policy TLS_FORWARD: unify logging format

policy TLS_FORWARD: fix error reporting from net.tls_client()

policy TLS_FORWARD: check parameters from user

Policy handling was split into smaller functions to allow easier
checking. The code needs further refactoring, it seems that
net_tls_client is just a thin wrapper around tls_client_params_set in C,
which is unnecessary and error prone.

policy TLS_FORWARD: improve error reporting for invalid parameters

tests: add config tests for TLS_FORWARD

Apparently some corner cases are not handled properly.
We need to fix these in follow-up patches.

cache pkt: relax an assertion

I _think_ (pkt->parsed != pkt->size) didn't catch all KNOT_EMALF cases.

Merge branch 'cleanup-errors' into 'master'

fix some errors found by static analyzer

See merge request knot/knot-resolver!446

CI: tweak scan-build configuration

Clang right now does not support cleanup attribute which is causing
false positives, so the check is now disabled.
https://bugs.llvm.org/show_bug.cgi?id=3888

At the same time I've enabled all other checkers to see what happens. We
need to go though them and disable them one-by-one if necessary.

treewide: safer structure literals and initialization

Based on C99 this was OK, see 6.7.8.19, 6.5.2.5.6 and 6.7.8.10.
Still, e.g. gcc 5.4 and 6.2 were mis-compiling some cases of this under
certain conditions (-O0), causing hard-to-track bugs.  I've been unable
to find a problem in 5.5, 6.4 and 7.2 or older clang, but let's be on
the safer side nevertheless.

daemon/main: refactored keyfile initialization from main()

this helps avoid false positive leaks caused by combination of
cleanup functions and goto

refs #291

lib/dnssec: variable declaration close to intended to avoid dead stores

daemon/worker: fixed missing return value check

daemon/engine: fixed missing ret

daemon: fixed potential leak - cleanup not being called on longjmp

attribute cleanup (auto_free) gets called when variable goes out of
scope, not on longjmp (in lua_error), so the variable never gets freed

Merge branch 'dockerfile-add-static-analysis-tools' into 'master'

Dockerfile: add static analysis tools

See merge request knot/knot-resolver!444

cache entry_rr: fix two simple lint warnings

The first might have lead to a segfault
(not sure ATM, depends on callers).

fix two trivial lint warnings

utils knot_dname_lf2wire: fix a lint warning

cache: another debugging check

Dockerfile: add static analysis tools

WIP: fixing counterparts of the validator problems

TODO: re-check, do tests, etc.

TMP Merge branch 'valid-nxdomain' into cache-aggr-wip

validator nitpick: remove a useless dead store

Discovered by clang scan.

validator: fix NSEC* + delegation -> NXDOMAIN

validator: fix NSEC* -> NODATA

cache: basic preparation for stale-serving

Merge branch 'tls-hs-timeout' into 'master'

daemon: TLS-handshake timeout timer was not properly activated; fix

See merge request knot/knot-resolver!441

daemon: TLS-handshake timeout timer was not properly activated; fix

Merge branch 'stricter-ci-build' into 'master'

ci: add -Werror to CFLAGS, added clang build target

See merge request knot/knot-resolver!432

lint: enabled several readability linters and fixed issues

this checks things such as inconsistent declarations and definitions

daemon: fixed garbage read when getsockname fails

lib: fixed possible null pointers passed to nonnull arguments

daemon: fixed minor linter problems

client: fixed minor linter problems

lib: fixed minor linter issues in lib

lib/defines: analyzable implementation for kr_error()

build: support `make lint-c` with clang-tidy

This supports linting of C code using clang-tidy to fix common
security and code quality issues early in the development workflow.
The benefit is that less time has to be spent in code reviews to
point out obvious problems, and ideally when the outstanding issues
are fixed, clang-tidy (and clang-format) can also be used to to
automatically fix basic problems and enforce common code style,
similarly to `go vet && go fmt` workflow.

ci: add -Werror to CFLAGS, added clang build target

Merge branch 'clang' into 'master'

fixup! CI: add Clang scan-build to the pipeline

See merge request knot/knot-resolver!438

fixup! CI: add Clang scan-build to the pipeline

Forgot to `git add` Dockerfile with Clang tools.

Merge branch 'systemd-modifications' into 'master'

Systemd modifications

See merge request knot/knot-resolver!436

systemd: add knot-resolver alias

The `knot-resolver` name is used for paths and user name. Creating a
systemd alias with the same name is user-friendly to end users who won't
have to remember another name (`kresd`).

Note: Systemd Alias is only created after service is enabled. Packagers
are thus advised to create symlinks for unit files during package installation
so users can use `knot-resolver` name right from the start.

systemd: use persistent cache by default

The /run directory is non-persistent. Use /var/cache/knot-resolver
as a persistent cache.

README: remove trailing whitespace

Merge branch 'clan-scan-build' into 'master'

CI: add Clan scan build to pipeline

See merge request knot/knot-resolver!437

CI: add Clang scan-build to the pipeline

For now error produced by scan-build are not fatal.
We need to fix these first.

CI: use images from local registry

Merge branch 'fix-systemd-service' into 'master'

systemd: drop WantedBy directive from kresd.service

See merge request knot/knot-resolver!433

systemd: drop WantedBy directive from kresd.service

This directive is unnecessary in the .service file, and it also causes
a dependency cycle that systemd is obliged to break.

