Merge branch 'jitters' into 'master'

implemented optional jitter for DNSSEC and XFR events

See merge request knot/knot-dns!1883

tests/jitter: also check some rrsig-refresh limits handling

dnssec: fix and unify policy defaults, improve configuration checks

conf: change 'rrsig-pre-refresh' default to 0.005 * 'policy_rrsig-lifetime'

conf: fix alternative default for 'rrsig-refresh' (was added to bad option)

conf: add percent support to 'dnssec-jitter' and 'refresh-jitter'

yparser: add percent unit support to YP_INT

ypschema: introduce YP_INT_MAX and YP_INT_MIN constants

yptrafo: fix adding units to negative numbers

refresh-jitter: affects only SOA timer, not NOTIFY in/out

implemented optional jitter for DNSSEC and XFR events

Merge branch 'keymgr_bench_impr' into 'master'

keymgr: don't generate a key for each bechmarking thread, share one instead

See merge request knot/knot-dns!1896

Merge branch 'ddns_log' into 'master'

ddns: add debug log with unsatisfied prerequisite

See merge request knot/knot-dns!1899

tests-extra: call keymgr keystore test and benchmark on softhsm

keymgr: add filtering by algorithm to keystore-bench

keymgr: don't generate a key for each bechmarking thread, share one instead

test/ddns/prereq: cases for multi-RR RRset

test/ddns/prereq: cases for SOA in prereq

ddns: add debug log with unsatisfied prerequisite

error: simplify message for KNOT_EPREREQ

ddns: don't prepare parameters for debug logging if debug not enabled

Merge branch 'via_bind_to_device' into 'master'

remote: bind outbound connections to a device via 'via' address

Closes #977

See merge request knot/knot-dns!1898

tests: cover device keying in conn_pool and the unreachable cache

Neither had a test that would catch a broken device comparison -- only
the mechanical signature updates from wiring 'dev' through. Add
contrib/test_conn_pool exercising conn_pool_get()/put() with distinct
devices for the same address pair, and extend test_unreachable with an
equivalent case.

Verified each new assertion actually fails when the corresponding
strcmp(dev, ...) check is removed, and passes again once restored.

Assisted-By: Claude Sonnet 5 <noreply@anthropic.com>

tests: cover conf_remote_t via_dev parsing

Exercises the case that motivated resetting via_dev between candidates
in conf_remote_txn(): a remote whose second address matches a 'via'
without a device after a first address matched one with a device.

Assisted-By: Claude Sonnet 5 <noreply@anthropic.com>

requestor: key the unreachable-remote cache on the outgoing device too

knot_unreachable_is()/knot_unreachable_add() were keyed on remote+via
address only. A connection failure scoped to one 'via' device could
therefore mark a remote unreachable for a different request to the
same address using a different device.

Assisted-By: Claude Sonnet 5 <noreply@anthropic.com>

net: key the TCP connection pool on the outgoing device too

The pool was keyed on source/destination address only, so a pooled
connection could be handed to a request wanting a different 'via'
device even with identical addresses. Key on the bound device as well,
and thread it through requestor.c, tls-requestor.c, quic-requestor.c,
and hiredis.c (the latter two pass NULL, having no device concept).

Assisted-By: Claude Sonnet 5 <noreply@anthropic.com>

remote: bind outgoing connections to a device via 'via' address

The 'via' remote source address already accepted the '%interface'
wildcard-binding syntax used by 'listen', but the parsed device name
was discarded and never reached the outgoing socket. Thread it through
conf_remote_t -> knot_request_t -> net_connected_socket() so
SO_BINDTODEVICE is applied to sockets used for NOTIFY, AXFR/IXFR, and
other outgoing requests, not just listening sockets.

Assisted-By: Claude Sonnet 5 <noreply@anthropic.com>

Merge branch 'ci-fedora-update' into 'master'

CI: update Fedora versions

See merge request knot/knot-dns!1897

CI: update Fedora versions

doc/operation: update the zone removal procedure to a better solution

lmdb: don't try migration with version 0.x

distro: replace legacy secure.nic.cz URLs with knot-dns.nic.cz

Merge branch 'keymgr_adt' into 'master'

Keymgr adt

See merge request knot/knot-dns!1894

keymgr: print ADT bit when listing keys

keymgr: allow un/setting ADT bit

Merge branch 'man_regenerate' into 'master'

Store unsubstituted variables in man pages in the tarball

See merge request knot/knot-dns!1895

libngtcp2: update embedded library to v1.25.0

Merge branch 'lmdb_migration' into 'master'

Automatic LMDB migration from 0.9 to 1.x version

See merge request knot/knot-dns!1892

mdb_dump/load: comments explaining not/including emb_prefix.h

man: store unsubstituted variables in the tarball, expand them during installation

man/knotd: mention SIGTERM as a handled signal

doc/operation: mention automatic zone purge of removed catalog members

doc/operation: fix a typo

doc/reference: add a hyperlink

mdb_load: make the function thread-safe

lmdb migration: move just data+lock.mdb instead of whole dir...

