Demo
Demo
База знаний PMTA›Блок <domain>›Директива§ 3.3.10.108.3

use-dane

<domain>

Проверять ли требования приёмника из записей DANE
в конфигурации это строкаuse-dane falseвнутри блока <domain>
Требование шифрования из зоны DNS приёмника

Строка включает работу по записям DANE для этого приёмника. Узел смотрит в его зону, узнаёт, требует ли тот STARTTLS, и сверяет предъявленный сертификат с отпечатком из DNS.

Понижение до открытого текста запрещено самим механизмом. Если приёмник требует шифрования, а согласовать его не удалось, письмо не уйдёт — и не отобьётся, а останется в очереди до успеха.

Обязательное условие — резолвер с DNSSEC. Руководство называет его строго обязательным: без DNSSEC записи DANE можно подменить, и весь смысл проверки теряется. Задаётся резолвер строкой name-server на уровне узла.

Умолчание — false.

Главная ловушка — включить и не проверить резолвер. Строка выглядит как включённая защита, а без DNSSEC ею не является. Проверять надо не наличие name-server, а то, что указанный там резолвер действительно отдаёт проверенные записи.
Что делает Хаб. Не пишет: во всех блоках шаблона политик, включая общий, стоит связка require-starttls плюс use-mta-sts. Причина ровно одна — резолвер: MTA-STS не требует от нашей инфраструктуры ничего, а DANE требует DNSSEC на каждом узле парка. Включать имеет смысл только после проверки, и лучше по конкретному приёмнику, а не всем.
Рекомендуемые значения

Значение булево, а решение — про инфраструктуру:

Значение Когда
false (умолчание) резолвер с DNSSEC не проверен
true резолвер проверен, и приёмник публикует записи DANE

Порядок включения. Сначала проверить резолвер, потом включить одному приёмнику, посмотреть на глубину очереди сутки, потом расширять. В <domain *> строку не ставят: сломанные записи у одного приёмника остановят письма только ему, а не всем.

Умолчание false, запрет понижения и требование DNSSEC — из руководства (§ 3.3.10.108.3). Порядок включения — наш.
Пример в конфигурации
# резолвер с DNSSEC — на уровне узла, сам механизм — по приёмнику
name-server 8.8.8.8

<domain hotmail.com>
    use-starttls yes
    use-dane true</domain>
Пример руководства. Без верхней строки нижняя не имеет смысла: руководство называет резолвер с DNSSEC строго обязательным условием.
жёлтым — — имена директив, голубым — блоки. Так же они подсвечены и в тексте карточки.
▲

Типичные ошибки и проблемы

что делают не так и чем это кончается2 ошибки▶

Включают без резолвера с DNSSEC

§ 10.5

Чем чреватоМеханизм не даёт защиты, ради которой включён, но выглядит включённым — и попадает в отчёты о настройках безопасности как работающая мера.
Как заметитьПоведение не отличается от обычного шифрования.
Как правильноПроверить резолвер и при необходимости сменить его в name-server. Без DNSSEC строку не ставить.

Включают всем сразу в общем блоке получателей

§ 3.3.10.108.3

Чем чреватоПриёмник со сломанными записями DANE перестаёт получать почту — письма копятся в очереди без отказов. В общем блоке это касается сразу всех.
Как заметитьРастут очереди к нескольким приёмникам одновременно, отказов нет.
Как правильноВключать по конкретным приёмникам и наблюдать сутки. Общий блок оставлять с умолчанием.
Совместимость
PowerMTA 6.0
описана в руководстве этой версии · платформа: любая
С какой версии директива доступна, вендор указывает не для всех — здесь пометки нет. Имя встречается и в издании руководства 5.0.
Справочные данные
Синтаксис
use-dane <boolean>
Значения
yes | no | true | false
Умолчание
false § 3.3.10.108.3
Применение
reload, перезапуск не нужен
Очередь
уже поставленное в очередь не затронет
Где писать
<domain>
Сколько раз
один раз в блоке
Всё здесь — из руководства, с разделом.
Наследование
Директива живёт в <domain> и сливается по обычному правилу блоков получателей: побеждает самое точное совпадение по имени приёмника. Те же три уровня действуют по адресу отправки — узел, <virtual-mta-pool>, <virtual-mta>. Резолвер при этом уровней не имеет: name-server один на всю установку.
⇄

Связанные директивы

3 связи

Без чего не работает

use-starttls<domain>Проверять по DANE нечего без шифрования: сначала соединение шифруется, потом сверяется отпечаток сертификата. § 3.3.10.108.3

Работают в паре

smtp-tls-ca-file<domain>DANE сверяет отпечаток из DNS, а не цепочку удостоверяющих центров — список доверенных ему не нужен. § 3.3.10.108.14

Чем можно заменить

use-mta-sts<domain>Вторая схема того же назначения; включать можно обе, но требования к инфраструктуре у них разные. § 3.3.10.108.4

Сюда ссылаются

Приёмник объявляет требование шифрования в своей зоне DNSСтрока, которой механизм включается для конкретного приёмника. § 10.5

Как проверить на узле
Первым делом — резолвер: отдаёт ли он проверенные записи вообще:
dig +dnssec TXT example.com @8.8.8.8 | grep -c "flags:.* ad"
Единица означает, что резолвер годится. Дальше смотреть глубину очереди к приёмнику: при неудачном согласовании письма не отбиваются, а копятся, и это единственный заметный признак.
◇

Что ещё почитать

3 статьи

◇Что узел рассказывает о себе и по каким каналамСемь поверхностей наблюдения: веб-монитор, консоль в четырёх форматах, журнал, учёт, поиск по учёту, метрики и выгрузка во внешнюю аналитику.◇Сторож, который перезапускает MTAПрисматривает за MTA и после падения поднимает его сам, отправляя отчёт о падении на адрес ответственного.◇Как складывается политика для приёмникаНастройки собираются от самого общего образца к самому точному; порядок блоков в файле не значит ничего.

В Хабе
Цена ошибки
обратимо: вредит, пока стоит
Сценарии
Разобраться с доставляемостью · Шифрование соединений
Соседние настройки блока <domain>:use-starttlssmtp-tls-min-versionuse-mta-stsrequire-starttlssmtp-client-certificateВсе 135 директив блока →