Since kresd is socket-activated, there is no need for the WantedBy
directive in the .service file itself.  As long as the .socket files
are installed, the service will run when it is used.

cache: nitpicks and comments

Merge branch 'systemd-enable-manual-activation' into 'master'

systemd: enable manual activation of kresd.service as non-root user

See merge request knot/knot-resolver!434

systemd: enable manual activation of kresd.service as non-root user

To be able to bind to a well known port as a non-root user, the CAP_NET_BIND_SERVICE
capability is required.

removed lua-http installed through luarocks as it's installed in packages

Revert "add -Werror to daemon/lib to prevent builds with dead code"

This reverts commit 9ca537e809a68984f1f4966e09ae3808a28b2f20.

Merge !431: daemon: fix clang warnings

daemon: fix clang warnings

Merge remote-tracking branch 'origin/master' into query-trace

add -Werror to daemon/lib to prevent builds with dead code

lib: added kr_rplan_last() function to get last processed query

The last processed query is not always resolved (if resolution fails),
so previous code returned wrong query in some messages after failure.

tests/config: all tests can now be asynchronous with worker.coroutine

daemon: unified query completion callback with trace callback in resolve

This is a followup on addition of trace callbacks in the resolver library,
to get rid of the Lua/C interfacing in daemon and unify it with the log tracing.
All modules can now install completion callback on the kr_request object that
will be called after the resolution is done.

daemon/worker: allow large responses for outbound over TCP

By default the reassembly packet buffer is set to EDNS buffer size,
which is correct for UDP, but not for TCP which may accept any
allowed response size. This should be only used for responses to
outbound queries over TCP, not for inbound TCP queries.

Implement worker coroutines for asynchronous background processing

This implements worker coroutines in Lua to perform non-blocking I/O and do many things concurrently.
For example a file watcher can be now implemented as:

```
  local watcher = notify.opendir('/etc')
  watcher:add('hosts')

  -- Watch changes to /etc/hosts
  worker.coroutine(function ()
    for flags, name in watcher:changes() do
      for flag in notify.flags(flags) do
        print(name, notify[flag])
      end
    end
  end)
```

In order to make this work, the runtime uses the cqueues library which
can run coroutines concurrently, and return a file descriptor to poll on
if it's blocked. The worker takes that file descriptor and calls
`event.socket(pollfd, resume_callback)` so that libuv can wake up
the worker when its ready again.

The cqueues library is still optional, but if it's not present following stuff
won't work:

* worker.coroutine()
* worker.sleep()

cache get_lowest_rank: cleaner code

Merge branch 'sim_qry' into 'master'

outbound TCP connections sharing; TLS over outbound TCP connections

Closes #104

See merge request knot/knot-resolver!379

daemon: avoid memory leaks under heavy load when using tls over outgoing tcp connection

daemon: kresd fall into endless loop in some circumstances when tls is used; fix

daemon/tls_ephemeral_credentials: avoid some memory leaks

daemon: explicit processing of UV_EOF within stream read callback function

TLS: only print [tls] messages if --verbose

modules/policy: TLS defaults to port 853

modules/policy: local variable declarations were fixed; cleanup

modules/policy: local variable declarations were fixed

daemon/tls: tls client bugfix; correct processing of tcp connection closure

daemon/tls: tls_push() can fall into endless loop in some circumstances; prevent it

daemon: outbound TLS: penalise NS if authentication fails

daemon: cleanup - free the memory allocated for hostnames

policy.TLS_FORWARD: reduce net.tls_client() calls

It should be enough to update the table once per TLS_FORWARD rule,
without re-doing that every time the policy is triggered.

print_tls_client_params: print all address#port pairs

nitpick: pre-allocate table sizes

daemon: TLS over outbound TCP connection - use hostname authentication

daemon: bugfixes

daemon: bugfix; resolver fails on assertion if TLS over outbound connection is used  and upstream closes connection after each query

daemon: retry waiting tasks when outbound TCP connection has problems

daemon/worker: clear query TCP flags when retrying

daemon/worker: bugfix, avoid access to deallocated task

daemon/worker: retry all waiting tasks if upstream drops TCP connection

daemon/worker: don't SERVFAIL immediately when TCP connection to upstream fails

CI: try increasing the number of allowed filedescriptors

(cherry picked from commit a4a6169c3cdf2293ea0637b9af4526fb2cbbb94d)
Testing what happens on our CI.

daemon: TCP - for now session source address is queried at tcp_accept(). AF_UNSPEC is treated as error for both of udp&tcp.

daemon: improved reliability under heavy load; bugfixing & minor refactoring

daemon: reuse outbound TCP connections if possible; TLS over outbound TCP connection

Merge branch 'master' into cache-aggr-wip

unit tests: disable cache tests, at least for now

The cache API has changed, and it's in the process of being removed,
with cache getting more contained in a layer-module.

NSEC3 packet cache (non-aggressive): fix the rank + optout

Merge !430: Travis fixes and dependency updates

travis: skip Deckard tests

travis: try to fix python modules

bootstrap-depends: update dependencies

Merge branch 'travis_fixes' into 'master'

Do not point to Travis from README

See merge request knot/knot-resolver!429

README: use badges from Gitlab instead of Travis/Coveralls