chiark / gitweb /
Upgrade licence to GPLv3+.
[tripe] / server / admin.c
index 44a0fdc..2d1658e 100644 (file)
@@ -1,29 +1,26 @@
 /* -*-c-*-
  *
- * $Id$
- *
  * Admin interface for configuration
  *
  * (c) 2001 Straylight/Edgeware
  */
 
-/*----- Licensing notice --------------------------------------------------* 
+/*----- Licensing notice --------------------------------------------------*
  *
  * This file is part of Trivial IP Encryption (TrIPE).
  *
- * TrIPE is free software; you can redistribute it and/or modify
- * it under the terms of the GNU General Public License as published by
- * the Free Software Foundation; either version 2 of the License, or
- * (at your option) any later version.
- * 
- * TrIPE is distributed in the hope that it will be useful,
- * but WITHOUT ANY WARRANTY; without even the implied warranty of
- * MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
- * GNU General Public License for more details.
- * 
+ * TrIPE is free software: you can redistribute it and/or modify it under
+ * the terms of the GNU General Public License as published by the Free
+ * Software Foundation; either version 3 of the License, or (at your
+ * option) any later version.
+ *
+ * TrIPE is distributed in the hope that it will be useful, but WITHOUT
+ * ANY WARRANTY; without even the implied warranty of MERCHANTABILITY or
+ * FITNESS FOR A PARTICULAR PURPOSE.  See the GNU General Public License
+ * for more details.
+ *
  * You should have received a copy of the GNU General Public License
- * along with TrIPE; if not, write to the Free Software Foundation,
- * Inc., 59 Temple Place - Suite 330, Boston, MA 02111-1307, USA.
+ * along with TrIPE.  If not, see <https://www.gnu.org/licenses/>.
  */
 
 /*----- Header files ------------------------------------------------------*/
@@ -42,6 +39,7 @@ const trace_opt tr_opts[] = {
   { 'x',       T_KEYEXCH,      "key exchange" },
   { 'm',       T_KEYMGMT,      "key management" },
   { 'l',       T_CHAL,         "challenge management" },
+  { 'v',       T_PRIVSEP,      "privilege separation" },
   { 'p',       T_PACKET,       "packet contents" },
   { 'c',       T_CRYPTO,       "crypto details" },
   { 'A',       T_ALL,          "all of the above" },
@@ -52,7 +50,9 @@ unsigned tr_flags = 0;
 #endif
 
 static const trace_opt w_opts[] = {
+#ifndef NTRACE
   { 't',       AF_TRACE,       "trace messages" },
+#endif
   { 'n',       AF_NOTE,        "asynchronous notifications" },
   { 'w',       AF_WARN,        "warnings" },
   { 'A',       AF_ALLMSGS,     "all of the above" },
@@ -65,12 +65,14 @@ static admin *admins;
 static admin *a_dead;
 static sel_file sock;
 static const char *sockname;
+static sym_table a_svcs;
 static unsigned flags = 0;
 static admin *a_stdin = 0;
 static sig s_term, s_int, s_hup;
 
 #define F_DAEMON 1u
 #define F_INIT 2u
+#define F_FOREGROUND 4u
 
 #define T_RESOLVE SEC(30)
 #define T_PING SEC(5)
@@ -230,68 +232,58 @@ static void a_flush(int fd, unsigned mode, void *v)
 
 /*----- Utility functions -------------------------------------------------*/
 
-/* --- @quotify@ --- *
- *
- * Arguments:  @dstr *d@ = where to write the answer
- *             @const char *p@ = string to quotify
- *
- * Returns:    ---
- *
- * Use:                Quotes the given string if necessary, according to our
- *             quoting rules.
- */
-
-static void quotify(dstr *d, const char *p)
-{
-  if (d->len)
-    dstr_putc(d, ' ');
-  if (*p && !p[strcspn(p, "\"' \t\n\v")])
-    dstr_puts(d, p);
-  else {
-    dstr_putc(d, '\"');
-    while (*p) {
-      if (*p == '\\' || *p == '\"')
-       dstr_putc(d, '\\');
-      dstr_putc(d, *p++);
-    }
-    dstr_putc(d, '\"');
-  }
-}
-
 /* --- @a_vformat@ --- *
  *
  * Arguments:  @dstr *d@ = where to leave the formatted message
  *             @const char *fmt@ = pointer to format string
- *             @va_list ap@ = arguments in list
+ *             @va_list *ap@ = arguments in list
  *
  * Returns:    ---
  *
- * Use:                Main message token formatting driver.
+ * Use:                Main message token formatting driver.  The arguments are
+ *             interleaved formatting tokens and their parameters, finally
+ *             terminated by an entry @A_END@.
+ *
+ *             Tokens recognized:
+ *
+ *               * "*..." ... -- pretokenized @dstr_putf@-like string
+ *
+ *               * "?ADDR" SOCKADDR -- a socket address, to be converted
+ *
+ *               * "?B64" BUFFER SIZE -- binary data to be base64-encoded
+ *
+ *               * "?TOKENS" VECTOR -- null-terminated vector of tokens
+ *
+ *               * "?PEER" PEER -- peer's name
+ *
+ *               * "?ERRNO" ERRNO -- system error code
+ *
+ *               * "[!]..." ... -- @dstr_putf@-like string as single token
  */
 
-static void a_vformat(dstr *d, const char *fmt, va_list ap)
+void a_vformat(dstr *d, const char *fmt, va_list *ap)
 {
   dstr dd = DSTR_INIT;
 
   while (fmt) {
     if (*fmt == '*') {
-      dstr_putc(d, ' ');
-      dstr_vputf(d, fmt + 1, &ap);
+      if (d->len) dstr_putc(d, ' ');
+      dstr_vputf(d, fmt + 1, ap);
     } else if (*fmt == '?') {
       if (strcmp(fmt, "?ADDR") == 0) {
-       const addr *a = va_arg(ap, const addr *);
+       const addr *a = va_arg(*ap, const addr *);
        switch (a->sa.sa_family) {
          case AF_INET:
-           quotify(d, "INET");
-           quotify(d, inet_ntoa(a->sin.sin_addr));
+           u_quotify(d, "INET");
+           u_quotify(d, inet_ntoa(a->sin.sin_addr));
            dstr_putf(d, " %u", (unsigned)ntohs(a->sin.sin_port));
            break;
          default:
            abort();
        }
       } else if (strcmp(fmt, "?B64") == 0) {
-       const octet *p = va_arg(ap, const octet *);
-       size_t n = va_arg(ap, size_t);
+       const octet *p = va_arg(*ap, const octet *);
+       size_t n = va_arg(*ap, size_t);
        base64_ctx b64;
        dstr_putc(d, ' ');
        base64_init(&b64);
@@ -300,32 +292,56 @@ static void a_vformat(dstr *d, const char *fmt, va_list ap)
        base64_encode(&b64, p, n, d);
        base64_encode(&b64, 0, 0, d);
        while (d->len && d->buf[d->len - 1] == '=') d->len--;
+      } else if (strcmp(fmt, "?TOKENS") == 0) {
+       const char *const *av = va_arg(*ap, const char *const *);
+       while (*av) u_quotify(d, *av++);
       } else if (strcmp(fmt, "?PEER") == 0)
-       quotify(d, p_name(va_arg(ap, peer *)));
+       u_quotify(d, p_name(va_arg(*ap, peer *)));
       else if (strcmp(fmt, "?ERRNO") == 0) {
        dstr_putf(d, " E%d", errno);
-       quotify(d, strerror(errno));
+       u_quotify(d, strerror(errno));
       } else
        abort();
     } else {
       if (*fmt == '!') fmt++;
       DRESET(&dd);
-      dstr_vputf(&dd, fmt, &ap);
-      quotify(d, dd.buf);
+      dstr_vputf(&dd, fmt, ap);
+      u_quotify(d, dd.buf);
     }
-    fmt = va_arg(ap, const char *);
+    fmt = va_arg(*ap, const char *);
   }
+  dstr_putz(d);
 
