docs: Pin jinja2 to < 3.1.0

Jinja2 3.1.0 removed deprecated code that is still used by sphinx
1.8.x, and it looks like our custom sphinx extensions are not working
with more recent versions of sphinx..

See:
- https://github.com/pallets/jinja/issues/1631
- https://github.com/readthedocs/readthedocs.org/issues/9037

and

- https://github.com/PowerDNS/pdns/pull/7712

The exact error is:
```
Extension error:
Could not import extension sphinx.builders.latex (exception: cannot import name 'contextfunction' from 'jinja2' (/dnsdist/pdns/dnsdistdist/.venv/lib/python3.7/site-packages/jinja2/__init__.py))
```

(cherry picked from commit 92ad29702011ac7cbd0d7d118ba612e7e07cedbe)

Merge pull request #11400 from omoerbeek/backport-11044-to-rec-4.4.x

rec: Backport 11044 to rec 4.4.x: Fix v6 test setup and start using a more modern auth on circleci

Fix error in test zone that auth-45 does not like

(cherry picked from commit f1f41a8aa9299a4d8bf369c4fc0cb611f5b979cd)

One more occurence of --local-ipv6

(cherry picked from commit 9b3fc866b7f8133d4317aec9253e4b5fb0a385f9)

Fix v6 setup and start using a more modern auth on circleci

(cherry picked from commit 2d0fc474f8b03b536a95c6b9b05e96c6e8c51e30)

Merge pull request #11277 from Habbie/backport-11262-to-rec-4.4.x

rec-4.4.x: builder: migrate EL8 builds to oraclelinux, rename centos8 to el8 where possible

builder: add el-7 alias for centos-7

(cherry picked from commit 6bd3c9bb23f5dfc385a66647ab175ec2812d6617)

builder: archs for oraclelinux-8; el-8 symlinks

(cherry picked from commit dee53cf16161a6c45560475b647de420842532ef)

Merge pull request #11265 from omoerbeek/backport-11208-to-rec-4.4.x

rec: backport to rec-4.4.x: CI: dnspython 2.2.0 breaks auth and ixfrdist testing, pin to 2.1.0

CI: dnspython 2.2.0 breaks auth and ixfrdist testing, pin to 2.1.0

(cherry picked from commit 46a40ed033d64f58aa30013d7e68daa5b5e8d615)

Merge pull request #11023 from omoerbeek/backport-11010-to-rec-4.4.x

rec: backport 11010 to rec-4.4.x: Do cache negcache results, even when wasVariable() is true

Do cache negcache results, even when wasVariable() is true

See https://datatracker.ietf.org/doc/html/rfc7871#section-7.4
Fixes #10994

(cherry picked from commit 2bcec14adbffbf4b28d698cb607877fb96054e87)

Merge pull request #10910 from omoerbeek/backport-10908-to-rec-4.4.x

rec: Backport 10908 to rec-4.4.x: A SHA-384 DS should not trump a SHA-256 one, so only potentially zap SHA-1

Merge pull request #10909 from omoerbeek/backport-10905-to-rec-4.4.x

rec: Backport of 10905: wipe-cache-typed should check if a qtype arg is present and valid

Merge pull request #10915 from rgacogne/rec44-docutils-pin

rec-4.4.x: Pin docutils to < 0.18 for now

Pin docutils to < 0.18 for now

We will have to deal with that pain later, but let's unbreak our
CI first.

(cherry picked from commit 2503af018b72112a2422ce895d9e7418155cbc9f)

wipe-cache-typed  should check if a qtype arg is present and valid

(cherry picked from commit a721f7b21a75cefaa189bf84b14979facde7d3ab)

A SHA-384 DS should not trump a SHA-256 one, so only potentially zap SHA-1

(cherry picked from commit a660ce6dbfc4182922eea8e548eb504af31b6cc1)

Merge pull request #10805 from Habbie/backport-9712-to-rec-4.4.x

rec-4.4.x: switch to py3 (backport of #9712 plus tweaks)

Revert "Adapt the regression test to allow absense of deviceName etc."

