Demo
Demo
База знаний PMTA›Блок Global›Директива§ 3.3.1.58.7

http-mgmt-source

Globalустареланужен перезапуск

Прежний способ разрешить адресу доступ к монитору — устаревшая директива
в конфигурации это строкаhttp-mgmt-sourceвнутри блока Global
Разрешение без уровня

Строка разрешала адресу или подсети доступ к веб-монитору. Объявлена устаревшей, и раздел руководства состоит из одной фразы: пользуйтесь http-access.

Разница между ними существенная. Прежняя пара строк умела только «пустить» и «не пустить»; http-access к тому же градуирует — monitor, operator, admin, плюс оговорка deny-logs. Перенос «один в один» отдаёт всем разрешённым полный доступ, а этого почти никогда не хотят.

Значений руководство не приводит вовсе: в разделе только пометка об устаревании.

Главная ловушка — перенести строку, не выбрав уровень. Замена пишется не механически: у каждого разрешённого адреса надо решить, что ему на самом деле нужно. Чаще всего это monitor, а не admin.
Что делает Хаб. Не пишет: пользуется http-access и явно выбирает уровень каждому адресу. Строку стоит знать в лицо при разборе чужой конфигурации, перенесённой со старой версии.
Рекомендуемые значения

Значение переводить не надо — надо выбирать уровень:

Что было Что стало
http-mgmt-source 10.0.0.5 http-access 10.0.0.5 monitor — если только смотреть
то же, но человек правит конфигурацию http-access 10.0.0.5 admin
no-http-mgmt-source 10.0.0.9 http-access 10.0.0.9 none выше остальных строк

По умолчанию не разрешён никто, поэтому явный запрет нужен только как исключение внутри разрешённого диапазона.

Факт устаревания и замена на http-access — из руководства (§ 3.3.1.58.7); больше раздел ничего не содержит. Таблица переноса и совет выбирать уровень — наши.
Пример в конфигурации
# так было раньше
http-mgmt-source 10.0.0.5
# так пишут теперь — с явным уровнем
http-access 10.0.0.5 monitor
Нижняя строка — замена верхней. Уровень выбирается осознанно: admin равен полному доступу к узлу.
жёлтым — — имена директив, голубым — блоки. Так же они подсвечены и в тексте карточки.
▲

Типичные ошибки и проблемы

что делают не так и чем это кончается1 ошибка▶

Переносят разрешения, дав всем уровень admin

наш опыт

Чем чреватоПрежняя строка уровня не знала, и при переносе его выбирают «пошире, чтобы работало». В результате чтение телеметрии получает право править конфигурацию и выполнять команды.
Как заметитьВ списке несколько строк admin на адреса, которым нужно только смотреть.
Как правильноПройти по списку и понизить до monitor всё, кроме тех, кто действительно правит конфигурацию.
Совместимость
PowerMTA 6.0
описана в руководстве этой версии · платформа: любая
С какой версии директива доступна, вендор указывает не для всех — здесь пометки нет. Имя встречается и в издании руководства 5.0.
Справочные данные
Синтаксис
http-mgmt-source
Значения
значения не документированы — в разделе только пометка об устаревании
Применение
нужен перезапуск сервиса
Очередь
уже поставленное в очередь не затронет
Где писать
Global
Сколько раз
можно повторять
Всё здесь — из руководства, с разделом.
Наследование
Наследования нет: строка писалась в корне файла, раздел Global. Заменяющая её http-access пишется там же и разбирается сверху вниз — порядок строк у неё значим, чего у прежней пары не было.
⇄

Связанные директивы

1 связь

Чем заменена

http-accessGlobalПришла ей на смену и, в отличие от неё, различает уровни доступа. § 3.3.1.58.7

Как проверить на узле
Найти обе устаревшие строки в конфигурации:
grep -rn "http-mgmt-source" /etc/pmta/
Найдутся обе формы — разрешающая и запрещающая. Каждую заменяют строкой http-access с явно выбранным уровнем.
◇

Что ещё почитать

3 статьи

◇Кому разрешено сдавать почту и для кого её приниматьИз коробки узел принимает подачу только с самой машины; два разных вопроса — «кто может слать через нас» и «на чьи адреса мы принимаем» — решаются разными директивами.◇Группа, дающая право управлятьЧленство в группе pmta даёт непривилегированному пользователю право звать команды узла и пользоваться подачей.◇Как узел выбирает источник и складывает его настройкиСоединение попадает под все блоки источника, чьи адреса его накрывают, и действуют они слитно — узкий перекрывает широкий; именованные блоки подключаются только по прямой ссылке.

В Хабе
Цена ошибки
безопасно: неверное значение ничего не ломает
Сценарии
Безопасность узла
Соседние настройки блока Global:run-as-roothttp-accesshttp-api-keyhttp-csrf-protectionhttp-redirect-to-httpsВсе 108 директив блока →