Move DNSSEC regression tests to 127.0.0.X

DNSSEC: Document interaction with forward-zones

Make the negcache forwarded zones aware

Because of DNSSEC (without NTAs configured), we 'leak' the forwarded
name to the cache when looking for the DNSKEY. This resulted in NXDOMAIN
answers for actual NXDOMAINs, but with the root SOA record. Leading to
inconsistent answers to the client.

Add tests for #4483

rec tests: create controlsocket dirs idempotently

Fix the fields in two debug lines

Cache records for zones that were delegated to from a forwarded zone

Fixes #4483

Merge pull request #4512 from rgacogne/backport-4440

Backport #4440: Fix Lua-enabled compilation on OS X and FreeBSD

rec: Fix Lua-enabled compilation on OS X and FreeBSD

(cherry picked from commit 546d1fbf9efe8a4ba81c92d43bc43be457e60713)

Merge pull request #4511 from rgacogne/backport-4499

Backport #4499: Add support for boost::context >= 1.61

rec: Always test if BOOST_VERSION is < 1.61, not >, for readability

(cherry picked from commit 64413f6afd9b3dfeb1bef158f48bb3be496a4e04)

rec: Add support for boost::context >= 1.61

(cherry picked from commit f53de853d71bd1c058b507549d35312f9fa4847f)

Merge pull request #4462 from pieterlexis/backport-4461

Backport #4461: Fall back to SystemV ucontexts on boost >= 1.61

Rec: Disable boost-fcontext on boost 1.61 and up

Fall back to the slower system v ucontext.

(cherry picked from commit cb51346bbd4ea54bc86966e80aa68c990c03dbce)

Revert "Rec: support boost's fcontext in boost 1.61+"

This reverts commit a30361f9f07cb3c4f9ad32dc83555bc593aa3311.

(cherry picked from commit f103e371bd83381feb11dba742843484bf8e95f2)

Merge pull request #4426 from pieterlexis/backport-4425

Backport #4425: Fix a protobuf regression (requestor/responder mix-up) caused by a94673e

Fix a protobuf regression (requestor/responder mix-up) caused by a94673e

(cherry picked from commit b3261c205742fcb0494735d20294d10a615cd10f)

Merge pull request #4422 from pieterlexis/rec-backport-4403

Backport #4403: (rec) Fix build with OpenSSL 1.1.0 final

Merge pull request #4420 from pieterlexis/backport-4396

Backport #4396: add boost context ldflags so freebsd builds can find the libs

Merge pull request #4419 from pieterlexis/backport-4381

Backport #4381: Parse query-local-address before lua-config-file

Merge pull request #4418 from pieterlexis/backport-4383

Backport #4383: Fix accessing an empty policyCustom, policyName from Lua

Merge pull request #4417 from pieterlexis/backport-4385

Backport #4385: Add Lua binding for DNSRecord::d_place

Merge pull request #4416 from pieterlexis/backport-4402

Backport #4402: Ignore NS records in a RPZ zone received over IXFR

Merge pull request #4415 from pieterlexis/backport-4404

Backport #4404: Don't validate when a Lua hook took the query

Merge pull request #4414 from pieterlexis/backport-4394

Backport #4394: Support Boost 1.61+ fcontext

Merge pull request #4413 from pieterlexis/backport-4391

Backport #4391: DNSSEC: Actually follow RFC 7646 §2.1

Merge pull request #4412 from pieterlexis/backport-4388

Backport #4388: Fix RPZ default policy not being applied over IXFR

Bump version requirement for CRYPTO_ctr128_encrypt

While CRYPTO_ctr128_encrypt should be available in 1.0.1,
apparently in some library builds (Ubuntu) one can not link
against it.

(cherry picked from commit 3e4b01664660f1a8d9564508843a7e51b8f7549e)

Fix build with OpenSSL 1.1.0 final

Where aes.h apparently no longer includes opensslv.h.

(cherry picked from commit e6fc073faf3b1d9b4da301821da40dff33186057)

add boost context ldflags so freebsd builds can find the libs

(cherry picked from commit 01f097e45a286355c93da0acf78756e59ad9c126)

Parse query-local-address before lua-config-file

@42wim discovered that the query-local-address was not used for the
initial RPZ AXFR. However, it was used in subsequent IXFRs. It appears
that we executed the lua-config-file before checking the
query-local-address(6).

