Merge pull request #5378 from mind04/backports-40

Backports to rel/auth-4.0.x

auth: fix override in lua backend

auth: reanimate opendbx backend

auth: make sure Lua axfrfilter() does not insert out of zone data

auth: some small rectify improvements

auth: make sure upcase qnames do not confuse rectify or axfr

auth: make sure all qnames entering pdns via axfr are properly lowered

add makeUsRelative() to DNSName class

auth: test to make sure ordername is always lower case

auth: ignore NSEC3PARAM in an unsigned zone

auth: keep slave dnssec status in sync with the master

Merge pull request #5346 from shinsterneck/backport-5335-auth-4.0.x

Backport of #5335 to auth-4.0.x: configure.ac: corrects syntax error in test statement on existance of libcrypto_ecdsa

corrects syntax error in test statement on existance of libcrypto_ecdsa

(cherry picked from commit 8189c881e5ebaa13f5f14d9345335d656bd34e43)

Merge pull request #5341 from shantikulkarni/rel/auth-4.0.x

Fix typo in ldapbackend.cc from issue #5091

Update ldapbackend.cc

Merge pull request #5297 from mind04/backport

Backport to stable

Merge pull request #5325 from rgacogne/auth40-yahttp-backports

auth-4.0.x: YaHTTP: Sync with upstream changes

YaHTTP: Sync with upstream changes

Backport changes from upstream up to c5b83288a4c2f8ec07cb8cb7bd150f2210db67b6
"Add missing `YaHTTP::isdigit()`, fix locale-enabled versions"

Merge pull request #5298 from mind04/notify-dnsupdate40

Notify dnsupdate backport

Merge pull request #5317 from mind04/axfr-filter40

backport: add option to set a global lua-axfr-script value

Always wrap DNSCryptoKeyEngine objects in a shared pointer

It's done almost everywhere, but not quite, and some of the paths
where it's not could leak if an exception is raised.
Also mark the overridden virtual methods with `override` to prevent
future mistakes.

(cherry picked from commit e69c2dac28d798813dd8e4a986c5045c63806ef0)

auth: add option to set a global lua-axfr-script value

Merge pull request #5289 from mind04/auth-4.0.x-nsec

Auth 4.0.x nsec sorting

Add support for "NONE" SOA-EDIT kind

Setting the "SOA-EDIT" value for a zone to "NONE" causes an error:
'SOA-EDIT type 'NONE' for zone ZONENAME is unknown.'

remove latency from regression-tests.nobackend counters

Send a notification to all slave servers after every update.
This will speed up the propagation of changes and is very useful for acme verification.

fix memory leak in gmysql backend

detect gcc/g++ 5.4, 7.0 and 7.1

update Ed25519 algorithm number and mnemonic
http://www.iana.org/assignments/dns-sec-alg-numbers/dns-sec-alg-numbers.xhtml

minor cleanup in the afxr-rectify code

fix a regression in axfr-rectify introduced by commit d86e1bf7

update tinydns data files

signpipe stumbles over interrupted rrsets

sort tinydns data to reduce size of future diffs

auth: Don't leak on signing errors during outgoing AXFR

auth: Create additional `reuseport` sockets before dropping privileges

Add GCC 6.3 to boost.m4

auth: forget minimal... let's make this shiny ;)

auth: lowercase qname before NSEC generation

auth: add test to make sure NSEC(3) generation is case insensitive

test result before fix (auth-4.0.3):

--- ./tests/nsecx-upcase/expected_result        2017-05-03 21:17:26.000000000 +0200
+++ ./tests/nsecx-upcase/real_result    2017-05-03 21:29:10.231994921 +0200
@@ -2,8 +2,10 @@
 0      Z1234567890.wtest.com.  IN      RRSIG   3600    CNAME 13 2 3600 [expiry] [inception] [keytag] wtest.com. ...
 0      server1.wtest.com.      IN      A       3600    1.2.3.4
 0      server1.wtest.com.      IN      RRSIG   3600    A 13 3 3600 [expiry] [inception] [keytag] wtest.com. ...
-1      a.something.wtest.com.  IN      NSEC    86400   wtest.com. A RRSIG NSEC
-1      a.something.wtest.com.  IN      RRSIG   86400   NSEC 13 4 86400 [expiry] [inception] [keytag] wtest.com. ...
+1      *.wtest.com.    IN      NSEC    86400   e.wtest.com. CNAME RRSIG NSEC
+1      *.wtest.com.    IN      RRSIG   86400   NSEC 13 2 86400 [expiry] [inception] [keytag] wtest.com. ...
 2      .       IN      OPT     32768
 Rcode: 0 (No Error), RD: 0, QR: 1, TC: 0, AA: 1, opcode: 0
 Reply to question for qname='Z1234567890.wtest.com.', qtype=A
./tests/nsecx-upcase/unbound-host.out:Z1234567890.wtest.com is an alias for server1.wtest.com. (BOGUS (security failure))
./tests/nsecx-upcase/unbound-host.out:server1.wtest.com has address 1.2.3.4 (BOGUS (security failure))

Merge pull request #5189 from Habbie/backport-4715

Backport: Specify that dnsmessage.proto uses protobuf version 2

Specify that dnsmessage.proto uses protobuf version 2

Recent proto-c versions are complaining loudly otherwise.

