http-tls-max-version
Globalнужен перезапуск
Вторая граница того же диапазона, что и http-tls-min-version. Умолчания нет — значит, потолок не ограничен и монитор согласует самую новую версию, которую предложит клиент.
Повод поставить потолок здесь один и тот же: клиент, который объявляет современную версию и на ней срывается. У монитора это чаще всего не браузер, а старая библиотека в чужой программе, которая ходит в API.
Это обход чужой поломки, а не настройка безопасности. Понижение потолка ослабляет интерфейс, на котором лежит ключ управления, — если уж ставить, то с комментарием и датой.
Ставить только по конкретному поводу:
| Значение | Когда |
|---|---|
| не задавать (умолчание) | всегда |
| tlsv1.2 | клиент API срывается на 1.3 |
Строку сопровождают комментарием, иначе через год никто не вспомнит, ради чего интерфейс держат на старой версии.
# обход поломки в клиенте, а не настройка безопасности http-mgmt-port 1000 http-tls-max-version tlsv1.2 # библиотека клиента X рвёт 1.3; проверить в 2027
▲
Типичные ошибки и проблемы
что делают не так и чем это кончается2 ошибки▶
Понижают потолок «на всякий случай»
наш опыт
Ставят потолок вместо разбора поломки клиента
наш опыт
- Синтаксис
- http-tls-max-version <enumeration>
- Значения
- tlsv1 | tlsv1.1 | tlsv1.2 | tlsv1.3
- Умолчание
- none — действует как tlsv1.3 § 3.3.1.58.14
- Применение
- нужен перезапуск сервиса
- Очередь
- уже поставленное в очередь не затронет
- Где писать
- Global
- Сколько раз
- один раз в блоке
Связанные директивы
2 связи
openssl s_client -connect NODE:1000 -tls1_3 -brief </dev/null
Что ещё почитать
3 статьи
◇Кому разрешено сдавать почту и для кого её приниматьИз коробки узел принимает подачу только с самой машины; два разных вопроса — «кто может слать через нас» и «на чьи адреса мы принимаем» — решаются разными директивами.◇Группа, дающая право управлятьЧленство в группе pmta даёт непривилегированному пользователю право звать команды узла и пользоваться подачей.◇Как узел выбирает источник и складывает его настройкиСоединение попадает под все блоки источника, чьи адреса его накрывают, и действуют они слитно — узкий перекрывает широкий; именованные блоки подключаются только по прямой ссылке.
- Цена ошибки
- безопасно: неверное значение ничего не ломает
- Сценарии
- Безопасность узла