Merge branch 'keymgr_adt' into 'master'

Keymgr adt

See merge request knot/knot-dns!1894

keymgr: print ADT bit when listing keys

keymgr: allow un/setting ADT bit

Merge branch 'man_regenerate' into 'master'

Store unsubstituted variables in man pages in the tarball

See merge request knot/knot-dns!1895

libngtcp2: update embedded library to v1.25.0

Merge branch 'lmdb_migration' into 'master'

Automatic LMDB migration from 0.9 to 1.x version

See merge request knot/knot-dns!1892

mdb_dump/load: comments explaining not/including emb_prefix.h

man: store unsubstituted variables in the tarball, expand them during installation

man/knotd: mention SIGTERM as a handled signal

doc/operation: mention automatic zone purge of removed catalog members

doc/operation: fix a typo

doc/reference: add a hyperlink

mdb_load: make the function thread-safe

lmdb migration: move just data+lock.mdb instead of whole dir...

...because KASP DB dir contains also privkeys and TLSkey
...and users can have more junk in there

knot: add automatic LMDB migration from version 0.9

libs: transform mdb_dump and mdb_load to functions

tests: remove explicit #include <config.h>

configure: add quotes to test expression where missing

contrib: add mdb_load from LMDB 1.0.0

contrib: add mdb_dump from LMDB 0.9.35

contrib: add embedded LMDB 0.9.35

This helps with:
- database migration to LMDB 1.x
- occasional debugging

libknot/db: add workaround for  mdb_drop() version 1.0.0 in lmdb.clear()

This fixes compatibility with LMDB 1.0.0, where mdb_drop() cannot be followed
by further additions within the same transaction. Otherwise, mdb_commit() fails
with "MDB_BAD_TXN: Transaction must abort, has a child, or is invalid".

Merge branch 'acl_fixes' into 'master'

ACL config checks

See merge request knot/security/knot-dns!3

Merge branch 'ddns_0rtt' into 'master'

requestor/QUIC: avoid 0-RTT when forwarding DDNS...

See merge request knot/security/knot-dns!2

conf: improve error messages in check_remote()

Merge branch 'acl_fixes' into 'master'

ACL fixes

See merge request knot/security/knot-dns!1

doc: DDNSoQ incl warning against 0-RTT from clients

conf: update 'acl.remote' conflict check

acl: refactor check_proto() and call it before cert_check()

tests: DDNS forwarding over QUIC incl not using 0-RTT

tls_common: add check for empty session to knot_tls_cert_check_hostnames()

requestor/QUIC: avoid 0-RTT when forwarding DDNS...

...0-RTT for DDNSoQ is discouraged due to replay attacks

acl: add check for empty tls_session to cert_check()

DDNS/forwarding: verbose logging incl. addr and proto

distro/deb: align copyright with new release

distro/deb: use watch v5

distro/deb: set Standards-Version to 4.7.4

distro/deb: add procps dependency to knot-exporter

distro/deb: add 'Multi-Arch: same' to libraries

Merge branch 'last_signed_serial_conf' into 'master'

KASP/timers: configurable storage of last signed serial

See merge request knot/knot-dns!1891

KASP/timers: configurable storage of last signed serial

tests-extra: increase robustness of catalog/generate_reconf

Merge branch 'tcp_id' into 'master'

TCP thread id fix, refactoring

See merge request knot/knot-dns!1893

handlers: replace strerror() with knot_strerror()

udp-handler: use dthread indexing for XDP threads, unify with tcp-handler

tcp-handler: fix TCP socket indexing if TLS and TCP reuseport configured

tests-extra: improve bind_version() to accept newer extended string

Merge branch 'mempool-merge-with-kres'

contrib/ucw/mempool: remove mp_alloc_noalign

contrib/ucw/mempool: unify size types to size_t

contrib/ucw/mempool: add valgrind directives

contrib: add optional Valgrind Memcheck macros

contrib/ucw/mempool: include chunk metadata in requested size

Originally, the requested chunk size was enlarged by the size of its metadata (~16 B)
and then in mmap version of mempools it was rounded up to the page size.
As the requested size itself is usually rounded to whole pages,
the chunk size was roughly by one page larger than expected;
still the whole space could have been used by mempools.

In non-mmap version (not used here), the effect might have been even worse,
as the rounding may be involved on the allocator level
and so the excessive memory cannot be used by mempools.

