DS push: fix removing DS rrset

dnssec: mute clang analyzer

dnssec: log keytag if rollover action failed

contrib: update LMDB to 0.9.24

Merge branch 'ci-distrotests-update' into 'master'

ci: distrotests update

See merge request knot/knot-dns!1089

distro/tests: add ubuntu1910

distro/tests: use fedora31

distro/tests: use generic/opensuse15 box

distro/tests: make ansible debug output readable

Merge branch 'glue_auth_fixes' into 'master'

Glue auth fixes

See merge request knot/knot-dns!1088

adjust additionals: also changed nodes that aren't referenced by adds_reverse_tree

nsec/3: adjust also unchanged node's flags as they might become auth

knot_rdataset_copy(): allow NULL source rdata if empty

Fixup for bb0d2fb501158763f2fc417ffa902cea5b82695c

knot_rdataset_copy(): mute Clang analyzer

knot_rdataset_add(): optimizing nitpicks

We avoid unnecessary seeking over the RRset.

knot_rdataset_add(): optimize a bit

(while trying to keep diff small)

zone: don't log disabled flush when server shutdown or full zonedb reload

Merge branch 'fix_adjust_resalt' into 'master'

bugfix adjust: nsec3pointer and nsec3wildcard when nsec3param changed

See merge request knot/knot-dns!1087

bugfix adjust: nsec3pointer and nsec3wildcard when nsec3param changed

Merge branch 'kdig_ocsp'

utils: some OCSP code refactoring

kdig: rename +[no]require-stapled +[no]tls-ocsp-stapling[=H]

utils: unify coding style of the OCSP code

Add support for requiring a valid stapled OCSP response for the server certificate when connecting via TLS.

tests: mute Clang 8 warnings

doc: update man page for knotc

doc: extend knotc zone-flush description

bugfix: only mark modified nodes as safely signed...

this doesn't mean that the unchanged nodes aren't
safely checked for signatures;
we just avoid necessity to unify the nodes
with only the RRSIGS_VALID flag changed

ctl: protect zone flush to specified directory with an RCU lock

nsec3params: zero flag shall be considered valid with opt-out

Merge branch 'nsec3_salt_check' into 'master'

nsec3: re-sign whole zone if salt changed

See merge request knot/knot-dns!1086

nsec3: re-sign whole zone if salt changed

nsec3-chain: update function description

nsec3-chain: code cleanup

zone-update: remove redundant memory context

zone update: warn if blocked by ctl zone transaction

zone update: don't touch ctl transaction...

...it's blocked by COW lock anyway
...and it might lead to deadlock or memory corruption

bugfix: semaphore: re-wait at semaphore if interrupted by signal

Merge branch 'fix_update_old_contents' into 'master'

zone_update: don't work with zone->contents ptr before other zone_update finished

See merge request knot/knot-dns!1082

zone_update: don't work with zone->contents ptr before other zone_update finished

kdig: always randomize source port for TCP

fixes #575

notify,xfr: unify log messages

nsec: remove unused function parameter

refresh: fix bootstrap detection for initial serial logging

tests-extra: switch to new config option names

conf: adjust the 0 (infinite) timeout value of tcp-io-timeout, tcp-remote-io-timeout

Merge branch 'journal_serial_loop' into 'master'

Journal serial loop

See merge request knot/knot-dns!1079

load: don't continue if zone-in-journal load errors

journal: warning instead of infloop on changeset X->X

...such changeset must not appear in journal, but well it might...

load: ignore DNSSEC records in the remove section of journal changesets

This can happen if 'zonefile-load: difference' and 'dnssec-signing: on` are
configured and the server tries to apply such a changeset on unsigned zone file.

Compatibility with journal versions < 2.9.

fixes #659

doc: add info about RRL and Cookies configuration order

Merge branch 'rpm-epel8-compat' into 'master'

distro/rpm: make spec EPEL8 compatible

See merge request knot/knot-dns!1080

distro/rpm: make spec EPEL8 compatible

doc: update man pages

ds-push: mute log 'debug: config, conf_id_get_txn (invalid parameter)'

doc/dnstap: remove a dead link to Bugzilla at nlnetlabs.nl

An important comment from the page that has been removed from the web:

-----------------------------------------------------------------------------------------------------
From the following page (Bugzilla at NLnet Labs), which isn't available anymore.
https://www.nlnetlabs.nl/bugs-script/show_bug.cgi?format=multiple&id=741.
-----------------------------------------------------------------------------------------------------

Bug 741

[...]

