Demo
Demo
База знаний PMTA›Блок <domain>›Директива§ 3.3.10.108.10

smtp-tls-allow-sslv3

<domain>устарела

Разрешить ли SSLv3 — директива больше не действует
в конфигурации это строкаsmtp-tls-allow-sslv3внутри блока <domain>
Строка, которая ничего не делает

Руководство говорит об этой строке одно: она больше не действительна, потому что PowerMTA не поддерживает SSLv3. Ни значения, ни умолчания у неё нет — есть только факт, что протокол убран из поставки.

Так и должно быть. SSLv3 признан непригодным больше десяти лет назад; его отсутствие — не ограничение, а нормальное состояние.

Страница нужна ровно для одного: встретив строку в перенесённой конфигурации, понять, что она не работает, и удалить её.

Главная ловушка — принять строку за действующую настройку. Она не вызывает ошибки при применении и выглядит как обычное разрешение. Человек, читающий конфигурацию, делает вывод, что узел умеет SSLv3 и, возможно, им пользуется, — а это неверно.
Что делает Хаб. Не пишет — и не мог бы: поддержки протокола нет. Строка встречается только в конфигурациях, перенесённых с очень старых версий, и её надо просто удалить.
Рекомендуемые значения

Значений нет. Единственное действие с этой строкой — убрать её:

Что нашли Что делать
smtp-tls-allow-sslv3 в конфигурации удалить, поведение не изменится
рядом другие smtp-tls-allow-* переписать все на пару границ

Настройка версий делается парой smtp-tls-min-version и smtp-tls-max-version.

Факт, что директива больше не действительна, — из руководства (§ 3.3.10.108.10). Совет удалять её при переносе — наш.
Пример в конфигурации
# так быть не должно — строка не делает ничего
<domain hotmail.com>
    smtp-tls-allow-sslv3 false</domain>

# достаточно её убрать: версии задаются границами
<domain hotmail.com>
    smtp-tls-min-version tlsv1.2
</domain>
Верхний блок — то, что встречается в перенесённых конфигурациях. Строка не вызовет ошибки и не изменит поведения: протокола нет в поставке.
жёлтым — — имена директив, голубым — блоки. Так же они подсвечены и в тексте карточки.
▲

Типичные ошибки и проблемы

что делают не так и чем это кончается1 ошибка▶

Считают строку действующей защитой

§ 3.3.10.108.10

Чем чреватоsmtp-tls-allow-sslv3 false выглядит как запрет небезопасного протокола и потому попадает в отчёты о настройках безопасности. На деле она не делает ничего — запрет обеспечен отсутствием поддержки.
Как заметитьСтрока перечисляется среди мер защиты при аудите конфигурации.
Как правильноУбрать строку и опираться на smtp-tls-min-version: это единственный работающий способ задать нижнюю границу.
Совместимость
PowerMTA 6.0
описана в руководстве этой версии · платформа: любая
С какой версии директива доступна, вендор указывает не для всех — здесь пометки нет. Имя встречается и в издании руководства 5.0.
Справочные данные
Синтаксис
smtp-tls-allow-sslv3 <boolean>
Значения
значения не применяются — директива не действует
Применение
reload, перезапуск не нужен
Очередь
уже поставленное в очередь не затронет
Где писать
<domain>
Сколько раз
один раз в блоке
Всё здесь — из руководства, с разделом.
Наследование
Наследование обсуждать не приходится: строка не действует ни на каком уровне. Заменяющие её границы живут в <domain> и сливаются по обычному правилу блоков получателей — побеждает самое точное совпадение по имени приёмника.
⇄

Связанные директивы

1 связь

То же имя в других блоках

smtp-server-tls-allow-sslv3GlobalТот же недействующий переключатель с другой стороны: этот про отправку, тот про приём почты узлом. § 3.3.10.108.10

Как проверить на узле
Проверка одна — найти и убрать:
grep -rn smtp-tls-allow-sslv3 /etc/pmta/
Любая найденная строка подлежит удалению. Поведение узла от этого не изменится: SSLv3 в поставке нет.
◇

Что ещё почитать

3 статьи

◇Принять, направить, доставитьПуть письма внутри узла: принять, решить куда, доставить — и между этими тремя шагами живут все настройки.◇Четыре типа значений, на которых написан весь конфигЛогическое, образец домена, регулярное выражение и промежуток времени — определены один раз в § 3.2 и дальше используются всеми директивами.◇Перезагрузка настроек против перезапуска службыКонфигурация читается при старте, дальше правки подхватываются командой перезагрузки — кроме тех директив, которые руководство помечает как требующие перезапуска.

В Хабе
Цена ошибки
безопасно: неверное значение ничего не ломает
Сценарии
Жизненный цикл конфигурации
Соседние настройки блока <domain>:use-mta-stssmtp-tls-min-versionuse-starttlsuse-danerequire-starttlsВсе 135 директив блока →