Make the negcache forwarded zones aware

Because of DNSSEC (without NTAs configured), we 'leak' the forwarded
name to the cache when looking for the DNSKEY. This resulted in NXDOMAIN
answers for actual NXDOMAINs, but with the root SOA record. Leading to
inconsistent answers to the client.

Merge pull request #4359 from pieterlexis/doc-fixes

Several documentation fixes

Merge pull request #4368 from rgacogne/rec-more-lua-bindings

rec: Fix doc for ComboAddress/Netmask Lua bindings, add missing ones

Merge pull request #4376 from rgacogne/rec-uninit-policy

rec: fix the use of an uninitialized filtering policy

Document config-dir in the manpage better

Closes #4372

rec: document edns-subnet-whitelist

Closes #4275

Rec: Fully document loglevel

closes #4209

rec: fix the use of an uninitialized filtering policy

If `wantsRPZ` is set to false by the `prerpz` hook, `dfepol` might
not be correctly initialized. This leads to `appliedPolicy` not being
either before being passed to `preresolve` and `postresolve`.

Reported by Coverity.

Merge pull request #4365 from rgacogne/dnsdist-outstanding-race

dnsdist: Reset origFD asap to keep the outstanding count correct

Merge pull request #4348 from rgacogne/dnsdist-outstanding-xfr

dnsdist: Fix invalid outstanding count for {A,I}XFR over TCP

Merge pull request #4375 from rgacogne/dnsdist-dynbpf-tuple-rga

dnsdist: tuple requires make_tuple to initialize

dnsdist: tuple requires make_tuple to initialize

Fix compilation on Ubuntu Xenial.
Reported by Christof Chen (thanks!).

Add recursor 4.0.2 secpoll

Thanks @zaphodb for noticing

slightly improve 4.0.2 recursor release notes

Merge pull request #4364 from pieterlexis/rec-4.0.2-changelog

Add Recursor 4.0.2 changelog

Add Recursor 4.0.2 changelog

rec: Fix doc for ComboAddress/Netmask Lua bindings, add missing ones

Merge pull request #4324 from rgacogne/lua-RPZ-discard-rebased

Allow Lua access to the result of the Policy Engine decision, skip RPZ

Merge pull request #3 from pieterlexis/lua-RPZ-discard-rebased-doc-update

The return value for prerpz is unused

The return value for prerpz is unused

rec: The prerpz hook didn't return anything when compiled w/o Lua

dnsdist: Reset origFD asap to keep the outstanding count correct

Previously the health check thread waited until we had finished
with the IDState to set `origFD` to -1, but:
* for the UDP client thread, the only difference it makes is that
`outstanding` will not be incremented if `origFD` is not -1,
which is not what we want since we are going to decrement it
* for the UDP responder thread, it actually increases the
likelihood of decrementing `outstanding` twice, once in the
responder threader and once in the health check thread.

This was especially likely to be an issue because the health check
thread used to call `gettime()` and to acquire a mutex before
setting `origFD` to -1.

Merge pull request #4360 from 42wim/systemd

Make sure mariadb (mysql on centos/rhel) is started before pdns

Merge pull request #4356 from rgacogne/auth-nocachelookup-tsig

auth: Don't look up the packet cache for TSIG-enabled queries

fix subtle bug in findNamedPolicy

Revert "Recursor: Always log EDNS clientsubnet in trace"

This reverts commit 601b188c559fb9d58392bc2115ddd583225ee52c.

`dc->d_ednssubnet` is only available when protobuf support is enabled.

rec: Fix rec_control man page tests

Fix counting of `rec_control help` elements and grep syntax

Recursor config for the regression tests is still in configs

Fix hardcoded prefix in auth-zone-delegation test

Actually fail on failed recursor tests

Fix hardcoded prefix in lowercase-outgoing test

recursor regression tests: have the socket live in /tmp

Recursor tests: we use bashisms now

Recursor tests: Fail on failed tests

Add regression tests for prerpz

Add documentation for the `prerpz` hook

`protobufLogQuery()` never actually gets an applied policy

Minor indentation fixes in `loadRecursorLuaConfig()`

rec: Add a 'prerpz' hook to be able to discard selected RPZ policies

RPZ: Tests for wantsRPZ override, NSDNAME and NSIP

RPZ: Implement NSDNAME and NSIP RPZ capabilities

Closes #2897

This also adds an extra bool 'wantsRPZ' to the Lua engine so RPZ
processing can be disabled for queries (Closes #4226).

Furthermore, IPv6 for RPZ is implemented.

RPZ: Add metrics for the Policy Engine

Closes #2895

RPZ tests: add test for #4086

Add RPZ lua tests

Add basic RPZ tests

Allow Lua to modify the RPZ decision

in preResolve() and postResolve(), the user can now modify the whole
appliedPolicy. For clarity, the appliedPolicy elements have been named
policySomething. one can set the policyKind with the helper
pdns.policykinds.Name.

When the query is not marked as 'handled' by the Lua function, the
(possibly modified) policy is applied to the query.

