing tunnel policy [Bart]
 254 * MAST: use addflow pfkey command to set policy on tunnel SAs [Bart]
 255 * Added a new pfkey flag, POLICYONLY, to the ADDFLOW command [Bart]
 256 * MAST: allow for setting of policy for inbound SAs [Bart]
 257 * MAST: favour deleting an SA even if the pfkey op failed [Bart]
 258 * HAVESTATSD: Log new phase2 messages as a result of a rekey [Paul]
 259 * MAST: use iptables --comment to show the conn name [Bart]
 260 * VNET: differentiate instantiation of road warriors and vnet [Paul]
 261 * Log LEAK_DETECTIVE and HAVE_LIBNSS support on startup [Paul]
 262 * IKEv2 connections were broken since 2.6.25 [Avesh]
 263 * MAST: new "ipsec policy" command replaces "ipsec eroute" [Bart]
 264 * Fix SElinux warning in realsetup (bz628879) [Avesh]
 265 * Support for SHA2_256 in IKEv2 (bz621790) [Avesh]
 266 * IKEv2: Fix for using MD5 and PRF conversion function [Avesh]
 267 * SAREF: Improved workaround for rp_filter [Bart]
 268 * NSS: Increase minimum nss for rhbz#453577 [Paul]
 269   (this allows us to revert workaround in git 6c8ff2791d1)
 270 * SAREF: Added /proc/net/ipsec/saref that shows kernel patch state [Bart]
 271 * SAREF: Add SAref checks to ipsec verify [bart/paul]
 272 * A bunch of Makefile.inc variables could not be overridden properly [Paul]
 273 * Bugtracker bugs fixed:
 274    #1042 NF_INET_LOCAL_OUT vs NF_IP_LOCAL_OUT still broken [David]
 275    #1102: Ensure KLIPS still works on older kernels [Paul]
 276    #1113: crypt_dh.c: Fix "warning: multi-line comment" [Tuomo]
 277
 278 v2.6.28 (July 29, 2010)
 279 * MAST: Fix SAref vmalloc() call that could cause a kernel panic [Bart]
 280 * SAREF: rework exported interface to avoid might_sleep() during rcu lock [Bart]
 281 * SAREF: Use the correct mask when updating nfmark in rcv path [Bart]
 282 * MAST: Cleanup updown.mast iptables rule management [Bart]
 283 * MAST: Rework mast init scripts to use conntrack [Bart]
 284 * MAST: Remove iptables rules after SA is deleted [Bart]
 285 * SAREF: Fix bug in stream-socket saref mode [Bart]
 286 * SAREF: Ported to apply on Linux 2.6.34 [Harald]
 287 * MAST: Fix for NAT-T mode (set ixs->outgoing_said in mast mode) [Bart]
 288 * MAST: Fix module unload with mast [Bart]
 289 * Allow rightsubnet=vnet:%priv rightprotoport=17/%any w/o right=%any [Paul]
 290 * SAREF: Log SAref and SAbind capabilities on pluto startup [Paul]
 291 * Log tunnel down with HAVE_STATSD as "down", not "unknown" [Paul]
 292 * Changes to _realsetup.in for making the init script LSB compliant [Avesh]
 293   rhbz #594767
 294 * _startnetkey update for DNS and NetworkManager [Avesh]
 295 * SAREF: fix bug in stream-socket saref mode [Bart]
 296 * Added TCP header flags to ipsec_print_ip() output [Bart]
 297 * KLIPS: Don't fail non-existant header_ops (breaks ppp) [David]
 298 * KLIPS: ip_select_ident hashing fix in AH xmit path [Kirill Berezin]
 299 * HAVE_STATSD: Fix phase1/phase2 logging through HAVE_STATSD interface [David]
 300 * HAVE_STATSD: log output fix when two connections share a phase1 [David]
 301 * HAVE_STATSD: Slightly clarified and changed log messages [Paul]
 302 * SAREF: Clarified defines and fixed nfmark printing in HAVE_STATSD [dhr/Paul]
 303 * MAST: Temp workaround in _updown.mast for martians problem [Bart/Paul]
 304 * Cleanup source code to use C-style comments [Tuomo]
 305 * Bugtracker bugs fixed:
 306    # 1120: [PATCH] netlink receive buffer size too small for linux 2.6.32
 307            [Roman Hoog Antink]
 308
 309 v2.6.27 (June 21, 2010)
 310 * Fixes to the SAREF / MAST code to avoid recursion loops [Bart]
 311 * KLIPS compile fixes for 2.4 kernels [David]
 312 * Memory leak fix unshare_connection_strings [Shinichi Furuso]
 313 * define ALLOW_MICROSOFT_BAD_PROPOSAL to allow connecting to behind NAT [Paul]
 314 * Missing load_oswcrypto() call 'ipsec showhostkey' [Kevin Locke]
 315   (this is http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=575757?)
 316 * Log the netfilter mark (him/me) with HAVE_STATSD=true [Paul]
 317 * saref-bind kernel patch that allows setsockopt() to an saref [Bart]
 318 * Rename /bin/statsd to /bin/openswan-statsd with HAVE_STATSD=true [Paul]
 319 * contrib/sarefnc is netcat (nc) with saref settable option [Bart]
 320 * Allow multiple proposals in Aggressive Mode, as long as the DH group is
 321   the same for all of them [Michael H. Warfield]
 322 * alg_info_addref() needed #ifdef KERNEL_ALG like  alg_info_delref() [Shinichi]
 323 * Remove the obsolete _confread script. [Simon]
 324 * Correct the creation of the directory /var/lock/subsys. [Simon]
 325 * Set a default value for IPSECsyslog in setup to avoid logger errors. [Simon]
 326 * Cleanup source code to use C-style comments [Tuomo]
 327 * Enable addconn to read config from stdin when called with --config - [Simon]
 328 * Fix for broken enum_names regarding ENCAPSULATION_MODE_TUNNEL* [Paul]
 329 * Fix for a few gcc warnings in dnskey.c and xauth.c [Paul/Simon]
 330 * Fix for kernel_pfkey.c bad_case(esatype) introduced in 2.6.25 [Bart]
 331 * Bugtracker bugs fixed:
 332    #  76: ipsec verify warns about no RSA key when using X509 pem files [Paul]
 333    #1074: virtual_private broken on U2.6.19/K2.6.27.25-78.2.56.fc9.i686?
 334           Fix virtual_private checks to give correct warnings [Tuomo]
 335    #1101: protoport code and nat-t code are switching ports with netkey
 336           [Mika Ilmaranta/Tuomo]
 337    #1106: Incorrect xfrm policy with both-NAT client connection [Paul]
 338
 339 v2.6.26 (May 25, 2010)
 340 * KLIPS fixes for 2.6.33 kernel [Greg Ungerger/David]
 341 * RFC-5114 Diffie-Hellman group 22, 23 and 24 support [Avesh]
 342 * Revert broken work-around for nspr4 warning [Tuomo]
 343 * Copy David's klips fixes to netlink where they are needed too [Tuomo]
 344 * Fix bogus initiations of existing tunnels on netkey introduced
 345   in 2.6.25 [Tuomo]
 346 * Compile fixes for compiling without NAT_TRAVERSAL [Paul]
 347 * Fix pfkey error on tunnel deletion [David]
 348 * Fix up eroute_connection for klips [David]
 349 * When we ASSERT, show where we asserted [Bart]
 350 * Merge in #osx branch [Paul]
 351 * Fix eroute_type to satype conversion for pfkey [Bart]
 352 * Fix confusion about transport_proto and proto in comments and bsdkame [Tuomo]
 353 * Updated SecureClient patch for hybrid mode in contrib [Yair Elharrar]
 354 * remote_peer_type= support for whack [Avesh Agarwal]
 355 * Cisco banner support in _updown via PLUTO_PEER_BANNER [Avesh Agarwal]
 356 * New option nm_configured=yes will skip reconfiguring resolv.conf, so
 357   that NetworkManager can handle this. Can be directory whack'ed using
 358   the --nm_controlled option. [Avesh Agarwal]
 359 * Clean up DPD logging. [Tuomo]
 360 * SAref updated to 2.6.32 kernel [Bart/Paul]
 361 * Bugtracker bugs fixed:
 362    # 414: Y2K38 bug in X.509 Digital Certificate handling [Andreas Steffen]
 363           (happened only on 32bit machines for certs expiring after 2038)
 364    # 428: Fix for representation of [...] used algorithms
 365           in ipsec auto --status [Martin Schiller]
 366    #1004: Better fix for bug #1004 [Mika Ilmaranta/Tuomo]
 367    #1035: Allow specifying interface name, eg left=%ppp0 [Martin Schiller]
 368    #1080: duplicate of #414
 369    #1085: Random disconnects of (ipsec+l2tpd) tunnels [Mika Ilmaranta/Tuomo]
 370    #1087: acquires cause invalid policies being inserted into xfrm policy
 371           introduced in 2.6.25 [Tuomo]
 372    #1093: enc alg=0 not found in constants.c:oakley_enc_names [Henry N.]
