Demo
Demo
База знаний PMTA›Блок Global›Директива§ 3.3.1.58.11

http-tls-allow-tlsv1.2

Globalустареланужен перезапуск

Принимать ли TLS 1.2 на веб-мониторе — устаревший переключатель
в конфигурации это строкаhttp-tls-allow-tlsv1.2 trueвнутри блока Global
Старый способ выбирать версии у монитора

Строка разрешает или запрещает согласовывать TLS 1.2 на соединениях веб-монитора. Объявлена устаревшей начиная с PowerMTA 5.5: вместо пяти переключателей вендор предлагает две границы — http-tls-min-version и http-tls-max-version.

Умолчание — true. Рабочая версия по умолчанию — и ровно то значение, которое стало умолчанием нижней границы после замены.

Одна из пяти таких пятёрок в конфигурации. Те же переключатели стоят на отправке приёмнику, на приёме почты узлом, у слушателя, у входа Transmissions API и у веб-монитора — двадцать пять строк на пять мест. Правило переноса везде одно.

Главная ловушка — смешать два способа в одном файле. Переключатели и границы описывают одно и то же, и приоритет между ними руководство не называет. Предупреждения при применении не будет.
Что делает Хаб. Не пишет: пользуется границами, точнее их умолчаниями. Строку стоит знать в лицо при разборе чужой конфигурации.
Рекомендуемые значения

Значение переводить не надо — надо переносить:

Что было Что стало
разрешены tlsv1.2 и tlsv1.3 ничего писать не нужно, это умолчание
разрешены все от tlsv1 http-tls-min-version tlsv1
запрещена tlsv1.3 http-tls-max-version tlsv1.2
всё по умолчанию обе строки не нужны

Умолчание нижней границы у монитора — tlsv1.2. После переноса это стоит перепроверить: переключатели могли разрешать больше.

Устаревание с версии 5.5 и умолчания — из руководства (§ 3.3.1.58). Таблица переноса — наша, общая для всех пяти таких наборов в конфигурации.
Пример в конфигурации
# так было раньше
http-mgmt-port 1000
http-tls-allow-tlsv1.2 true
# так пишут теперь
http-mgmt-port 1000
http-tls-min-version tlsv1.2
Нижний набор — замена верхнему. Пара границ описывает весь диапазон разом и читается проще пяти переключателей.
жёлтым — — имена директив, голубым — блоки. Так же они подсвечены и в тексте карточки.
▲

Типичные ошибки и проблемы

что делают не так и чем это кончается2 ошибки▶

Оставляют переключатели рядом с границами

§ 3.3.1.58

Чем чреватоДва способа описывают одно и то же, и приоритет между ними руководство не называет. Конфигурация читается неоднозначно.
Как заметитьСогласуемая версия не совпадает ни с тем, что разрешают переключатели, ни с тем, что задают границы.
Как правильноУбрать переключатели и оставить только границы.

Переносят строки монитора вместе со строками почты

наш опыт

Чем чреватоНаборы похожи именами и стоят рядом, но настраивают разные интерфейсы. Перенос «пачкой» меняет поведение почты заодно с монитором.
Как заметитьПосле правки изменилось согласование там, где его не трогали.
Как правильноПереносить каждый набор отдельно: приставка http- — про монитор, smtp-server- — про приём почты, smtp- — про отправку.
Совместимость
PowerMTA 6.0
описана в руководстве этой версии · платформа: любая
С какой версии директива доступна, вендор указывает не для всех — здесь пометки нет. Имя встречается и в издании руководства 5.0.
Справочные данные
Синтаксис
http-tls-allow-tlsv1.2 <boolean>
Значения
yes | no | true | false
Умолчание
true § 3.3.1.58.11
Применение
нужен перезапуск сервиса
Очередь
уже поставленное в очередь не затронет
Где писать
Global
Сколько раз
один раз в блоке
Всё здесь — из руководства, с разделом.
Наследование
Наследования у директивы нет: она пишется в корне файла, раздел Global, и действует на весь управляющий интерфейс узла. Заменяющие её границы — там же и с тем же охватом.
⇄

Связанные директивы

2 связи

Чем заменена

http-tls-min-versionGlobalПришла на смену всей пятёрке переключателей: диапазон версий у монитора задаётся парой границ. § 3.3.1.58.11

Где применяется

http-mgmt-portGlobalОдна из настроек того самого интерфейса, который слушает этот порт. § 3.3.1.58.11

Как проверить на узле
Найти такие строки — первый шаг переноса; в конфигурации их пять наборов, в разных местах:
grep -rn "tls-allow-" /etc/pmta/
Найдутся переключатели отправки, приёма узлом, слушателя, входа Transmissions API и веб-монитора. Заменять их надо парами границ, а результат сверять согласованием.
◇

Что ещё почитать

3 статьи

◇Кому разрешено сдавать почту и для кого её приниматьИз коробки узел принимает подачу только с самой машины; два разных вопроса — «кто может слать через нас» и «на чьи адреса мы принимаем» — решаются разными директивами.◇Группа, дающая право управлятьЧленство в группе pmta даёт непривилегированному пользователю право звать команды узла и пользоваться подачей.◇Как узел выбирает источник и складывает его настройкиСоединение попадает под все блоки источника, чьи адреса его накрывают, и действуют они слитно — узкий перекрывает широкий; именованные блоки подключаются только по прямой ссылке.

В Хабе
Цена ошибки
безопасно: неверное значение ничего не ломает
Сценарии
Безопасность узла
Соседние настройки блока Global:smtp-server-tls-certificateopenssl-security-levelsmtp-server-tls-min-versionhttp-tls-min-versionsmtp-server-tls-cipher-server-preferenceВсе 108 директив блока →