RPZ: Always set the policy name

For slaved zones, set it to the name of the zone by default. For
file-based RPZs, use "rpzFile";

RPZ: filter correctly by name

Closes #4086

pdns_recursor.cc: Move comment to the right place

Recursor: Always log EDNS clientsubnet in trace

lua-recursor4.cc: whitespace fixes

Merge pull request #4163 from pieterlexis/license-woes

More licensing everywhere

Merge pull request #4357 from pieterlexis/root-dnssec-data-to-header

Move the root DNSSEC data to a header file

Merge pull request #4288 from rgacogne/rec-async-protobuf-startup

rec: Respect the timeout when connecting to a protobuf server

Merge pull request #4318 from rgacogne/rec-anonymize-protobuf-ecs

rec: Anonymize the protobuf ECS value as well

Merge pull request #4354 from rgacogne/rec-delegation-only

rec: Fix delegation-only

Merge pull request #4351 from pieterlexis/issue-4343-rec-rpz-source-addr

RPZ: Use query-local-address(6) by default

Merge pull request #4340 from ahupowerdns/cnamesfirst

Recursor would shuffle CNAME records until after the name they referred to.

Make sure mariadb (mysql on centos/rhel) is started before pdns

log expired rrsig on dnskeys

Merge pull request #4349 from rgacogne/remove-unused-dnspacket-dqlen

Remove unused `DNSPacket::d_qlen`

Move the root DNSSEC data to a header file

Fixes #4253

Merge pull request #4175 from skoef/queryLogging

dnsdist: implemented query counting

auth: Don't look up the packet cache for TSIG-enabled queries

We are rightfully careful about not caching responses for TSIG-enabled
queries, but we would nevertheless happily serve cached entries for those.

dnsdist: implemented query counting

RPZ: Use query-local-address(6) for IXFR as well

rec: Fix delegation-only

* use a unordered_set instead of a `SuffixMatchNode`
* allow RRSIG and DNSKEY from delegation-only servers

dnsdist: Fix invalid outstanding count for {A,I}XFR over TCP

RPZ: Use query-local-address(6) by default

Add localAddress to rpzMaster options to allow override.

Fixes #4343

Remove unused `DNSPacket::d_qlen`

Merge pull request #4334 from pieterlexis/doc-getRaw

recursor Lua: Document ComboAddress:getRaw()

Merge pull request #4335 from mind04/tsig

fix TSIG for single thread distributor

so what broke the ordering was the RRSIGs interspersed with the answers. With this commit, RRSIGs get explicitly put at the back, and also not shuffled
within the actual answer records.

The PowerDNS Recursor shuffles answers randomly, so no single A record gets overloaded. This logic also took care not to shuffle a CNAME record until after the name it points to, because we theorized this would upset some resolvers.
Our logic however assumed all the CNAMEs would initially be at the front of the packet. We'd start our shuffling after skipping all the CNAMEs up front. It now turns out that sometimes we end up with a 'CNAME A CNAME A' packet to shuffle.
This would happily shuffle the last three records. With this PR, we put the CNAMEs up front explicitly before commencing the shuffle. Closes #4339.

Still to be investigated: why didn't this bite us before?

rec: Add a `asyncConnect` option to `protobufServer()`

rec: Respect the timeout when connecting to a protobuf server

recursor Lua: Document ComboAddress:getRaw()

Merge pull request #4325 from pieterlexis/dnsdist-pkg-more-features

Build dnsdist packages with libre2 and DNSCrypt support (where available)

Merge pull request #4284 from rgacogne/dnsdist-response-delay

dnsdist: Add RCodeRule(), Allow, Delay and Drop response actions

Merge pull request #4326 from zeha/api-example-fix

Fix broken HTTP API example for AAAA

Merge pull request #4251 from rgacogne/dnsdist-website-optional-deps

dnsdist: Document protobuf and re2 as optional deps

Merge pull request #4068 from rgacogne/dnsdist-ebpf-web

dnsdist: Display the dyn eBPF filters stats in the web interface

dnsdist: build pkgs with dnscrypt and re2 support

Only for distros where libsodium and libre2 are recent enough.

Merge pull request #4116 from skoef/netmaskGroupRuleLocalAddr

added src boolean to NetmaskGroupRule to match destination address

dnsdist: Add RCodeRule(), Allow, Delay and Drop response actions

Merge pull request #4286 from rgacogne/dnsdist-response-rules-api

dnsdist: Add response rules to the API and Web status page

Standardize license text in all PDNS files

More licensing everywhere

Closes #4148

Merge pull request #4329 from wessels/master

Add options to LogAction() so it can append (instead of truncate) and…

Forgot to add [append] and [buffered] parameters to LogAppend() description

We don't need to keep d_append and d_buffered around, since they
are only used in the constructor.

Merge pull request #4323 from ahupowerdns/dnsname-lowercase

with this change, DNSName can make a lowercase copy of itself, and we use this for speedup

Add options to LogAction() so it can append (instead of truncate) and write without buffering.

Was so happy to discover LogAction() but disappointed that it truncates
the file each time the process starts, and apparently doesn't flush the
file upon exiting.  With two new optional args, the file can be appended
rather than truncated and buffering disabled.  The defaults remain as
before, which is to say to truncate and to buffer.

Fix broken HTTP API example for AAAA

dnsdist: Allow re2 detection without .pc file

malloctrace would crash if you asked it for more topAllocators than there were

with this change, DNSName can make a lowercase copy of itself, and we make dnssecsigner.cc use that instead of round-tripping through human-escape presentation for lowercasing.
Includes a test

fix up speedtest compilation

Merge pull request #4317 from ahupowerdns/root-performance

Root performance fixes after tests by Anand