 373    #1094: IPSEC_RCV_DECAPFAIL with auth=ah [Wolfgang Nothdurft]
 374    #1096: ipsec_xmit_send ignored mark of skb. causing ignoring of ip rules
 375           and only main routing table was used. [Wolfgang Nothdurft]
 376    #1104: Compile for NETKEY without KLIPS fails with missing symbols
 377           [Henry N.]
 378    #1107: buildfix for showpolicy.c when using gcc 4.5 by Paweł Zuzelski
 379    #1108: gcc-4.5.0 enum warning fix [Paweł Zuzelski]
 380    #1110: rightsubnet=vhost:%priv,%no not working as expected for non-natted
 381           case fixed by new #1004 fix [Mika Ilmaranta/Tuomo]
 382 * Fix for protostack=auto when KLIPS or NETKEY is not compiled in [Paul]
 383 * Fix for compiling without XAUTH (introduced with remote_peer=cisco support)
 384           [Thomas Geulig]
 385 * Fix %prompt for encrypted X.509 private keys [Harald]
 386 * Fix plutodebug=natt being accepted just like whack --debug-natt [Tuomo]
 387
 388 v2.6.25 (Mar 21, 2010)
 389 * Google Summer of Code 2009 project for osxApp merged in [Paul]
 390   code contributed by student Jose Quaresma and mentor Stefan Arentz
 391 * Google Summer of Code 2009 project for livetest merged in [Paul]
 392   code contributed by student Daniel Snider and mentor Paul Wouters
 393 * Added exceptsocket NULL kernel_ops for non-bsd stacks [Paul]
 394 * Remove hardcoded sql: from nss db path (showhostkey, rsasigkey) [Tuomo]
 395 * Remove version from README.nss [Tuomo]
 396 * Fixed obvious errors on fedora and centos5 rpm specs [Tuomo]
 397 * Remove --key option from showhostkey [Paul]
 398 * Fix for NAT-T vendorid payload on some ARM processors [dhr]
 399 * Fix reference to unused file in README.nss [Tuomo]
 400 * Fix 'ip' failure when built against libcap-ng [Kyle McMartin]
 401 * Split networking support for remote_peer_type=cisco [Avesh]
 402 * Fixup for compiling with broken version of nspr [Avesh]
 403 * Update ipsec.conf man page [Tuomo]
 404 * In rare circumstances, DPD could kill an active tunnel [Shinichi Furuso]
 405 * Compile fixes for NETKEY without KLIPS [Ajay.V.Sarraju]
 406 * Fix tcpdump operation on KLIPS/ipsecX interfaces [David]
 407 * Report NETDEV_TX_BUSY when klips is overloaded with requests [David]
 408 * Fix usage of KLIPS_IP_SELECT_IDENT to prevent kernel trace/warnings [David]
 409 * Auth corruption due to unprotected data in sha1 (work_space) [Shinichi Furuso]
 410 * Correct locking for SA tables in pfkey interface [Shinichi Furuso/David]
 411 * Add locking to PRNG to prevent possible corruption [Shinichi Furuso/David]
 412 * Fix oops on held packets [David]
 413 * Implement remove_orphaned_holds for NETKEY [Tuomo]
 414 * Fix _plutorun to use standard restart option for ipsec setup [Tuomo]
 415 * Disable auto skb_dst_release so that icmp_send works [Ronen Shitrit/David]
 416 * Fix for unloading KLIPS module on latish kernels [Ronen Shitrit]
 417 * Fix init script default not to start up on boot by default [Tuomo]
 418 * Do not store XAUTH password in a variable if read from the prompt [Avesh]
 419 * spi/spigrp/tncfg blindly assumed KLIPS. Give nicer error output [Avesh]
 420 * Fix for _updown.netkey not being able to delete route [Tuomo]
 421 * Fix bad bare_shunt entry that break tunnel routing [David]
 422 * Fix oops when network driver doesn't support all header_ops [David]
 423 * Fix for hardcoded hmac 96 bits length [Avesh]
 424 * Check for clrngd as well as rngd in ipsec verify [Paul]
 425 * Fix default value for ikev2 in ipsec.conf man page [Tuomo]
 426 * Support for USE_TRANSPORT_MODE in IKEv2 [Avesh]
 427 * Fix fox implicit DSO linking with NSS [Avesh]
 428   - redhat bz#565140
 429 * Fix various spelling errors [Harald]
 430 * Fix for leftid=@[foo] notation [Michael H. Warfield]
 431 * Interop issue with Cisco where with XAUTH and ModeConfig we expected
 432   ISAKMP_CFG_REPLY but we got ISAKMP_CFG_ACK [Paul]
 433 * Support for receiving Cisco dns and domain settings and updating
 434   /etc/resolv.conf. Requires remote_peer_type=cisco [Avesh]
 435
 436 v2.6.24 (Jan 8, 2010)
 437 * Give clear warning about missing defaultroute [Tuomo]
 438 * Fix to allow ";" in the ike/esp parameters as per man page. [Avesh]
 439 * Fix for DPD with NETKEY [Frank Eberle]
 440 * Make initscript LSB compliant [Avesh]
 441 * Fix for compiling with nss and broken nspr header [Elio Maldonado Batiz]
 442 * Do not set the IKEv2 Critical flag for payloads defined in RFC 4306 [Avesh]
 443 * Client side support for Cisco load balance directives in IKEv1 [Avesh]
 444   - new keyword: remote_peer_type=cisco
 445 * Update ipsec_setup man page to match setup changes [Tuomo]
 446 * Zeroize ISAKMP and IPsec SA's when in FIPS mode [Avesh]
 447 * Initial contact from Windows/l2tp would fail once before succeeding [David]
 448 * KLIPS compiles on all recent (upto 2.6.31) kernels [mcr]
 449 * KLIPS fixes for 2.6.32 [david/paul]
 450 * Fix for mixed IPv6 in IPv4 and vice versa tunnels [Heiko Hund]
 451 * Fix for NETKEY on kernels 2.6.26+ [Andreas Steffan]
 452 * NAT-OA fixes [David]
 453 * Fixup cryptoapi sg_set_page for older kernels [David]
 454 * Honour kernel build verbose setting via V=1 [mcr]
 455 * Change NAT-Traversal support log message (It's not a patch) [Tuomo]
 456 * Some programs were installed twice causing .old files [Avesh]
 457   - This is redhat bugzilla #546024
 458 * lwdns.req.log moved from /var/tmp/ to /var/run/pluto/ [Avesh]
 459   - This is to avoid an SElinux AVC Denial
 460 * Fix compilation so it does not require xmlto [paul]
 461 * Fix NSS by removing extra sql: from NSS db directory name [Tuomo]
 462   (sql: syntax not supported on RHEL/CentOS nss version)
 463 * Move NSS debug logging to DBG_PARSING [Tuomo]
 464 * Bugtracker bugs fixed:
 465    # 428:  KLIPS NULL encryption patch (through cryptoapi)
 466    #1004: L2TP broken with NAT'ed clients [dhr/Tuomo/Paul]
 467    #1053: typo in notification sending routine [Seong-hun Lim]
 468    #1055: init script hangs on startup with semi-broken shells [Michael Smith]
 469           (eg busybox and debian's new default /bin/dash shell)
 470    #1056: setup script start_stop() checks for filesystem writability
 471    #1067: openswan fails on systems not supporting popen() [Jonathan Miller]
 472    #1072: Compiling with USE_VENDORID=false fails [paul]
 473
 474 v2.6.23 (Sep 8, 2009)
 475 * Support for dropping unneeded capabilities using libcap-ng [Avesh]
 476   (Changed using  USE_LIBCAP_NG= in Makefile.inc)
 477 * Additional ASN.1 parser checks by David McCullough [David]
 478 * PSK support with USE_LIBNSS [Avesh Agarwal]
 479 * Allow multiple different PSK road warriors with Aggressive Mode [David]
 480 * Additional KLIPS debugging can be enabled in /proc/net/ipsec_saraw [David]
 481 * Extended fipschecks [Avesh Agarwal]
 482 * auto=route tunnels could fail due to an Opportunstic Encryption bug [David]
 483 * passthrough routes on NETKEY where missing a a policy [Michael H. Warfield]
 484 * The init script was mistakenly installed twice, once as 'setup' [Paul/Harald]
 485 * LSB compliance error in initscript (debian bug#537335) [Petter Reinholdtsen]
 486 * Fix for old style nat-t patch on newstyle 2.6.23+ kernel [Paul]
 487 * ipsec verify now returns non-zero when an error is encountered [Paul]
 488 * Fix for ipsec whack --crash <IP> crasher [David]
 489 * Partial fix for #1004. We no longer drop the port from protoport= [dhr/Paul]
 490   transport mode L2TP now works again for the non-NAT'ed case
 491 * Fix for size (XXX) differs from size specified in ISAKMP HDR (YYY) [David]
 492 * Removed old USE_SMARTCARD code. Smartcards are now supported via NSS [Paul]
 493   (not all code was properly #ifdef'ed, so a few changes outside #ifdef
 494    SMARTCARD were needed)
 495 * Prevent aggressive mode tunnels losing phase2 [David]
 496 * Various fixes to eroutes [David]
 497 * Bugtracker bugs fixed:
 498    #1044: openswan.spec file builds an RPM that is missing lwdnsq [Joe Steele]
 499
 500 v2.6.22 (Jun 23, 2009)
 501 * Malicious X.509 certificates could crash the asn.1 parser.