Merge pull request #5184 from Habbie/backport-4839

Backport 4839

Merge pull request #5176 from rgacogne/auth40-backport-5049

Backport 5049: Minor fixes based on Coverity's report

Merge pull request #5173 from rgacogne/auth40-backport-5101

Backport #5101: Fix minor issues reported by `cppcheck`

add required unbound version to the ent-asterisk test description

nsec ent-asterisk test is no longer bogus with unbound 1.6.0

Merge pull request #5175 from rgacogne/auth40-backport-5130

Backport #5130: dnsreplay: Add `--source-ip` and `--source-port` options

Merge pull request #5174 from rgacogne/auth40-backport-5085

Backport #5085: calidns: Use the correct socket family (IPv4 / IPv6)

Merge pull request #5170 from mind04/auth-4.0.x

Backport: Add an option to allow AXFR of zones with a different (higher/lower) serial #5169

Add an option to allow AXFR of zones with a different serial.

Fix coverity nits

(cherry picked from commit f6a8107761b40efcf7512e9aec9a75d1ba1de703)

Catch exceptions in destructors

(cherry picked from commit 737a287f2d73b1e5f7f0378d9ccb2ddb389f9299)

dnsreplay: Add `--source-ip` and `--source-port` options

(cherry picked from commit 658b9c44802ae9791e8ce06a38a9ff84647d9463)

calidns: Use the correct socket family (IPv4 / IPv6)

(cherry picked from commit 7f363f60451fa8e54508c2628be122a8eb021b53)

Fix minor issues reported by `cppcheck`

(cherry picked from commit d7c676a5d42d5d7e5078a8662d355c9a782bdb51)

Merge pull request #5073 from Habbie/backport-4824

Backport #4824: Check in the detected OpenSSL/libcrypto for ECDSA

Merge pull request #5071 from Habbie/backport-5051

backport #5051: fix godbc query logging (cherry-pick of d2bc6b2)

Backport #4824 (cherry-pick of 2a4c374)

Check in the detected OpenSSL/libcrypto for ECDSA

We used to 'just' use the default includes for this detection.

Fixes #4680

fix godbc query logging (cherry-pick of d2bc6b2)

Merge pull request #4932 from zeha/auth40-api-comment-zero-ttl

Backport #4781: API: correctly take TTL from first record even if we are at the last comment

Merge pull request #4934 from rgacogne/auth40-backport-4901

Backport #4901: Fix AtomicCounter unit tests on 32-bit

Merge pull request #4936 from rgacogne/auth40-backport-4911

Backport #4911: Fix negative port detection for IPv6 addresses on 32-bit

Merge pull request #5048 from rgacogne/auth40-backport-4744

backport #4744: Handle exceptions raised by `closesocket()`

Merge pull request #5046 from rgacogne/auth40-backport-4746

backport #4746: auth: Fix coverity warning in `pdnsutil show-zone`

auth: Fix coverity warning in `pdnsutil show-zone`

(cherry picked from commit 0944e3fc8333686767678eadb80fb0236fdc5fba)

Handle exceptions raised by `closesocket()`

This was not very well handled, and could cause the PowerDNS process
to terminate. This is especially nasty when `closesocket()` is called
from a destructor, as we could already be dealing with an exception.

(cherry picked from commit a7b68ae7e414ec9f3184df70ac8008f8a310ae60)

Merge pull request #5033 from pieterlexis/auth-backport-4508

Backport #4508: Revert "Merge pull request #947 from mind04/right" (auth)

Merge pull request #5032 from pieterlexis/backport-4463

Backport #4463: build Bind backend for CentOS 6

Merge pull request #5029 from pieterlexis/backport-4500

Backport #4500: Silence a GCC 6.2 compiler warning

Merge pull request #5027 from pieterlexis/backport-4622

Backport #4622: API dot-inconsistencies

Merge pull request #5026 from pieterlexis/backport-4684

Backport #4684: Clarify pdnsutil activate-tsig-key description

Merge pull request #5024 from pieterlexis/auth-backport-4762

Backport #4762: SuffixMatchNode: Fix insertion issue for an existing node (auth)

Merge pull request #5019 from pieterlexis/auth-backport-4793

Backport #4793: Don't call `hostname -f` on openbsd (auth)

Merge pull request #5016 from pieterlexis/auth-backport-4838

backport #4838: Check if we can link against libatomic if needed (auth)

Merge pull request #5015 from pieterlexis/backport-4861

Backport #4861: Do not resolve the NS-records for NOTIFY targets if the "only-notify"…

Merge pull request #5013 from pieterlexis/auth-backport-4868

Backport #4868: Document that carbon-server requires IP address, no hostname accepted. (auth)

Merge pull request #5011 from pieterlexis/auth-backport-4879

Backport #4879: Remove a relative import in yahttp-config.h (auth)

Revert "Merge pull request #947 from mind04/right"

This code only served to fix a combination of system misconfiguration and a
bug in glibc. Meanwhile it turns out this code is incorrect. Removing it.

