Demo
Demo
База знаний PMTA›Блок Global›Директива§ 3.3.1.58.20

http-log-tls

Globalнужен перезапуск

Записывать ли в журнал ход рукопожатия TLS на веб-мониторе
в конфигурации это строкаhttp-log-tls falseвнутри блока Global
Подробности рукопожатия в журнале монитора

Со значением true монитор пишет в свой журнал, как прошло согласование шифрования с клиентом: версия, шифр, что предложила каждая сторона. По умолчанию выключено.

Журнал у монитора свой — /var/log/pmta/pmtahttp.log, отдельный от журнала MTA. Туда же попадают отказы по http-access, и адрес неудачливого клиента руководство советует искать именно там.

Строка нужна ровно на время разбора. Постоянно она не даёт ничего: успешные рукопожатия однообразны, а объём записи на нагруженном интерфейсе заметен.

Главная ловушка — включить и забыть. Разбор кончился, а запись идёт: журнал монитора растёт на каждом опросе, и в нём тонет то немногое, ради чего его читают, — отказы доступа.
Что делает Хаб. Не пишет: опрос идёт по обычному соединению, и записывать в журнал нечего. Строка пригодится, если управляющий интерфейс переведут на шифрование и рукопожатие перестанет проходить.
Рекомендуемые значения

Включают на время разбора и выключают после:

Значение Когда
false (умолчание) обычная работа
true разбираем, почему клиент не согласует шифрование
Умолчание false и назначение — из руководства (§ 3.3.1.58.20). Имя журнала монитора — из § 3.3.1.58.3, его каталог задаёт строка log-file (§ 3.3.1.59.2). Совет выключать после разбора — наш.
Пример в конфигурации
# на время разбора: клиент не согласует шифрование
http-mgmt-port 1000
http-log-tls true
После разбора строку убирают. Постоянная запись рукопожатий забивает журнал, в котором ищут отказы доступа.
жёлтым — — имена директив, голубым — блоки. Так же они подсвечены и в тексте карточки.
▲

Типичные ошибки и проблемы

что делают не так и чем это кончается2 ошибки▶

Ищут записи рукопожатия в журнале MTA

наш опыт

Чем чреватоУ монитора отдельный журнал. В /var/log/pmta/log этих строк не будет никогда, сколько ни включай.
Как заметитьСтрока включена, а в привычном журнале ничего не изменилось.
Как правильноСмотреть /var/log/pmta/pmtahttp.log.

Оставляют запись включённой после разбора

наш опыт

Чем чреватоКаждый опрос монитора добавляет строки. Журнал растёт, и отказы доступа в нём приходится искать.
Как заметитьЖурнал монитора растёт быстрее журнала MTA.
Как правильноВернуть false и перезапустить монитор.
Совместимость
PowerMTA 6.0
описана в руководстве этой версии · платформа: любая
С какой версии директива доступна, вендор указывает не для всех — здесь пометки нет. Имя встречается и в издании руководства 5.0.
Справочные данные
Синтаксис
http-log-tls <boolean>
Значения
yes | no | true | false
Умолчание
false § 3.3.1.58.20
Применение
нужен перезапуск сервиса
Очередь
уже поставленное в очередь не затронет
Где писать
Global
Сколько раз
один раз в блоке
Всё здесь — из руководства, с разделом.
Наследование
Наследования у директивы нет: она пишется в корне файла, раздел Global, и действует на весь управляющий интерфейс узла.
⇄

Связанные директивы

2 связи

Работают в паре

http-log-requestsGlobalОбе пишут в собственный журнал монитора: эта про рукопожатие, та про запросы. inference

Где применяется

http-mgmt-portGlobalОдна из настроек того самого интерфейса, который слушает этот порт. § 3.3.1.58.20

Как проверить на узле
Проверяем по самому журналу — открываем его и делаем одно соединение с монитором:
tail -f /var/log/pmta/pmtahttp.log
При включённой записи в журнале появятся строки о версии и шифре. Пусто — либо строка не применилась (монитор надо перезапустить), либо клиент подключился без шифрования.
◇

Что ещё почитать

3 статьи

◇Кому разрешено сдавать почту и для кого её приниматьИз коробки узел принимает подачу только с самой машины; два разных вопроса — «кто может слать через нас» и «на чьи адреса мы принимаем» — решаются разными директивами.◇Группа, дающая право управлятьЧленство в группе pmta даёт непривилегированному пользователю право звать команды узла и пользоваться подачей.◇Как узел выбирает источник и складывает его настройкиСоединение попадает под все блоки источника, чьи адреса его накрывают, и действуют они слитно — узкий перекрывает широкий; именованные блоки подключаются только по прямой ссылке.

В Хабе
Цена ошибки
безопасно: неверное значение ничего не ломает
Сценарии
Безопасность узла
Соседние настройки блока Global:log-filelog-rotatelog-auto-rotationdummy-smtp-await-slotdummy-smtp-portВсе 108 директив блока →