   dstr_destroy(&dd);
 }
 
+/* --- @a_format@ --- *
+ *
+ * Arguments:  @dstr *d@ = where to leave the formatted message
+ *             @const char *fmt@ = pointer to format string
+ *
+ * Returns:    ---
+ *
+ * Use:                Writes a tokenized message into a string, for later
+ *             presentation.
+ */
+
+void a_format(dstr *d, const char *fmt, ...)
+{
+  va_list ap;
+
+  va_start(ap, fmt);
+  a_vformat(d, fmt, &ap);
+  va_end(ap);
+}
+
 /* --- @a_write@, @a_vwrite@ --- *
  *
  * Arguments:  @admin *a@ = admin connection to write to
  *             @const char *status@ = status code to report
  *             @const char *tag@ = tag string, or null
  *             @const char *fmt@ = pointer to format string
- *             @va_list ap@ = arguments in list
+ *             @va_list *ap@ = arguments in list
  *             @...@ = other arguments
  *
  * Returns:    ---
@@ -334,12 +350,13 @@ static void a_vformat(dstr *d, const char *fmt, va_list ap)
  */
 
 static void a_vwrite(admin *a, const char *status, const char *tag,
-                    const char *fmt, va_list ap)
+                    const char *fmt, va_list *ap)
 {
   dstr d = DSTR_INIT;
+
   if (tag) dstr_puts(&d, "BG");
   dstr_puts(&d, status);
-  if (tag) quotify(&d, tag);
+  if (tag) u_quotify(&d, tag);
   a_vformat(&d, fmt, ap);
   dstr_putc(&d, '\n');
   dosend(a, d.buf, d.len);
@@ -350,12 +367,13 @@ static void a_write(admin *a, const char *status, const char *tag,
                    const char *fmt, ...)
 {
   va_list ap;
+
   va_start(ap, fmt);
-  a_vwrite(a, status, tag, fmt, ap);
+  a_vwrite(a, status, tag, fmt, &ap);
   va_end(ap);
 }
 
-/* --- @a_ok@, @a_info@, @a_fail@ --- *
+/* --- @a_ok@, @a_fail@ --- *
  *
  * Arguments:  @admin *a@ = connection
  *             @const char *fmt@ = format string
@@ -368,19 +386,32 @@ static void a_write(admin *a, const char *status, const char *tag,
 
 static void a_ok(admin *a) { a_write(a, "OK", 0, A_END); }
 
-static void a_info(admin *a, const char *fmt, ...)
+static void a_fail(admin *a, const char *fmt, ...)
 {
   va_list ap;
+
   va_start(ap, fmt);
-  a_vwrite(a, "INFO", 0, fmt, ap);
+  a_vwrite(a, "FAIL", 0, fmt, &ap);
   va_end(ap);
 }
 
-static void a_fail(admin *a, const char *fmt, ...)
+/* --- @a_info@ --- *
+ *
+ * Arguments:  @admin *a@ = connection
+ *             @const char *fmt@ = format string
+ *             @...@ = other arguments
+ *
+ * Returns:    ---
+ *
+ * Use:                Report information to an admin client.
+ */
+
+void a_info(admin *a, const char *fmt, ...)
 {
   va_list ap;
+
   va_start(ap, fmt);
-  a_vwrite(a, "FAIL", 0, fmt, ap);
+  a_vwrite(a, "INFO", 0, fmt, &ap);
   va_end(ap);
 }
 
@@ -391,7 +422,7 @@ static void a_fail(admin *a, const char *fmt, ...)
  *             @const char *fmt@ = pointer to format string
  *             @const char *p@ = pointer to raw string
  *             @size_t sz@ = size of raw string
- *             @va_list ap@ = arguments in list
+ *             @va_list *ap@ = arguments in list
  *             @...@ = other arguments
  *
  * Returns:    ---
@@ -405,7 +436,7 @@ static void a_rawalert(unsigned f_and, unsigned f_eq, const char *status,
 {
   admin *a, *aa;
   dstr d = DSTR_INIT;
-  
+
   if (!(flags & F_INIT))
     return;
   dstr_puts(&d, status);
@@ -424,28 +455,27 @@ static void a_rawalert(unsigned f_and, unsigned f_eq, const char *status,
   dstr_destroy(&d);
 }
 
-static void a_valert(unsigned f_and, unsigned f_eq, const char *tag,
-                    const char *fmt, va_list ap)
+static void a_valert(unsigned f_and, unsigned f_eq, const char *status,
+                    const char *fmt, va_list *ap)
 {
   dstr d = DSTR_INIT;
 
   if (!(flags & F_INIT))
     return;
   a_vformat(&d, fmt, ap);
-  a_rawalert(f_and, f_eq, tag, fmt ? d.buf : 0, fmt ? d.len : 0);
+  a_rawalert(f_and, f_eq, status, fmt ? d.buf : 0, fmt ? d.len : 0);
   dstr_destroy(&d);
 }
 
-#if 0 /*unused*/
-static void a_alert(unsigned f_and, unsigned f_eq, const char *tag,
+static void a_alert(unsigned f_and, unsigned f_eq, const char *status,
                    const char *fmt, ...)
 {
   va_list ap;
+
   va_start(ap, fmt);
-  a_valert(f_and, f_eq, tag, fmt, ap);
+  a_valert(f_and, f_eq, status, fmt, &ap);
   va_end(ap);
 }
-#endif
 
 /* --- @a_warn@ --- *
  *
@@ -463,11 +493,11 @@ void a_warn(const char *fmt, ...)
 
   va_start(ap, fmt);
   if (flags & F_INIT)
-    a_valert(0, 0, "WARN", fmt, ap);
+    a_valert(0, 0, "WARN", fmt, &ap);
   else {
     dstr d = DSTR_INIT;
     fprintf(stderr, "%s: ", QUIS);
-    a_vformat(&d, fmt, ap);
+    a_vformat(&d, fmt, &ap);
     dstr_putc(&d, '\n');
     dstr_write(&d, stderr);
     dstr_destroy(&d);
@@ -507,7 +537,7 @@ void a_notify(const char *fmt, ...)
   va_list ap;
 
   va_start(ap, fmt);
-  a_valert(AF_NOTE, AF_NOTE, "NOTE", fmt, ap);
+  a_valert(AF_NOTE, AF_NOTE, "NOTE", fmt, &ap);
   va_end(ap);
 }
 
@@ -522,12 +552,10 @@ void a_notify(const char *fmt, ...)
 
 void a_quit(void)
 {
-  peer *p;
-
   close(sock.fd);
   unlink(sockname);
-  while ((p = p_first()) != 0)
-    p_destroy(p);
+  FOREACH_PEER(p, { p_destroy(p); });
+  ps_quit();
   exit(0);
 }
 
@@ -569,9 +597,7 @@ static void a_sigdie(int sig, void *v)
  */
 
 static void a_sighup(int sig, void *v)
-{
-  a_warn("SERVER", "ignore", "signal", "SIGHUP", A_END);
-}
+  { a_warn("SERVER", "ignore", "signal", "SIGHUP", A_END); }
 
 /* --- @a_parsetime@ --- *
  *
@@ -590,10 +616,10 @@ static long a_parsetime(const char *p)
     case 'h': t *= 60;
     case 'm': t *= 60;
     case 's': if (q[1] != 0)
-    default:    t = -1;
+    default:   t = -1;
     case 0:   break;
   }
-  return (t);    
+  return (t);
 }
 
 /* --- @a_findpeer@ --- *
@@ -620,6 +646,25 @@ static peer *a_findpeer(admin *a, const char *pn)
 #define BGTAG(bg)                                                      \
   (((admin_bgop *)(bg))->tag ? ((admin_bgop *)(bg))->tag : "<foreground>")
 