Now, usable size of chunks is a little smaller than requested,
but allocated area size corresponds to what was requested.

contrib/ucw/mempool: add mp_shrink and mention missing parts

contrib/ucw/mempool: nits

contrib/ucw/mempool: add chunk to pool reference in debug mode

contrib/ucw/mempool: adjust license

contrib/ucw/mempool: extend mp_stats with used_size

It was introduced in a newer upstream version
and can be useful for calculating mempool overhead
as (total_size - used_size);
though it's not currently used even in kres.

contrib/ucw/mempools: remove unused *_zero methods

contrib/ucw/mempool: unify types with kres

Knot.files: update

libknot/QUIC: proper timeout value for client conns...

...mostly needed for proper sweep function in kxdpgun

Merge branch 'ctl_unset_ttl' into 'master'

ctl: use current TTL for zone-unset

See merge request knot/knot-dns!1890

ctl: use current TTL for zone-unset

Merge branch 'quic_errcrypto_close' into 'master'

quic: close connection on TLS handshake failure (bis)

See merge request knot/knot-dns!1889

libknot/QUIC: improved error reporting when closing conn

libknot/QUIC: simplify sending close when TSL handshake failed

libknot/QUIC: refactoring: remove conn from table in send_special after sending excessiveLOADclosing pkt

libknot/QUIC: refactoring: remove conn from table in send_special after sending closing pkt

quic: close connection on TLS handshake failure

Close connection on NGTCP2_ERR_CRYPTO from ngtcp2_conn_read_pkt) instead
of silently discarding the packet.
Fixes timeout issues for clients failing TLS handshake (for e.g. ALPN
mismatch or certificate algorithm mismatch)

Merge branch 'xdp_tcp_mtu' into 'master'

xdp: add missing Ethernet header in socket->frame_limit calculation from MTU

See merge request knot/knot-dns!1888

xdp: add missing Ethernet header in socket->frame_limit calculation from MTU

Merge branch 'rrset_static' into 'master'

Rrset static

See merge request knot/knot-dns!1887

zone/offline expiry: improve log message

knot: use knot_rrset_static() where appropriate

libknot: helpers for static init of single-RR RRsets

libknot: add support for EDE code 33 (Negative Trust Anchor)

Let users know what a resolver returned an insecure answer, when an NTA
is in effect.

IANA has already assigned an Extended DNS Error INFO-CODE 33 "Negative Trust Anchor"

Link: https://datatracker.ietf.org/doc/draft-farrokhi-dnsop-ede-nta/

tls: don't call gnutls_subject_alt_names_deinit() with the NULL argument

ctl: don't log interrupted poll() as warning during shutdown

libknot: add KNOT_EINTR (EINTR equivalent) error code

ctl: log failed accept if not a timeout

server: log error if a worker initialization fails

libngtcp2: update embedded library to v1.24.0

Merge branch 'events_ctl_improve' into 'master'

zone/events+ctl: refactoring: forced/user and more are now event flags/param

See merge request knot/knot-dns!1885

zone/events+ctl: refactoring: forced/user and more are now event flags/param

Merge branch 'keymgr_trash_bin' into 'master'

"trash bin" for removed DNSSEC keys

See merge request knot/knot-dns!1881

conf: fix a comment typo

doc/operation: describe the zone removal procedure

doc/operation: describe cleanup of removed legacy DNSSEC keys

tests-extra: add a new test dnssec/trash_bin

For full testing, this test requires knotd binary built with
the following option:

   ./configure --with-gc-interval=30 ...

For good testing of the "trash bin" functionality, this option is
encouraged for all tests! There are no adverse side effects.

tests-extra: dnssec/purge_keys -- update to "trash bin" use and current '+keys' purging

tests-extra: add fatal parameter to isset() and compare()

kasp: policy-dependant default for trash-delay

purge: when purging keys, use the "trash bin" instead of delete

dnssec: use incomplete DNSSEC context for orphan keys

dnssec: refactor kdnssec_ctx_deinit()

doc/operation: DNSSEC key delete and recovery (the "trash bin" feature)

keymgr: in 'trash-list', display stored key tag instead of calculating it

keymgr: add the 'import-trash' command

dnssec: modify kdnssec_load_private() to provide ksk_only flag of the keystore