Prefer the libressl API from when it was available

Use OpenSSL 1.1 API to access DSA and RSA internals

In LibreSSL 3.5, DSA and RSA internals will become opaque, so they can
no longer be accessed directly and the libunbound build will break. The
required API, DSA_set0_pqg(), DSA_set0_key() as well as RSA_set0_key(),
has been available since LibreSSL 2.7, so this change should not affect
any users.

From Theo Buehler.

- Fix prematurely terminated TCP queries when a reply has the same ID.

Changelog note for #600
- Merge #600 from pemensik: Change file mode before changing file
  owner.

Merge pull request #600 from InfrastructureServices/remote-unix-chmod

Change file mode before changing file owner

Change file mode before changing file owner

Change mode first when configuring remote control unix socket. Some
security systems might strip capability of changing other user's system
even to process with effective uid 0. That is done on Fedora by SELinux
policy and systemd for example. SELinux audit then shows errors, because
unbound tries modifying permissions of not own file. Fix just by mode
change as first step, make it owned by unbound:unbound user as the last
step only.

Related: rhbz#1905441

Update documentation links

- Fix for #596: Fix rpz-signal-nxdomain-ra to work for clientip
  triggered operation.

- Fix #598: Fix unbound-checkconf fatal error: module conf
  'respip dns64 validator iterator' is not known to work.

- Fix for #596: add unit test for nsip trigger and signal unset RA.

- Fix for #596: add unit test for nsdname trigger and signal unset RA.

- Fix unit tests for rpz now that the AA flag returns successfully from
  the iterator loop.

- Fix for #596: fix that rpz return message is returned and not just
  the rcode from the iterator return path. This fixes signal unset RA
  after a CNAME.

- Fix that RPZ does not set RD flag on replies, it should be copied
  from the query.

- Fix #596: only unset RA when NXDOMAIN is signalled.

- Fix to add test for rpz-signal-nxdomain-ra.

- Fix #596: unset the RA bit when a query is blocked by an unbound
  RPZ nxdomain reply. The option rpz-signal-nxdomain-ra allows to
  signal that a domain is externally blocked to clients when it
  is blocked with NXDOMAIN by unsetting RA.

- contrib/aaaa-filter-iterator.patch file renewed diff content to
  apply cleanly to the current coderepo for the current code version.

- Fix #591: Unbound-anchor manpage links to non-existent license file.

- Add missing configure flags for optional features in the
  documentation.
- Fix Unbound capitalization in the documentation.

- Fix to pick up other class local zone information before unlock.

- Allow local-data for classes other than IN to inherit a configured
  local-zone's type if possible, instead of defaulting to type
  transparent as per the implicit rule.

- Add code similar to fix for ldns for tab between strings, for
  consistency, the test case was not broken.

Continue with version 1.14.1

- Fix validator debug output about DS support, print correct algorithm.

Changelog note for #581

Merge pull request #581 from fobser/warnings

Fix -Wmissing-prototypes and -Wshadow warnings in rpz

Fix -Wshadow

Fix -Wmissing-prototypes by declaring functions static.

- Fix compile warning for if_nametoindex on windows 64bit.

- Fix doc/unbound.doxygen to remove obsolete tag warning.

- configure is set to 1.14.0, and release branch.

- Fix #574: Review fixes for size allocation.

- Fix #454: listen_dnsport.c:825: error: ‘IPV6_TCLASS’ undeclared.

Changelog note for #530:
    - Merge PR #530 from Shchelk: Fix: dereferencing a null pointer.

Merge pull request #530 from Shchelk/bugfix

Fix: dereferencing a null pointer

Changelog note for #522:
    - Merge PR #522 from sibeream: memory management violations fixed.

Merge pull request #522 from sibeream/net_help_RESOURCE_LEAK

- memory management violations fixed

Changelog note for #562:
    - Merge PR #562 from Willem: Reset keepalive per new tcp session.

Merge pull request #562 from NLnetLabs/bugfix/reset-keepalive-per-tcp-session

Reset keepalive per new tcp session

Changelog note for #555:
    - Merge PR #555 from fobser: Allow interface names as scope-id in
      IPv6 link-local addresses.

Merge pull request #555 from fobser/if_nametoindex

Allow interface names as scope-id in IPv6 link-local addresses.

Changelog note for #493:
    - Merge PR #493 from Jaap: Fix generation of libunbound.pc.

Merge branch 'master' of github.com:NLnetLabs/unbound

Merge pull request #493 from NLnetLabs/patch-configure

Fix generation of libunbound.pc

Changelog note for #511:
    - Merge PR #511 from yan12125: Reduce unnecessary linking.