(cherry picked from commit b7ef582884c603ea45e602c3e42f254cf869d2d7)

rec: Fix accessing an empty policyCustom, policyName from Lua

Reported by @42wim (thanks!).

(cherry picked from commit 98c28a684f92c052bd7fb2e4a0eb0b831ac563de)

rec: Add Lua binding for DNSRecord::d_place

Also document the members and methods of the DNS Record object.

(cherry picked from commit 57d0c73b877406e63bbe629ce813cccc49b8cd01)

rec: Fix RPZ default policy not being applied over IXFR

Reported by @42wim (thanks!).

(cherry picked from commit 9db6ece12afdc5703220539a8d3bde4499a2dbff)

Add test for NTA at level of TA

(cherry picked from commit b91735683ae7d4c5f5fe3a4d84fd99db862be6f5)

DNSSEC: Actually follow RFC 7646 §2.1

We were off by one when counting labels, so when an NTA was added for a
name where a TA was configured, we would still attempt validation.

Reported by @jpmens

(cherry picked from commit f418a272a9b031ea1eddf031548a16e23a35bd82)

Rec: show context lib in configure output

(cherry picked from commit 0079fda22e9f8b32e5f6727d023d0b421e5ac1e3)

Rec: support boost's fcontext in boost 1.61+

(cherry picked from commit a30361f9f07cb3c4f9ad32dc83555bc593aa3311)

Rec: Don't validate when a Lua hook took the query

This was in place for prequery, but not for nodata and the others.
Thanks to @ZaphodB for the report.

Fixes #4397

(cherry picked from commit 3ca4e7351e75e602644eb5504246f7ba446b6b73)

rec: Ignore NS records in a RPZ zone received over IXFR

They are already ignored over AXFR, but not over IXFR.
Reported and based on a patch by @42wim (thanks!).

(cherry picked from commit ed8c725224b5192367149897cfaaaf188ab0b910)

Merge pull request #4393 from rgacogne/dnsdist-110-beta-changelog

dnsdist: Update ChangeLog for 1.1.0-beta1

dnsdist: Update ChangeLog for 1.1.0-beta1

Merge pull request #4346 from mind04/anytotcp

change default for any-to-tcp to yes

Merge pull request #4305 from rgacogne/dnsdist-lua-anon

dnsdist: Add an optional Lua callback for altering a Protobuf message

Merge pull request #4350 from rgacogne/rec-tcp-gettag

rec: Call `gettag()` for TCP queries

Merge pull request #4380 from rgacogne/dnsdist-clang-ebpf

dnsdist: Fix compilation with clang when eBPF support is enabled

Merge pull request #4387 from pieterlexis/port-overflow

ComboAddress: don't allow invalid ports

Merge pull request #4379 from sspans/patch-1

Update notrack rules

ComboAddress: don't allow invalid ports

Add tests for this.

Fixes: #4382

dnsdist: Fix warnings when compiling with clang

remove hash signs

As requested by @ahupowerdns, to make copy-pasting easier.

Update notrack rules

* switch from NOTRACK to CT target (deprecated around 2012)
* add output accept for sport 53
* describe firewalld configuration for newer centos/fedora/redhat versions

```
Date: Thu, 20 Dec 2012 12:26:22 +0100
Subject: [PATCH] netfilter: xt_CT: recover NOTRACK target support

Florian Westphal reported that the removal of the NOTRACK target
(9655050 netfilter: remove xt_NOTRACK) is breaking some existing
setups.

That removal was scheduled for removal since long time ago as
described in Documentation/feature-removal-schedule.txt
```

https://patchwork.ozlabs.org/patch/207653/

dnsdist: Fix compilation with clang when eBPF is enabled

Merge pull request #4359 from pieterlexis/doc-fixes

Several documentation fixes

Merge pull request #4368 from rgacogne/rec-more-lua-bindings

rec: Fix doc for ComboAddress/Netmask Lua bindings, add missing ones

Merge pull request #4376 from rgacogne/rec-uninit-policy

rec: fix the use of an uninitialized filtering policy

Document config-dir in the manpage better

Closes #4372

rec: document edns-subnet-whitelist

Closes #4275

Rec: Fully document loglevel

closes #4209

rec: fix the use of an uninitialized filtering policy

If `wantsRPZ` is set to false by the `prerpz` hook, `dfepol` might
not be correctly initialized. This leads to `appliedPolicy` not being
either before being passed to `preresolve` and `postresolve`.