+/* --- @a_bgfind@ --- *
+ *
+ * Arguments:  @admin *a@ = a client block
+ *             @const char *tag@ = the requested tag
+ *
+ * Returns:    The requested background job, or null.
+ */
+
+static admin_bgop *a_bgfind(admin *a, const char *tag)
+{
+  admin_bgop *bg;
+
+  for (bg = a->bg; bg; bg = bg->next) {
+    if (bg->tag && strcmp(tag, bg->tag) == 0)
+      return (bg);
+  }
+  return (0);
+}
+
 /* --- @a_bgrelease@ --- *
  *
  * Arguments:  @admin_bgop *bg@ = backgrounded operation
@@ -662,7 +707,7 @@ static void a_bginfo(admin_bgop *bg, const char *fmt, ...)
 {
   va_list ap;
   va_start(ap, fmt);
-  a_vwrite(bg->a, "INFO", bg->tag, fmt, ap);
+  a_vwrite(bg->a, "INFO", bg->tag, fmt, &ap);
   va_end(ap);
 }
 
@@ -670,7 +715,7 @@ static void a_bgfail(admin_bgop *bg, const char *fmt, ...)
 {
   va_list ap;
   va_start(ap, fmt);
-  a_vwrite(bg->a, "FAIL", bg->tag, fmt, ap);
+  a_vwrite(bg->a, "FAIL", bg->tag, fmt, &ap);
   va_end(ap);
 }
 
@@ -681,16 +726,21 @@ static void a_bgfail(admin_bgop *bg, const char *fmt, ...)
  *             @const char *tag@ = background tag, or null for foreground
  *             @void (*cancel)(admin_bgop *)@ = cancel function
  *
- * Returns:    ---
+ * Returns:    Zero for success, nonzero on failure.
  *
  * Use:                Links a background job into the list.
  */
 
-static void a_bgadd(admin *a, admin_bgop *bg, const char *tag,
-                   void (*cancel)(admin_bgop *))
+static int a_bgadd(admin *a, admin_bgop *bg, const char *tag,
+                  void (*cancel)(admin_bgop *))
 {
-  if (tag)
+  if (tag) {
+    if (a_bgfind(a, tag)) {
+      a_fail(a, "tag-exists", "%s", tag, A_END);
+      return (-1);
+    }
     bg->tag = xstrdup(tag);
+  }
   else {
     bg->tag = 0;
     selbuf_disable(&a->b);
@@ -703,6 +753,258 @@ static void a_bgadd(admin *a, admin_bgop *bg, const char *tag,
   a->bg = bg;
   T( trace(T_ADMIN, "admin: add bgop %s", BGTAG(bg)); )
   if (tag) a_write(a, "DETACH", tag, A_END);
+  return (0);
+}
+
+/*----- Job table manipulation --------------------------------------------*/
+
+#define JOB_SHIFT 16
+#define JOB_INDEXMASK ((1ul << JOB_SHIFT) - 1)
+#define JOB_SEQMASK ((1ul << (32 - JOB_SHIFT)) - 1)
+
+#define JOB_END 0xfffffffful
+
+static unsigned long a_joboffset;
+
+/* --- @a_jobidencode@ --- *
+ *
+ * Arguments:  @admin_svcop *svc@ = pointer to a service operation
+ *
+ * Returns:    A jobid for this job, in an internal static buffer.
+ *
+ * Use:                Constructs a jobid.  In order to dissuade people from
+ *             predicting jobids, we obfuscate them.
+ *
+ *             A `raw' jobid consists of two 16-bit fields.  The low 16 bits
+ *             are an index into a big array.  The high 16 bits are a
+ *             sequence number recording how many times that slot has been
+ *             reused.
+ *
+ *             This `raw' jobid is then obfuscated by adding a randomly-
+ *             generated offset, and multiplying (mod %$2^{32}$%) by a fixed
+ *             odd constant.
+ */
+
+static const char *a_jobidencode(admin_svcop *svc)
+{
+  admin_jobtable *j = &svc->prov->j;
+  static char buf[10];
+  unsigned long pre;
+  unsigned seq;
+
+  assert(svc->index <= JOB_INDEXMASK);
+  seq = j->v[svc->index].seq;
+  assert(seq <= JOB_SEQMASK);
+  pre = (unsigned long)svc->index | ((unsigned long)seq << JOB_SHIFT);
+  sprintf(buf, "J%08lx", ((pre + a_joboffset) * 0x0f87a7a3ul) & 0xffffffff);
+  return (buf);
+}
+
+/* --- @a_jobiddecode@ --- *
+ *
+ * Arguments:  @admin_jobtable *j@ = pointer to a job table
+ *             @const char *jid@ = pointer to a jobid string
+ *
+ * Returns:    A pointer to the job's @svcop@ structure.
+ */
+
+static admin_svcop *a_jobiddecode(admin_jobtable *j, const char *jid)
+{
+  unsigned i;
+  unsigned long pre;
+
+  if (jid[0] != 'J')
+    return (0);
+  for (i = 1; i < 9; i++) {
+    if (!isxdigit((unsigned char)jid[i]))
+      return (0);
+  }
+  if (jid[9] != 0)
+    return (0);
+  pre = strtoul(jid + 1, 0, 16);
+  pre = ((pre * 0xbd11c40bul) - a_joboffset) & 0xffffffff;
+  i = pre & JOB_INDEXMASK;
+  if (i >= j->n || j->v[i].seq != (pre >> JOB_SHIFT))
+    return (0);
+  return (j->v[i].u.op);
+}
+
+/* --- @a_jobcreate@ --- *
+ *
+ * Arguments:  @admin *a@ = pointer to administration client
+ *
+ * Returns:    A pointer to a freshly-allocated @svcop@, or null.
+ *
+ * Use:                Allocates a fresh @svcop@ and links it into a job table.
+ */
+
+static admin_svcop *a_jobcreate(admin *a)
+{
+  admin_svcop *svc;
+  unsigned i;
+  unsigned sz;
+  admin_jobtable *j = &a->j;
+
+  if (j->free != JOB_END) {
+    i = j->free;
+    j->free = j->v[i].u.next;
+  } else {
+    if (j->n == j->sz) {
+      if (j->sz > JOB_INDEXMASK)
+       return (0);
+      sz = j->sz;
+      if (!sz) {
+       j->sz = 16;
+       j->v = xmalloc(j->sz * sizeof(*j->v));
+      } else {
+       j->sz = sz << 1;
+       j->v = xrealloc(j->v, j->sz * sizeof(*j->v), sz * sizeof(*j->v));
+      }
+    }
+    i = j->n++;
+    j->v[i].seq = 0;
+  }
+  svc = xmalloc(sizeof(*svc));
+  svc->index = i;
+  svc->prov = a;
+  svc->next = j->active;
+  svc->prev = 0;
+  if (j->active) j->active->prev = svc;
+  j->active = svc;
+  j->v[i].u.op = svc;
+  IF_TRACING(T_ADMIN, {
+    trace(T_ADMIN, "admin: created job %s (%u)", a_jobidencode(svc), i);
+  })
+  return (svc);
+}
+
+/* --- @a_jobdestroy@ --- *
+ *
+ * Arguments:  @admin_svcop *svc@ = pointer to job block
+ *
+ * Returns:    ---
+ *
+ * Use:                Frees up a completed (or cancelled) job.
+ */
+
+static void a_jobdestroy(admin_svcop *svc)
+{
+  admin *a = svc->prov;
+  admin_jobtable *j = &a->j;
+  unsigned i = svc->index;
+
+  IF_TRACING(T_ADMIN, {
+    trace(T_ADMIN, "admin: destroying job %s (%u)", a_jobidencode(svc), i);
+  })
+  assert(j->v[i].u.op = svc);
+  j->v[i].u.next = j->free;
+  j->v[i].seq++;
+  j->free = i;
+  if (svc->next) svc->next->prev = svc->prev;
+  if (svc->prev) svc->prev->next = svc->next;
+  else j->active = svc->next;
+}
+
+/* --- @a_jobtableinit@ --- *
+ *
+ * Arguments:  @admin_jobtable *j@ = pointer to job table
+ *
+ * Returns:    ---
+ *
+ * Use:                Initializes a job table.
+ */
+
+static void a_jobtableinit(admin_jobtable *j)
+{
+  if (!a_joboffset)
+    a_joboffset = GR_RANGE(&rand_global, 0xffffffff) + 1;
+  j->n = j->sz = 0;
+  j->active = 0;
+  j->free = JOB_END;
+  j->v = 0;
+}
+
+/* --- @a_jobtablefinal@ --- *
+ *
+ * Arguments:  @admin_jobtable *j@ = pointer to job table
+ *
+ * Returns:    ---
+ *
+ * Use:                Closes down a job table.
+ */
+
+static void a_jobtablefinal(admin_jobtable *j)
+{
+  admin_svcop *svc, *ssvc;
+
+  for (svc = j->active; svc; svc = ssvc) {
+    ssvc = svc->next;
+    a_bgfail(&svc->bg, "provider-failed", A_END);
+    a_bgrelease(&svc->bg);
+  }
+  if (j->v) xfree(j->v);
+}
+
+/*----- Services infrastructure -------------------------------------------*/
+
+/* --- @a_svcfind@ --- *
+ *
+ * Arguments:  @admin *a@ = the requesting client
+ *             @const char *name@ = service name wanted
+ *
+ * Returns:    The service requested, or null.
+ *
+ * Use:                Finds a service; reports an error if the service couldn't be
+ *             found.
+ */
+
+static admin_service *a_svcfind(admin *a, const char *name)
+{
+  admin_service *svc;
+
+  if ((svc = sym_find(&a_svcs, name, -1, 0, 0)) == 0) {
+    a_fail(a, "unknown-service", "%s", name, A_END);
+    return (0);
+  }
+  return (svc);
+}
+
+/* --- @a_svcunlink@ --- *
+ *
+ * Arguments:  @admin_service *svc@ = pointer to service structure
+ *
+ * Returns:    ---
+ *
+ * Use:                Unlinks the service from its provider, without issuing a
+ *             message or freeing the structure.  The version string is
+ *             freed, however.
+ */
+
+static void a_svcunlink(admin_service *svc)
+{
+  if (svc->next)
+    svc->next->prev = svc->prev;
+  if (svc->prev)
+    svc->prev->next = svc->next;
+  else
+    svc->prov->svcs = svc->next;
+  xfree(svc->version);
+}
+
+/* --- @a_svcrelease@ --- *
+ *
+ * Arguments:  @admin_service *svc@ = pointer to service structure
+ *
+ * Returns:    ---
+ *
+ * Use:                Releases a service and frees its structure.
+ */
+
+static void a_svcrelease(admin_service *svc)
+{
+  a_notify("SVCRELEASE", "%s", SYM_NAME(svc), A_END);
+  a_svcunlink(svc);
+  sym_remove(&a_svcs, svc);
 }
 
