dnsdist: Limit the number of concurrent build jobs to 4 on CI

We are experiencing a lot of build failures on GH actions when
building with `meson` and `ASAN+UBSAN`, likely running out of
memory. We could try to be smarter and only reduce the concurrency
when building with `ASAN+UBSAN`, but for now let's see if it makes
the failures go away.

Merge pull request #15376 from rgacogne/ddist-tcp-mitig

dnsdist: Add mitigations against misbehaving TCP/TLS clients

Merge pull request #15433 from rgacogne/ddist-rings-unit-tests-speed

dnsdist: Small optimization in the Rings unit tests

Merge pull request #15457 from MatthiasValvekens/docs/dnsupdate-policy-fix

Rearrange confusingly ordered docs on DNS update checks

Merge pull request #15441 from miodvallat/zonezilla

ZoneName, step 2

Rearrange confusingly ordered docs on DNS update checks

Structure-wise, the paragraph on the interaction between ``allow-dnsupdate-from``, ``ALLOW-DNSUPDATE-FROM`` and ``TSIG-ALLOW-DNSUPDATE`` wound up in the section of the document on Lua update policies.

That seems unintentional, and it's additionally confusing because the description of the Lua update policy setting explicitly mentions that it causes all other enforcement mechanisms to be disabled. This change attempts to correct that.

Merge pull request #15390 from miodvallat/the_misinterpretation_of_silence_and_its_disastrous_consequences

[auth] Log DNS packet parse errors

Simplify !a.isPartOf(b) && a != b constructs.

By design, a.isPartOf(a) is always true.
Therefore, if a and b compare equal, !a.isPartOf(b) and a != b are both
false and the result of the expression is false, but also
!a.isPartOf(b).

If not, then a != b is true and the result of the expression is
!a.isPartOf(b).

Boolean algebra is hard, let's go shopping.

Review improvements.

clang-tidy all the things!

Remove a few wire-related interfaces from ZoneName.

This should prevent accidental use, by requiring an explicit conversion to
DNSName and thinking about what we are doing here.

Stricter ZoneName usage.

While ZoneName is still equivalent to DNSName, this commit turns it into a
separate class (with the same interface as DNSName), and requires conversion
between these classes to be explicit, so that we can recognize the
DNSName/ZoneName boundaries and change them as needs arise.

It is intended for these explicit conversion requirements to be only temporary,
which would allow all these ".operator const DNSName&()" calls to get removed
eventually, once the dust settles and our trust it proper use of ZoneName versus
DNSName is strong enough.

Merge pull request #15451 from miodvallat/after_before_or_between_choose_one

Better behaviour with non-working DNSSEC configurations

Log, at debug level, DNS packet parse errors.

Fixes #14513

Merge pull request #15299 from miodvallat/all_inclusive

API: allow fetching disabled RRsets

Merge pull request #15381 from miodvallat/call_off_the_search

[auth] Mention which backends support search operations

Update pdns/packethandler.cc

No need to complain about the lack of DNSSEC if NSEC3 narrow mode.

Co-authored-by: Peter van Dijk <peter.van.dijk@powerdns.com>

Apply suggestions from code review

Tweak log messages a little.

Co-authored-by: Peter van Dijk <peter.van.dijk@powerdns.com>

Better wording

Co-authored-by: Peter van Dijk <peter.van.dijk@powerdns.com>

No need to pass a DNSPacket to APILookup().

Do not add NSEC* hashes if the backend isn't able to do so.

Fail more gracefully in default getBeforeAndAfterNamesAbsolute.

If invoked on a non-DNSSEC-capable backend, it should fail with a visible
error message rather than bluntly abort().

Merge pull request #15448 from Habbie/lmdb-v5-test

auth LMDB: test "upgrade" from v5 too

Allow binary files for lmdb test-assets.

bump one DomainInfo object to class v1

add v5 base for schema upgrade test

Merge pull request #15393 from miodvallat/opcode_red

[auth] Rework PacketHandler::doQuestion()

Merge pull request #15434 from Habbie/auth-docs-no-sysv

auth docs: stop mentioning SysV init script, it has been gone for a while

Merge pull request #15443 from miodvallat/ruhe

Add a quiet option to pdnsutil

Use pdnsutil -q to get clean output.