Merge pull request #511 from yan12125/python-linking

- Reduce unnecessary linking

- iana portlist update.

- Fix to remove git tracking and ci information from release tarballs.

- Fix #574: Review fix for spelling.

- Fix #576: [FR] UB_* error codes in unbound.h

- Fix #574: Review fixes for it.

- Fix #574: Review fixes for it.

- Fix #574: unbound-checkconf reports fatal error if interface names
  are used as value for interfaces:

- Fix to make python module opt_list use opt_list_in.

- Fix for #570: regen aclocal.m4, fix configure.ac for spelling.

Merge pull request #570 from rex4539/typos

Fix typos

Document PR #563 to changelog

Merge pull request #563 from NLnetLabs/bugfix/general-edns-options3

Better positioning of general EDNS option handling: revisited V2

Clarify KEEPALIVE EDNS0 option operation

Make explicit whether edns options are parsed from queries or responses

add missing return code

Remove wrongly added EDE comments

Co-authored-by: Wouter Wijngaards <wcawijngaards@users.noreply.github.com>

Fix typos

Update util/data/msgparse.c

Co-authored-by: gthess <george@nlnetlabs.nl>

add potential EDE spots

complete renaming of the modules edns list

Apply suggestions from code review

Co-authored-by: Willem Toorop <willem@nlnetlabs.nl>

Changelog note for #565
- Merge #565: unbound.service.in: Disable ProtectKernelTunables again.

Merge pull request #565 from Maryse47/patch-1

unbound.service.in: Disable ProtectKernelTunables again

- Fix to remove unused code from rpz resolve client and action
  function.

- Fix analyzer review failure in rpz action override code to not
  crash on unlocking the local zone lock.

- Fix for #558: clear the UB_EV_TIMEOUT bit before adding an event.

- Fix for #558: fix loop in comm_point->tcp_free when a comm_point is reclaimed
  more than once during callbacks.

- Fix that forward-zone name is documented as the full name of the
  zone. It is not relative but a fully qualified domain name.

Disable ProtectKernelTunables again

This option was removed in https://github.com/NLnetLabs/unbound/commit/ff8fd0be5c529e7a1b84e8c74426e9c531c0a8f8 but reintroduced in https://github.com/NLnetLabs/unbound/commit/c32b9e4ba95983146eac805719db720f02a64358

Disable it with commentary in hope to prevent slipping it in again.

- Fix #552: Unbound assumes index.html exists on RPZ host.

Reset keepalive per new tcp session

Fix keepalive logic

Move option handling to parse-time

split edns_data.opt_list in opt_list_in and opt_list_out

opt_list_in for parsed (incoming) edns options, and
opt_list_out for outgoing (to be encoded) edns options

Remove apply_edns_options from worker and mesh...

to be returned in message encoding later...

Outgoing module options go to opt_list_modules_out

And opt_list_modules_out is reset in case of failure
BEWARE! No options from modules will be encoded in the responses now!

Modules have their own outgoing ends options list

But nothing happens with it yet

Allow interface names as scope-id in IPv6 link-local addresses.

For example, this makes
forward-zone:
    name: "."
    forward-addr: fe80::20d:b9ff:fe46:c7f4%vio0
    forward-first: yes

work instead of fe80::20d:b9ff:fe46:c7f4%1.

- Fix to protect custom regional create against small values.

- Fix chaos replies to have truncation for short message lengths,
  or long reply strings.

- Fix to add example.conf note for outbound-msg-retry.

- Implement RFC8375: Special-Use Domain 'home.arpa.'.

- Fix crosscompile script for the shared build flags.

- Fix crosscompile windows to use libssp when it exists.
- For the windows compile script disable gost.
- Fix that on windows, use BIO_set_callback_ex instead of deprecated

- Fix crosscompile shell syntax.

- For crosscompile on windows, detect 64bit stackprotector library.

- Fix crosscompile on windows to work with openssl 3.0.0 the
  link with ws2_32 needs -l:libssp.a for __strcpy_chk.
  Also copy results from lib64 directory if needed.

- Fix more initialisation errors reported by gcc sanitizer.

- Fix lock debug code for gcc sanitizer reports.

- Fix initialisation errors reported by gcc sanitizer.

- Fix root_anchor test to check with new icannbundle date.

- Fix for #41: change outbound retry to int to fix signed comparison
  warnings.

- Small fixes for #41: changelog, conflicts resolved,
  processQueryResponse takes an iterator env argument like other
  functions in the iterator, no colon in string for set_option,
  and some whitespace style, to make it similar to the rest.