...because KASP DB dir contains also privkeys and TLSkey
...and users can have more junk in there

knot: add automatic LMDB migration from version 0.9

libs: transform mdb_dump and mdb_load to functions

tests: remove explicit #include <config.h>

configure: add quotes to test expression where missing

contrib: add mdb_load from LMDB 1.0.0

contrib: add mdb_dump from LMDB 0.9.35

contrib: add embedded LMDB 0.9.35

This helps with:
- database migration to LMDB 1.x
- occasional debugging

libknot/db: add workaround for  mdb_drop() version 1.0.0 in lmdb.clear()

This fixes compatibility with LMDB 1.0.0, where mdb_drop() cannot be followed
by further additions within the same transaction. Otherwise, mdb_commit() fails
with "MDB_BAD_TXN: Transaction must abort, has a child, or is invalid".

Merge branch 'acl_fixes' into 'master'

ACL config checks

See merge request knot/security/knot-dns!3

Merge branch 'ddns_0rtt' into 'master'

requestor/QUIC: avoid 0-RTT when forwarding DDNS...

See merge request knot/security/knot-dns!2

conf: improve error messages in check_remote()

Merge branch 'acl_fixes' into 'master'

ACL fixes

See merge request knot/security/knot-dns!1

doc: DDNSoQ incl warning against 0-RTT from clients

conf: update 'acl.remote' conflict check

acl: refactor check_proto() and call it before cert_check()

tests: DDNS forwarding over QUIC incl not using 0-RTT

tls_common: add check for empty session to knot_tls_cert_check_hostnames()

requestor/QUIC: avoid 0-RTT when forwarding DDNS...

...0-RTT for DDNSoQ is discouraged due to replay attacks

acl: add check for empty tls_session to cert_check()

DDNS/forwarding: verbose logging incl. addr and proto

distro/deb: align copyright with new release

distro/deb: use watch v5

distro/deb: set Standards-Version to 4.7.4

distro/deb: add procps dependency to knot-exporter

distro/deb: add 'Multi-Arch: same' to libraries

Merge branch 'last_signed_serial_conf' into 'master'

KASP/timers: configurable storage of last signed serial

See merge request knot/knot-dns!1891

KASP/timers: configurable storage of last signed serial

tests-extra: increase robustness of catalog/generate_reconf

Merge branch 'tcp_id' into 'master'

TCP thread id fix, refactoring

See merge request knot/knot-dns!1893

handlers: replace strerror() with knot_strerror()

udp-handler: use dthread indexing for XDP threads, unify with tcp-handler

tcp-handler: fix TCP socket indexing if TLS and TCP reuseport configured

tests-extra: improve bind_version() to accept newer extended string

Merge branch 'mempool-merge-with-kres'

contrib/ucw/mempool: remove mp_alloc_noalign

contrib/ucw/mempool: unify size types to size_t

contrib/ucw/mempool: add valgrind directives

contrib: add optional Valgrind Memcheck macros

contrib/ucw/mempool: include chunk metadata in requested size

Originally, the requested chunk size was enlarged by the size of its metadata (~16 B)
and then in mmap version of mempools it was rounded up to the page size.
As the requested size itself is usually rounded to whole pages,
the chunk size was roughly by one page larger than expected;
still the whole space could have been used by mempools.

In non-mmap version (not used here), the effect might have been even worse,
as the rounding may be involved on the allocator level
and so the excessive memory cannot be used by mempools.

Now, usable size of chunks is a little smaller than requested,
but allocated area size corresponds to what was requested.

contrib/ucw/mempool: add mp_shrink and mention missing parts

contrib/ucw/mempool: nits

contrib/ucw/mempool: add chunk to pool reference in debug mode

contrib/ucw/mempool: adjust license

contrib/ucw/mempool: extend mp_stats with used_size

It was introduced in a newer upstream version
and can be useful for calculating mempool overhead
as (total_size - used_size);
though it's not currently used even in kres.

contrib/ucw/mempools: remove unused *_zero methods

contrib/ucw/mempool: unify types with kres

Knot.files: update

libknot/QUIC: proper timeout value for client conns...

...mostly needed for proper sweep function in kxdpgun

Merge branch 'ctl_unset_ttl' into 'master'

ctl: use current TTL for zone-unset

See merge request knot/knot-dns!1890

ctl: use current TTL for zone-unset

Merge branch 'quic_errcrypto_close' into 'master'

quic: close connection on TLS handshake failure (bis)

See merge request knot/knot-dns!1889

libknot/QUIC: improved error reporting when closing conn

libknot/QUIC: simplify sending close when TSL handshake failed

libknot/QUIC: refactoring: remove conn from table in send_special after sending excessiveLOADclosing pkt