Há muita repetição de código nisso. Daí fica confuso e começa ter alguns problemas de lógica. Ficaria melhor fazer toda verificação dentro do laço.
Note que a contagem das tentativas deve ocorrer sempre e não condicionalmente. É muito mais simples entender o fluxo quando os valores das variáveis refletem o que eles realmente representam. Se foi feita uma tentativa, a variável deve valer 1. Se fez mais uma tentativa, deve somar ela. E verificar se chegou no número de tentativas permitido.
Obviamente seria interessante fazer algo além disto, mas é um base inicial que funciona:
char user[20];
int senha, contador = 0;
do {
printf("Entre com o usuario: ");
gets(user);
printf("Entre com a senha: ");
scanf("%d", &senha);
// aqui as credenciais estão corretas
if (!strcmp(user, "leonardo") && senha == 123) {
printf("\nAcesso concedido.\n");
break;
}
contador++;
} while (contador < 3);
if (contador == 3) printf("Limite de tentativas alcancadas.\n");
printf("Fim.\n");
Veja funcionando no ideone. E no repl.itno repl.it. Também coloquei no GitHub para referência futura.
Fiz uma mudança porque não é recomendado usar o gets()
e alguns compiladores não podem usá-lo em sua forma padrão (não posso configurar no ideone).