 /*----- Name resolution operations ----------------------------------------*/
@@ -722,7 +1024,7 @@ static void a_resolved(struct hostent *h, void *v)
   admin_resop *r = v;
 
   T( trace(T_ADMIN, "admin: resop %s resolved", BGTAG(r)); )
-  TIMER;
+  QUICKRAND;
   if (!h) {
     a_bgfail(&r->bg, "resolve-error", "%s", r->addr, A_END);
     r->func(r, ARES_FAIL);
@@ -733,7 +1035,7 @@ static void a_resolved(struct hostent *h, void *v)
   sel_rmtimer(&r->t);
   xfree(r->addr);
   a_bgrelease(&r->bg);
-} 
+}
 
 /* --- @a_restimer@ --- *
  *
@@ -806,21 +1108,25 @@ static void a_resolve(admin *a, admin_resop *r, const char *tag,
   r->addr = 0;
   r->func = func;
   if (mystrieq(av[i], "inet")) i++;
-  if (ac - i != 2) {
-    a_fail(a, "bad-addr-syntax", "[inet] ADDRESS PORT", A_END);
+  if (ac - i != 1 && ac - i != 2) {
+    a_fail(a, "bad-addr-syntax", "[inet] ADDRESS [PORT]", A_END);
     goto fail;
   }
   r->sa.sin.sin_family = AF_INET;
   r->sasz = sizeof(r->sa.sin);
   r->addr = xstrdup(av[i]);
-  pt = strtoul(av[i + 1], &p, 0);
-  if (*p) {
-    struct servent *s = getservbyname(av[i + 1], "udp");
-    if (!s) {
-      a_fail(a, "unknown-service", "%s", av[i + 1], A_END);
-      goto fail;
+  if (!av[i + 1])
+    pt = TRIPE_PORT;
+  else {
+    pt = strtoul(av[i + 1], &p, 0);
+    if (*p) {
+      struct servent *s = getservbyname(av[i + 1], "udp");
+      if (!s) {
+       a_fail(a, "unknown-service", "%s", av[i + 1], A_END);
+       goto fail;
+      }
+      pt = ntohs(s->s_port);
     }
-    pt = ntohs(s->s_port);
   }
   if (pt == 0 || pt >= 65536) {
     a_fail(a, "invalid-port", "%lu", pt, A_END);
@@ -834,12 +1140,13 @@ static void a_resolve(admin *a, admin_resop *r, const char *tag,
    * answer straight away.
    */
 
-  a_bgadd(a, &r->bg, tag, a_rescancel);
+  if (a_bgadd(a, &r->bg, tag, a_rescancel))
+    goto fail;
   T( trace(T_ADMIN, "admin: %u, resop %s, hostname `%s'",
           a->seq, BGTAG(r), r->addr); )
 
   /* --- If the name is numeric, do it the easy way --- */
-  
+
   if (inet_aton(av[i], &r->sa.sin.sin_addr)) {
     T( trace(T_ADMIN, "admin: resop %s done the easy way", BGTAG(r)); )
     func(r, ARES_OK);
@@ -862,6 +1169,44 @@ fail:
   xfree(r);
 }
 
+/*----- Option parsing ----------------------------------------------------*/
+
+#define OPTIONS(argc, argv, guts) do {                                 \
+  char **o_av = argv;                                                  \
+  for (;; o_av++) {                                                    \
+    if (!*o_av)                                                                \
+      break;                                                           \
+    if (mystrieq(*o_av, "--")) {                                       \
+      o_av++;                                                          \
+      break;                                                           \
+    }                                                                  \
+    guts                                                               \
+    if (**o_av == '-')                                                 \
+      goto bad_syntax;                                                 \
+    break;                                                             \
+  }                                                                    \
+  argc -= o_av - argv;                                                 \
+  argv = o_av;                                                         \
+} while (0)
+
+#define OPT(name, guts) if (mystrieq(*o_av, name)) { guts continue; }
+
+#define OPTARG(name, arg, guts) OPT(name, {                            \
+  const char *arg;                                                     \
+  arg = *++o_av;                                                       \
+  if (!arg) goto bad_syntax;                                           \
+  guts                                                                 \
+})
+
+#define OPTTIME(name, arg, guts) OPTARG(name, o_arg, {                 \
+  long arg;                                                            \
+  if ((arg = a_parsetime(o_arg)) < 0) {                                        \
+    a_fail(a, "bad-time-spec", "%s", o_arg, A_END);                    \
+    goto fail;                                                         \
+  }                                                                    \
+  guts                                                                 \
+})
+
 /*----- Adding peers ------------------------------------------------------*/
 
 /* --- @a_doadd@ --- *
@@ -883,7 +1228,9 @@ static void a_doadd(admin_resop *r, int rc)
   if (rc == ARES_OK) {
     add->peer.sasz = add->r.sasz;
     add->peer.sa = add->r.sa;
-    if (p_find(add->peer.name))
+    if (p_findbyaddr(&add->r.sa))
+      a_bgfail(&add->r.bg, "peer-addr-exists", "?ADDR", &add->r.sa, A_END);
+    else if (p_find(add->peer.name))
       a_bgfail(&add->r.bg, "peer-exists", "%s", add->peer.name, A_END);
     else if (!p_create(&add->peer))
       a_bgfail(&add->r.bg, "peer-create-fail", "%s", add->peer.name, A_END);
@@ -891,6 +1238,7 @@ static void a_doadd(admin_resop *r, int rc)
       a_bgok(&add->r.bg);
   }
 
