bump version to 1.4.6

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

update acme.sh plugins to 3.0.6

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 1.4.5

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

d/lintian-overrides: adapt to new bracketed format

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

d/control: define compat level via build-depends and raise to 13

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

d/control: document standards conformance with 4.6.2

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

buildsys: expand clean target

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

buildsys: add convenience target for sbuild

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

buildsys: automatically dervice upload dist

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

buildsys: use simple parenthesis for variables

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

d/copyright: update years

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 1.4.4

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

tests: add non-word boundary to present functions

noticed that _clearaccountconf_mutable is used in dns_cf.sh, but not
present (it gets masked since we provide _clearaccountconf)

tested with this example.

additionally update missing-functions.expected - _error is not
present in upstream `acme.sh` but used in dns_aws.sh (I expect an
error which is only hit very seldomly)

Signed-off-by: Stoiko Ivanov <s.ivanov@proxmox.com>

proxmox-acme: add empty _clearaccountconf_mutable helper

it is used by dns_cf.sh.
reported in our community forum:
https://forum.proxmox.com/threads/.122961/

Signed-off-by: Stoiko Ivanov <s.ivanov@proxmox.com>

build: add missing build-dependencies

there's a build cycle between proxmox-acme and pve-common, but proxmox-acme
only uses it for `make check`, so it's possible to break the cycle by using the
nocheck build profile when bootstrapping.

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

schema: update acme-dns plugin parameter names

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 1.4.3

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

proxmox-acme: add _isRSA and _isEcc helpers

the _isRSA one is used by the new yc plugin, but doesn't hurt much to
already include the very similar Ecc one too.

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

update acme.sh dns api to v3.0.5 and update schema for new/removed plugins

added:
  - bunny
  - cpanel
  - curanet
  - dnshome
  - dnsservices
  - fornex
  - geoscaling
  - la
  - mythic_beasts
  - rage4
  - selfhost
  - udr
  - vercel
  - yc

removed:
 - cx (acme.sh commit 29e23ac9)
 - gdnsdk (acme.sh commit 9b27298d)

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

tests: make missing-plugin also output makefile proposals

as I'm lazy and this is easy enough..

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

tests: make missing-plugin check proposal in JSON format

and improve some wording/spacing for better visibillity

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 1.4.2

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

tests: run missing-function test on build

as we only use a heuristic we maintain a known good expected false
positive list, update that if new ones get added but be sure that no
new function was included!

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

check-missing-functions: avoid some more false-positives with negative-lookbehing

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

move check-missing-function script to tests

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

add shellscript to find needed functions not provided by proxmox-acme

based on the heuristic I used a while ago. Adapted to catch the
functions missed the last time.

Signed-off-by: Stoiko Ivanov <s.ivanov@proxmox.com>

plugin-caller: add _readdomainconf stub

it's used by the dns_hetzner (and dns_nsd) plugins.

reported in our community-forum (and tested there as well):
https://forum.proxmox.com/threads/.105879/

Signed-off-by: Stoiko Ivanov <s.ivanov@proxmox.com>

bump version to 1.4.1

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

Add TOTP authentification for ACME DNS INWX

Signed-off-by: Nils Sandmann <git@softcat.org>

Add DNS challenge schema for knot.

Signed-off-by: Jens Meißner <meissner@b1-systems.de>

Revert "dns-challenge: add 'use-proxy' property"

a bit to weird of a place to configure this especially as enabling it
does not guarantee any proxying if there's none..

This reverts commit e1088f616ffc73a96ee3433f0ea07639ef7513e7.

dns-challenge: add 'use-proxy' property

this patch adds an optional 'use-proxy' property to the dns
challenges.

If set to 1 the caller is expected to add the proxy url in the plugin
config, which is then set as 'http_proxy' and 'https_proxy'
environment variable by the plugin caller (and then used by curl)

Tested with the pdns plugin, direct traffic to the pdns server being
dropped, and a configured squid proxy

Signed-off-by: Stoiko Ivanov <s.ivanov@proxmox.com>

add support for proxies

by setting the proxy for the LWP::UserAgent

Signed-off-by: Stoiko Ivanov <s.ivanov@proxmox.com>

d/control: acme-perl: downgrade dependency to plugins to recommends

we have some places where we just do not need the plugins and the
perl library has no hard dependency on the plugin stuff, http
challenge and acme protocol implementation are independent of those

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

dns: cope with plugin json index not being available

not nice to die plainly on a using this module (which can come in
indirectly/transitively), so lets better cope with that.

Nice side-effect, if nothing uses it, it won't get loaded, so less
IO and memory in that case.

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

buildsys: do not pass arch to upload

variable wasn't set and this is an `arch: all` package anyway..

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 1.4.0

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

update acme.sh plugins to 3.0.1 and include new plugins in schema

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

support downloading alternate chains

the current default chains end with an expired root certificate for
maximum compatibility with old Android versions. this breaks some other
older clients (openssl, gnutls) which don't expect chains to contain any
expired certificates, even if they are 'above' the trust anchor.

by setting $root, it is possible to specify which root the ACME provided
certificate chain should end with, downloading alternate chains as
necessary.