 502   Found by Orange Labs vulnerability research team. Patches via
 503   an irresponsible 0-day public announcement by Andreas Steffen
 504   (this is CVE-2009-2185)
 505 * NSS support via USE_LIBNSS updated [Avesh Agarwal]
 506 * Added USE_FIPSCHECK. [Avesh Agarwal]
 507 * NAT-T cleanup (no nat-t patch needed for >= 2.6.23) [Harald Jenny/David]
 508 * Enabled USE_DYNAMICDNS per default. Disabled USE_LWRES. [Paul]
 509 * Fix for gcc 4.4 errors [Avesh Agarwal]
 510 * AVC Denail with /var/tmp and openswan ipsec service [Avesh Agarwal]
 511   (see https://bugzilla.redhat.com/show_bug.cgi?id=489113)
 512 * misc. fixes to the build system [mcr]
 513 * Updated various Copyrights [Paul]
 514 * Fix for DYNAMICDNS when dns name was unknown on initial load [David]
 515 * Fix for ttoaddr when passing AF_INET/AF_INET6 [David]
 516 * newer CA's (openssl) now use a crlnumber. Create one with 01 [Paul]
 517 * Fixes to new nat-t code (HAVE_UDP_ENCAP_CONVERT ) [mcr]
 518 * Some ipsec_tunnel KLIPS cleanups [mcr]
 519 * Implement a fallback to SW for failed HW requests [David]
 520 * Make sure that ipsec starts after the crypto layer [David]
 521 * Fix compilation without OCF and cryptoapi instead [David]
 522 * Fixes to compile with 2.6.29 [David]
 523 * Fixed to compile on 2.6.30 [Harald Jenny]
 524 * Fix for the default assigned of "ipsec0" to all packets [David]
 525 * Fix for concurrent ISAKMP negotiations from different hosts to a
 526   single host with nhelpers>=1 [Anthony Tong]
 527 * UDP port 501 encaps to interop with Lucent in contrib/lucent
 528   Contributed by  Rolando Zappacosta
 529 * Various warnings fixed in pluto [Gilles Espinasse]
 530 * Bugtracker bugs fixed:
 531    #1031: Fail to compile KLIPS module on RHEL5.3 or CentOS5.3 [Mark Keir]
 532    #1030: aggressive mode & dead peer detection fails [Tim Horsburgh]
 533    #1023: Oops due to improper ipsec_sa destruction [Nick Jones]
 534    #1036: sysctl variables are not correctly set anymore [David]
 535
 536 v2.4.15 (Jun 25, 2009)
 537 * Fix for CVE-2009-2185 X.509 ASN.1 parser crasher [Andreas Steffen/Paul]
 538
 539 v2.6.21 (Mar 30, 2009)
 540 * Fix for CVE-2009-0790 DPD crasher [Gerd v. Egidy/Paul]
 541 * Fix remaining SADB_EXT_MAX -> K_SADB_EXT_MAX entries. ["bencsathb"]
 542 * Fix ipsec setup --status not showing amount of tunnels with netkey [Tuomo]
 543 * Bugtracker bugs fixed:
 544    #1016: rightid=%fromcert without rightcert causes crash
 545
 546 v2.4.14 (Mar 30, 2009)
 547 * Fix for CVE-2009-0790 DPD crasher [Gerd v. Egidy/Paul]
 548 * Fix for CVE-2009-1121 ipsec livetest tmp file "issue" [Paul]
 549 * Bugtracker bugs fixed:
 550   #986: Compile-Error and Debugging in 'linux/net/ipsec/ipsec_alg_cryptoapi.c'
 551
 552 v2.6.20 (Feb 9, 2009)
 553 * Added support for USE_NSS (default false) [Avesh Agarwal]
 554 * USE_IPSEC_CONNECTION_LIMIT (default false) support for those who have to
 555   deal with export restrictions [David]
 556 * Added "metric=" keyword to the conn section to allow host failover
 557   from another interface to ipsec using route management. [David]
 558 * Split crypto calls off into liboswcrypto for easier FIPS handling [David]
 559 * Fix sprintf warning in init_crypto_helper [Owen Jacobson]
 560 * KLIPS could not be unloaded (requires updated nat-t patch) [David]
 561 * Fix crasher with disassociated pending (async) crypto requests [David]
 562 * Make pluto more verbose on aborting for embedded systems [David]
 563 * Fix for ipsec_kversion.h on kernels > 2.6.22 non-RHEL/SLE [David]
 564 * New parser was missing keep_alive= and force_keepalive= options [Paul]
 565 * Fix for ipsec whack --listevents [Shingo Yamawaki]
 566 * Fix compiling without OCF [David]
 567 * Fix for using kernel cryptoapi algs causing bad packets [David]
 568 * Fix ESP+IPCOMP processing [David]
 569 * Only calculate (expensive) irs->sa_len when debug is enabled [David]
 570 * Repaired missing code responsible for sending IPCOMP request to peer [David]
 571 * Make sure we only set NEXT_NONE on the last VID entry that we add [David]
 572 * Fix NETKEY with transport mode and NAT-T [Paul]
 573   (does not yet fully fix bug #1004, as the wrong IP (inside vs outsid)
 574    is used in the policy)
 575 * Fix for KLIPS with NAT-t so decrypted packets do not appear to come
 576   from the hardcoded ipsec0 interface [Hiren Joshi]
 577 * Send the remote host address to PAM during XAUTH so that it may be used
 578   for better logging/authentication purposes at the PAM end. [Ken Wilson]
 579 * Using Main and Aggressive mode could pick the wrong policy and fail [David]
 580 * Fix for main_inI2_outR2_tail() when compiled without DEBUG [Shingo Yamawaki]
 581 * Fix for bogus "discarding packet received during asynchronous work
 582   (DNS or crypto)". We were queueing/dropping packets that were needed to
 583   get the tunnel going [David]
 584 * The pluto event loop behaves more predictable under heavy load.
 585 * Fix for sending wrong state/cookies with async crypto  [David]
 586 * Do not sent duplicate status changes to the stats daemon [David]
 587 * Disable the warning if DH operations take more than 200ms [David]
 588 * Use K_SADB_EXT_MAX, not SADB_EXT_MAX in eroute.c [Carsten Schlote]
 589 * Fix for fmt_common_shell_out() using long PLUTO* vars [Carsten Schlote]
 590 * Bugtracker bugs fixed:
 591    #1015: no building of ipsec.conf.5 manpage on 2.6.20dr2
 592    #1018: ipsec eroute --clear segfaults (KLIPS) [Carsten Schlote]
 593    #1004: [partial fix] ipsec/l2tp server behind NAT/port forward broken [Paul]
 594    #1014: compress=yes on initiator does not propose IPcomp [David]
 595    #0982: kernel panic with compression=yes  [Florian Westphal]
 596    #0949: not able to set nhelpers=0 [Shingo Yamawaki]
 597
 598 v2.6.19 (Nov 24, 2008)
 599 * Fix for L2TP/IPsec with Windows machines having their packets
 600   disgarded by accident [Hiren Joshi]
 601 * Workaround for bad "%v:" virtual_private= entries [paul]
 602 * Fixes to interop with SoftRemote/aggressive mode [David McCullough]
 603 * Fix for ERROR: Module xfrm6_tunnel is in use by ipcomp6 [paul]
 604 * Fix for using MODPROBE=insmod where insmod does not support -q [paul]
 605 * Enable all wins/dns options as specified in man pages [david]
 606 * build support for all WINS/DNS options as mentioned in the man pages [david]
 607 * Removed obsolete keywords: firewall (linux 2.0), spibase, spi,espenckey,
 608   espauthkey and espreplay_window (manual keying) [paul]
 609 * Fix unneccesary and bogus connection switching with NAT [Shingo Yamawaki]
 610   (this might relate to several reported bugs in the tracker)
 611 * Added cisco-decrypt utility for PCF obfuscation in contrib/ [paul]
 612 * Fix for crasher when the leftcert= filename was not found [paul]
 613 * Patch for "route already in use" when using two different IP's
 614   to talk to the same remote IP using two tunnels [Avesh Agarwal]
 615 * Fixes to init scripts [Avesh/Tuomo]
