- simdzone-zone-load, ci change.

- simdzone-zone-load, ci change to fix windows.

- simdzone-zone-load, ci change.

- simdzone-zone-load, ci change.

- simdzone-zone-load, ci change.

- simdzone-zone-load, ci change.

- simdzone-zone-load, ci change.

- simdzone-zone-load, ci change.

- simdzone-zone-load, ci change.

- simdzone-zone-load, ci change.

- simdzone-zone-load, ci change.

- simdzone-zone-load, ci change.

- simdzone-zone-load, ci change.

- simdzone-zone-load, ci change.

- simdzone-zone-load, ci change.

- simdzone-zone-load, ci change.

- simdzone-zone-load, ci change, bsd works, moving to windows.

- simdzone-zone-load, ci change.

- simdzone-zone-load, fix ci to include pkg-config to build configure,
  since that is used for scanning for some of the dependencies.

- simdzone-zone-load, ci change.

- simdzone-zone-load, ci change.

- simdzone-zone-load, ci change.

- simdzone-zone-load, ci change.

- simdzone-zone-load, ci change.

- simdzone-zone-load, ci change.

- simdzone-zone-load, fix ci with automakedir for windows and aclocal for bsd.

- simdzone-zone-load, fix ci, aclocal for windows, rm import file for bsd.

- simdzone-zone-load, fix ci, debug exclusions, lib path for automake
  for windows, automake version for openbsd, aclocal for freebsd, netbsd
  and openbsd.

- simdzone-zone-load, fix ci, debug exclusions, separate lib path for
  windows, aclocal and autoconf rerun for freebsd, openbsd, netbsd.

- simdzone-zone-load, fix ci, autoreconf on windows.

- simdzone-zone-load, fix for autoconf 2.72 and no Makefile in simdzone.

- simdzone-zone-load, fix ci, ignore working ones, autoreconf on windows,
  autoconf for freebsd, netbsd, openbsd.

- simdzone-zone-load, fix ci, ignore working ones, autoreconf for ios,
  noconfirm for pacman on windows, autoconf-archive on freebsd, netbsd,
  openbsd, on openbsd also set the AUTOMAKE_VERSION.

- simdzone-zone-load, fix ci, ignore working ones, install autotools for
  windows, install automake for aclocal for freebsd, openbsd, netbsd,
  install autoconf for macos.

- simdzone-zone-load, update simdzone version.

- simdzone-zone-load, fix makefile for disable-static build.

- simdzone-zone-load, add submodule to ci, and autoconf.

Merge branch 'master' into simdzone-zone-load

Fix for analysis and ports workflows iOS, Windows (#1361)

* - Remove SDK_VERSION and only run failed jobs, echo windows config.log

* Use commented out to fix syntax of ci.

* - Turn off succeeded tests, only link libssp for cross compile, use
no-shared for openssl ios.

* - Remove iPhone armv7s, and iPhoneSimulator i386 from ios ci.
  The lib system does not provide symbols for it on the new macos
  runner.
- Fix to exclude libssp for windows compiles.

- Fix unbound.conf man page entry for root-hints to say it can
  be used without strongly recommending it.

- Remove extra gpg instructions from makedist.sh output.

- ci: don't fail fast for the analysis_port workflow.

Update ios ci with older sdk version to use.

- Fix to update openssl version in ios ci.

- Add extended dns error code for invalid query type to definition
  list.

- Fix to reply with SERVFAIL when the wait-limit is exceeded.

- Fix to drop UDP for discard-timeout, but not stream connections.

- simdzone-zone-load, function call to simdzone and build fix for export.h.

- simdzone-zone-load, remove git information and autoconf temporaries from
  release tarball.

- simdzone-zone-load, update simdzone version.

- Fix #1358 Enabling FIPS in OpenSSL causes unit test to fail.

- simdzone-zone-load, fix dnstap/dnstap_config.h file from configure.

- simdzone-zone-load, update simdzone version.

- simdzone-zone-load, fix makedist.sh cross compile for simdzone.

- simdzone-zone-load, configure checks that the simdzone directory has the
  submodule files and prints an error otherwise.

- simdzone-zone-load, update simdzone version.

- Note clearly that 'wait-limit: 0' disables all wait limits.
- 'wait-limit-cookie: 0' can now disable cookie validated wait
  limits.

- Note 'respip' and 'dns64' module order in the unbound.conf
  man page.

Merge branch 'master' into simdzone-zone-load

- simdzone-zone-load, update simdzone version.

- simdzone-zone-load, Add configure~ to gitignore.

- simdzone-zone-load, update simdzone version.

- simdzone-zone-load, modify configure and Makefile to link with simdzone.