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>
Reviewed-by: Stoiko Ivanov <s.ivanov@proxmox.com>
Tested-by: Stoiko Ivanov <s.ivanov@proxmox.com>

Add DNS challenge schema for nsupdate.

Signed-off-by: Jens Meißner <meissner@b1-systems.de>

bump version to 1.3.0

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

plugin-caller: pull in changes from upstream 3.0.0

Commits ae3dda0f8fc3071495cd1e8dff0fe4a339febb1c and
d70b759cb9c5b413cce92e65e841a54a65813962

implementing retrying get and post requests seem worth pulling in.

From a quick look through the diff the remaining changes (between
2.9.0 and 3.0.0) should not be relevant for us

Signed-off-by: Stoiko Ivanov <s.ivanov@proxmox.com>

update to acme.sh dns plugins to 3.0.0

fixes #3546

Signed-off-by: Stoiko Ivanov <s.ivanov@proxmox.com>

acme client: fix #3536 untaint data returned from acme server

The data returned from the acme server (e.g. boulder) should be
considered tainted.

To see which places might need untainted I checked where $self->{ua}
was used (in $self->do) and a quick scan identified __get_result as
the consumer of the tainted data.
In all but one uses the data is decoded from json (which would die if the
result is not valid json).

The remaining use-case yields a certificate in PEM format (and is
handled at the caller of __get_result).

The issue is currently only visible if a proxy is set, because AFAICT
somewhere in SSLeay (or IO::Socket::SSL, which uses SSLeay) a taint
flag is not set on the return value.

A reproducer for the issue:
```

use strict;
use warnings;

use HTTP::Request;
use LWP::UserAgent;

$ENV{PATH} = "/usr/bin:/bin";

my $ua = LWP::UserAgent->new(env_proxy => 0);
my $request = HTTP::Request->new('GET', 'https://google.com/');
my $resp = $ua->request($request);
my $text = substr($resp->decoded_content, 0, 5);;
system("echo \"$text\""); # does work
$request = HTTP::Request->new('GET', 'http://neverssl.com/');
$resp = $ua->request($request);
$text = substr($resp->decoded_content, 0, 5);;
system("echo \"$text\""); # does not work
```

Signed-off-by: Stoiko Ivanov <s.ivanov@proxmox.com>

bump version to 1.2.0

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

update to acme.sh dns plugins to 2.9.0

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

plugin-caller: make no-ops always successful

proxmox-acme is used to call the dns-plugins from acme.sh and has the
config editing (saving/clearing) turned int no-ops.

bash's `return` statement w/o argument returns the value of the last
executed command (the one before our no-op method was called) (see
`help return` in bash).
This leads to unexpected behavior in some plugins, which call one of
the methods as last statement join the next step with `&&`.

tested bash behavior with:
```
foo() { return; }; if [ -z 'x' ]; then :; else foo ; fi; echo $?
```

reported in our community-forum:
https://forum.proxmox.com/threads/pmg-acme-dns-with-cyon-failing-to-issue-certificate.92762

Signed-off-by: Stoiko Ivanov <s.ivanov@proxmox.com>

plugin-caller: add missing methods from acme.sh

As reported in our community forum [0] certain dns plugins use code
from `acme.sh`, which is currently not in our proxmox-acme.

I initially only added _sign and it's callees, but then though about
trying to get all missing methods somehow (only resethttp() was
missing in addition).

The heuristic used to get all missing methods was grepping for '\b_'
in all dns plugins and then removing:
* declarations in proxmox_acme (already present)
* methods declared in the plugins themselves
* $_.* (or ${_.*) - variable use
* comments

in shell:
```
present=$(awk 'BEGIN{ORS="|";} /^_/{ gsub(/\(\) {/, ""); print $0}' \
  src/proxmox-acme | | sed -r 's/\|$//')
local=$(awk 'BEGIN{ORS="|";} /^_/{ gsub(/\(\) {/, ""); print $0}' \
  src/acme.sh/dnsapi/dns*.sh | sed -r 's/\|$//')
grep '\b_' src/acme.sh/dnsapi/* | grep -Ev \
  "$present|$local|_[a-zA-Z0-9_-]+=|\\$\{?_|^src/acme.sh/dnsapi/.*sh:#"
```

[0] https://forum.proxmox.com/threads/proxmox-acme-with-transip-plugin-_sign-command-not-found.92582/

Signed-off-by: Stoiko Ivanov <s.ivanov@proxmox.com>

bump version to 1.1.1

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

fix #3390: standalone: explicitly bind to '::'

This patch follows 2f8be3bfda203065b22e60862e5f98d831a46921 from
pve-common:
Instead of not specifying a listen address, we first try to bind on
'::', which usually accepts connections for both ipv4 and ipv6,
and fall back to '0.0.0.0' if this fails (if ipv6 is disabled via
kernel commandline).

