Major tidy up of EDNS0 handling and computation/use of udp packet size.

Do a better job of determining which DNSSEC sig algos are supported.

Fix brace botch in dnssec_validate_ds()

Thanks to Michał Kępień for spotting this.

Tidy up DNSSEC non-existence code. Check zone status is NSEC proof bad.

Tweaks to EDNS0 handling in DNS replies.

DNSSEC validation tweak.

A zone which has at least one key with an algorithm we don't
support should be considered as insecure.

Generalise RR-filtering code, for use with EDNS0.

Move code which caches DS records to a more logical place.

Abandon caching RRSIGs and returning them from cache.

The list of exceptions to being able to locally answer
cached data for validated records when DNSSEC data is requested
was getting too long, so don't ever do that. This means
that the cache no longer has to hold RRSIGS and allows
us to lose lots of code. Note that cached validated
answers are still returned as long as do=0

Major rationalisation of DNSSEC validation.

Much gnarly special-case code removed and replaced with correct
general implementaion. Checking of zone-status moved to DNSSEC code,
where it should be, vastly simplifying query-forwarding code.

Fix crash at start up with conf-dir=/path,*

Thanks to Brian Carpenter and American Fuzzy Lop for finding the bug.

Handle unknown DS hash algos correctly.

When we can validate a DS RRset, but don't speak the hash algo it
contains, treat that the same as an NSEC/3 proving that the DS
doesn't exist. 4025 5.2

Fix crash when empty address from DNS overlays A record from hosts.

Update list of subnet for --bogus-priv

RFC6303 specifies & recommends following zones not be forwarded
to globally facing servers.
+------------------------------+-----------------------+
| Zone                         | Description           |
+------------------------------+-----------------------+
| 0.IN-ADDR.ARPA               | IPv4 "THIS" NETWORK   |
| 127.IN-ADDR.ARPA             | IPv4 Loopback NETWORK |
| 254.169.IN-ADDR.ARPA         | IPv4 LINK LOCAL       |
| 2.0.192.IN-ADDR.ARPA         | IPv4 TEST-NET-1       |
| 100.51.198.IN-ADDR.ARPA      | IPv4 TEST-NET-2       |
| 113.0.203.IN-ADDR.ARPA       | IPv4 TEST-NET-3       |
| 255.255.255.255.IN-ADDR.ARPA | IPv4 BROADCAST        |
+------------------------------+-----------------------+

Signed-off-by: Kevin Darbyshire-Bryant <kevin@darbyshire-bryant.me.uk>

Catch errors from sendmsg in DHCP code.
 Logs, eg,  iptables DROPS of dest 255.255.255.255

Use /run/dnsmasq instead of /var/run/dnsmasq in Debian package.

Rationalise 5e3e464ac4022ee0b3794513abe510817e2cf3ca

Respect the --no-resolv flag in inotify code.

DHCPv6 option 56 does not hold an address list. (RFC 5908).

Handle signed dangling CNAME replies to DS queries.

Clarify man page on RDNSS set in router advertisement.

Suggest solution to ENOMEM error with IPv6 multicast.

Fix behaviour of empty dhcp-option=option6:dns-server, which should inhibit sending option.

Don't answer non-auth queries for auth zones locally when --localise-queries set.

Enhance --add-subnet to allow arbitary subnet addresses.

Include 0.0.0.0/8 in DNS rebind checks.

Fix new poll() code for helper pipe. Removed CPU-spin.

Declare utime().

Update DNSSEC timestamp file on process TERM.

Update german translation

DNSSEC fix: correct logic for signed records in unsigned DNS space.

Small tweak to DNSSEC fix.

DNSSEC fix, signed wildcard CNAME to unsigned domain.

Update Polish translation.

Close Lauchpad bug in Debian changelog.

Grow pollfds array exponentially.

Merge messages for translations.

Use poll() instead of select() to remove limits on open file descriptors.

Log message typo.

Fix compilation warning.

Test for overflowing platform FD_SET size.

Bump version in Debian changelog.

Fix inotify code to handle dangling symlinks better.