 616   See also: RedHat bugzilla #466861.
 617 * Bugtracker bugs fixed:
 618    #992: keyingretries default changed from %forever to 3 [ken]
 619          (bug was introduced in 2.6.x)
 620    #981: plutodebug=all klipsdebug=all not operate. [paul]
 621    #994: Not having leftid=%fromcert results in a pluto segmentation [paul]
 622   #1003: virtual_private broken? [paul]
 623
 624 v2.6.18 (Oct 6, 2008)
 625 * Fix for compiling KLIPS on RHEL/Centos 2.6.18-92.1.10.el5 [dhr/paul]
 626 * Fix in deleting connections that might have caused some of our Delete
 627   Notifies to have gotten lost. Introduced in openswan 2.5.01 [paul]
 628 * Rekey= inverted yes/no, causing rekey=no to be rekey=yes [Shingo Yamawaki]
 629 * Some memory leaks / refcount fixes [Shingo Yamawaki]
 630 * Removed most of #ifdef CONFIG_KLIPS_DEBUG conditionals. We now always
 631   compile in DEBUG support. [paul]
 632 * No longer use the assembly version of des_encrypt (dx86unix.S). It
 633   is i386-i686 specific, requires framepointers and does not work with
 634   CONFIG_REGPARM=y, which is the unconditional default for 2.6.17+ [paul]
 635 * Fix memory leak when we run out of descriptors [David McCullough]
 636 * Various memory leak fixes for pluto (from #macosx) [Ilia Sotnikov]
 637 * LEAK_DETECTIVE should report better now [Ilia Sotnikov]
 638 * Add support for USE_DMALLOC [Ilia Sotnikov]
 639 * Update stats to show dropped packets [David McCullough]
 640 * Allow session migration of OCF devices [Brad Vrabete]
 641 * DNS/WINS ModeConfig fixes [David McCullough]
 642 * refineconnection bug fix. This might cover various problems where
 643   the right conn was not picked (eg rightca="%any" workaround, but
 644   perhaps also some rekey issues) [paul]
 645 * unregister_netdevice: waiting for ppp2 to become free. Usage
 646   count = -1 on kernels < 2.6.24 [Martin Schiller]
 647 * Fix for parallel building, eg with rpmbuild [tuomo]
 648 * Bugtracker bugs fixed:
 649   #989: Patch for fixing type-punned compiler warnings [Alin Nastac]
 650   #979: Two errors in debian/ packaging files (fix included) [ruben]
 651   #978: ipsec.conf man page has typo in virtual_private sample line [tuomo]
 652   #975: ipsec_setup: Unknown socket write error 96. [paul]
 653   #231: In Aggressive Mode with NAT-T,initiator should switch port [hiren joshi]
 654   #228: Problems with %any matching in ipsec.secrets? [David McCullough]
 655   #984: OpenSwan 2.4.13: Wrong ipsec_dev_get(x) function for Kernels < 2.6.24
 656
 657 v2.6.17 [will be skipped due to bad tag]
 658
 659 v2.6.16 (Aug 18, 2008)
 660 * Merged in David McCullough's OCF patch [david/paul]
 661   Requires kernel patch, see http://ocf-linux.sourceforge.net/
 662 * dpdaction=restart_by_peer support added [david]
 663 * dynamic dns support (do dns lookup at restart conn, eg after dpd) [david]
 664   Uses USE_DYNAMICDNS=
 665 * Added USE_SINGLE_CONF_DIR= [david]
 666 * KLIPS support for 2.6.24 / 2.6.25 [david]
 667 * Fix for "Unknown sysctl binary path" [david]
 668 * rekeyfuzz is percentage, not integer [david]
 669 * Added HAVE_STATSD= support to log state changes (for webgui etc) [david]
 670   (disabled per default)
 671 * Wrapper to handle more then 2048 NETKEY tunnels [david]
 672 * fixes for parser warnings [dhr]
 673 * Fix rmmod calls not to use -s since busybox rmmod does not support it [paul]
 674 * Fixes to KLIPS for newer 2.4 kernels [greg/davidm]
 675 * Road Warrior behind NAT - Aggressive Mode: wrong NAT-T decision [hiren joshi]
 676 * Added documentation for leftxauthusername= and XAUTH passwd support [paul]
 677 * Bugtracker bugs fixed:
 678   #977: KLIPS doesn't work when wan interface is a tagged vlan interface
 679         Regression from 2.4? [Tino Keitel / Krisztian KOVACS]
 680   #972: Aggressive mode connection breaks after DPD timeout for NATed peer
 681   #965: xmlto man fails to generate ipsec.conf.5 man page  [tuomo]
 682
 683 v2.6.15 (Jul 4, 2008)
 684 * Patch to support NETKEY backport on Debian kernels [Rene Mayrhofer]
 685 * Fix a crasher when using right=%any with plutodebug=controlmore [paul]
 686 * Fix a crasher when deleting connections in NETKEY [ken]
 687 * Added disable_port_floating support to scripts and parser and
 688   repair the default back to allow port floating [paul]
 689 * Change (back) defaults of plutorestartoncrash and uniqueids from
 690   no to yes. The new parser mistakenly did not set these [paul]
 691 * Revert af family code in find_host_pair causing some connections to not
 692   be found in find_host_connection2() [paul]
 693 * Fixes to _updown.mast, _realsetup (mast) and startklips [paul]
 694 * Fixed to saref code so we can build on OSX again [paul]
 695 * Use PREROUTING instead of OUTPUT/FORWARD for mast [mcr]
 696 * NETKEY support for eroute_idle using get_sa_info() [herbert/andreas]
 697 * Do not send DPD "R_Y_THERE" when eroute not idle [andreas]
 698 * Support for Relative Distinguished Name "unstructuredName"/"UN"
 699   in ID_DER_ASN1_DN identities (eg leftid="UN=John Doe") [andreas]
 700 * Removed forwardcontrol= and rp_filter= options. Ignore if present
 701   in config file. Use /etc/sysctl.conf [paul]
 702 * Fix for left="%defaultroute" when using NETKEY [tuomo]
 703 * Fix for KLIPS on SMP systems (missing SOCKOPS_WRAP for pfkey_ops) [dhr/paul]
 704 * Merged in some IPsec SAref related code [mcr/paul]
 705 * Merged in packaging/suse for building rpms on SLES [paul]
 706 * Bugtracker bugs fixed:
 707   #784 / #928 : openswan (pfs=yes) to vista (pfs=no) crasher [paul/dhr]
 708   #934: mem leak in klips:ipsec_rcv_decap [Wolfgang Nothdurft]
 709   #935: 935: Openswan 2.6.14rc5 refuses to start after carsh  [paul]
 710   #939: Openswan 2.6.14rc5 crashes on startup if dns is not reachable [andreas]
 711         (curl issue on 64bit platforms when dns is not available)
 712   #953: disable_port_floating defaults to yes and config parser... [paul]
 713   #954: patch to support DEFAULT_SOURCE using netkey [mdw21]
 714   #957: pluto always gets --disable_port_floating parameter... [paul]
 715   #963: rp_filter=%unchanged option causes assertion failure  [paul]
 716   #964: make -j4 programs fail [tuomo]
 717
 718 v2.4.13 (Jun 26, 2008)
 719 * Fix a memory leak by removing unused variables alg_esp and alg_ike [dhr]
 720 * Recognise and log unsupported IKEv2 exchanges [paul]
 721 * Bugtracker bugs fixed:
 722   #198: Connection not coming up automatically, plutowait=yes workaround
 723
 724 v2.6.14 (Jun 6, 2008)
 725 * Fix for integ vs prf mixup [herbert/antony]
 726   See:
 727    https://bugzilla.redhat.com/show_bug.cgi?id=439771
 728 * Merged in v2.5.18 (see entries below) [paul]
 729 * Merged in v2.5.17 (see entries below) [paul]
 730 * Merged in v2.5.12-v2.5.16 (see entries below) [paul]
 731 * NETKEY and crypto modules did not get loaded automatically [paul]
 732 * Updated "clear" policy file for L root nameserver's new IP for OE. [paul]
 733 * Added testcase interop-ikev2-strongswan-06-aes192 [paul]
 734 * Removed "interfaces= is ignored when using the NETKEY stack" warning
 735   as it caused confusion and a wrong patch in Fedora 9. [paul]
 736   See:
 737    https://bugzilla.redhat.com/show_bug.cgi?id=445179
 738 * Fix for a few warnings of using "en" uninitialised [dhr]
 739 * Various fixes on strnat, chdir, fwrite, fgets, etc. [paul]
 740 * Fix for a potential crasher when displaying status using certs [paul]
 741 * Removed obsoleted and unused  hardware random related defines [paul]
 742 * Maintanance on IKEv2 properties and names [paul]
 743 * IKEv2 rekey fix for initiator [herbert]
 744 * KLIPS fixes to compile on 2.6.24+ [david/paul]
 745 * Added AES-CCM support [herbert]
 746   See:
 747    https://bugzilla.redhat.com/show_bug.cgi?id=441383
