auth: Fix a possible memory leak in the webserver

Also state clearly that we advise against running the webserver
without password protection.

Reported by mongo (thanks!).

(cherry picked from commit bea69e320e7f3ec4b9e607f6492a58f01b4fe9bf)

Merge pull request #4558 from mind04/auth-4.0.x

Auth 4.0.x backports

Merge pull request #4586 from rgacogne/backport-4544

Backport #4544: auth: Fix a stack-based off-by-one write in the HTTP remote backend

auth: Fix a stack-based off-by-one write in the HTTP remote backend

Reported by mongo (thanks!).

(cherry picked from commit 9e5fa399eea5152a451753f1db68dec46537447c)

Merge pull request #4523 from zeha/backport-4459

Backport #4459: plugs memory leak in postgresql backend

Merge pull request #4543 from zeha/api-search-no-ents-40x

Backport of #4542: API: search should not return ENTs

API: search should not return ENTs

This should also fix #4534, when backported.

fix a few 'types may not be defined in a for-range-declaration' warnings

add gcc 6.2 to boost.m4

eleksir noted that we leak a ton of memory in postgresql. I'm no postgres expert, but this plugs my leak and still appears to function. In other news, do we need a transaction for every query?

(cherry-picked from master 903bb4924bc5130c0e81f0c5759d0177f53e82fd)

disable negative getSOA caching if the negcache_ttl is 0

fix up packetcache not to use constexpr which upset clang (perhaps it is right)

document cache cleaning rate adjustment, plus switch to symbolic names for limits

adaptive packetcache cleaning interval

remove some outdated comments in packetcache.cc

remove unnecessary locking in packetcache

update packetcache size in insert()

Merge pull request #4452 from pieterlexis/backport-4319

Backport #4319: pipe: SERVFAIL when needed:

Merge pull request #4453 from pieterlexis/backport-4442

Backport #4442: geoipbackend: Fix minor naming issue

Merge pull request #4451 from pieterlexis/backport-4407

Backport #4407: Fix warning: types may not be defined in a for-range-declaration

Merge pull request #4454 from pieterlexis/backport-4371

pdnsutil: create-slave-zone accept multiple masters

pdnsutil: create-slave-zone accept multiple masters

(cherry picked from commit af3a3769097ed43b8a1ebc623a6697f668f9f4c5)

geoipbackend: Fix minor naming issue

(cherry picked from commit d0f81f040c6ef6dfc6d84471c084a1a86ce18e4e)

Fix warning: types may not be defined in a for-range-declaration

As emitted by gcc 6.2.0 20160830 (Debian 6.2.0-2)

(cherry picked from commit 8ce9e4e67dbe8ce2cf546f5f549c3fb638946c56)

pipe: SERVFAIL when needed:

 * SERVFAIL, but don't restart the coprocess if we get a FAIL.
 * SERVFAIL if the coprocess sends something we don't understand.
   * In this case, restart the coprocess.

Closes #4308

(cherry picked from commit 6e0daabf5d93bd240c4c3a5ba5afcb843686f3b8)

Merge pull request #4410 from pieterlexis/auth-4.0-autoconf-modules-no

Backport #4405: allow --without-modules

Merge pull request #4421 from pieterlexis/auth-backport-4403

Backport #4403: (auth) Fix build with OpenSSL 1.1.0 final

Merge pull request #4423 from pieterlexis/backport-4306

Backport #4306: limit size of mysql cell to 128 kilobytes

limit size of mysql cell to 128 kilobytes

(cherry picked from commit 9acd983b8de33c3d2d70a8cb0c9e3bdc2adca7a9)

Bump version requirement for CRYPTO_ctr128_encrypt

While CRYPTO_ctr128_encrypt should be available in 1.0.1,
apparently in some library builds (Ubuntu) one can not link
against it.

(cherry picked from commit 3e4b01664660f1a8d9564508843a7e51b8f7549e)

Fix build with OpenSSL 1.1.0 final

Where aes.h apparently no longer includes opensslv.h.

(cherry picked from commit e6fc073faf3b1d9b4da301821da40dff33186057)

Auth: allow --with-(dyn-)modules=no

Fixes #4399

Auth: remove unused AC_DEFINE

auth: remove autoconf leftover from before the split

Merge pull request #4393 from rgacogne/dnsdist-110-beta-changelog

dnsdist: Update ChangeLog for 1.1.0-beta1

dnsdist: Update ChangeLog for 1.1.0-beta1

Merge pull request #4346 from mind04/anytotcp

change default for any-to-tcp to yes

Merge pull request #4305 from rgacogne/dnsdist-lua-anon

dnsdist: Add an optional Lua callback for altering a Protobuf message

Merge pull request #4350 from rgacogne/rec-tcp-gettag

rec: Call `gettag()` for TCP queries

Merge pull request #4380 from rgacogne/dnsdist-clang-ebpf

dnsdist: Fix compilation with clang when eBPF support is enabled

Merge pull request #4387 from pieterlexis/port-overflow

ComboAddress: don't allow invalid ports

Merge pull request #4379 from sspans/patch-1

Update notrack rules

ComboAddress: don't allow invalid ports

Add tests for this.

Fixes: #4382

dnsdist: Fix warnings when compiling with clang

remove hash signs

As requested by @ahupowerdns, to make copy-pasting easier.

