Merge branch 'acl_fixes' into 'master'

ACL config checks

See merge request knot/security/knot-dns!3

Merge branch 'ddns_0rtt' into 'master'

requestor/QUIC: avoid 0-RTT when forwarding DDNS...

See merge request knot/security/knot-dns!2

conf: improve error messages in check_remote()

Merge branch 'acl_fixes' into 'master'

ACL fixes

See merge request knot/security/knot-dns!1

doc: DDNSoQ incl warning against 0-RTT from clients

conf: update 'acl.remote' conflict check

acl: refactor check_proto() and call it before cert_check()

tests: DDNS forwarding over QUIC incl not using 0-RTT

tls_common: add check for empty session to knot_tls_cert_check_hostnames()

requestor/QUIC: avoid 0-RTT when forwarding DDNS...

...0-RTT for DDNSoQ is discouraged due to replay attacks

acl: add check for empty tls_session to cert_check()

DDNS/forwarding: verbose logging incl. addr and proto

distro/deb: align copyright with new release

distro/deb: use watch v5

distro/deb: set Standards-Version to 4.7.4

distro/deb: add procps dependency to knot-exporter

distro/deb: add 'Multi-Arch: same' to libraries

Merge branch 'last_signed_serial_conf' into 'master'

KASP/timers: configurable storage of last signed serial

See merge request knot/knot-dns!1891

KASP/timers: configurable storage of last signed serial

tests-extra: increase robustness of catalog/generate_reconf

Merge branch 'tcp_id' into 'master'

TCP thread id fix, refactoring

See merge request knot/knot-dns!1893

handlers: replace strerror() with knot_strerror()

udp-handler: use dthread indexing for XDP threads, unify with tcp-handler

tcp-handler: fix TCP socket indexing if TLS and TCP reuseport configured

tests-extra: improve bind_version() to accept newer extended string

Merge branch 'mempool-merge-with-kres'

contrib/ucw/mempool: remove mp_alloc_noalign

contrib/ucw/mempool: unify size types to size_t

contrib/ucw/mempool: add valgrind directives

contrib: add optional Valgrind Memcheck macros

contrib/ucw/mempool: include chunk metadata in requested size

Originally, the requested chunk size was enlarged by the size of its metadata (~16 B)
and then in mmap version of mempools it was rounded up to the page size.
As the requested size itself is usually rounded to whole pages,
the chunk size was roughly by one page larger than expected;
still the whole space could have been used by mempools.

In non-mmap version (not used here), the effect might have been even worse,
as the rounding may be involved on the allocator level
and so the excessive memory cannot be used by mempools.

Now, usable size of chunks is a little smaller than requested,
but allocated area size corresponds to what was requested.

contrib/ucw/mempool: add mp_shrink and mention missing parts

contrib/ucw/mempool: nits

contrib/ucw/mempool: add chunk to pool reference in debug mode

contrib/ucw/mempool: adjust license

contrib/ucw/mempool: extend mp_stats with used_size

It was introduced in a newer upstream version
and can be useful for calculating mempool overhead
as (total_size - used_size);
though it's not currently used even in kres.

contrib/ucw/mempools: remove unused *_zero methods

contrib/ucw/mempool: unify types with kres

Knot.files: update

libknot/QUIC: proper timeout value for client conns...

...mostly needed for proper sweep function in kxdpgun

Merge branch 'ctl_unset_ttl' into 'master'

ctl: use current TTL for zone-unset

See merge request knot/knot-dns!1890

ctl: use current TTL for zone-unset

Merge branch 'quic_errcrypto_close' into 'master'

quic: close connection on TLS handshake failure (bis)

See merge request knot/knot-dns!1889

libknot/QUIC: improved error reporting when closing conn

libknot/QUIC: simplify sending close when TSL handshake failed

libknot/QUIC: refactoring: remove conn from table in send_special after sending excessiveLOADclosing pkt

libknot/QUIC: refactoring: remove conn from table in send_special after sending closing pkt

quic: close connection on TLS handshake failure

Close connection on NGTCP2_ERR_CRYPTO from ngtcp2_conn_read_pkt) instead
of silently discarding the packet.
Fixes timeout issues for clients failing TLS handshake (for e.g. ALPN
mismatch or certificate algorithm mismatch)

