DoH: reject non-h2 early

Previously, non-h2 connections would be accepted, and then error out
with a verbose message "http2: session_recv from ____ failed,
error: Received bad client magic byte string". Instead, we can detect
absence of h2 support at connection time and reject with a clearer
verbose message.

Fixup doc/Changelog.

- Fix root_zonemd unit test, it checks that the root ZONEMD verifies,
  now that the root has a valid ZONEMD.

- Merge PR #973: Use the origin (DNAME) TTL for synthesized CNAMEs as per RFC 6672.

Changelog note for #975
- Merge #975: Fixed some syntax errors in rpl files.

Merge pull request #975 from NLnetLabs/testdata-syntax

Fixed some syntax errors in rpl files.

Fixed some syntax errors in rpl files.

- Fix #974: doc: default number of outgoing ports without libevent.

- Use the origin (DNAME) TTL for syntesized CNAMEs as per RFC 6672.

- Fix tests to use new common.sh functions, wait_logfile and
  kill_from_pidfile.

- Update test script file common.sh.

- Updated IPv4 and IPv6 address for b.root-servers.net in root hints.

- iana portlist update.

- Fix to sync the tests script file common.sh.

- Fix dnstap that assertion failed on logging other than UDP and TCP
  traffic. It lists it as TCP traffic.

- Fix #969: [FR] distinguish Do53, DoT and DoH in the logs.

Changelog note for #971
- Merge #971: fix 'WARNING: Message has 41 extra bytes at end'.

Merge pull request #971 from dukeartem/master

fix 'WARNING: Message has 41 extra bytes at end'

fix 'WARNING: Message has 41 extra bytes at end'

- Merge #968: Replace the obsolescent fgrep with grep -F in tests.

- Fix #964: config.h.in~ backup file in release tar balls.

- Replace the obsolescent fgrep with grep -F in tests.

- Use 127.0.0.1 explicitly in tests to avoid delays and errors on newer
  systems.

- Fix unit test parse of origin syntax.

- The repository continues with 1.19.1.

- Set version number to 1.19.0.
- Tag for 1.19.0rc1 release.

- Fix compilation without openssl, remove unused function warning.

- Fix SSL compile failure for other missing definitions in
  log_crypto_err_io_code_arg.

- Fix SSL compile failure for definition in log_crypto_err_io_code_arg.

- Mention flex and bison in README.md when building from repository
  source.

- Fix #941: dnscrypt doesn't work after upgrade to 1.18 with
  suggestion by dukeartem to also fix the udp_ancil with dnscrypt.

Changelog entry for #930
- Merge #930 from Stuart Henderson: add void to
  log_ident_revert_to_default declaration.

Merge pull request #930 from sthen/patch-1

add void to log_ident_revert_to_default declaration

- autoconf.

- Clearer configure text for missing protobuf-c development libraries.

Changelog entry for #951.
- Merge #951: Cachedb no store. The cachedb-no-store: yes option is
  used to stop cachedb from writing messages to the backend storage.
  It reads messages when data is available from the backend. The
  default is no.

Merge pull request #951 from NLnetLabs/cachedb-no-store

Cachedb no store

- Fix to print detailed errors when an SSL IO routine fails via
  SSL_get_error.

- Changelog entry for:
  Merge #955 from buevsan: fix ipset wrong behavior.
- Update testdata/ipset.tdir test for ipset fix.

Merge pull request #955 from buevsan/fix-ipset

fix ipset wrong behavior

- Update the dns64_lookup.rpl test for the DNS64 fallback patch.

- Changelog entry for DNS64 patches from Daniel Gröber.

Fixes for dns64 fallback to plain AAAA when no A records:
- Cleanup if condition.
- Rename variable for readability.

dns64: Fall back to plain AAAA query with synthall but no A records

Networks which only have tunneled IPv6 access but still want to go
IPv6-only internally can use unbound's DNS64 module together with the
dns64-synthall or dns64-ignore-aaaa options to direct most traffic (any
dualstack domain) to their NAT64.

There is only one problem with this setup, currently domains with only AAAA
records will fail to resolve.

To allow for this use-case arrange for the A sub-query to make the AAAA
super query advance along the module stack when no records are returned.

Signed-off-by: Daniel Gröber <dxld@darkboxed.org>

Fixes for dns64 readability refactoring:
- Move declarations to the top for C90 compliance.
- Save cycles by not calling (yet) unneeded functions.
- Possible use of uninitialised value.
- Consistent formatting.

dns64: Fix misleading indentation

Signed-off-by: Daniel Gröber <dxld@darkboxed.org>

dns64: Refactor handle_event checks for readability

No functional change intended.

Signed-off-by: Daniel Gröber <dxld@darkboxed.org>

fix ipset wrong behavior

  Issue description:

    If local zone directive is assigned as following:

      "local-zone domain.com ipset"

    then any answers for query with names such as
    "anytext1domain.com" or "example2domain.com"
    will be added to ipset.