Update notrack rules

* switch from NOTRACK to CT target (deprecated around 2012)
* add output accept for sport 53
* describe firewalld configuration for newer centos/fedora/redhat versions

```
Date: Thu, 20 Dec 2012 12:26:22 +0100
Subject: [PATCH] netfilter: xt_CT: recover NOTRACK target support

Florian Westphal reported that the removal of the NOTRACK target
(9655050 netfilter: remove xt_NOTRACK) is breaking some existing
setups.

That removal was scheduled for removal since long time ago as
described in Documentation/feature-removal-schedule.txt
```

https://patchwork.ozlabs.org/patch/207653/

dnsdist: Fix compilation with clang when eBPF is enabled

Merge pull request #4359 from pieterlexis/doc-fixes

Several documentation fixes

Merge pull request #4368 from rgacogne/rec-more-lua-bindings

rec: Fix doc for ComboAddress/Netmask Lua bindings, add missing ones

Merge pull request #4376 from rgacogne/rec-uninit-policy

rec: fix the use of an uninitialized filtering policy

Document config-dir in the manpage better

Closes #4372

rec: document edns-subnet-whitelist

Closes #4275

Rec: Fully document loglevel

closes #4209

rec: fix the use of an uninitialized filtering policy

If `wantsRPZ` is set to false by the `prerpz` hook, `dfepol` might
not be correctly initialized. This leads to `appliedPolicy` not being
either before being passed to `preresolve` and `postresolve`.

Reported by Coverity.

Merge pull request #4365 from rgacogne/dnsdist-outstanding-race

dnsdist: Reset origFD asap to keep the outstanding count correct

Merge pull request #4348 from rgacogne/dnsdist-outstanding-xfr

dnsdist: Fix invalid outstanding count for {A,I}XFR over TCP

Merge pull request #4375 from rgacogne/dnsdist-dynbpf-tuple-rga

dnsdist: tuple requires make_tuple to initialize

dnsdist: tuple requires make_tuple to initialize

Fix compilation on Ubuntu Xenial.
Reported by Christof Chen (thanks!).

Add recursor 4.0.2 secpoll

Thanks @zaphodb for noticing

slightly improve 4.0.2 recursor release notes

Merge pull request #4364 from pieterlexis/rec-4.0.2-changelog

Add Recursor 4.0.2 changelog

Add Recursor 4.0.2 changelog

doc: Clarify `gettag()` use, `dq`'s `addPolicyTag()`, `{get,set}PolicyTags()`

rec: Call `gettag()` for TCP queries

The `gettag()` hook used to be called to set a tag for the packet cache
and hence it did not make sense to call it for TCP queries, but now it
can also be used to policy tags.

rec: Fix doc for ComboAddress/Netmask Lua bindings, add missing ones

Merge pull request #4324 from rgacogne/lua-RPZ-discard-rebased

Allow Lua access to the result of the Policy Engine decision, skip RPZ

Merge pull request #3 from pieterlexis/lua-RPZ-discard-rebased-doc-update

The return value for prerpz is unused

The return value for prerpz is unused

dnsdist: Add an optional Lua callback for altering a Protobuf message

For anonymization purposes, for example.

rec: The prerpz hook didn't return anything when compiled w/o Lua

dnsdist: Reset origFD asap to keep the outstanding count correct

Previously the health check thread waited until we had finished
with the IDState to set `origFD` to -1, but:
* for the UDP client thread, the only difference it makes is that
`outstanding` will not be incremented if `origFD` is not -1,
which is not what we want since we are going to decrement it
* for the UDP responder thread, it actually increases the
likelihood of decrementing `outstanding` twice, once in the
responder threader and once in the health check thread.

This was especially likely to be an issue because the health check
thread used to call `gettime()` and to acquire a mutex before
setting `origFD` to -1.

Merge pull request #4360 from 42wim/systemd

Make sure mariadb (mysql on centos/rhel) is started before pdns

Merge pull request #4356 from rgacogne/auth-nocachelookup-tsig

auth: Don't look up the packet cache for TSIG-enabled queries

fix subtle bug in findNamedPolicy

Revert "Recursor: Always log EDNS clientsubnet in trace"

This reverts commit 601b188c559fb9d58392bc2115ddd583225ee52c.

`dc->d_ednssubnet` is only available when protobuf support is enabled.

rec: Fix rec_control man page tests

Fix counting of `rec_control help` elements and grep syntax

Recursor config for the regression tests is still in configs

Fix hardcoded prefix in auth-zone-delegation test

Actually fail on failed recursor tests

Fix hardcoded prefix in lowercase-outgoing test

recursor regression tests: have the socket live in /tmp

Recursor tests: we use bashisms now

Recursor tests: Fail on failed tests

Add regression tests for prerpz

Add documentation for the `prerpz` hook

`protobufLogQuery()` never actually gets an applied policy

Minor indentation fixes in `loadRecursorLuaConfig()`

rec: Add a 'prerpz' hook to be able to discard selected RPZ policies

RPZ: Tests for wantsRPZ override, NSDNAME and NSIP

RPZ: Implement NSDNAME and NSIP RPZ capabilities

Closes #2897

This also adds an extra bool 'wantsRPZ' to the Lua engine so RPZ
processing can be disabled for queries (Closes #4226).

Furthermore, IPv6 for RPZ is implemented.

RPZ: Add metrics for the Policy Engine

Closes #2895

RPZ tests: add test for #4086

Add RPZ lua tests

Add basic RPZ tests

Allow Lua to modify the RPZ decision

in preResolve() and postResolve(), the user can now modify the whole
appliedPolicy. For clarity, the appliedPolicy elements have been named
policySomething. one can set the policyKind with the helper
pdns.policykinds.Name.

When the query is not marked as 'handled' by the Lua function, the
(possibly modified) policy is applied to the query.

RPZ: Always set the policy name

For slaved zones, set it to the name of the zone by default. For
file-based RPZs, use "rpzFile";

RPZ: filter correctly by name

Closes #4086

pdns_recursor.cc: Move comment to the right place

Recursor: Always log EDNS clientsubnet in trace