Demo
Demo
База знаний PMTA›Блок Global›Директива§ 3.3.1.58.15

http-tls-ciphers

Globalнужен перезапуск

Набор шифров веб-монитора для версий до TLS 1.2
в конфигурации это строкаhttp-tls-ciphers HIGH:!ADH:@STRENGTHвнутри блока Global
Шифры управляющего интерфейса

Тот же вид списка, что у почты, но для соединений веб-монитора. Запись — как у команды OpenSSL ciphers, умолчание HIGH:!ADH:@STRENGTH: только сильные наборы, без анонимного обмена ключами, отсортированные по стойкости.

Действует по TLS 1.2 включительно. У версии 1.3 свой список — http-tls-v1.3-ciphersuites, и этой строкой он не задаётся.

Порядок значим только вместе с http-tls-cipher-server-preference: по умолчанию шифр выбирает клиент, и сортировка @STRENGTH в списке ни на что не влияет.

Умолчание здесь можно не трогать почти никогда. Клиенты монитора свои, и сужать список ради «усиления» нечего: HIGH уже исключает слабое.

Главная ловушка — сузить список и закрыть себе вход. Клиент, у которого не нашлось общего шифра, не подключится вовсе. На управляющем интерфейсе это значит потерю доступа к узлу — а восстанавливать её придётся с консоли, потому что монитор и есть способ достучаться.
Что делает Хаб. Не пишет — оставляет умолчание. Оно уже исключает слабое, а единственный клиент монитора у нас свой.
Рекомендуемые значения

Умолчание разумно; менять его стоит только по внешнему требованию:

Значение Когда
HIGH:!ADH:@STRENGTH (умолчание) всегда
своё сужение требование аудита, и только вместе с проверкой доступа
DEFAULT:@SECLEVEL=0 старый клиент со слабым сертификатом, точечно

Версия 1.3 этой строкой не настраивается — там свой список.

Умолчание и ограничение версиями до 1.2 — из руководства (§ 3.3.1.58.15). Замечание про потерю доступа — наше.
Пример в конфигурации
# умолчание, записанное явно
http-mgmt-port 1000
http-tls-ciphers HIGH:!ADH:@STRENGTH
Пример руководства. Сужать имеет смысл только по внешнему требованию и проверив, что клиенты монитора ещё подключаются.
жёлтым — — имена директив, голубым — блоки. Так же они подсвечены и в тексте карточки.
▲

Типичные ошибки и проблемы

что делают не так и чем это кончается3 ошибки▶

Сужают список на управляющем интерфейсе ради «усиления»

наш опыт

Чем чреватоСтойкость не растёт — HIGH уже отсекает слабое, — а риск потерять доступ к узлу появляется. Монитор и есть способ достучаться, и чинить придётся с консоли.
Как заметитьПосле применения конфигурации монитор не отвечает ни одному клиенту.
Как правильноВернуть умолчание. Проверять сужение на одном клиенте до того, как класть на все узлы.

Задают этой строкой шифры версии 1.3

§ 3.3.1.58.16

Чем чреватоСписок действует по 1.2 включительно. Имена наборов 1.3 в нём ничего не значат, а нужные остаются в умолчании.
Как заметитьСписок задан, а на 1.3 согласуется набор не из него.
Как правильноПисать наборы 1.3 в http-tls-v1.3-ciphersuites.

Ждут, что @STRENGTH сам выберет сильнейший шифр

§ 3.3.1.58.18

Чем чреватоСортировка списка работает только тогда, когда выбирает сервер. По умолчанию выбирает клиент, и порядок ни на что не влияет.
Как заметитьСписок отсортирован, а согласуется не первый набор.
Как правильноСтавить http-tls-cipher-server-preference в true.
Совместимость
PowerMTA 6.0
описана в руководстве этой версии · платформа: любая
С какой версии директива доступна, вендор указывает не для всех — здесь пометки нет. Имя встречается и в издании руководства 5.0.
Справочные данные
Синтаксис
http-tls-ciphers <string>
Значения
строка списка шифров в записи команды OpenSSL ciphers
Умолчание
HIGH:!ADH:@STRENGTH § 3.3.1.58.15
Применение
нужен перезапуск сервиса
Очередь
уже поставленное в очередь не затронет
Где писать
Global
Сколько раз
один раз в блоке
Всё здесь — из руководства, с разделом.
Наследование
Наследования у директивы нет: она пишется в корне файла, раздел Global, и действует на весь управляющий интерфейс узла. Списки почты — smtp-server-tls-ciphers на приёме и smtp-tls-ciphers на отправке — к монитору отношения не имеют.
⇄

Связанные директивы

4 связи

Зависит от

openssl-security-levelGlobalУровень безопасности отсекает слабое из этого списка; запись DEFAULT:@SECLEVEL=0 внутри списка — точечная замена общему снижению. § 3.3.1.51

Работают в паре

http-tls-cipher-server-preferenceGlobalПорядок в этом списке решает дело только тогда, когда выбирает сервер. § 3.3.1.58.18http-tls-v1.3-ciphersuitesGlobalДва списка делят работу по версии протокола: этот кончается на TLS 1.2. § 3.3.1.58.16

Где применяется

http-mgmt-portGlobalОдна из настроек того самого интерфейса, который слушает этот порт. § 3.3.1.58.15

Как проверить на узле
Смотрим, какой шифр согласовался на самом деле:
openssl s_client -connect NODE:1000 -tls1_2 -brief </dev/null
Строка Ciphersuite: показывает выбранный набор. Ошибка согласования вместо неё означает, что список слишком узок для этого клиента.
◇

Что ещё почитать

3 статьи

◇Кому разрешено сдавать почту и для кого её приниматьИз коробки узел принимает подачу только с самой машины; два разных вопроса — «кто может слать через нас» и «на чьи адреса мы принимаем» — решаются разными директивами.◇Группа, дающая право управлятьЧленство в группе pmta даёт непривилегированному пользователю право звать команды узла и пользоваться подачей.◇Как узел выбирает источник и складывает его настройкиСоединение попадает под все блоки источника, чьи адреса его накрывают, и действуют они слитно — узкий перекрывает широкий; именованные блоки подключаются только по прямой ссылке.

В Хабе
Цена ошибки
безопасно: неверное значение ничего не ломает
Сценарии
Безопасность узла
Соседние настройки блока Global:smtp-server-tls-certificateopenssl-security-levelsmtp-server-tls-min-versionhttp-tls-min-versionsmtp-server-tls-cipher-server-preferenceВсе 108 директив блока →