 748 * Support for KLIPS on 2.6.24+ [david]
 749 * Bugtracker bugs fixed:
 750   #943: Openswan 2.6.14rc5 pluto crash at ikev1_main.c:1145
 751   #936: EXPECTATION FAILED kernel_ops->eroute_idle != NULL [paul]
 752   #930: 'best.len' and 'cur.len' may be uninitialised. [Michal Nazarewicz]
 753   #781: %defaultroute detection broken on netkey for 2.5.x [paul]
 754
 755
 756 * Above 2.5.x merges brings in userland IPsec SAref support. Requires
 757   kernel support, currently only supported with USE_MAST.(KLIPSNG)
 758   Also requires kernel modification to add IP_IPSEC_REFINFO support
 759   This adds support for overlapip, allowing multiple clients behind the
 760   same NAT router and multi clients on identical IP's behind different
 761   NAT routers. For possible deployments, see doc/ipsecsaref.png
 762
 763 v2.6.13 (May 17, 2008)
 764 * RFC4306 Section 3.3.5 IKEv2 Attribute KEY_LENGTH support [herbert/paul]
 765   See:
 766    https://bugzilla.redhat.com/show_bug.cgi?id=444166
 767    https://bugzilla.redhat.com/show_bug.cgi?id=439771
 768 * Support for ESP_NULL and AH_NULL [herbert/paul]
 769   See:
 770    https://bugzilla.redhat.com/show_bug.cgi?id=442955
 771    https://bugzilla.redhat.com/show_bug.cgi?id=442956
 772 * Close on file descriptors on exec (fixes SElinux avc denials) [Neil Horman]
 773   See:
 774    https://bugzilla.redhat.com/show_bug.cgi?id=442333
 775 * Fix a memory leak by removing unused variables alg_esp and alg_ike [dhr]
 776 * linux/include/crypto renamed to linux/include/klips-crypto [paul]
 777 * Fix for IKEv1-only policies attempting bogus IKEv2 rekeys [Miloslav Trmac]
 778 * Bugtracker bugs fixed:
 779   #198: Connection not coming up automatically, plutowait=yes workaround [tuomo]
 780   #622: pluto memory leak [dhr]
 781   #916: KLIPS kmod fails to compile 2.6.22 based kernel (...) [paul]
 782   #917: pluto fails to compile when using pam. xauth [Tamas Pal]
 783   #922: pluto crashes on rekey failure [Miloslav Trmac]
 784
 785 v2.6.12 (Apr 21, 2008)
 786 * Add aes-*-modp1024 proposals to default responder policy db [antony]
 787   This is bug https://bugzilla.redhat.com/show_bug.cgi?id=439985
 788 * Fix for ikev1 continuation segfault (only the first helper's continuations
 789   were cleaned up properly (eg. on dpd, sa expires..) [Anthony Tong]
 790 * Redid fix for leftsourceip/rightsourceip getting deleted [paul]
 791   This is bug https://bugzilla.redhat.com/show_bug.cgi?id=432821
 792 * As per RFC 4309, use modp2048 as default for PSK with IKEv2 [paul]
 793   Relates to https://bugzilla.redhat.com/show_bug.cgi?id=441588
 794 * Added workaround for INITIATOR/RESPONDER keys being swapped [herbert]
 795 * Preliminary work to support IKEv2_ENCR_AES_CCM__* algos [paul]
 796 * modprobe the AES ccm kernel module on startup [paul]
 797
 798 v2.6.11 (Apr 8, 2008)
 799 * Fix state machine to pick proper Responder STATE_UNDEFINED state
 800   when receiving R1 NO_PROPOSAL_CHOSEN [dhr/paul/antony]
 801 * Fixes to some enum tables that caused (null)'s in logs [dhr/paul]
 802 * Starting the prf+ counter from 1 instead of 0 [herbert]
 803 * Removed wrong Gr check [antony]
 804 * Added IKEv2 NO_PROPOSAL_CHOSEN processing [antony]
 805 * Clone st_ni/st_nr chunks for child SA [herbert]
 806 * Various smal logging changes - mostly to fix (null)'s [paul/dhr]
 807 * AUTH_ALGORITHM_HMAC_SHA2_* are now logged properly [paul]
 808 * interop-* testcase output updated [paul]
 809
 810
 811 v2.6.10 (Apr 3, 2008)
 812 * Includes fallback from IKEv2->IKEv1 [mcr]
 813 * IKEv2 bid-down attack recovery [mcr]
 814 * changes to I1 retransmission timers [mcr]
 815 * Only check for bid-down when POLICY_IKEV2_PROPOSE to avoid two ikev2
 816   capable ikev1 instances from false detecting a biddown [paul]
 817 * Fix ikev2_trans struct (redhat bug #438826) [dhr/paul]
 818 * Revisit of 2.6.06 NOTIFY crasher - fixed again [paul]
 819
 820 v2.6.09 (Mar 10, 2008)
 821 * Completed IKEv2 6msg exchange support [antony]
 822
 823 v2.6.08 (Mar 9, 2008)
 824 * IKEv2 6msg exchange (responder, partially for initiator) [antony]
 825 * IKEv2 notify support [antony]
 826 * Some pullups from #testing related to NETKEY [paul/tuomo]
 827 * Added force_busy option for testing 6msg exchange [paul]
 828 * OSX compile fixes [paul]
 829 * sourceip= option fixed with NETKEY [paul]
 830 * ipsec setup restart with NETKEY fix [paul]
 831 * NETKEY, strongswan, racoon2 support in test harnass [paul/antony]
 832
 833 v2.6.07 (Feb 8, 2008)
 834 * IKEv2 retransmit fixes [mcr]
 835
 836 v2.5.18 (not released)
 837 * Do not use the KMEM_CACHE macro for now, so KLIPS works on 2.6.23 [paul]
 838 * Sha2 support for X.509 certificates in pluto [Daniel Mueller]
 839 * Various memory leaks
 840 * uclibc workaround for malloc(0) abort. Fixes to not malloc 0 [paul]
 841 * Bugtracker bugs fixed
 842  #917: pluto fails to compile when using pam. xauth [folti]
 843  #919: Invalid memory access in show_dnskey of showhostkey.c [paul]
 844
 845 v2.5.17 (Feb 28, 2008)
 846 * Implemented netlink_shunt_eroute() [paul]
 847 * Simplified _updown.netkey [tuomo]
 848 * Bugtracker bugs fixed
 849   #460: Fix bogus header with delayed MAIN I2->R2 [Herbert Xu]
 850   #496: kernel_alg_esp_auth_ok() call fixed - [gernot]
 851   #761: pluto crashes after removing interface [Tillman Baumann]
 852   #897/731: crash in alg_info_snprint() - ["Deep Throat"]
 853   #889: backport from #ikev2 branch to fix ipsec_delete_sa with NETKEY [mcr]
 854
 855 v2.4.12 (Feb 19, 2008)
 856 * Partial fix for 2.6.24 kernels (new proc_net macro and
 857   dev_get_by_name arg), no fix yet for changed dev struct [paul]
 858 * Fix for lingering 'dir out' XFRM policy when using NETKEY [paul]
 859 * Various memory leaks [gernot]
 860 * null_alg was not fixed for linux autoconf [paul]
 861 * enable HAVE_NEW_SKB_LINEARIZE for Suse Linux SLES10 SP1 [nicole haehnel]
 862 * Bugtracker bugs fixed
 863   #419: Use of "source" vs "." (breaks on Debian /bin/dash) [paul]
 864   #496: kernel_alg_esp_auth_ok() call fixed [gernot]
 865   #538/#892: IP compression proposal lostin negotiation [sscholz@astaro.com]
 866   #771: various memory leaks
 867   #814: KLIPS build fails against 2.6.22 kernel (linux.ip.h for iphdr) [sedrez]
 868   #816: CRYPTO_API error (KLIPS_ALG was undefined) [paul]
 869   #888: dir out XFRM bug
 870   #889: Backport of #ikev2: pluto crasher on --delete connection with netkey
 871   #891: passert(sr->eroute_owner ==SOS_NOBODY) crasher [mcr]
 872
 873 v2.5.16 (Feb 18, 2008)
 874 * Implemented netlink_shunt_eroute() [paul]
 875 * Simplified _updown.netkey [tuomo]
 876
 877 v2.6.06 (Feb 8, 2008)
 878 * Added IKEv2 X.509 CERTREQ [antony]
 879 * Interop fix for IKEv2 PSK - Use correct IETF Key Pad without \0 [paul]
 880 * Fixed a few IKEv2 related crashers on receiving a NOTIFY in R1 [paul]
 881
 882 v2.6.05 (Feb 1, 2008)
 883 * Added IKEv2 X.509 CERT [antony/paul]
 884
 885 v2.6.04 (Jan 25, 2008)
 886 * Added IKEv2 PSK AUTH [antony/paul]
 887
 888 v2.6.03 (Jan 10, 2008)
 889 * Added IKEv2 RSA AUTH [mcr]
 890
 891 v2.6.02 (Dec 20, 2007)
 892 * workaround for openswan.spec file
 893
 894 v2.6.01 (Dec 18, 2007)
 895 * IKEv2 support
 896
 897 v2.4.11 (Dec 4, 2007)
 898 * Fix typo in startklips bugfix for #834
 899 * Fix display of nat-t vendor code picked [mcr]
 900 * Fix for KLIPS on 2.6.23.1 without CONFIG_NF_CONNTRACK* [paul]
 901 * Sync'ed openwrt packaging with upstream [paul/nbd]
 902
 903 #stable
 904 * Merged in XAUTH DNS/WINS server-side patch from Anna Wiejak [paul]
 905   See: http://popoludnica.pl/?id=10100110
 906 * Various fixes to the scripts for NETKEY [paul]
 907 * KLIPS support for the 2.6.23+ UDP ENCAP sockets [mcr]
 908   Userland support not yet finished. This should obsolete the NAT-T patch
 909   when finished.