+  if (add->peer.tag) xfree(add->peer.tag);
   xfree(add->peer.name);
 }
 
@@ -907,7 +1255,6 @@ static void a_doadd(admin_resop *r, int rc)
 
 static void acmd_add(admin *a, unsigned ac, char *av[])
 {
-  unsigned i, j;
   const char *tag = 0;
   admin_addop *add;
 
@@ -915,59 +1262,58 @@ static void acmd_add(admin *a, unsigned ac, char *av[])
 
   add = xmalloc(sizeof(*add));
   add->peer.name = 0;
+  add->peer.tag = 0;
+  add->peer.privtag = 0;
   add->peer.t_ka = 0;
   add->peer.tops = tun_default;
+  add->peer.f = 0;
 
   /* --- Parse options --- */
 
-  i = 0;
-  for (;;) {
-    if (!av[i])
-      goto bad_syntax;
-    if (mystrieq(av[i], "-background")) {
-      if (!av[++i]) goto bad_syntax;
-      tag = av[i];
-    } else if (mystrieq(av[i], "-tunnel")) {
-      if (!av[++i]) goto bad_syntax;
-      for (j = 0;; j++) {
-       if (!tunnels[j]) {
-         a_fail(a, "unknown-tunnel", "%s", av[i], A_END);
+  OPTIONS(ac, av, {
+    OPTARG("-background", arg, { tag = arg; })
+    OPTARG("-tunnel", arg, {
+      unsigned i;
+      for (i = 0;; i++) {
+       if (!tunnels[i]) {
+         a_fail(a, "unknown-tunnel", "%s", arg, A_END);
          goto fail;
        }
-       if (mystrieq(av[i], tunnels[j]->name)) {
-         add->peer.tops = tunnels[j];
+       if (mystrieq(arg, tunnels[i]->name)) {
+         add->peer.tops = tunnels[i];
          break;
        }
       }
-    } else if (mystrieq(av[i], "-keepalive")) {
-      long t;
-      if (!av[++i]) goto bad_syntax;
-      if ((t = a_parsetime(av[i])) < 0) {
-       a_fail(a, "bad-time-spec", "%s", av[i], A_END);
-       goto fail;
-      }
-      add->peer.t_ka = t;
-    } else if (mystrieq(av[i], "--")) {
-      i++;
-      break;
-    } else
-      break;
-    i++;
-  }
+    })
+    OPTTIME("-keepalive", t, { add->peer.t_ka = t; })
+    OPT("-cork", { add->peer.f |= KXF_CORK; })
+    OPTARG("-key", arg, {
+      if (add->peer.tag)
+       xfree(add->peer.tag);
+      add->peer.tag = xstrdup(arg);
+    })
+    OPT("-mobile", { add->peer.f |= PSF_MOBILE; })
+    OPTARG("-priv", arg, {
+      if (add->peer.privtag)
+       xfree(add->peer.privtag);
+      add->peer.privtag = xstrdup(arg);
+    })
+  });
 
   /* --- Make sure someone's not got there already --- */
 
-  if (!av[i])
+  if (!av[0] || !av[1])
     goto bad_syntax;
-  if (p_find(av[i])) {
-    a_fail(a, "peer-exists", "%s", av[i], A_END);
+  if (p_find(*av)) {
+    a_fail(a, "peer-exists", "%s", *av, A_END);
     goto fail;
   }
-  add->peer.name = xstrdup(av[i++]);
+  add->peer.name = xstrdup(*av++);
+  ac--;
 
   /* --- Crank up the resolver --- */
 
-  a_resolve(a, &add->r, tag, a_doadd, ac - i, av + i);
+  a_resolve(a, &add->r, tag, a_doadd, ac, av);
   return;
 
   /* --- Clearing up --- */
@@ -976,6 +1322,8 @@ bad_syntax:
   a_fail(a, "bad-syntax", "add", "[OPTIONS] PEER ADDR ...", A_END);
 fail:
   if (add->peer.name) xfree(add->peer.name);
+  if (add->peer.tag) xfree(add->peer.tag);
+  if (add->peer.privtag) xfree(add->peer.privtag);
   xfree(add);
   return;
 }
@@ -1052,38 +1400,21 @@ static void a_ping(admin *a, unsigned ac, char *av[],
                   const char *cmd, unsigned msg)
 {
   long t = T_PING;
-  int i;
   peer *p;
   admin_pingop *pg = 0;
   const char *tag = 0;
 
-  i = 0;
-  for (;;) {
-    if (!av[i])
-      goto bad_syntax;
-    if (mystrieq(av[i], "-background")) {
-      if (!av[++i]) goto bad_syntax;
-      tag = av[i];
-    } else if (mystrieq(av[i], "-timeout")) {
-      if (!av[++i]) goto bad_syntax;
-      if ((t = a_parsetime(av[i])) < 0) {
-       a_fail(a, "bad-time-spec", "%s", av[i], A_END);
-       return;
-      }
-    } else if (mystrieq(av[i], "--")) {
-      i++;
-      break;
-    } else
-      break;
-    i++;
-  }
-
-  if (!av[i]) goto bad_syntax;
-  if ((p = a_findpeer(a, av[i])) == 0)
+  OPTIONS(ac, av, {
+    OPTARG("-background", arg, { tag = arg; })
+    OPTTIME("-timeout", arg, { t = arg; })
+  });
+  if (!*av || av[1]) goto bad_syntax;
+  if ((p = a_findpeer(a, *av)) == 0)
     return;
   pg = xmalloc(sizeof(*pg));
   gettimeofday(&pg->pingtime, 0);
-  a_bgadd(a, &pg->bg, tag, a_pingcancel);
+  if (a_bgadd(a, &pg->bg, tag, a_pingcancel))
+    goto fail;
   T( trace(T_ADMIN, "admin: ping op %s: %s to %s",
           BGTAG(pg), cmd, p_name(p)); )
   if (p_pingsend(p, &pg->ping, msg, t, a_pong, pg)) {
@@ -1091,9 +1422,11 @@ static void a_ping(admin *a, unsigned ac, char *av[],
     a_bgrelease(&pg->bg);
   }
   return;
-    
+
 bad_syntax:
   a_fail(a, "bad-syntax", "%s", cmd, "[OPTIONS] PEER", cmd, A_END);
+fail:
+  if (pg) xfree(pg);
   return;
 }
 
@@ -1102,6 +1435,160 @@ static void acmd_ping(admin *a, unsigned ac, char *av[])
 static void acmd_eping(admin *a, unsigned ac, char *av[])
   { a_ping(a, ac, av, "eping", MISC_EPING); }
 