   Comment 10 Robert Edmonds 2016-01-27 17:15:04 CET
Hi, Igor:

The dnstap code in the DNS server (like Unbound), functions as a client rather than a server. It
needs a server on the other end of the socket to accept connections. I did it this way instead of
the other way around so that a single socket could be used to accept messages from several dnstap
senders. This is similar to how a syslog daemon listens for log messages from multiple processes at
a well-known AF_UNIX socket like /dev/log.

The server has to handshake with the client so that the client knows it is connected to the right
kind of server before it will begin sending frames. You cannot use mkfifo because the connection is
not a named pipe, and unless you can send the binary sequences used for the handshake frames I doubt
socat will work that well either.

If the AF_UNIX socket is not present, or the connection fails somehow, the connection will
automatically be reattempted, no often than every 5 seconds. (This is the default, but can be
changed with fstrm_iothr_options_set_reopen_interval(), though the Unbound dnstap implementation
just uses the default and doesn't expose this as a configuration knob.)

In the fstrm distribution is a utility called fstrm_capture that can be used to serve a capture
socket (it uses libevent and can multiplex traffic from multiple connected clients). Usage looks
like:

"fstrm_capture -t protobuf:dnstap.Dnstap -u /tmp/dnstap.sock -w /tmp/dnstap.out -ddddd"

Run this command before you start Unbound, otherwise if you start it after Unbound you may need to
send queries to the Unbound server (to force data into the fstrm queue) and wait for the reopen
interval to expire before Unbound attempts to reconnect.

This will listen on /tmp/dnstap.sock for connections of type "protobuf:dnstap.Dnstap" (the type used
by dnstap) and write the output to /tmp/dnstap.out. "-ddddd" will produce very high verbosity trace
output.

There is some more relevant info to setting up Unbound and dnstap in the comment on this bug report,
when dnstap was originally integrated into Unbound:
https://open.nlnetlabs.nl/bugs-script/show_bug.cgi?id=621#c1.
(The step #5 is obsolete now, since the dnstap patch is in the mainline source tree.)

There was also a very nice webinar produced last month by Carsten Strotmann and Men and Mice that
covers using dnstap with Unbound and a few other servers, available here:

https://www.menandmice.com/resources/educational-resources/webinars/dnstap-webinar/

Hope this helps!

-----------------------------------------------------------------------------------------------------

doc: make some links to utilities

kdig: fix compile warning

Bump version 3.0.dev

doc: add migration from 2.8.x to 2.9.x

NEWS: update to 2.9.0

rrl: log both trigger source address and affected subnet

server: don't deinit other interfaces if one failed to create

server: don't assert if empty interface list

conf: rename max_*/min_* zone items

conf: rename 'max*_udp_payload' 'udp_max*_payload'

conf: rename 'server.max-tcp-clients' 'server.tcp-max-clients'

distro/rpm: update patch for test_net

tests-extra: move tcp-reuseport to basic/nsec(3)

distro/knot.service: add/increase LimitNOFILE to 1048576

distro/tests: remove files for openSUSE_Tumbleweed

'make dist' complained of "file name is too long (max 99)"

keymgr: cast pointer difference to proper type (lgtm.com)

geoip: cast pointer difference to proper type (lgtm.com)

tcp-handler: pass pointer instead of sockaddr_storage copy to tcp_log_error (lgtm.com)

doxygen: don't use logo as it's too big anyway

tests-extra: enable tcp-reusport in basic/query test, which consists of basic queries only

conf: disable tcp-reuseport by default

tests: mute some Coverity warnings

Unify character array initialization

contrib: replace 'struct sockaddr' with 'struct sockaddr_storage' where reasonable

Revert "tcp-handler: remove redundant while condition"

The condition is not redundant as 'nfds' is not always decremented.

This reverts commit dd936d0ea34e8e95dadc0ed9dc186078723fb121.

contrib: multiplatform spinlocks

src: remove useless initialization of WALK_LIST* counters

tcp-handler: don't accept more clients than configured

tcp-handler: remove redundant while condition

tcp-handler: refactor TCP throttling calculation and make it work according to the docs

(The throttling should occur when clients > max-tcp-clients, not >= ).

server: avoid repeated warnings and unify warn_* variables

server: remove useless initialization

server: free unused memory before return

server: improve return checks in configure_sockets

server: unify return values from reconfigure functions

server: remove useless memsets, which can also be optimized out

server: emit info about reuseport use to the log

doc: document the use of the server.tcp-reuseport option

server: enable setting of TCP reuseport via server.tcp-reuseport option

conf, server: add server.tcp-reuseport configuration option

server: reuseport implementation for TCP protocol

Based on work from @jhak with a fix and updated to the current code.

Merge branch 'doc_policy_ref' into 'master'

doc: better describe references and defaults

See merge request knot/knot-dns!1077

server: add info log about loaded configuration

doc: better describe references and defaults