 910 * incorporated changes between 2.4.8 and 2.4.9
 911 * incorporated changes between 2.4.9 and 2.4.10
 912 * Notice and gracefully fail to load KLIPS when we try to load esp/ah/ipcomp
 913   protocol and another module already has registered these (eg esp4, ah4,
 914   ipcomp) [paul]
 915 * Fix for KLIPS NAT-T dropping all packets on 64bit big endian machines [dhr]
 916 * FIx for KLIPS on 2.6.23.1 without CONFIG_NF_CONNTRACK* [paul]
 917 * Bugtracker bugs fixed:
 918   #600: multiple definitions of passert_fail when cross-compiling.
 919   #852: dd_connection() fails with ...not AH+ESP for type=passthrough conns
 920   #708: vanilla kernel-2.6.19, KLIPS compile error (sock_unregister) [sergeil]
 921   #654: XAUTH strips space out of username/password + patch [Dustin Lang]
 922   #641: Herein patches to fix warnings if -Wshadow is used [andygay/paul]
 923   #580: kernel 2.4.x cryptoapi broken [espakman]
 924   #582: Cannot initiate on demand a connection with traffic selectors [Ilia Sotnikov]
 925   #590: serpent lib used private kernel header [paul]
 926   #544: the following error should only show up for x509 debugging: ... [paul]
 927   #185: Deadlock in function "scx_release()" daemon pluto.(SMARTCARD) [Kurodo]
 928
 929 v2.5.15 (Aug 14, 2007)
 930    change ipsec_breakroute to permit non-existant eroute's to be replaced.
 931    fix for NAT-T negotiation with IP address changes during negotiation.
 932    adjusted addconn to support nat-t debug keywords.
 933
 934 v2.5.14 (Jul 19, 2007)
 935    failed attempt to fix ipsec_breakroute.
 936    fixed leftsendcert= to be implemented in keyword parser.
 937    introduced startnetkey functions.
 938    UML kernel configuration canonicalization updated.
 939
 940 v2.5.13 (May 7, 2007)
 941    move DNS lookups from libipsecconf into pluto, where they belong. DNS lookups
 942         are still only done once during conn load time, and are done synchronously.
 943
 944 v2.5.12 (Apr 30, 2007)
 945    A fix to detect that XEN has been patched into the kernel, and set
 946    some of the 2.6.18 changes.
 947    never log starter_log() things to stdout, they always go to stderr.
 948    when a packet is passed through, do not call NF_IP_LOCAL_OUT, as it has already
 949         passed through the output hooks, and doing it again, confuses things
 950         causing ip_route_me_harder() which creates a look, since it does the flow
 951         lookup again. (This doesn't happen if the kernel hasn't got XFRM support)
 952    fixed parsing of config file so that "version 2" is accepted.
 953    fixed addconn to respect "right/left"sourceip=, new test case sourceip-01
 954    fixed processing of "first"/"last" packet for %trap/%hold conns in KLIPS, it now
 955         properly forwards the packets when the packet is released.
 956
 957
 958 v2.5.11 (Apr 19, 2007)
 959    Some fixes in KLIPS for "ipsec eroute --clear" bug. It is not clear
 960    why this suddendly became an issue, or if it would have been an issue
 961    previously, given the right compiler optimization.
 962
 963 v2.5.10 (Apr 2, 2007)
 964    Includes fixes for xmlto generation for _confread directory.
 965
 966 v2.5.09 (Apr 2, 2007)
 967    Minor fix to build process, updated CHANGES file.
 968
 969 v2.5.08 (Apr 2, 2007)
 970    Correct release.
 971    Includes some changes to permit OE to work without nexthop,
 972    however this seems to cause it to return an unreachable on
 973    the first message.
 974
 975 v2.5.07 -dud due to release script error.
 976
 977 v2.5.06 (?)
 978    set LANGUAGE, LANG and LC_ALL in setup script.
 979    change OE off by default note and scripts.
 980    Merge of additional code from 2.4.
 981
 982 v2.5.05 (Feb 14, 2007)
 983    2.5.03 and 2.5.04 were not properly released, and 2.5.05 now
 984    is properly released and includes below items
 985
 986 v2.5.04 (?)
 987     zero peer_ca to avoid crashes.
 988     (include glob's may still not work correctly)
 989
 990 v2.5.0sbs5 (Dec 12, 2005)
 991     fixed issues with libwhack not getting built with VIRTUAL_IP.
 992     adjusted programs/pluto/Makefile to depend upon libraries better
 993
 994 v2.5.0sbs4 (Dec 11, 2005)
 995     When a template conn is instantiated for a phase 1 configuration, it
 996         may still need to be adjusted to a virtual IP address. In addition,
 997         change the order of the virtual IP address setting and the
 998         port-wildcard processing.
 999         This patch also provides some additional debugging of the proposal
1000         which actually processed by the machinery.
1001
1002     tests for L2TP+X.509 L2TP configuration --- 2 clients behind the
1003         same NAT with certificates that need to have their connection both
1004         instantiated (in phase 1) and virtualized (in phase 2).
1005
1006 v2.5.03 (Jan 10, 2007)
1007
1008     ipsec.conf parsing should ignore keywords that start with x-
1009         they are a form of structured comment.
1010     added in forceencaps= keyword.
1011     process wildcards with glob() in include statements.
1012
1013 v2.5.02 (?)
1014     fixed bug in ipsec.conf parser, where it could not read values
1015        that had = in them (such as base64 encoded keys)
1016     fixed bug in key continuation code that could cause a crash
1017         if the DNS request timed out after the state was deleted
1018         for other reasons.
1019
1020 v2.5.01 (Jan 2, 2007)
1021     merged xauthusername code base + multinet tests in.
1022     removed /dev/hw_random from list of valid random sources on linux.
1023         use "rngd" instead to feed /dev/random.
1024
1025 v2.5.00 (Nov 2, 2006)
1026     fixed various bugs with lifetime values in ipsec.conf parser
1027     AES-128 (group 5, MD5 or SHA1 for PRF) is now accepted for phase 1,
1028         and it is now the preferred cipher as well. This should be the
1029         case for Main mode, Aggressive mode, and for XAUTH client and
1030         XAUTH server, and PSK and RSA sig mode.
1031
1032     fixes so that starter will now compile
1033     move whacklib to lib/libwhack
1034     adjust makefiles to work with OBJDIR version of Makefile.program
1035     switch to OBJDIR in programs/* and lib/* if it is defined
1036
1037     added sanitizer for PID files
1038     be smarter about including git version info into version
1039     We need to use /dev/urandom first, as it has more random than /dev/random.
1040        Otherwise, we run out really fast (within a few minutes)
1041     Use endian.h when comiling out-of-kernel
1042     patch to turn error about 17/500,0/0 vs 17/0 error with Cisco VPN3000
1043        into a warning.
1044     remove test for NAT-T VID vs NATD payload test. It fails for reasons
1045        that are unknown at this time, and this check is really being pedantic.
1046     MAJOR: use starter code for "addconn"
1047     MAJOR: always use OBJDIRs, and compile on Windows (no kernel)
1048     MAJOR: includes "Taproom" code --- TCL call outs from pluto at IKE
1049                 transition states.