Reported by Coverity.

Merge pull request #4365 from rgacogne/dnsdist-outstanding-race

dnsdist: Reset origFD asap to keep the outstanding count correct

Merge pull request #4348 from rgacogne/dnsdist-outstanding-xfr

dnsdist: Fix invalid outstanding count for {A,I}XFR over TCP

Merge pull request #4375 from rgacogne/dnsdist-dynbpf-tuple-rga

dnsdist: tuple requires make_tuple to initialize

dnsdist: tuple requires make_tuple to initialize

Fix compilation on Ubuntu Xenial.
Reported by Christof Chen (thanks!).

Add recursor 4.0.2 secpoll

Thanks @zaphodb for noticing

slightly improve 4.0.2 recursor release notes

Merge pull request #4364 from pieterlexis/rec-4.0.2-changelog

Add Recursor 4.0.2 changelog

Add Recursor 4.0.2 changelog

doc: Clarify `gettag()` use, `dq`'s `addPolicyTag()`, `{get,set}PolicyTags()`

rec: Call `gettag()` for TCP queries

The `gettag()` hook used to be called to set a tag for the packet cache
and hence it did not make sense to call it for TCP queries, but now it
can also be used to policy tags.

rec: Fix doc for ComboAddress/Netmask Lua bindings, add missing ones

Merge pull request #4324 from rgacogne/lua-RPZ-discard-rebased

Allow Lua access to the result of the Policy Engine decision, skip RPZ

Merge pull request #3 from pieterlexis/lua-RPZ-discard-rebased-doc-update

The return value for prerpz is unused

The return value for prerpz is unused

dnsdist: Add an optional Lua callback for altering a Protobuf message

For anonymization purposes, for example.

rec: The prerpz hook didn't return anything when compiled w/o Lua

dnsdist: Reset origFD asap to keep the outstanding count correct

Previously the health check thread waited until we had finished
with the IDState to set `origFD` to -1, but:
* for the UDP client thread, the only difference it makes is that
`outstanding` will not be incremented if `origFD` is not -1,
which is not what we want since we are going to decrement it
* for the UDP responder thread, it actually increases the
likelihood of decrementing `outstanding` twice, once in the
responder threader and once in the health check thread.

This was especially likely to be an issue because the health check
thread used to call `gettime()` and to acquire a mutex before
setting `origFD` to -1.

Merge pull request #4360 from 42wim/systemd

Make sure mariadb (mysql on centos/rhel) is started before pdns

Merge pull request #4356 from rgacogne/auth-nocachelookup-tsig

auth: Don't look up the packet cache for TSIG-enabled queries

fix subtle bug in findNamedPolicy

Revert "Recursor: Always log EDNS clientsubnet in trace"

This reverts commit 601b188c559fb9d58392bc2115ddd583225ee52c.

`dc->d_ednssubnet` is only available when protobuf support is enabled.

rec: Fix rec_control man page tests

Fix counting of `rec_control help` elements and grep syntax

Recursor config for the regression tests is still in configs

Fix hardcoded prefix in auth-zone-delegation test

Actually fail on failed recursor tests

Fix hardcoded prefix in lowercase-outgoing test

recursor regression tests: have the socket live in /tmp

Recursor tests: we use bashisms now

Recursor tests: Fail on failed tests

Add regression tests for prerpz

Add documentation for the `prerpz` hook

`protobufLogQuery()` never actually gets an applied policy

Minor indentation fixes in `loadRecursorLuaConfig()`

rec: Add a 'prerpz' hook to be able to discard selected RPZ policies

RPZ: Tests for wantsRPZ override, NSDNAME and NSIP

RPZ: Implement NSDNAME and NSIP RPZ capabilities

Closes #2897

This also adds an extra bool 'wantsRPZ' to the Lua engine so RPZ
processing can be disabled for queries (Closes #4226).

Furthermore, IPv6 for RPZ is implemented.

RPZ: Add metrics for the Policy Engine

Closes #2895

RPZ tests: add test for #4086

Add RPZ lua tests