Há muita repetição de código nisso. Daí fica confuso e começa ter alguns problemas de lógica. Ficaria melhor fazer toda verificação dentro do laço.

Note que a contagem das tentativas deve ocorrer sempre e não condicionalmente. É muito mais simples entender o fluxo quando os valores das variáveis refletem o que eles realmente representam. Se foi feita uma tentativa, a variável deve valer 1. Se fez mais uma tentativa, deve somar ela. E verificar se chegou no número de tentativas permitido.

Obviamente seria interessante fazer algo além disto, mas é um base inicial que funciona:

    char user[20];
    int senha, contador = 0;
    do {
        printf("Entre com o usuario: ");
        gets(user);
        printf("Entre com a senha: ");
        scanf("%d", &senha);
        // aqui as credenciais estão corretas
        if (!strcmp(user, "leonardo") && senha == 123) {
            printf("\nAcesso concedido.\n");
            break;
        }
        contador++;
    } while (contador < 3);
    if (contador == 3) {
        printf("Limite de tentativas alcancadas.\n");
    }
    printf("Fim.\n");
    return 0;

Veja [funcionando no ideone][1].

[Teste excedendo o limite][2].

Fiz uma mudança porque não é recomendado usar o `gets()` e alguns compiladores não podem usá-lo em sua forma padrão (não posso configurar no ideone).


  [1]: http://ideone.com/9DWw1S
  [2]: http://ideone.com/oZFzpm