This reverts commit e596ec138125ea5ccc37f7260767bd94b65b64b6.

enable more tests

remove empty files from merge resolving

auth-py tests: py3

(cherry picked from commit 00294227045a32a827ce31138bb31756e178698b)

BaseHTTPServer is now http.server in Python 3

(cherry picked from commit 12c2f4d7bf80e72eeb1f33889a39d15931bd22d2)

Suppress Python 3 parsing of Unicode literals

(cherry picked from commit bbaf474cf7a72a98088005b4e6e9dbf07f241cd8)

Additional fixes for Python 3 conversion

(cherry picked from commit 2f08b8d676bdaa4205c76565aa83a743e1f7b97f)

add venv to Dockerfile-auth for JSON API file

(cherry picked from commit f94f9c6300c60a7d984d6348aa05885388b9e2db)

recursor DNSSEC regression tests: skip debug cachedump

(cherry picked from commit 15a0444746472826ba88439407f0234f5f17ba2f)

recursor DNSSEC regression tests: migrate to Python 3

(cherry picked from commit 3d144e241348afd5706a792bae7488786b144bc8)

Use Python 3 in build system

The various tasks in the build system which use Python
will now use Python 3 (3.6 or later) and the 'venv' module,
instead of the 'virtualenv' tool which was primarily used
with Python 2.7.

(cherry picked from commit 9850825187bf0c493ca5960a4cd84d50ee75c265)

Merge pull request #10802 from omoerbeek/backport-10768-to-rec-4.4.x

rec: Backport 10768 to rec 4.4.x: Use the correct RPZ policy name when loading via XFR

rec: Use the correct RPZ policy name when loading via XFR

This commit fixes two issues:
- if the existing zone name is not empty we should use it, instead of
  the zone domain
- if the zone domain has to be used, it should not include a final dot

(cherry picked from commit 3e86a970828dda814a140c9613311a8507c3c458)

Merge pull request #10722 from omoerbeek/backport-10721-to-rec-4.4.x

rec: Backport 10721 to rec 4.4.x: require nose >= 1.3.7 everywhere

require nose >= 1.3.7 everywhere

(cherry picked from commit 8e8be088de0634fc561f5c7f6e26d6ed03f401e8)

Merge pull request #10719 from omoerbeek/rel/rec-4.4.x

rec 4.4.x: Update builder

Update builder so that it prints targets one-per-line as buildbot requires

Merge pull request #10654 from omoerbeek/backport-10643-to-rec-4.4.x

rec: Backport 10643 to rec 4.4.x: NS from the cache could be a forwarder

Also check if the remoteIP is one of the IPs we would have forwarded to,
even if it's coming from the cache.

If we get an NS from the cache, it still could be one forwarding applies to.
Take that into acount when determining dont-query status. Should fix #10638.

(cherry picked from commit c03df9bb6f8cd71a67ef9505fcafa27d514a68ad)

Merge pull request #10628 from omoerbeek/backport-10627-to-rec-4.4.x

rec: backport 10627 to rec-4.4.x: Check in more places if the policy has been updated before using or modifying it.

Check in more places if the config policy has been updated before
using or modifying it.

(cherry picked from commit 0c98e3de2cf1daae3f7034803668c1ac10fefe49)

Merge pull request #10615 from omoerbeek/backport-10455-to-rec-4.4.x

rec: backport 10455 to rec-4.4.x: builder rpmbuild: run yum upgrade first

builder rpmbuild: run yum upgrade first

(cherry picked from commit 912729cf22c5303fa4e0136a639132ca940a186f)