+/*----- Service commands --------------------------------------------------*/
+
+static void acmd_svcclaim(admin *a, unsigned ac, char *av[])
+{
+  admin_service *svc;
+  unsigned f;
+
+  svc = sym_find(&a_svcs, av[0], -1, sizeof(*svc), &f);
+  if (f) {
+    if (versioncmp(av[1], svc->version) <= 0) {
+      a_fail(a,
+            "service-exists",
+            "%s", SYM_NAME(svc),
+            "%s", svc->version,
+            A_END);
+      return;
+    }
+    a_write(svc->prov, "SVCCLAIM", 0, "%s", av[0], "%s", av[1], A_END);
+    a_svcunlink(svc);
+  }
+  svc->prov = a;
+  svc->version = xstrdup(av[1]);
+  svc->next = a->svcs;
+  svc->prev = 0;
+  if (a->svcs) a->svcs->prev = svc;
+  a->svcs = svc;
+  a_notify("SVCCLAIM", "%s", SYM_NAME(svc), "%s", svc->version, A_END);
+  a_ok(a);
+}
+
+static void acmd_svcrelease(admin *a, unsigned ac, char *av[])
+{
+  admin_service *svc;
+
+  if ((svc = a_svcfind(a, av[0])) == 0)
+    return;
+  if (svc->prov != a) {
+    a_fail(a, "not-service-provider", "%s", SYM_NAME(svc), A_END);
+    return;
+  }
+  a_svcrelease(svc);
+  a_ok(a);
+}
+
+static void acmd_svcensure(admin *a, unsigned ac, char *av[])
+{
+  admin_service *svc;
+
+  if ((svc = a_svcfind(a, av[0])) == 0)
+    return;
+  if (av[1] && versioncmp(svc->version, av[1]) < 0) {
+    a_fail(a, "service-too-old",
+          "%s", SYM_NAME(svc),
+          "%s", svc->version,
+          A_END);
+    return;
+  }
+  a_ok(a);
+}
+
+static void acmd_svcquery(admin *a, unsigned ac, char *av[])
+{
+  admin_service *svc;
+
+  if ((svc = a_svcfind(a, av[0])) != 0) {
+    a_info(a, "name=%s", SYM_NAME(svc), "version=%s", svc->version, A_END);
+    a_ok(a);
+  }
+}
+
+static void acmd_svclist(admin *a, unsigned ac, char *av[])
+{
+  admin_service *svc;
+  sym_iter i;
+
+  for (sym_mkiter(&i, &a_svcs); (svc = sym_next(&i)) != 0; )
+    a_info(a, "%s", SYM_NAME(svc), "%s", svc->version, A_END);
+  a_ok(a);
+}
+
+static void a_canceljob(admin_bgop *bg)
+{
+  admin_svcop *svc = (admin_svcop *)bg;
+
+  a_write(svc->prov, "SVCCANCEL", 0, "%s", a_jobidencode(svc), A_END);
+  a_jobdestroy(svc);
+}
+
+static void acmd_svcsubmit(admin *a, unsigned ac, char *av[])
+{
+  const char *tag = 0;
+  admin_service *svc;
+  admin_svcop *svcop;
+  const char *ver = 0;
+  dstr d = DSTR_INIT;
+
+  OPTIONS(ac, av, {
+    OPTARG("-background", arg, { tag = arg; })
+    OPTARG("-version", arg, { ver = arg; })
+  });
+  if (!*av) goto bad_syntax;
+  if ((svc = a_svcfind(a, *av)) == 0) goto fail;
+  if (ver && versioncmp(svc->version, ver) < 0) {
+    a_fail(a, "service-too-old",
+          "%s", SYM_NAME(svc),
+          "%s", svc->version,
+          A_END);
+    goto fail;
+  }
+  if ((svcop = a_jobcreate(svc->prov)) == 0) {
+    a_fail(a, "provider-overloaded", A_END);
+    goto fail;
+  }
+  if (a_bgadd(a, &svcop->bg, tag, a_canceljob)) {
+    a_jobdestroy(svcop);
+    goto fail;
+  }
+  a_write(svc->prov, "SVCJOB", 0,
+         "%s", a_jobidencode(svcop),
+         "?TOKENS", av,
+         A_END);
+  goto done;
+
+bad_syntax:
+  a_fail(a, "bad-syntax", "svcsubmit", "[OPTIONS] SERVICE ARGS...", A_END);
+fail:
+done:
+  dstr_destroy(&d);
+  return;
+}
+
+static void a_replycmd(admin *a, const char *status, int donep, char *av[])
+{
+  admin_svcop *svc;
+
+  if ((svc = a_jobiddecode(&a->j, av[0])) == 0) {
+    a_fail(a, "unknown-jobid", av[0], A_END);
+    return;
+  }
+  a_write(svc->bg.a, status, svc->bg.tag, "?TOKENS", av + 1, A_END);
+  if (donep) {
+    a_jobdestroy(svc);
+    a_bgrelease(&svc->bg);
+  }
+  a_ok(a);
+}
+
+static void acmd_svcok(admin *a, unsigned ac, char *av[])
+  { a_replycmd(a, "OK", 1, av); }
+static void acmd_svcinfo(admin *a, unsigned ac, char *av[])
+  { a_replycmd(a, "INFO", 0, av); }
+static void acmd_svcfail(admin *a, unsigned ac, char *av[])
+  { a_replycmd(a, "FAIL", 1, av); }
+
 /*----- Administration commands -------------------------------------------*/
 
 /* --- Miscellaneous commands --- */
@@ -1151,7 +1638,7 @@ static int traceish(admin *a, unsigned ac, char *av[],
          }
          a_fail(a, "bad-%s-option", what, "%c", *p, A_END);
          return (0);
-        tropt_ok:;
+       tropt_ok:;
          break;
       }
       p++;
@@ -1174,35 +1661,18 @@ static void acmd_trace(admin *a, unsigned ac, char *av[])
 #endif
 
 static void acmd_watch(admin *a, unsigned ac, char *av[])
-{
-  traceish(a, ac, av, "watch", w_opts, &a->f);
-}
+  { traceish(a, ac, av, "watch", w_opts, &a->f); }
 
 static void alertcmd(admin *a, unsigned f_and, unsigned f_eq,
-                    const char *tag, unsigned ac, char *av[])
-{
-  dstr d = DSTR_INIT;
-  unsigned i;
-
-  dstr_puts(&d, "USER");
-  for (i = 0; i < ac; i++)
-    quotify(&d, av[i]);
-  dstr_putz(&d);
-  a_rawalert(f_and, f_eq, tag, d.buf, d.len);
-  dstr_destroy(&d);
-  a_ok(a);
-}
-
+                    const char *status, char *av[])
+  { a_alert(f_and, f_eq, status, "USER", "?TOKENS", av, A_END); a_ok(a); }
 static void acmd_notify(admin *a, unsigned ac, char *av[])
-  { alertcmd(a, AF_NOTE, AF_NOTE, "NOTE", ac, av); }
+  { alertcmd(a, AF_NOTE, AF_NOTE, "NOTE", av); }
 static void acmd_warn(admin *a, unsigned ac, char *av[])
-  { alertcmd(a, AF_WARN, AF_WARN, "WARN", ac, av); }
+  { alertcmd(a, AF_WARN, AF_WARN, "WARN", av); }
 
 static void acmd_port(admin *a, unsigned ac, char *av[])
-{
-  a_info(a, "%u", p_port(), A_END);
-  a_ok(a);
-}
+  { a_info(a, "%u", p_port(), A_END); a_ok(a); }
 
 static void acmd_daemon(admin *a, unsigned ac, char *av[])
 {
@@ -1212,7 +1682,7 @@ static void acmd_daemon(admin *a, unsigned ac, char *av[])
     a_notify("DAEMON", A_END);
     if (a_stdin)
       a_destroy(a_stdin);
-    if (u_daemon())
+    if (daemonize())
       a_fail(a, "daemon-error", "?ERRNO", A_END);
     else {
       flags |= F_DAEMON;
@@ -1221,11 +1691,68 @@ static void acmd_daemon(admin *a, unsigned ac, char *av[])
   }
 }
 
-static void acmd_list(admin *a, unsigned ac, char *av[])
+static void acmd_jobs(admin *a, unsigned ac, char *av[])
+{
+  admin_bgop *bg;
+
+  for (bg = a->bg; bg; bg = bg->next) {
+    assert(bg->tag);
+    a_info(a, "%s", bg->tag, A_END);
+  }
+  a_ok(a);
+}
+
+static void acmd_bgcancel(admin *a, unsigned ac, char *av[])
+{
+  admin_bgop *bg;
+
+  if ((bg = a_bgfind(a, av[0])) == 0)
+    a_fail(a, "unknown-tag", "%s", av[0], A_END);
+  else {
+    bg->cancel(bg);
+    a_bgrelease(bg);
+    a_ok(a);
+  }
+}
+
+static void acmd_algs(admin *a, unsigned ac, char *av[])
 {
   peer *p;
-  for (p = p_first(); p; p = p_next(p))
-    a_info(a, "%s", p_name(p), A_END);
+  const kdata *kd;
+  const dhgrp *g;
+  const algswitch *algs;
+
+  if (!ac)
+    kd = master;
+  else {
+    if ((p = a_findpeer(a, av[0])) == 0) return;
+    kd = p->kx.kpriv;
+  }
+  g = kd->grp;
+  algs = &kd->algs;
+
+  g->ops->grpinfo(g, a);
+  a_info(a,
+        "hash=%s", algs->h->name,
+        "mgf=%s", algs->mgf->name,
+        "hash-sz=%lu", (unsigned long)algs->h->hashsz,
+        A_END);
+  a_info(a,
+        "bulk-transform=%s", algs->bulk->ops->name,
+        "bulk-overhead=%lu",
+        (unsigned long)algs->bulk->ops->overhead(algs->bulk),
+        A_END);
+  algs->bulk->ops->alginfo(algs->bulk, a);
+  a_info(a,
+        "cipher-data-limit=%lu",
+        (unsigned long)algs->bulk->ops->expsz(algs->bulk),
+        A_END);
+  a_ok(a);
+}
+
+static void acmd_list(admin *a, unsigned ac, char *av[])
+{
+  FOREACH_PEER(p, {  a_info(a, "%s", p_name(p), A_END); });
   a_ok(a);
 }
 