- Fix that https is set up as enabled when the port is listed in
  interface-automatic-ports. Also for the set up of quic it is
  enabled when listed there.

- Fix for #1344: Fix that respip and dns64 can be enabled at the
  same time, the client info is copied for attach_sub and add_sub
  calls. That makes respip work on dns64 synthesized answers, and
  also makes RPZ work with DNS64. The order for the modules is
  module-config: "respip dns64 validator iterator".

- Fix #1344: module conf 'respip dns64 validator cachedb iterator'
  is not known to work.

- Fix #1353: auth-zone can not use empty label for $ORIGIN when
  http download.

Changelog entry for #1351:
- Merge #1351: ac_cv_func_malloc_0_nonnull for malloc(0) check.

- Rebuild configure script from its sources.

ac_cv_func_malloc_0_nonnull for malloc(0) check (#1351)

- For #1339, use the standard variable ac_cv_func_malloc_0_nonnull for
  the malloc(0) check during configure; patch from Helmut Grohne.

Changelog entry for #1349:
- Merge #1349: Fix #1346: [FR] Please allow back TLS 1.2.

- Fix fr_atomic_copy_cfg.

Fix #1346: [FR] Please allow back TLS 1.2. (#1349)

* 'tls-use-system-policy-versions' is introduced to allow Unbound to use
  any system available TLS version when serving TLS.

* Apply suggestions from code review

---------

Co-authored-by: Wouter Wijngaards <wcawijngaards@users.noreply.github.com>

- Neaten up the change in acx_nlnetlabs.m4 to version 49.

- Fix modstack_call_init to use the original string when it has
  changed, to call modstack_config with. And skip the changed name
  in the string correctly. Thanks to Jan Komissar.

- Rebuild configure script from its sources.

- Test for nonstring attribute in configure and add
  nonstring attribute annotations.

Update Mastodon shield

- Avoid calling mesh_detect_cycle_found() when there is no mesh state
  to begin with.

- For #1350, same CAP_NET_ADMIN change for unbound_portable.service.in
  as well.

Changelog entry for #1350:
- Merge #1350 from Maryse47: unbound.service.in: allow CAP_NET_ADMIN.

Merge pull request #1350 from Maryse47/patch-1

unbound.service.in: allow CAP_NET_ADMIN and drop CAP_NET_RAW (redundant now).

- For #1352, align with the current Python<3 code.

Changelog entry for #1352:
- Merge #1352 from Petr Vaganov: pythonmod: fix HANDLE_LEAK on
  pythonmod_init.

unbound.service.in: drop CAP_NET_RAW

CAP_NET_RAW is unnecessary after CAP_NET_ADMIN was added

Merge pull request #1352 from petrvaganoff/dev-52227

pythonmod: fix HANDLE_LEAK on pythonmod_init

pythonmod: fix HANDLE_LEAK on pythonmod_init

Found by the static analyzer Svace (ISP RAS).

Handle 'script_py' is created at pythonmod.c:436
by calling function 'fopen' and lost at pythonmod.c:457,465.

Signed-off-by: Petr Vaganov <petrvaganoff@gmail.com>

unbound.service.in: allow CAP_NET_ADMIN

Allowing CAP_NET_ADMIN is necessary for SO_SNDBUFFORCE and SO_RCVBUFFORCE calls.

- unbound.conf manpage: explicitly mention RFC6891.

Changelog entry for #1337:
- Merge #1337: 0 TTL cached replies and some TTL behavior changes.

Merge branch 'features/no-ttl-zero-cacherep'

- Update README.man with clearer text.

- Fix to remove configure~ from release tarballs.

- simdzone-zone-load, add submodule with simdzone.

- Tag for 1.24.0 release. Includes the fixes below after rc1.
  The repository continues with version 1.24.1.

code review: use proper roundrobin index

Co-authored-by: Wouter Wijngaards <wcawijngaards@users.noreply.github.com>

- Too many quotes for the EDE message debug printout.

- Fix to print warning for when so-sndbuf setsockopt is not granted.

- Small debug output improvement when attaching an EDE.

A few changes for TTL processing:
- Cached messages that reach 0 TTL are considered expired. This prevents
  Unbound itself from issuing replies with TTL 0 and possibly causing a
  thundering herd at the last second. Upstream replies of TTL 0 still
  get the usual pass-through but they are not considered for caching
  from Unbound or any of its caching modules.
- 'serve-expired-reply-ttl' is changed and is now capped by the original
  TTL value of the record to try and make some sense when replying
  with expired records.
- TTL decoding was updated to adhere to RFC8767 section 4 where a set
  high-order bit means the value is positive instead of 0.