Avoid hanngs in DHCP ping code when system time goes backwards.

--conf-file should read no file, not try and read the default file.

Manpage typo fix.

Handle CNAMEs to DS records when confirming absence of DS for DNSSEC.

Merge messages and fix makefile process to do this.

Documenation updates for --bridge-interface and "off-link".

Apply --bridge-interfaces to unsolicited router advertisements.

Upply --bridge-interface aliasing to solicited router advertisements.

Allow router advertisements to have the "off-link" bit set.

Extend --bridge-interface aliasing to DHCPv6.

Fix logging of unknown interface in --bridge-interface, DHPCv4.

Add a couple of missed logging strings to the catalogue.

Add Dbus methods to create and delete DHCP leases.

Handle corner cases in NSEC coverage checks.

More reproducibility fixes for Debian package.

DHCPv6: DHCPCONFIRM should be OK for any address on link, not just dynamic addresses.

Close Debian bug for bug fixed upstream.

Correctly sanitise DNS header bits in answer when recreating query for retry.

Merge branch 'master' of ssh://thekelleys.org.uk/var/cache/git/dnsmasq

Add infiniband to example config file.

Man page typo.

Tweak immediately previous patch.

Select correct DHCP context when in PXE bootserver mode.

Remove support for DNS Extended Label Types.

The support was only partial, and the whole concept is
now deprecated in the standards.

Fix buffer overflow introduced in 2.73rc6.

Fix off-by-one in code which checks for over-long domain names
in received DNS packets. This enables buffer overflow attacks
which can certainly crash dnsmasq and may allow for arbitrary
code execution. The problem was introduced in commit b8f16556d,
release 2.73rc6, so has not escaped into any stable release.
Note that the off-by-one was in the label length determination,
so the buffer can be overflowed by as many bytes as there are
labels in the name - ie, many.

Thanks to Ron Bowes, who used lcmatuf's afl-fuzz tool to find
the problem.

Use correct DHCP context for PXE-proxy server-id.

Tweak last commit.

Allow T1 and T2 DHCPv4 options to be set.

Pointer to mail-archive mailing list mirror in doc.html.

Tweak Debian systemd unit file.

Tweak EDNS timeout code.

Check IPv4-mapped IPv6 addresses with --stop-rebind.

Handle UDP packet loss when fragmentation of large packets is broken.

Constify some DHCP lease management functions.

Don't remove RRSIG RR from answers to ANY queries when the do bit is not set.

Fix argument-order botch which broke DNSSEC for TCP queries.

Make get-version work when repo is a git submodule.

Logs in DHCPv6 not suppressed by dhcp6-quiet.

Tweaks to previous, DNS label charset commit.

Handle domain names with '.' or /000 within labels.

Only in DNSSEC mode, where we might need to validate or store
such names. In none-DNSSEC mode, simply don't cache these, as before.

Revert 61b838dd574c51d96fef100285a0d225824534f9 and just quieten log instead.

Check IP address command line arg in dhcp_release.c

Log domain when reporting DNSSEC validation failure.

Note CVE-2015-3294

Fix (srk induced) crash in new tftp_no_fail code.

Auth: correct replies to NS and SOA in .arpa zones.

Fix crash in auth code with odd configuration.

Fix crash on receipt of certain malformed DNS requests.

Fix crash caused by looking up servers.bind when many servers defined.

Fix compiler warning when not including DNSSEC.

Return INSECURE, rather than BOGUS when DS proved not to exist.

Return INSECURE when validating DNS replies which have RRSIGs, but
when a needed DS record in the trust chain is proved not to exist.
It's allowed for a zone to set up DNSKEY and RRSIG records first, then
add a DS later, completing the chain of trust.

Also, since we don't have the infrastructure to track that these
non-validated replies have RRSIGS, don't cache them, so we don't
provide answers with missing RRSIGS from the cache.

Whitespace fixes.

add --tftp-no-fail to ignore missing tftp root

Merge message translations.

Fix crash in last commit.

Allow control characters in names in the cache, handle when logging.

DNSSEC fix for non-ascii characters in labels.