route flush cannot pledge before sysctl for NET_RT_DUMP; defer the act.
issue spotted by matthieu

just dump the help on stdout with messing about with a pager.
makes pledge much simpler.
from jan stary

Pass output from jobs through format_expand() so they are expanded again
(this was the previous behaviour).

No need to declare pwd_gensalt; it's unused and gone.
ok tedu@

pledge the main usage patterns similar to arp(8).  Some akkorokamui
prevent doing this better, someone should try to refactor this more
like arp... also figure out what dawn-of-ipv6 options can be removed.
ok benno

Let's see if anyone screams about not being able to specify $TMPDIR
for their tmux sockets.

(Over the years, I have seen $TMPDIR set up worse than /tmp many times,
and don't know how this practice infected other parts of the system.
Nothing uses tmpdir(3), nor a huge-temporary-file program like sort.)
ok nicm

pledge bind(1), dig(1), and nslookup(1).  This modifies the underlying
ISC library to use socket(2) with the SOCK_DNS flag.  As a result, the
port commands are disabled (such practice is rare in the wild these days,
and pretty incompatible with the DNS vs regular socket concept in pledge..)
ok bluhm phessler reyk, etc

Use sigaction() instead of signal() to avoid pulling in unnecessary
wrappers.  To keep uses from crawling back in, mark signal() as
deprecated inside libc.

ok deraadt@

Use dprintf() instead of fprintf() in the signal handler

POSIX says that you can't capture the return value of sigsetjmp().
Fortunately, we don't need it as we only pass siglongjmp() a single value.

ok deraadt@

For SYS_open let the /dev/null special case match if any TMN_RPATH,
TMN_WPATH or both are set in p_pledgenote.  Matches the style used
for /dev/tty special cases (among others).  From deraadt@

Fix some bugs in the detection of when an interface can be enabled.

When converting the real bandwidth to the composite bandwidth, truncate
before applying the scaling factor.

When converting the composite bandwidth to the real bandwidth, apply
the scaling factor before the division and only then truncate.

This is to keep consistent with what Cisco does, the draft is unclear
on this point.

Add a few more overflow protections in the DUAL state
machine.

Allow getsockopt(IP_OPTIONS) (with inet), needed by portmap (for RPC).

ok deraadt

typo

fix keyscan output for multiple hosts/addrs on one line when
host hashing or a non standard port is in use; bz#2479 ok dtucker@

skip "Could not chdir to home directory" message when chrooted

patch from Christian Hesse in bz#2485 ok dtucker@

chlim has been removed from the nd_ifinfo structure.
ok kettenis@

Move removal of "getpw" pledge after all setusercontext() calls, for yp sake.
Noticed by matthieu@

setusercontext() may still need "getpw" pledge rights; unbreaks doas on yp
accounts after 1.43; found the hard way by matthieu@

Cast toupper()'s argument to unsigned char.

ok guenther@

Cast ctype functions' argument to unsigned char.

ok guenther@

Cast ctype functions' argument to unsigned char.

ok guenther@

Cast ctype functions' argument to unsigned char.

ok guenther@

Cast ctype functions' argument to unsigned char.

ok guenther@

Cast ctype functions' argument to unsigned char.

ok guenther@

Cast ctype functions' argument to unsigned char.

ok guenther@

Cast ctype functions' arguments to unsigned char.

ok guenther@

Cast ctype functions' argument to unsigned char.

ok guenther@

Cast ctype functions' arguments to unsigned char.

ok guenther@

Move #includes from private.h to the .c files that need them, getting rid of
several.  Switch from FILENAME_MAX to PATH_MAX (it's for open(), not fopen()).

ok deraadt@ tedu@ krw@

Cast ctype functions' arguments to unsigned char.

ok guenther@

Cast ctype functions' arguments to unsigned char.

ok guenther@

Cast isdigit()'s argument to unsigned char.

ok guenther@

Cast isdigit()'s argument to unsigned char.

ok guenther@

Cast islower()'s argument to unsigned char.

ok guenther@

Cast ctype functions' arguments to unsigned char.

ok guenther@

Cast isprint()'s argument to unsigned char.

ok guenther@

Cast toupper()'s argument to unsigned char.

ok guenther@

Cast ctype functions' arguments to unsigned char.

ok guenther@

Cast ctype functions' arguments to unsigned char.

ok guenther@

Cast ctype functions' arguments to unsigned char.

ok guenther@

Cast isdigit()'s argument to unsigned char.

ok guenther@

Cast isalpha()'s argument to unsigned char.

ok guenther@

Cast isblank()'s argument to unsigned char.

ok guenther@

Cast isdigit()'s argument to unsigned char.

ok guenther@

Cast isblank()'s argument to unsigned char.

ok guenther@

Cast toupper()'s argument to unsigned char.

ok guenther@

Cast islower()'s argument to unsigned char.

ok guenther@

Cast islower()'s argument to unsigned char.

ok guenther@

Cast ctype functions' arguments to unsigned char.

ok guenther@

Cast ctype functions' arguments to unsigned char.

ok guenther@

some minor tweaks; ok ajacoutot

Inline trivial myechoreply function in the one place it's used; like
ping(8).