Merge pull request #10580 from pieterlexis/44-backport-10555

rec: backport #10555 to 4.4.x: Work around clueless servers sending AA=0 answers

backport 10555 to 4.4

Merge pull request #10390 from omoerbeek/rec-4.4.x-zero-ecs-sizecheck

Rec 4.4.x: zero ecs sizecheck

Add corresponding regress test

Check if we have room before adding zero ecs scope ENDS value

Merge pull request #10384 from omoerbeek/backport-10329-to-rec-4.4.x

rec: Backport 10329 to rec-4.4.x: boost 1.76 containers: use standard exceptions

Merge pull request #10383 from omoerbeek/backport-10303-to-rec-4.4.x

rec: Backport 10303 to rec 4.4.x: Use the correct ECS address when proxy-protocol is enabled

Remove not-yet-relevant regress check

Merge pull request #10385 from omoerbeek/backport-10353-to-rec-4.4.x

rec: Backport 10353 to rec 4.4.x: Apply dns64 on RPZ hits generated after a gettag_ffi hit

Merge pull request #10387 from omoerbeek/rec-4.4.x-add-fuzz-corpus

Rec 4.4.x: add fuzz corpus files

Merge pull request #10386 from omoerbeek/rec-4.4.x-no-cxx17

rec: 4.4.x codebase is not c++17, so don't use static_assert with 1 arg.

Merge pull request #10382 from omoerbeek/backport-10252-to-rec-4.4.x

rec: Backport 10252 to rec-4.4.x: Fix the package version _on_ prerelease tags

Add missing fuzzing corpus files

rec 4.4.x codebase is not c++17, so don't use static_assert with 1 arg.

rec: Test the most simple condition first

Co-authored-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>
(cherry picked from commit 89461c55042e1f0f7d17a511ae3d6c7c39602954)

rec: Add a regression test for gettag_ffi, RPZ and DNS64 interaction

(cherry picked from commit 76b47869c7902da25036c76ec4cd98fe23a51827)

rec: Apply dns64 on RPZ hits generated after a gettag_ffi hit

We do special case the qname RPZ processing after a gettag_ffi hit,
leading to dns64 to not be applied in that case. This commit adds
dns64 handling to the special case.

(cherry picked from commit 92f829c42ef82b6d5d0804886519536137925f23)

boost 1.76 containers: use standard exceptions

(cherry picked from commit 311f26839819062ced8697686372b6c6b2210bdf)

Revert whitelist -> allow-list change

rec: Fix the proxy protocol regression tests

(cherry picked from commit 1d3ea4cf67b5e1565ed619f5015420481e1c87f3)

rec: Replace deprecated edns-subnet-whitelist with edns-subnet-allow-list

(cherry picked from commit 3be6dde85dda49352642681813753454e5f41525)

rec: Add regression tests for Proxy Protocol / ECS interaction

(cherry picked from commit 9166ee1b3fc9d5df9b93570d883cf154aa98e425)

rec: Use the correct ECS address when proxy-protocol is enabled

(cherry picked from commit 2199aa19f92415dc9ecdfafbd9c9ce08327f54b8)

Fix the package version _on_ prerelease tags

Closes #9842

(cherry picked from commit 121a191d5ecd24818053a39013608e424a36142a)

Merge pull request #10314 from omoerbeek/backport-10286-to-rec-4.4.x

rec: Backport 10286 to rec 4.4.x: rpz dumper: stop generating double zz labels on networks that start with zeroes

Merge pull request #10313 from omoerbeek/backport-10291-to-rec-4.4.x

rec: backport 10291 to rec-4.4.x: Exception loading the RPZ seedfile is not fatal.

Exception loading the RPZ seedfile is not fatal.

Catch PDNSException and clear on failure.

(cherry picked from commit a47cc75dfa7519bcf7b31cee511852ae954a50f8)

the code is not glibc specific

(cherry picked from commit 245abe4da5829bcf39953cfe06c0ef6ab8f6ecd7)

comments from code review

(cherry picked from commit 34b0536b713515b4cc89d8a28ea27822ef0880dc)

auto, reinterpret_cast

Co-authored-by: Remi Gacogne <rgacogne+github@valombre.net>
(cherry picked from commit de769ee3f68d9e940cd10610e7a68b03ce339bda)

add tests

Co-authored-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>
(cherry picked from commit 0d70e98b423fed67efff4ea82db7eb7d6552a64c)

rpz dumper: stop generating double zz labels on networks that start with zeroes

(partial rewrite; adds tests)