1050
1051 v2.4.10 (Nov 6, 2007)
1052 * Some workarounds for openwrt related to starter and lack of modprobe [paul]
1053 * Fix for sock.sk_stamp type change in 2.6.22 [dhr]
1054 * Workaround for implementations that propose port 0 for l2tp to allow
1055   us to connect to all their ports (instead of only 1701). This happens
1056   with Cisco VPN 3000, OSX and Windows XP. This relates to various
1057   reported bugs about rightprotoport=17/%any and CK_INSTANCE crashers [mcr]
1058   Use the workaround for OSX clients using rightprotoport=17/0
1059 * Backport of fix for xauth name containing a space [paul]
1060 * Fix for final next payload in Aggressive Mode [David McCullough]
1061 * Fixes for compliling against 2.6.22 [David McCullough / Hugh Redelmeier]
1062   (note: NAT-T KLIPS patch will not work on 2.6.23+)
1063 * Speed gains in the scripts on systems with many interfaces [David McCullough]
1064 * passert declaration fix [David McCullough]
1065 * A missed nfmark -> mark case in ipsec_sa.h [David McCullough]
1066 * Fix for ktime_to_timeval to use proper kernel versions [paul]
1067 * Added back -DCONFIG_KLIPS_ALG in KLIPSCOMPILE, which we require when not
1068   building KLIPS with David's OCF patch [paul]
1069 * Added SElinux patch in contrib/ [Venkat Yekkirala]
1070 * Bugtracker bugs fixed:
1071   #449: 17/%any is a template conn problem [mcr]
1072   #708: vanilla kernel-2.6.19, KLIPS compile error (sock_unregister) [sergeil]
1073   #796: can't compile 2.4.8 on kernel 2.4.34 (module_param fix) [sergeil]
1074   #802: Error: "our client ID returned doesn't match my proposal" [mcr/paul]
1075   #813: incorporate tuomo's lsb patch [tuomo]
1076   #824: defaultroute detection fails with PPP default route [sergeil]
1077   (this is also the bug introduced in 2.4.9 that causes failed subnet tunnels)
1078   #855: Pluto restart impossible on busybox [paul]
1079
1080 v2.4.9 (July 17, 2007)
1081 * Fix for Aggressive Mode with NAT-T (no negotiation in aggrmode) [mcr]
1082 * Integrated most openwrt workarounds - tested on whiterussian  [paul]
1083 * Typofix for smartcard support [andreas zwicker]
1084 * Fix for when responder PSK incorrectly uses pfs and has nhelpers=0
1085   [Matthias Haas]
1086   #801: Patch for fixing type-punned compiler warnings [Alin Nastac]
1087   #811: Patch for using custom algs with CONFIG_KLIPS_ALG [iamscard]
1088   #812: Bogus defaultroute nexthop for PPPoE (& PPP?) [BruceS]
1089
1090 v2.4.8 (May 24, 2007)
1091 * Added Andy Gay's ipcomp with esp= fix in contrib/ipcomp/ (see #538)
1092 * Added and enabled DISABLE_UDP_CHECKSUM until the cause of this bug
1093   has been fixed. This is bug#601. Found by Frank Vogt
1094 * fix for ikeping reporting wrong percentge of lost packets [Mark-Andre Hopf]
1095 * Fix for busybox' ifconfig (doesn't support 'inet') [Dave Chuha]
1096 * Fix for compiling on 2.6.20 (sk_buff's nfmark is now called mark)
1097 * NAT-T patch update for 2.6.20
1098 * NAT-T patch broke NAT-T for NETKEY,even with CONFIG_IPSEC_NAT_TRAVERSAL unset
1099 * Fix for too small ike string buffer ipsec auto --status output [paul/dhr]
1100 * Fix for Aggressive Mode and NAT-T port floating, based on RedHat patch [paul]
1101 * Fix for Aggressive Mode and NAT-T (#491) by Delta Yeh
1102 * ikeping waits milliseconds instead of seconds, patch by Mark-Andre Hopf
1103 * Workaround for NETKEY's unlimited acquire stream by Michael Smiths (#726)
1104 * Some vendor ID's for Vista and Cisco VPN 3000 [jacco]
1105 * backports from git
1106   #git 5735f731ed474dbb22fce2f5bc0a9f5e1fea2994: rewrite of available worker
1107                                                  code from egbert@ [mcr]
1108   #git c75967b03b2c478a612aef4ccb7e5dff6e4bdaf5: dpdaction=restart fix [mcr]
1109   #git 41e54a2684dc809d7952e816860ea646a3194a72: Fix for kernels > 2.6.18
1110   #git c2e23a6e16a55632d618740518d419f3fad3323d: AggressiveMode with nhelpers=0
1111                                                  fix from Marin Hincks
1112   #git 1933710623a33fe8f3229b193721aed005fb87c2: Crasher in printing alg debug
1113   #git 9bfb2794bd9c239dfe9e9617616eaf6fc389de57: uninitialized sockaddrs fix
1114   #git e199785d8e11687534569b04a3e0a6956b2086b8: set helper # in child
1115 * bugtracker bugs fixed:
1116   #723: Bogus Code in pluto_crypt.c [egbert/mt/mcr]
1117   #698: Wrong IKE-Algorithm displayed on ipsec auto --status [martin/paul/mcr]
1118         original patch by Martin Schiller
1119   #719: Fix to authenticate with a smartcard (USB Aladdin eToken) ["pm"]
1120
1121 v2.4.7 (Nov 14, 2006)
1122 * Remove direct use of /dev/hw* for random on Linux. It is not guranteed
1123   to be secure (FIPS compliant) random [paul]
1124 * Fix bugs introduced in 2.4.6 using KLIPS and CryptoAPI on 2.6.17.6+
1125 * fixes for displaying proper NAT-T draft/rfc used [jacco]
1126 * Various fixes to lwdnsq [mcr]
1127 * Extensively updated man pages [paul]
1128 * Added rootservers to the clear policy [idea by mcr]
1129 * Fix for pluto to allow NETKEY's ESP_NULL by JuanJo Ciarlante
1130 * Added ESP_NULL support to KLIPS by JuanJo Ciarlante (disabled per default)
1131 * Support Fedora style default RSA hostkey [paul]
1132 * Clarified various log messages
1133 * Possible interop fix for Sonicwall
1134 * Fixes to _startklips and logging cleanup [paul]
1135 * Fix for handling defaultroute to a p-t-p interface without gw ip. [bleve]
1136   - this might also fix #693
1137 * Extended ipsec verify to complain misconfigured hardware random [paul]
1138 * Extended ipsec verify to complain about SElinux in enforced mode, until
1139   working security policies are known to exist as it breaks with both
1140   NETKEY and KLIPS [paul]
1141 * Cleanup of crypto module modprobing. It is now silent [paul]
1142 * bugtracker bugs fixed:
1143   #474 ASSERTION FAILED at spdb_struct.c:1233: trans->attr_cnt > == 4"
1144   #642: ipsec_xmit.c and CONFIG_KLIPS_DEBUG [completed fix]
1145   #655: /etc/rc.d/ipsec --status breaks connection
1146   #671: oops from __module_get during pfkey_create
1147
1148 v2.4.6 (Aug 4, 2006)
1149 * Fix for VIA Nehemiah to use /dev/hw_random to generate new rsakey
1150   (using /dev/random on these chips caused it to block too long)
1151 * Various CryptoAPI related fixes.
1152 * Removed support for HIPPI which broke compilation on 2.6.16.*
1153 * Pull up of fix for rightnexthop->leftnexthop
1154 * Added logging when we don't find the right hash bucket
1155 * Changed a few x509 log messages to make automatic parsing easier
1156 * Unload KLIPS at shutdown again to prevent lingering IPs on ipsecX,
1157   also in case KLIPS is inline, and the ipsecX interfaces do not go away,
1158   remove IP addresses from IP aliases bound to ipsecX devices.
1159 * Fixed typo in ipsec.conf's virtual_private example
1160 * Improved protocol detection in ipsec_print_ip() [bart]
1161 * Fixed minimum skb lenght requried for ipsec decompression [bart]
1162   (This is probably bug #609)
1163 * Fix a 64bit bug in compression code [bart]
1164 * Removing a left over '#else' that split another '#if/#endif' block in two
1165   in ipsec_xmit.c [bart]
1166 * MODULE_PARM has been obsoleted for module_param on 2.6.17+ [paul]
1167 * skb_linearize API changed in 2.6.18+ [paul]
1168 * bugtracker bugs fixed:
1169   #452: dpdaction=restart doesn't clear or restart quick mode SAs
1170   #537: Compilation will fail with kernel 2.6.14 and klips and CONFIG_HIPPI=y
1171   #636: KLIPS and vanilla-2.6.17 compilation error
1172   #642: ipsec_xmit.c and CONFIG_KLIPS_DEBUG on 2.4 compile issue [partial fix]
1173   #647: compile fails with version 2.4.6-rc2 + vanilla kernel linux-2.6.17.6
1174   #631: KLIPS module does not build with 2.6.17-rc6 kernel
1175   #646: NATT + IPCOMP fails on rcv in KLIPS [bart]
1176         (This is a generic NATT+ESP bug, not just an ipcomp bug)
1177
1178 v2.4.5 (Apr 6, 2006)
1179 * Fix for prefering RFC3947 over OSX-workaround by Jacco de Leeuw
1180 * Fix for openswan as l2tp server behind NAT by Bernd Galonska
1181 * Fix for compiling + working on SMP (including HyperThreaded) machines
1182 * Fix for arp_broken_ops relocation in 2.6.16
1183 * Fix for compiling on 2.6.14 kernels
1184 * Fix patching against 2.6.15 kernels (NAT-T Patch)
1185 * Fix patching against 2.6.14 kernels
1186 * Fix for strict mode
1187 * Fix for ipsec module unload. Fix by Ankit Desai <ankit@elitecore.com>
1188 * Fix for ipsec: Unknown symbol sysctl_ip_default_ttl
1189 * Fix for AH hash by Ronen Shitrit <rshitrit@marvell.com>
1190 * Additions to barf and verify commands for various kernel internals
1191 * load hw_random and padlock modules before aes module so hardware routines
1192   are prefered over software routines.