  This commit fixes this issue.

- Fix #954: Inconsistent RPZ handling for A record returned along with
  CNAME.

- Update pymod tests for the new Python script variable.

- For multi Python module setups, clean previously parsed module
  functions in __main__'s dictionary, if any, so that only current
  module functions are registered.

- Expose the configured listening and outgoing interfaces, if any, as
  a list of strings in the Python 'config_file' class instead of the
  current Swig object proxy; fixes #79.

- Expose the script filename in the Python module environment 'mod_env'
  instead of the config_file structure which includes the linked list
  of scripts in a multi Python module setup; fixes #79.

- Better fix for infinite loop when reading multiple lines of input on
  a broken remote control socket, by treating a zero byte line the
  same as transmission end. Addesses #947 and #948.

Apply suggestions from code review

Co-authored-by: Yorgos Thessalonikefs <george@nlnetlabs.nl>

- cachedb-no-store, example conf and man page documentation.

Merge branch 'master' into cachedb-no-store

Changelog note for #944.
- Merge #944: Disable EDNS DO.
  Disable the EDNS DO flag in upstream requests. This can be helpful
  for devices that cannot handle DNSSEC information. But it should not
  be enabled otherwise, because that would stop DNSSEC validation. The
  DNSSEC validation would not work for Unbound itself, and also not
  for downstream users. Default is no. The option
  is disable-edns-do: no

Merge pull request #944 from NLnetLabs/disable-edns-do

Disable EDNS DO

Merge branch 'master' into cachedb-no-store

- Fix for #949: Fix pythonmod/ubmodule-tst.py for Python 3.x.

- Fix that cachedb does not warn when serve-expired is disabled about
  use of serve-expired-reply-ttl and serve-expired-client-timeout.

- cachedb-no-store, unit test cachedb_no_store.tdir.

- Fix #949: "could not create control compt".

- Fix #850: [FR] Ability to use specific database in Redis, with new
  redis-logical-db configuration option.

- Fix infinite loop when reading multiple lines of input on a broken
  remote control socket. Addesses #947 and #948.

- Fix that printout of EDNS options shows the EDNS cookie option by
  name.

- Fix edns subnet so that queries with a source prefix of zero cause
  the recursor send no edns subnet option to the upstream.

Update doc/unbound.conf.5.in

Co-authored-by: Yorgos Thessalonikefs <george@nlnetlabs.nl>

Update validator/validator.c

Co-authored-by: Yorgos Thessalonikefs <george@nlnetlabs.nl>

- cachedb-no-store, implement `cachedb-no-store: yes` configuration option.

Merge branch 'master' into disable-edns-do

- disable-edns-do, validator init prints warning when disable-edns-do is
  turned on, but there are trust anchors, and then turns off disable-edns-do.

- Fix #946: Forwarder returns servfail on upstream response noerror no
  data.

- disable-edns-do, unbound-checkconf warns about disable-edns-do and DNSSEC
  validation that is enabled, and suggests to turn one off.

- disable-edns-do, queriers receive no EDNS in response if the
  disable-edns-do option is enabled and they set the DO flag. And unit test
  for that.

Merge branch 'master' into disable-edns-do

- Merge #881: Generalise the proxy protocol code.

- Fix misplaced comment.

proxy-protocol, review comments:
- more generic switch statement for address families;
- comment the protocol values as such in their definitions;
- less hardcoded values for address family and protocol combinations.

root-zonemd-test, add test for ZONEMD usage from the root zone,
currently with the unsupported algorithm.

Merge branch 'master' into disable-edns-do

- Fix #942: 1.18.0 libunbound DNS regression when built without
  OpenSSL.

- disable-edns-do, unit test checks lookup without EDNS DO flag.

- disable-edns-do, the option turns of the EDNS DO flag when a message is
  sent from the iterator.

Merge branch 'master' into disable-edns-do

- Fix rpz tcp-only action with rpz triggers nsdname and nsip.

- Fix to remove two c99 notations.

Changelog note and autoconf for #936
- Merge #936: Check for c99 with autoconf versions prior to 2.70.

Merge pull request #936 from fobser/c99

Check for c99 with autoconf versions prior to 2.70

Check for c99 with autoconf versions prior to 2.70

- Fix authority zone answers for obscured DNAMEs and delegations.

- disable-edns-do, doc and add option disable-edns-do: no.

- Fix send of udp retries when ENOBUFS is returned. It stops looping
  and also waits for the condition to go away. Reported by Florian
  Obser.

Avoid calling comm_point_udp_ancil_callback from comm_point_create_udp

Fix #928 (1.18 doesn't start on macOS/SunOS)

- Fix to print EDE text in readable form in output logs.

- Fix to set ede match in unit test for rr length removal.
Changelog note.

- Fix to set ede match in unit test for rr length removal.

- Fix to add EDE text when RRs have been removed due to length.