The arguments are the same for HTTP::Daemon as for IO::Socket::IP,
since the former has IO::Socket::IP as base.

Additionally, by setting 'V6Only' explicitly to '0', the listening
socket will also accept ipv4 connections, even if the sysctl
'net.ipv6.bindv6only' is set to 1 - the sysctl provides a default
value, which can be overridden by a socket-option (see ipv6(7) -
IPV6_ONLY).

setting this option results in the following setsockopt-call being
added:
setsockopt(3, SOL_IPV6, IPV6_V6ONLY, [0], 4) = 0

AFAICT the socket option is available and overridable on Linux > 2.4
see [0] for an explanation of why this might not be wanted

Overriding the default setting set by an admin might be debateable,
but considering that the http-listener for the ACME challenge is
rather short-lived I think this is justified. The only other option
would be to create 2 listening sockets and binding on both - which
would mean reorganizing our perl-deamons to deal with multiple listen
sockets.

quickly tested on a publicly reachable test-machine of mine with:
* ipv6.domain.test (only AAAA record)
* ip46.domain.test (both AAAA and A)
* ipv4.domain.test (only A record)
with:
* sysctl net.ipv6.bindv6only=1 (for all 3 domains)
* disabling ipv6 via kernel-commandline (only ipv4 tested)
* disabling ipv6 via sysctl (only ipv4 tested)
* only configuring an ipv6 address (only ipv6 tested)

[0] https://man.openbsd.org/inet6.4
Signed-off-by: Stoiko Ivanov <s.ivanov@proxmox.com>

buildsys: change upload dist to bullseye

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 1.1.0

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

d/control: fix descriptions

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

split into two packages: a perl one and an acme.sh plugin one

Main reason for this split is PBS, which only needs the plugins and
would like to avoid the perl one (which pulls in pve-common too)

This includes a few small changes which are technically not direct
part of the split, but related enough:
* change source name of package from libproxmox-acme-perl to
  libproxmox-acme
* make lintian override for script exec permission narrower to avoid
  possible false negatives in the future, really only allow the
  dnsapi ones.

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

move DNS plugin schema to separate JSON based file

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

buildsys: actually install new plugins

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

dns challenge: add world4you schema

Signed-off-by: Lorenz Stechauner <l.stechauner@proxmox.com>

update acme.sh plugins to 2.8.9 and include new plugins in schema

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

debian: set source format correctly

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 1.0.8

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

dns: add new plugins to schema and install them

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

update acme.sh to current master

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

add missing 'use PVE::Acme' statement

Signed-off-by: Wolfgang Bumiller <w.bumiller@proxmox.com>

bump version to 1.0.7

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

acme: define kapper.net and acme-dns schema

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

buildsys: ensure new plugins also get installed

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

add basic test so schema is in sync with available plugins

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

dns challenge: add missing plugins to schema

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 1.0.6

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

update acme.sh to 2.8.8

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 1.0.5

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

fix #2732: use actual plugin config data

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

dns challenge: add 'INWX' acme.sh schema

https://bugzilla.proxmox.com/show_bug.cgi?id=2731

Requested-by: Claas Hilbrecht <Claas.Hilbrecht@linum.com>
Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 1.0.4

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

dns challenge: describe digitalocean schema

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

dns challenge: add df (dyndnsfree.de) provider

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

update acme.sh dns plugins to 2.8.6

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

make clean: clean more

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 1.0.3

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

dns challenge: provide schema for more providers

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

trigger activate-noawait pve-api-updates

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 1.0.2

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

dns schema: move fields one level deeper

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

dns: complete OVH schema

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

add note that the data has to be base64 encoded

but only via api, on the cli it is a file which contains
the data in plaintext

Signed-off-by: Dominik Csapak <d.csapak@proxmox.com>

DNSChallenge: make plugins a hash with an optional schema

so that we can use that schema to generate form fields in the gui

Signed-off-by: Dominik Csapak <d.csapak@proxmox.com>

plugin id: limit to 'pve-configid' format

Else one can pass almost arbitrary data as ID and break editing or
deletion of a plugin.

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 1.0.1

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

DNS Challenge: add validation-delay plugin option

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

use smart-relative gitmodule path

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 1.0.0

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

use native source format, fix lintian complaints

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

buildsys: move submodule to src, cleanups

it's nicer as the build system is more coherent, i.e., I can do `make
install` from inside src and it actually works ;)

Use an atomic target for the build directory, else we can easily get
bogus builds.

Further use only one type of GNU make variable flavors, not both $()
and ${} mixed..

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

buildsys: sort and cleanup

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

allow to get full DNS plugins list

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

acme: variable name cleanup

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

d/control: add ${perl:Depends} and require pve-common > 6~

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 1.0.0-1

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

d/control: add B+R libpve-common-perl

since we takeover the perl modules

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

d/control: wrap-and-sort