@@ -1247,7 +1774,7 @@ static void acmd_setifname(admin *a, unsigned ac, char *av[])
     a_notify("NEWIFNAME", "?PEER", p, "%s", p_ifname(p), "%s", av[1], A_END);
     p_setifname(p, av[1]);
     a_ok(a);
-  }  
+  }
 }
 
 static void acmd_getchal(admin *a, unsigned ac, char *av[])
@@ -1310,10 +1837,16 @@ static void acmd_peerinfo(admin *a, unsigned ac, char *av[])
 {
   peer *p;
   const peerspec *ps;
+  const char *ptag;
 
   if ((p = a_findpeer(a, av[0])) != 0) {
     ps = p_spec(p);
     a_info(a, "tunnel=%s", ps->tops->name, A_END);
+    a_info(a, "key=%s", p_tag(p),
+          "current-key=%s", p->kx.kpub->tag, A_END);
+    if ((ptag = p_privtag(p)) == 0) ptag = "(default)";
+    a_info(a, "private-key=%s", ptag,
+          "current-private-key=%s", p->kx.kpriv->tag, A_END);
     a_info(a, "keepalive=%lu", ps->t_ka, A_END);
     a_ok(a);
   }
@@ -1339,17 +1872,27 @@ static void acmd_stats(admin *a, unsigned ac, char *av[])
   a_info(a, "start-time=%s", timestr(st->t_start), A_END);
   a_info(a, "last-packet-time=%s", timestr(st->t_last), A_END);
   a_info(a, "last-keyexch-time=%s", timestr(st->t_kx), A_END);
-  a_info(a, "packets-in=%lu bytes-in=%lu", st->n_in, st->sz_in, A_END);
-  a_info(a, "packets-out=%lu bytes-out=%lu",
-        st->n_out, st->sz_out, A_END);
-  a_info(a, "keyexch-packets-in=%lu keyexch-bytes-in=%lu",
-        st->n_kxin, st->sz_kxin, A_END);
-  a_info(a, "keyexch-packets-out=%lu keyexch-bytes-out=%lu",
-        st->n_kxout, st->sz_kxout, A_END);
-  a_info(a, "ip-packets-in=%lu ip-bytes-in=%lu",
-        st->n_ipin, st->sz_ipin, A_END);
-  a_info(a, "ip-packets-out=%lu ip-bytes-out=%lu",
-        st->n_ipout, st->sz_ipout, A_END);
+  a_info(a, "packets-in=%lu", st->n_in, "bytes-in=%lu", st->sz_in, A_END);
+  a_info(a,
+        "packets-out=%lu", st->n_out,
+        "bytes-out=%lu", st->sz_out,
+        A_END);
+  a_info(a,
+        "keyexch-packets-in=%lu", st->n_kxin,
+        "keyexch-bytes-in=%lu", st->sz_kxin,
+        A_END);
+  a_info(a,
+        "keyexch-packets-out=%lu", st->n_kxout,
+        "keyexch-bytes-out=%lu", st->sz_kxout,
+        A_END);
+  a_info(a,
+        "ip-packets-in=%lu", st->n_ipin,
+        "ip-bytes-in=%lu", st->sz_ipin,
+        A_END);
+  a_info(a,
+        "ip-packets-out=%lu", st->n_ipout,
+        "ip-bytes-out=%lu", st->sz_ipout,
+        A_END);
   a_info(a, "rejected-packets=%lu", st->n_reject, A_END);
   a_ok(a);
 }
@@ -1357,6 +1900,7 @@ static void acmd_stats(admin *a, unsigned ac, char *av[])
 static void acmd_kill(admin *a, unsigned ac, char *av[])
 {
   peer *p;
+
   if ((p = a_findpeer(a, av[0])) != 0) {
     p_destroy(p);
     a_ok(a);
@@ -1366,6 +1910,7 @@ static void acmd_kill(admin *a, unsigned ac, char *av[])
 static void acmd_forcekx(admin *a, unsigned ac, char *av[])
 {
   peer *p;
+
   if ((p = a_findpeer(a, av[0])) != 0) {
     kx_start(&p->kx, 1);
     a_ok(a);
@@ -1391,6 +1936,7 @@ static void acmd_version(admin *a, unsigned ac, char *av[])
 static void acmd_tunnels(admin *a, unsigned ac, char *av[])
 {
   int i;
+
   for (i = 0; tunnels[i]; i++)
     a_info(a, "%s", tunnels[i]->name, A_END);
   a_ok(a);
@@ -1410,6 +1956,8 @@ static void acmd_help(admin */*a*/, unsigned /*ac*/, char */*av*/[]);
 static const acmd acmdtab[] = {
   { "add",     "[OPTIONS] PEER ADDR ...", 2,   0xffff, acmd_add },
   { "addr",    "PEER",                 1,      1,      acmd_addr },
+  { "algs",    "[PEER]",               0,      1,      acmd_algs },
+  { "bgcancel",        "TAG",                  1,      1,      acmd_bgcancel },
   { "checkchal", "CHAL",               1,      1,      acmd_checkchal },
   { "daemon",  0,                      0,      0,      acmd_daemon },
   { "eping",   "[OPTIONS] PEER",       1,      0xffff, acmd_eping },
@@ -1418,6 +1966,7 @@ static const acmd acmdtab[] = {
   { "greet",   "PEER CHAL",            2,      2,      acmd_greet },
   { "help",    0,                      0,      0,      acmd_help },
   { "ifname",  "PEER",                 1,      1,      acmd_ifname },
+  { "jobs",    0,                      0,      0,      acmd_jobs },
   { "kill",    "PEER",                 1,      1,      acmd_kill },
   { "list",    0,                      0,      0,      acmd_list },
   { "notify",  "MESSAGE ...",          1,      0xffff, acmd_notify },
@@ -1428,6 +1977,16 @@ static const acmd acmdtab[] = {
   { "reload",  0,                      0,      0,      acmd_reload },
   { "servinfo",        0,                      0,      0,      acmd_servinfo },
   { "setifname", "PEER NEW-NAME",      2,      2,      acmd_setifname },
+  { "svcclaim",        "SERVICE VERSION",      2,      2,      acmd_svcclaim },
+  { "svcensure", "SERVICE [VERSION]",  1,      2,      acmd_svcensure },
+  { "svcfail", "JOBID TOKENS...",      1,      0xffff, acmd_svcfail },
+  { "svcinfo", "JOBID TOKENS...",      1,      0xffff, acmd_svcinfo },
+  { "svclist", 0,                      0,      0,      acmd_svclist },
+  { "svcok",   "JOBID",                1,      1,      acmd_svcok },
+  { "svcquery",        "SERVICE",              1,      1,      acmd_svcquery },
+  { "svcrelease", "SERVICE",           1,      1,      acmd_svcrelease },
+  { "svcsubmit", "[OPTIONS] SERVICE TOKENS...",
+                                       2,      0xffff, acmd_svcsubmit },
   { "stats",   "PEER",                 1,      1,      acmd_stats },
 #ifndef NTRACE
   { "trace",   "[OPTIONS]",            0,      1,      acmd_trace },
@@ -1435,17 +1994,18 @@ static const acmd acmdtab[] = {
   { "tunnels", 0,                      0,      0,      acmd_tunnels },
   { "version", 0,                      0,      0,      acmd_version },
   { "warn",    "MESSAGE ...",          1,      0xffff, acmd_warn },
-  { "watch",   "[OPTIONS]",            0,      1,      acmd_watch },
+  { "watch",   "[OPTIONS]",            0,      1,      acmd_watch },
   { 0,         0,                      0,      0,      0 }
 };
 
 static void acmd_help(admin *a, unsigned ac, char *av[])
 {
   const acmd *c;
+
   for (c = acmdtab; c->name; c++) {
     if (c->help)
       a_info(a, "%s", c->name, "*%s", c->help, A_END);
-    else 
+    else
       a_info(a, "%s", c->name, A_END);
   }
   a_ok(a);
@@ -1464,44 +2024,66 @@ static void acmd_help(admin *a, unsigned ac, char *av[])
 
 static void a_destroypending(void)
 {
-  admin *a, *aa;
+  admin *a, *aa, *head;
   admin_bgop *bg, *bbg;
+  admin_service *svc, *ssvc;
 