Add a global quiet option to pdnsutil to silence some messaces.

Merge pull request #15436 from omoerbeek/dnsdist-unused

dnsdist: a few more cases of potentially unused args

Merge pull request #15410 from omoerbeek/rec-regr-moduledir

rec regr tests: allow to set moduledir using an env var

Merge pull request #15437 from omoerbeek/rec-meson-sysconfdir-quote

rec: [meson] strip quotes meson adds from SYSCONFDIR (and two other config values)

Tidy

dnsdist: Fix typos in the configuration spotted by Miod

dnsdist: Refactor some very similar functions in the TCP limits code

dnsdist: Ignore port mask for TCP limits if the v4 mask != 32

dnsdist: Use a power of two values for the number of shards, as suggested by Otto

rec: strip quotes meson adds from SYSCONFDIR (and two other config values)

dnsdist: a few more cases of potentiually unused args

auth docs: stop mentioning SysV init script, it has been gone for a while

Merge pull request #15388 from nokia/master

dnsdist: Enhancement to support rule action for query timeout case

dnsdist: Small optimization in the Rings unit tests

Calling `BOOST_CHECK_*` is quite expensive, so this commit limits
the number of these calls done in a tight loop.

Merge pull request #15377 from omoerbeek/dnsdist-meson-alt-libssl

[meson] Allow alternate location for libssl

Use link_args instead of adding to global link arguments

Allow disabled records to be fetched from the API.

Fixes #11473

Add an API-specific lookup method to DNSBackend.

This method, APILookup(), behaves similarly to lookup() but allows
disabled records to be returned to the caller. Backends with no support
for disabled records (bind, geoip, ldap, lua2, pipe, tinydns) implement
it as a by-default wrapper over lookup(). Other backends override with
their own processing.

SQL-style backends use distinct queries, api-id-query and
api-any-id-query, so as not to penalize non-API workloads.

Merge pull request #15429 from rgacogne/rec-fix-typo-test_FWCatz

rec: Fix a typo in the FWCatz regression tests

Allow alternate location for libssl

Needed at least on OpenBSD to get boringssl for dnsdist with quiche,
but other platforms might benefit as well

Merge pull request #15426 from rgacogne/ddist-document-how-to-remove-ecs

dnsdist: Document that `SetDisableECSAction` doesn't remove existing values

Merge pull request #15428 from rgacogne/ddist-resume-health-checks

dnsdist: Mention the lazy health-check option more often in the docs

Merge pull request #15421 from miodvallat/a_zone_by_any_other_name

Introduce ZoneName

rec: Fix a typo in the FWCatz regression tests

Observed on GH actions:
```
  test_FWCatz.py:353:
  _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _

  self = <test_FWCatz.FWCatzXFRRecursorTest testMethod=testFWCatz>
  expected = {'forward_zones': [{'forwarders': ['1.2.3.4'], 'zone': 'c.'}]}

      def checkForwards(self, expected):
          attempts = 0
          tries = 10
          ex = None
          while attempts < tries:
              try:
                  with open('configs/' + self._confdir + '/catzone.forward.catz.') as file:
                      reality = yaml.safe_load(file);
                      if expected == reality:
                          return
              except Exception as e:
                  ex = e
              attempts = attempts + 1
  >           sleep(0.1)
  E           NameError: name 'sleep' is not defined
```

dnsdist: Mention the lazy health-check option more often in the docs

dnsdist: Document that `SetDisableECSAction` doesn't remove existing values

And document a possible work-around.