(cherry picked from commit bbe6cfec2b5a0b65a7183c04a4d088f1fcc87ba7)

Merge pull request #10240 from omoerbeek/backport-10238-to-rec-4.4.x

rec: Backport 10238 to rec 4.4.x: More fail-safe handling of NOD files

Merge pull request #10227 from omoerbeek/backport-10111-to-rec-4.4.x

rec: Backport 10111 to rec 4.4.x: Handle policy (if needed) after postresolve

Fix make_unique to be c++11 compatibe, use explicit unique_ptr ct

Safe tmp file handling, basic sanity check on size of data.

(cherry picked from commit 852d4e70c09dd9b41d9aa2a988a666b0cb749d97)

Move the opening of the file to write a bit down

(cherry picked from commit 5ef38b0c7b61e819773765d87b0fe6061cd0be7a)

namespace filesystem = boost::filesystem

(cherry picked from commit dec872ee807caa32eab6f75e36db4feb16f2f6ea)

Zap tmp files; use random suffix and fix leak by using smart pointer.

(cherry picked from commit e672ad6db7e9d0a98569656a4c0701121715b842)

More fail-safe handling of NOD files

(cherry picked from commit 7b4cc738ffaaec7173f39fc140799f2200d93e61)

Merge pull request #10226 from omoerbeek/backport-10064-to-rec-4.4.x

rec: Backport 10064 to 4.4.x: Return current rcode instead of 0 if there are no CNAME records to follow

Merge pull request #10225 from omoerbeek/backport-10042-to-rec-4.4.x

Backport 10042 to rec 4.4.x: dockerfiles: Ensure version number is correct for releases

Merge pull request #10224 from omoerbeek/backport-9883-to-rec-4.4.x

rec: Backport 9883 to rec 4.4.x: Lookup DS entries before CNAME entries

Merge pull request #10222 from omoerbeek/backport-9860-to-rec-4.4.x

rec: backport 9860 to 4.4.x: Get rid of warnings when compiling with Boost 1.74

Review comments: clean d_from if needed and a merge oversight.

Reformat

Merge pull request #10221 from omoerbeek/backport-9856-to-rec-4.4.x

rec: Backport 9856 to rec 4.4.x: Use a short-lived NSEC3 hashes cache for denial validation

Merge pull request #10220 from omoerbeek/backport-9827-to-rec-4.4.x

rec: backport 9827 to rec 4.4.x: stop using travis

Partial backport of #10111: Handle policy (if needed) after postresolve

I did not take the Lua changes, as there is a (slight) chance they are disruptive.

Return current rcode instead of 0 if there are no CNAME records to follow.

Note that this is a change in behaviour. While it is for the good, it might
be existing code depends on the old 0 value...

(cherry picked from commit 558d47eba7d2edd3fb5991af428d9d432fec1dfa)

docker: use unbuffered output in init

(cherry picked from commit aa665201200100c9f97969c8a9907d775d55adbe)

dockerfiles: Ensure version number is correct for releases

(cherry picked from commit a508963dc3a36883b24db67e285c9e0481b84fb0)

rec: Remove unneeded 'static'

(cherry picked from commit 3eff7a0d105c6fa6342a82a217e1f96217824dbf)

Resolve merge issues

rec: Store the zone and remote server IP in the records cache

(cherry picked from commit 928c0f926859012945a223d28ffd3ce3f3ba2ac1)

rec: Add a unit test for the 'DS entry expired but CNAME is here' issue

(cherry picked from commit b26212090b16c0a4e7f583e10586e5e85e2b66ae)

rec: Lookup DS entries before CNAME entries

When we are looking for a DS, we want to do the non-CNAME cache check first
because we can actually have a DS (from the parent zone) AND a CNAME (from
the child zone), and what we really want is the DS.

(cherry picked from commit 38263b88f2b3fa979cb1067ce602f48a1a4678bb)