-  /* --- Destroy connections marked as pending --- */
+  /* --- Destroy connections marked as pending --- *
+   *
+   * Slightly messy.  Killing clients may cause others to finally die.  Make
+   * sure that they can be put on the list without clobbering anything or
+   * getting lost.
+   */
 
-  for (a = a_dead; a; a = aa) {
-    aa = a->next;
-    assert(a->f & AF_DEAD);
+  while (a_dead) {
+    head = a_dead;
+    a_dead = 0;
+    for (a = head; a; a = aa) {
+      aa = a->next;
+      assert(a->f & AF_DEAD);
 
-    /* --- Report what we're doing --- */
+      /* --- Report what we're doing --- */
 
-    T( trace(T_ADMIN, "admin: completing destruction of connection %u",
-            a->seq); )
+      T( trace(T_ADMIN, "admin: completing destruction of connection %u",
+              a->seq); )
 
-    /* --- Abort any background jobs in progress --- */
+      /* --- If this is the foreground client then shut down --- */
 
-    for (bg = a->bg; bg; bg = bbg) {
-      bbg = bg->next;
-      bg->cancel(bg);
-      if (bg->tag) xfree(bg->tag);
-      xfree(bg);
-    }
+      if (a->f & AF_FOREGROUND) {
+       T( trace(T_ADMIN, "admin: foreground client quit: shutting down"); )
+       a_warn("SERVER", "quit", "foreground-eof", A_END);
+       a_quit();
+      }
 
-    /* --- Close file descriptors and selectory --- */
+      /* --- Abort any background jobs in progress --- */
 
-    selbuf_destroy(&a->b);
-    if (a->b.reader.fd != a->w.fd) close(a->b.reader.fd);
-    close(a->w.fd);
-    if (a_stdin == a) a_stdin = 0;
+      for (bg = a->bg; bg; bg = bbg) {
+       bbg = bg->next;
+       bg->cancel(bg);
+       if (bg->tag) xfree(bg->tag);
+       xfree(bg);
+      }
 
-    /* --- Done --- */
+      /* --- Release services I hold, and abort pending jobs --- */
 
-    DESTROY(a);
-  }
+      for (svc = a->svcs; svc; svc = ssvc) {
+       ssvc = svc->next;
+       a_svcrelease(svc);
+      }
+      a_jobtablefinal(&a->j);
 
-  /* --- All pending destruction completed --- */
+      /* --- Close file descriptors and selectory --- */
 
-  a_dead = 0;
+      selbuf_destroy(&a->b);
+      if (a->b.reader.fd != a->w.fd) close(a->b.reader.fd);
+      close(a->w.fd);
+      if (a_stdin == a) a_stdin = 0;
+
+      /* --- Done --- */
+
+      DESTROY(a);
+    }
+  }
 }
 
 /* --- @a_destroy@ --- *
@@ -1559,10 +2141,10 @@ static void a_line(char *p, size_t len, void *vp)
 {
   admin *a = vp;
   const acmd *c;
-  char *av[16];
+  char *av[16 + 1];
   size_t ac;
 
-  TIMER;
+  QUICKRAND;
   if (a->f & AF_DEAD)
     return;
   if (!p) {
@@ -1574,16 +2156,17 @@ static void a_line(char *p, size_t len, void *vp)
     }
     return;
   }
-  ac = str_qsplit(p, av, 16, 0, STRF_QUOTE);
+  ac = str_qsplit(p, av, N(av) - 1, 0, STRF_QUOTE);
   if (!ac)
     return;
+  av[ac] = 0;
   for (c = acmdtab; c->name; c++) {
     if (mystrieq(av[0], c->name)) {
       ac--;
       if (c->argmin > ac || ac > c->argmax) {
        if (!c->help)
          a_fail(a, "bad-syntax", "%s", c->name, "", A_END);
-       else 
+       else
          a_fail(a, "bad-syntax", "%s", c->name, "%s", c->help, A_END);
       } else
        c->func(a, ac, av + 1);
@@ -1612,6 +2195,8 @@ void a_create(int fd_in, int fd_out, unsigned f)
   T( trace(T_ADMIN, "admin: accepted connection %u", a->seq); )
   a->bg = 0;
   a->ref = 0;
+  a->svcs = 0;
+  a_jobtableinit(&a->j);
   a->f = f;
   if (fd_in == STDIN_FILENO) a_stdin = a;
   fdflags(fd_in, O_NONBLOCK, O_NONBLOCK, FD_CLOEXEC, FD_CLOEXEC);
@@ -1641,7 +2226,7 @@ static void a_accept(int fd, unsigned mode, void *v)
 {
   int nfd;
   struct sockaddr_un sun;
-  size_t sz = sizeof(sun);
+  socklen_t sz = sizeof(sun);
 
   if ((nfd = accept(fd, (struct sockaddr *)&sun, &sz)) < 0) {
     if (errno != EINTR && errno != EAGAIN && errno != EWOULDBLOCK &&
@@ -1674,27 +2259,32 @@ void a_preselect(void) { if (a_dead) a_destroypending(); }
  * Use:                Informs the admin module that it's a daemon.
  */
 
-void a_daemon(void)
-{
-  flags |= F_DAEMON;
-}
+void a_daemon(void) { flags |= F_DAEMON; }
 
 /* --- @a_init@ --- *
  *
  * Arguments:  @const char *name@ = socket name to create
+ *             @uid_t u@ = user to own the socket
+ *             @gid_t g@ = group to own the socket
+ *             @mode_t m@ = permissions to set on the socket
  *
  * Returns:    ---
  *
  * Use:                Creates the admin listening socket.
  */
 
-void a_init(const char *name)
+void a_init(const char *name, uid_t u, gid_t g, mode_t m)
 {
   int fd;
   int n = 5;
   struct sockaddr_un sun;
   struct sigaction sa;
   size_t sz;
+  mode_t omask;
+
+  /* --- Create services table --- */
+
+  sym_create(&a_svcs);
 
   /* --- Set up the socket address --- */
 
@@ -1708,7 +2298,7 @@ void a_init(const char *name)
 
   /* --- Attempt to bind to the socket --- */
 
-  umask(0077);
+  omask = umask(0077);
 again:
   if ((fd = socket(PF_UNIX, SOCK_STREAM, 0)) < 0)
     die(EXIT_FAILURE, "couldn't create socket: %s", strerror(errno));
@@ -1739,7 +2329,15 @@ again:
     close(fd);
     goto again;
   }
-  chmod(sun.sun_path, 0600);
+  if (chown(sun.sun_path, u, g)) {
+    die(EXIT_FAILURE, "failed to set socket owner: %s",
+       strerror(errno));
+  }
+  if (chmod(sun.sun_path, m)) {
+    die(EXIT_FAILURE, "failed to set socket permissions: %s",
+       strerror(errno));
+  }
+  umask(omask);
   fdflags(fd, O_NONBLOCK, O_NONBLOCK, FD_CLOEXEC, FD_CLOEXEC);
   if (listen(fd, 5))
     die(EXIT_FAILURE, "couldn't listen on socket: %s", strerror(errno));