Fix clang-tidy warning of unnecessary std::move() for const ref

Merge pull request #15413 from romeroalx/pin-wheel

Pin the version of the python packages wheel and setuptools-git

Merge branch 'master' into master

Merge pull request #15418 from rgacogne/ddist-fix-tcp-only-cache

dnsdist: Fix cache lookup for unavailable TCP-only backends

dnsdist: Apply Otto's suggestions

Merge pull request #15423 from rgacogne/ddist-cache-tc-really

dnsdist: Add an option to cache truncated answers

clang-tidy the previous clang-tidy run

Merge pull request #15355 from rgacogne/dnsdist-better-handling-exception-when-parsing-yaml

dnsdist: Better handling of exceptions raised during YAML parsing

clang-tidy the previous clang-tidy run

dnsdist: Update outdated comment, as suggested by Miod (thanks!)

Appease clang-tidy.

Introduce ZoneName.

This is currently equivalent to DNSName and is intended to be used for,
well, zone names. This will allow specific processing later, and
currently make the areas where such names are used more visible.

This commit is mostly mechanical and introduces type changes in various
API and data fields.

dnsdist: Add an option to cache truncated answers

Merge pull request #15420 from rgacogne/ddist-add-binding-for-incoming-interface

dnsdist: Add Lua bindings for the incoming network interface

Merge pull request #15419 from rgacogne/ddist-cache-tc

dnsdist: Refactor the packet cache settings

dnsdist: Fix clang-tidy warning introduced by fixing another clang-tidy warning introduced by..

dnsdist: Make clang-tidy happy by passing the settings by value

dnsdist: Refactor the packet cache settings

dnsdist: Fix clang-tidy's warning

Add VRF to the list of allowed words

dnsdist: Add Lua bindings for the incoming network interface

This is useful in Virtual Routing and Forwarding (VRF) environments
where the destination IP address might not be enough to identify the VRF.

Document usage of timeout response rule and add defensive checks

Removed unnecessary packet buffer generation that is no value

dnsdist: Add a regression test for cache lookups w/ unavailable cache-only backends

Merge pull request #15416 from rgacogne/ddist-fix-quic-sni-meson

dnsdist: Fix two issues when building with `meson`

dnsdist: Fix cache lookup for unavailable TCP-only backends

dnsdist: Fix building with OpenSSL providers enabled

dnsdist: Fix the version check for OpenSSL when providers are enabled

dnsdist: Properly detect Quiche functions with meson

We forgot to check for the availability of `quiche_conn_server_name`
when we migrated from `autotools` to `meson`.

Merge pull request #15387 from rgacogne/ddist-share-stek-context-identical-frontends

dnsdist: Share tickets key between identical frontends created via YAML

dnsdist: Document how STEKs are managed in frontend groups

Merge pull request #15415 from miodvallat/web_disservice

[auth] minor web service cleanup

Replace the two lists of metadata keywords with a single list of pairs.

This removes the need for a second search in order to figure out whether
the metadata is write-protected from the API.

Clean metadata lists.

- remove duplicate entries
- remove leftover mention of API-RECTIFY in readonly list.

Merge pull request #15407 from rgacogne/ddist-fix-doh3-without-doh

dnsdist: Fix compilation with DoH3 enabled and DoH disabled

Sort metada name lists.

pin version of wheel and setuptools-git packages

Merge pull request #15408 from omoerbeek/rec-prep-20250409

rec: Prep for rec 20250409 releases

Typo in version

rec regr tests: allow to set moduledir using an env var

This makes picking the right modulerdir explicit instead of hard-coded.
With meson the location varies, and also I would like to use packaged
modules even when I happen to have backend .so's in the default place.

Generate timeout response packet, clang-tidy, PR comments

Generate a valid packet for timeout response rules so that other
actions that requires packet buffer would be happy. Fix a few
clang-tidy issues, address a few PR comments, i.e. revert changes
that fixed in other commit.

Merge pull request #15399 from miodvallat/ignoreland

.gitignore glitch

Prep for rec 20350409 releases

Merge pull request #15402 from PowerDNS/dependabot/cargo/pdns/recursordist/rec-rust-lib/rust/tokio-1.43.1

build(deps): bump tokio from 1.43.0 to 1.43.1 in /pdns/recursordist/rec-rust-lib/rust

dnsdist: Fix compilation with DoH3 enabled and DoH disabled

While unusual, this is a completely valid setup.