Merge branch 'xdp_tcp_mtu' into 'master'

xdp: add missing Ethernet header in socket->frame_limit calculation from MTU

See merge request knot/knot-dns!1888

xdp: add missing Ethernet header in socket->frame_limit calculation from MTU

Merge branch 'rrset_static' into 'master'

Rrset static

See merge request knot/knot-dns!1887

zone/offline expiry: improve log message

knot: use knot_rrset_static() where appropriate

libknot: helpers for static init of single-RR RRsets

libknot: add support for EDE code 33 (Negative Trust Anchor)

Let users know what a resolver returned an insecure answer, when an NTA
is in effect.

IANA has already assigned an Extended DNS Error INFO-CODE 33 "Negative Trust Anchor"

Link: https://datatracker.ietf.org/doc/draft-farrokhi-dnsop-ede-nta/

tls: don't call gnutls_subject_alt_names_deinit() with the NULL argument

ctl: don't log interrupted poll() as warning during shutdown

libknot: add KNOT_EINTR (EINTR equivalent) error code

ctl: log failed accept if not a timeout

server: log error if a worker initialization fails

libngtcp2: update embedded library to v1.24.0

Merge branch 'events_ctl_improve' into 'master'

zone/events+ctl: refactoring: forced/user and more are now event flags/param

See merge request knot/knot-dns!1885

zone/events+ctl: refactoring: forced/user and more are now event flags/param

Merge branch 'keymgr_trash_bin' into 'master'

"trash bin" for removed DNSSEC keys

See merge request knot/knot-dns!1881

conf: fix a comment typo

doc/operation: describe the zone removal procedure

doc/operation: describe cleanup of removed legacy DNSSEC keys

tests-extra: add a new test dnssec/trash_bin

For full testing, this test requires knotd binary built with
the following option:

   ./configure --with-gc-interval=30 ...

For good testing of the "trash bin" functionality, this option is
encouraged for all tests! There are no adverse side effects.

tests-extra: dnssec/purge_keys -- update to "trash bin" use and current '+keys' purging

tests-extra: add fatal parameter to isset() and compare()

kasp: policy-dependant default for trash-delay

purge: when purging keys, use the "trash bin" instead of delete

dnssec: use incomplete DNSSEC context for orphan keys

dnssec: refactor kdnssec_ctx_deinit()

doc/operation: DNSSEC key delete and recovery (the "trash bin" feature)

keymgr: in 'trash-list', display stored key tag instead of calculating it

keymgr: add the 'import-trash' command

dnssec: modify kdnssec_load_private() to provide ksk_only flag of the keystore

kaspdb: in kasp_db_list_keys(), allow listing of a specified key_id only

kasp: use "-" as a name of the default keystore rather than NULL

conf: disallow leading dash in keystore name

keymgr: refactor, make PEM key file import/copy a separate function

key-events: run key trash garbage collector in DNSSEC event handler when it's time

kaspdb: remove an unused definition

kaspdb: trash/garbage collector function for regular waste management of the "trash bin"

zone-keys: in kdnssec_delete_from_keystores(), allow turning off error logging

keymgr: add the 'trash-discard' command

keymgr: in 'trash-list' command output, highlight all keys (trash keys) by underscoring

keymgr: add the 'trash-list' command

keymgr: refactor -- read time-format parameter in a function

keymgr: refactor -- unify key printing functions parameters

keymgr: in extended and JSON listing, print the default keystore too

dnssec: allow params2dnskey() to be used with incomplete (i.e. trash) keys

keymgr: use variable names that are easier to understand

Also, make the sorted data more universal with (void *) payload.

kaspdb: list keys in the "trash bin"

kaspdb: fix memory leaks

kaspdb: fix a possible NULL pointer dereference

kaspdb: add cur_key_dname() function

Merge branch 'fix_contents_rwlock_init' into 'master'

Fix contents rwlock init

See merge request knot/knot-dns!1884

contents: refactoring to remove duplicate deinits