Demo
Demo
База знаний PMTA›Блок <domain>›Директива§ 3.3.10.108.9

smtp-tls-allow-tlsv1.3

<domain>устарела

Разрешить ли TLS 1.3 — устаревший переключатель
в конфигурации это строкаsmtp-tls-allow-tlsv1.3 trueвнутри блока <domain>
Старый способ выбирать версии протокола

Строка разрешает или запрещает узлу согласовывать TLS 1.3 при отправке. Объявлена устаревшей начиная с PowerMTA 5.5: вместо пяти переключателей вендор предлагает две границы — smtp-tls-min-version и smtp-tls-max-version.

Самая новая. На ней не работает reuse-ssl-session — и не нужно: рукопожатие здесь и так короче.

Зачем страница нужна. Такие строки годами живут в конфигурациях, перенесённых с прежних версий. Встретив их, надо понимать не как их настроить, а чем заменить.

Главная ловушка — смешать два способа в одной конфигурации. Переключатели и границы описывают одно и то же, и какая из настроек победит, руководство не объясняет. Конфигурация с обоими способами читается неоднозначно — и предупреждения при применении не будет.
Что делает Хаб. Не пишет: пользуется парой границ, точнее — их умолчаниями. Строку стоит знать в лицо при разборе чужой конфигурации: она означает, что настройки TLS перенесены с версии старше 5.5 и их пора переписать.
Рекомендуемые значения

Значение переводить не надо — надо переносить. Пятёрка переключателей выражается парой границ так:

Что было Что стало
разрешены tlsv1.2 и tlsv1.3 smtp-tls-min-version tlsv1.2
разрешены все от tlsv1 smtp-tls-min-version tlsv1
запрещена tlsv1.3 smtp-tls-max-version tlsv1.2
всё по умолчанию обе строки не нужны

Проверять после переноса по учёту: согласованная версия видна в поле протокола.

Устаревание с версии 5.5 и умолчание true — из руководства (§ 3.3.10.108). Таблица переноса — наша.
Пример в конфигурации
# так было раньше
<domain hotmail.com>
    smtp-tls-allow-tlsv1.3 true</domain>

# так пишут теперь
<domain hotmail.com>
    smtp-tls-min-version tlsv1.2
</domain>
Нижний блок — замена верхнему. Пара границ описывает весь диапазон разом, и читать её проще, чем пять отдельных переключателей.
жёлтым — — имена директив, голубым — блоки. Так же они подсвечены и в тексте карточки.
▲

Типичные ошибки и проблемы

что делают не так и чем это кончается2 ошибки▶

Оставляют переключатели рядом с границами

§ 3.3.10.108

Чем чреватоДва способа описывают одно и то же, и приоритет между ними руководство не называет. Конфигурация читается неоднозначно, а применяется без предупреждений.
Как заметитьСогласованная версия не совпадает ни с тем, что разрешают переключатели, ни с тем, что задают границы.
Как правильноУбрать переключатели целиком и оставить только границы. Замену проверить по учёту.

Переносят конфигурацию, не трогая устаревшие строки

наш опыт

Чем чреватоСтроки работают и сегодня, поэтому проблема не заметна — до следующего обновления, когда поддержку могут снять. Тогда настройка версий тихо вернётся к умолчаниям.
Как заметитьПосле обновления PowerMTA меняется согласуемая версия протокола.
Как правильноПереписать на границы при переносе конфигурации, а не после.
Совместимость
PowerMTA 6.0
описана в руководстве этой версии · платформа: любая
С какой версии директива доступна, вендор указывает не для всех — здесь пометки нет. Имя встречается и в издании руководства 5.0.
Справочные данные
Синтаксис
smtp-tls-allow-tlsv1.3 <boolean>
Значения
yes | no | true | false
Умолчание
true § 3.3.10.108.9
Применение
reload, перезапуск не нужен
Очередь
уже поставленное в очередь не затронет
Где писать
<domain>
Сколько раз
один раз в блоке
Всё здесь — из руководства, с разделом.
Наследование
Директива живёт в <domain> и сливается по обычному правилу блоков получателей: побеждает самое точное совпадение по имени приёмника. Те же три уровня действуют по адресу отправки — узел, <virtual-mta-pool>, <virtual-mta>. Заменяющие её границы наследуются точно так же.
⇄

Связанные директивы

1 связь

Чем заменена

smtp-tls-min-version<domain>Пришла на смену всей пятёрке переключателей: диапазон версий задаётся парой границ, а не пятью отдельными строками. § 3.3.10.108.9

Как проверить на узле
Найти такие строки в конфигурации — первый шаг переноса:
grep -rn smtp-tls-allow /etc/pmta/
Каждая найденная строка означает настройку, перенесённую с версии старше 5.5. Заменять их надо парой границ, а результат сверять по полю протокола в учёте.
◇

Что ещё почитать

3 статьи

◇Подача по HTTPS на своём приёмнике, по образцу SparkPostОтдельный вход: свой приёмник с сертификатом, свои ключи и зарезервированное имя источника, через которое к такой почте применяются обычные настройки подачи.◇Приёмник объявляет требование шифрования на своём сайтеУзел забирает политику получателя по HTTPS и, если та в режиме принуждения, доставляет только при совпадении MX, шифровании и проверенном сертификате.◇Приёмник объявляет требование шифрования в своей зоне DNSУзел смотрит записи DANE получателя и, если тот требует STARTTLS, отправляет только по зашифрованному каналу с проверенным по отпечатку сертификатом.

В Хабе
Цена ошибки
безопасно: неверное значение ничего не ломает
Сценарии
Шифрование соединений
Соседние настройки блока <domain>:use-mta-stssmtp-tls-min-versionuse-starttlsuse-danerequire-starttlsВсе 135 директив блока →