Convert to rt_ifidx.

ok bluhm@

Filter our RTM_GET messages which are not from us.

nonce is unused.

Carry out additional length/size checks in DECnet packet printing, avoiding a
segfault with malformed packets. Adapted from f61639179282 in tcpdump.org git
by Kevin Reay, but not including the header no-copy optimization that was in
the upstream patch.  ok benno@

Sync ping6 output to ping. ping has been around for longer and so
defines the canonical output format. Having different output is
getting in the way of a merge.
This moves the output of the src address to the -v option. With the
overly complicated IPv6 address selection it's sometimes usefull to
have this information.
OK benno@, sthen@ can live with it.

Convert to rt_ifidx.

ok bluhm@

Ignore Router Advertisment's current hop limit.

Appart from the usual inet6 axe murdering exercise to keep you fit, this
allows us to get rid of a lot of layer violation due to the use of per-
ifp variables to store the current hop limit.

Imputs from bluhm@, ok phessler@, florian@, bluhm@

clarify use of "bgpctl show rib in|out neighbor FOO"
feedback from jmc@

the last user of gensalt has been removed. remove the file.

Add CAVEATS section and explain why pair(4) is not like vether(4).

With OK and input from jmc@

Make it more obvious what exact csplit commands will do.

With much help & okay from jmc@

Fix pledge request to allow for setgroups.

setgroups needed "proc" before the introduction of "id" on 2015/10/17.
Initial patch from Gregor Best, from which I further removed "proc".

The default modifier should be copied for empty keys even if -b is
specified.  From Cedric Krier.

Add test for -b and -r when -k is specified.

"bgpctl sh rib in" and "bgpctl sh rib out" require a neighbor argument
to work. send an error if none is given.
ok claudio@

Wait a short while between setting a USB device's address and reloading
its descriptor. Fixes flaky attach of USB devices (most importantly the
detachable keyboard) on the Thinkpad Helix 2, and perhaps elsewhere.
Problem diagnosed by mpi; ok mpi@

"enable" and "disable" are here to stay now that they have a real added value
(possibility to pass several enable|disable daemons at once); so document them.
While here, add a check to make sure a service|daemon exists when running "order".

"Yay" and ok sthen@

Don't compile pwd_gensalt, it's not needed since we use crypt_checkpass.

ok tedu@

various fixes;

various clean up;

nl_langinfo(3) conforms to POSIX.

ok jmc@

Handling of bogus CA file has changed in syslogd.  Adapt tests to
new error messages.

If loading the CA certificates at startup had failed, the syslogd
child tried to load the default CA file when it was connecting to
a TLS server.  The latter has never worked as the child is chrooted
to /var/empty.  Set the CA storage to an empty string to avoid this
behavior.  As a benefit pledge "rpath" can be removed.
OK benno@

Convert some if_ref() to if_get().

ok claudio@

Some rt_ifp to rt_ifidx conversions.

ok bluhm@

Implement the missing bits to parse the other MRT message types.
Printing bgp messages is still missing lots but at least it is a start.
I onced abused tcpdump's bgp protocol handler for this but that is an ugly hack.

Removing xresolve from generating script has been forgotten.
OK mpi@

Define ``rt_ifidx'' as rt_ifp->if_index to ease the transtion towards
getting rid of interface pointers in route entries.

ok bluhm@

Print if a route is redistributed or not at least for static & connected.
With phessler@

add -h flag to SYNOPSIS as well

prodded and ok jmc

clarify where "with tls" can be used.
ok jmc@

Remove superfluous assignment.

Pointed out by and OK mikeb@

Add pair(4), a vether-based virtual Ethernet driver to interconnect
rdomains and bridges on the local system.  This can be used to route
through local rdomains, to create L2 devices (like trunks) between
them, and many other things.

Discussed with many, with input from mpi@
OK sthen@ phessler@ yasuoka@ mikeb@

Unify all the errno names in
- include comment
- libc errlist
- nls C msg
- man page
OK tedu@

remove a paste error and get section numbers right for sysctl(3);

change one instance of Dl to a display and provide a teeny indent
to avoid line wrap; tj mailed me a diff to make this example work
more generally, but i prefer to try and avoid the line wrap;

normalise TUNNEL synopsis; ok dlg

Handle the split of tun(4) "link0" into tap(4) in ssh tun-forwarding.
Adapted from portable (using separate devices for this is the normal case
in most OS). ok djm@

Introduce msgtypenames to print bgp msg types (which will be used by bgpctl)

In all other cases of rde_filter_match() we ensure that asp is valid so
do it here as well.

seg_type is only set but never used. So remove it. Someone reported this
long time ago.

sync

Cast isxdigit()'s argument to unsigned char.

ok guenther@

Make use of hardware RX checksum validation.

ok naddy@

Cast ctype function arguments to unsigned char.

ok guenther@