1193 * allow rightsubnet= with type=transport for L2TP behind NAT.
1194 * Refactored natd_lookup / hash code, probably fixes lot of NAT related bugs
1195 * Fix for interop with Cisco devices which propose port 0 (eg: VPN3000)
1196 * When DPD rcookie is invalid, just warn instead of ignoring entirely
1197 * Redid all the DPD log messages
1198 * Fix for manual.in to not use a complicated sed line that some embedded
1199   sed versions (busybox?) cannot handle.
1200 * Fix for NAT-T detection when Openswan is the initiator
1201   #401 l2tp connection is not work with 2.6 build in IPSEC
1202   #442 Pluto uses wrong port in NAT-D calculation
1203   #450 macosx (possible generic PSK+NAT-T rekey bug: eroute already in use.
1204   #454 klips module refcount bug (found by Matthias Haas)
1205        (prevented klips from unloading on 2.4 kernels)
1206   #462 updated patch for Openswan and OS X with NAT-T
1207   #509 KLIPS compilation fail with kernel-2.6.14.2
1208   #518 Incorrect physical interface MTU detection
1209   #521 KLIPS module crash for kernel 2.6.12+
1210   #545 unnecessary warnings from _updown script, remove weird control character.
1211   #558 two machines using incompatible ike= settings still establish a
1212        connection. (fix by Matthias Haas <mh@pompase.net>)
1213   #560 Pluto crash (memory leak fixes in pluto by Ilia Sotnikov)
1214   #563 Error when unload ipsec.ko module "rmmod ipsec" [dupl bug]
1215   #568 uninitialized struct in ipsec_tunnel.c coud break routing under 2.6
1216        kernels
1217   #569 ipsec module unload crasher
1218   #573 Openswan fails to compile with NAT_TRAVERSAL=false
1219   #574 Openswan fails to compile with NAT_TRAVERSAL=false #2
1220   #581 _Updown script installs direct (scope link) routes even for remote
1221        peers/subnets
1222   #589 userspace with USE_EXTRACRYPTO won't compile without kernel sourcecode
1223
1224 v2.4.4 (Nov 18, 2005)
1225   #487 ASSERTION FAILED at state.c:120:IS_ISAKMP_ENCRYPTED(isakmp_sa->st_state)
1226   (see http://www.openswan.org/niscc2/)
1227   (proper fix in pluto_constants.h)
1228 * Fix for kernels having strstr
1229 * Various gcc4 warning fixes
1230 * disable CONFIG_IPSEC_NAT_TRAVERSAL per default so we can build KLIPS on
1231   Fedora systems.
1232 * questionable spin_unlock commented out. Might fix reported SMP crashers.
1233 * update to permit alg code without module support
1234 * Fix for detecting proper kernel source/header directory on fedora
1235 * Various bugfixes as reported on http://bugs.openswan.org/
1236   #499: check for module support in kernel for IPsec Modular Extensions
1237   #500: recent awk breaks on 'setdefault' command
1238
1239
1240 v2.4.3 (-)
1241   #487 ASSERTION FAILED at state.c:120:IS_ISAKMP_ENCRYPTED(isakmp_sa->st_state)
1242   (see http://www.openswan.org/niscc2/)
1243   (incorrect fixed. version not released)
1244
1245 v2.4.2 (Nov 13, 2005)
1246 * Fixes for compiling on 2.6.14 by David McCullough
1247 * Minor fixes to accomodate FC4 2.6.11 kernels.
1248 * Fix for compilation of KLIPS on 2.4.x kernels.
1249 * Fix for NAT-T on 2.4.31
1250 * Fix for 'short' packets with KLIPS on 2.4.x
1251 * Merged in Jacco's l2tp configuration examples
1252 * Various bugfixes as reported on http://bugs.openswan.org/
1253   #286 Incorrect links in intro.html
1254   #344 netkey-acquire patch
1255   #376 install_ipsec_sa and install_inbound_ipsec_sa
1256   #486 ASSERTION FAILED at crypto.c:258: key_size==(DES_CBC_BLOCK_SIZE * 3)
1257   (see http://www.openswan.org/niscc2/)
1258
1259 v2.4.1
1260 * Not publically released
1261
1262 v2.4.0 (Sep 12, 2005)
1263 * NAT-T support for KLIPS on 2.6 (Sponsored by Astaro)
1264 * Additional Cipher support with KLIPS on 2.6 (Sponsored by Astaro)
1265 * Fix for NAT-T/PSK rekey (Ulrich @ Astaro)
1266 * Delete _updown.c and _updown.posix versions as they were obsolete
1267 * Fixes for aggressive mode and policy mode
1268 * Various bugfixes as reported on http://bugs.openswan.org/
1269   #201 pluto not accepting negotiations on port 500 after port floating to 4500
1270   #249 two default routes confuses scripts
1271   #261 2 RW's w/DPD behind a NAT kick each other off at rekey time
1272   #267 pluto crashes on inbound X.509 roadwarrior
1273   #269 informational crasher in demux.c
1274   #301 kernel_netkey.c lists invalid ESP algorithm
1275   #302 pluto assumes it has 3DES
1276   #305 passert_fail (pred_str=0x80b88e3 "st->st_suspended_md->st == st", file_str=0x80b86a0 "state.c"
1277   #306 st->st_suspended_md->st == st passert()
1278   #316 Patch for ALG support from Astaro
1279   #324 Impossible to disable AGGRESSIVE mode
1280   #327 pluto nat-t detection on 2.6 without klips nat-t patch fails to
1281        disable nat-t
1282   #328 ipsec setup fxies for awk compiled with --enable-switch
1283   #341 Pluto crashes with: ipsec__plutorun: !pluto failure!: exited with error
1284        status 134 (signal 6)
1285   #342 fix for 2.6.12 undocumented API fixes for sk_zapped and sk_alloc()
1286        (based on fix from Sergeil.
1287   #350 fix for passert() at connections.c:1353: isanyaddr(&c->spd.that.host_addr)
1288   #355 dpdaction restart fix from Astaro
1289   #357 secure_xauth_username_str fix from Astaro
1290   #360 checkv199install creates bogus "old" files
1291   #361/#363 fix for passert() demux.c:1204: unknown address family in
1292        anyaddr/unspecaddr
1293   #368 Fix for ipsec --setup --status output and eroute counting
1294   #372 Netkey and device labels (eth#:#)
1295   #373 _updown_x509 still uses obsolete 'route add' commands
1296   #377 pluto crashes processing first connection if nhelpers=0
1297   #380 pluto crashes when sent an IKEPING
1298   #381 assertion failure in init_demux if AGGRESSIVE not defined
1299   #383 MODP >= 4096 FIX
1300   #386 undefined symbols compiling klips as module
1301   #387 / #420 pfkey_ops undefined error on SMP kernel compiles.
1302               possibly fixed, but may result in SMP unsafe-ness.
1303   #342 KLIPS cannot be compiled for 2.6.12+
1304   #415 RPM packaging errors for 2.4 based kernels
1305   #416 Need a way to tell if NAT-T is compiled in the IPSec kernel
1306
1307 v2.3.1
1308 * NAT-T RFC support (mlafon/mcr)
1309 * NAT-T Server Side rewrite - handles rekeying alot better
1310 * NAT-T Client Side rekey bug fixed
1311 * Removed HowTo (obselete)
1312 * IPKG packaging updates
1313 * Log message updates
1314 * dpdaction=restart support
1315
1316 v2.3.0
1317 * KLIPS for 2.6 support (Experimental)
1318   [ good results on FC3-AMD and vanilla/debian kernel source, but not
1319     FC3-intel. Might be the grsecurity patch  ]
1320 * Aggressive Mode Support (client and server)
1321 * IKE Mode Config support (Experimental)
1322 * Cisco VPN 3xxx client Interop (Experimental)
1323 * Cryptographic helpers framework
1324 * Fixes for NAT-T on 2.4.28+ kernels.
1325
1326 v2.2.0
1327 * Added RFC 3706 DPD support (see README.DPD)
1328 * Added AES from JuanJo's ALG patches
1329 * Fixes for /proc filesystem issues that started to appear in 2.4.25
1330
1331 v2.1.2
1332 * Fix loading of 2.6 modules
1333 * Fix for snprintfs() in /proc, new for 2.4.25 kernels (dhr/pw)
1334 * Fix checks for some log files/dirs in case they are sockets or pipes (pw)
1335 * Fix for crl.pem crash/core (dhr/as/kb)
1336
1337 v2.1.1
1338 * Fix _pluto_adns installation path (kb)
1339 * Fix sending of X.509 CR's when no CA present (mcr)
1340
1341 v2.1.0
1342 * NAT-T support (Mathieu Lafon - Arkoon)
1343 * X.509 fixes (Andreas Steffan)
1344 * New configuration file directive, {left|right}sourceip=#.#.#.#
1345   This will set the source address when talking to a particular
1346   connection.  This is very usefull to assign a static IP to your laptop
1347   while travelling.  This is based on Tuomo Soini's Advanced Routing
1348   patch.
1349