(cherry picked from commit c96765dae8da4c9322ca4a80e3e101d64faf141f)

Auth: build Bind backend for CentOS 6

Silence a GCC 6.2 compiler warning

Closes #5007

(cherry picked from commit f226db2f2c12a2c0c16b3125a0438d9aca0d017c)

According to IRC, this should fix #4621

(cherry picked from commit 8f95565346ba5dcc7d26fbd4165da7d9c7faf362)

Clarify pdnsutil activate-tsig-key description

This clarifies the description of pdnsutil {de,}activate-tsig-key.
The command enables TSIG authenticated AXFR for a given zone + key,
which was not clear from the previous description.

(cherry picked from commit ad7568d52bdd29eb708e16176f8b410f0e07b891)

SuffixMatchNode: Fix insertion issue for an existing node

If the node we are about to insert already existed as an intermediary
one, we need to mark it as an end node.

(cherry picked from commit ed221d0bc700158c21fcb8fc4463085713d07c53)

Don't call `hostname -f` on openbsd

Closes #2579

(cherry picked from commit df925537cfe0a4706b85353376da6f12996871bb)

Check if we can link against libatomic if needed

Also move the OS detection to the top

(cherry picked from commit 03571f7ac3d5bebb4879849b094e2e03f019cd10)

Do not resolve the NS-records for NOTIFY targets if the "only-notify" whitelist is empty, as a target will never match an empty whitelist.

(cherry picked from commit 99844905a8abcab33a3b8ed42d3a49f2e419a310)

Document that carbon-server requires IP address, no hostname accepted.

(cherry picked from commit e12f84078798343e9749864cdeee44e68c4a81e6 and 90217d3960e3ee439405989b78fdf7e810d562f2)

Remove a relative import in yahttp-config.h

We set our include directories nowadays.

Closes #4866 (again)

(cherry picked from commit 4c3c83f3bc1eecd82d09e1e527108fae98ce1fda)

Merge pull request #4971 from rgacogne/auth40-tsig-canonical-algo

Backport #4961: Lowercase the TSIG algorithm name in hash computation

Lowercase the TSIG algorithm name in hash computation

`RFC2845` states that the algorithm name should be in `canonical wire
format` for the hash computation, which implies it should be lowercased.
We actually did lowercase it in 3.x, until it was moved to a `DNSName`
in 4.x.

(cherry picked from commit 68e9d647d4229c7a2ebd64d50837195d148c574b)

Fix negative port detection for IPv6 addresses on 32-bit

On a 32-bit Arch, our `test_ComboAddress` unit test fails because
`ComboAddress("[::1]:-6")` is considered valid. This is caused by
`stoul()` not throwing for a negative value and returning an `unsigned
long` value using unsigned integer wraparound rules. Since we used to
store the result value in a `signed int` and treat negative values
as if the port was not set, the test failed.

Fix AtomicCounter unit tests on 32-bit

(cherry picked from commit 00c6f2b9f5173c98cc883332f5ecf8b941715abc)

Backport #4781: API: correctly take TTL from first record even if we are at the last comment

Cherry picked from master 50d739d0ae978b8b0b737b079992744ff8aa126d

Merge pull request #4906 from rgacogne/auth40-revert-4638

Backport #4905: Revert "auth: In `Bind2Backend::lookup()`, use the `zoneId` when we have it"

Revert "auth: In `Bind2Backend::lookup()`, use the `zoneId` when we have it"

This reverts commit 937a66255ff05f2e754ef113833e54cc4cf2004b.
It doesn't work with multiple backends since the `zoneId` is passed to
every available backend on `lookup()`.

(cherry picked from commit 98b9845f2dae3a9fecc64aecaf41150b54388d26)

Merge pull request #4904 from pieterlexis/auth-4-centos-6-rpm-bind-backend

Backport #4903: Build the bind backend for CentOS 6 differently

Build the bind backend for CentOS 6 differently

Closes #4669
Closes #4902

Merge pull request #4895 from rgacogne/auth40-tsig-ixfr

Backport #4893: Check TSIG signature on IXFR

Check TSIG signature on IXFR

(cherry picked from commit 16c7f7823221d5d75282a77b2e9043b3f60e1ad2)