Demo
Demo
База знаний PMTA›Блок Global›Директива§ 3.3.1.58.16

http-tls-v1.3-ciphersuites

Globalнужен перезапуск

Наборы шифров веб-монитора для TLS 1.3
в конфигурации это строкаhttp-tls-v1.3-ciphersuites TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256:TLS_AES_128_CCM_SHA256:TLS_AES_128_CCM_8_SHA256внутри блока Global
Шифры монитора на версии 1.3

Отдельный список — потому что в версии 1.3 наборы устроены иначе, чем в прежних, и общего языка описания у них нет. http-tls-ciphers на 1.3 не действует.

Умолчание перечисляет пять наборов — от TLS_AES_256_GCM_SHA384 до TLS_AES_128_CCM_8_SHA256. Мы проверили на узле парка: монитор согласует первый из них.

Все пять современные. В версии 1.3 слабых наборов нет — комитет выкинул их из стандарта, а не оставил на усмотрение администратора. Сужать список «ради усиления» здесь нечего.

Главная ловушка — сузить до одного набора. Стойкость не вырастет, а совместимость упадёт: клиент без этого набора не согласует версию 1.3 вовсе и либо откатится на 1.2, либо не подключится.
Что делает Хаб. Не пишет: все пять наборов умолчания подходят, и выбирать между ними не из чего.
Рекомендуемые значения

Строка нужна редко — по требованию политики, не ради стойкости:

Значение Когда
не задавать (умолчание) всегда
два-три набора требование внешней политики
один набор никогда

Значение — имена наборов через двоеточие, как их печатает OpenSSL.

Умолчание из пяти наборов и отдельность от списка для версий до 1.2 — из руководства (§ 3.3.1.58.16). Что монитор берёт первый из них — наша проверка на узле парка. Совет не сужать до одного — наш.
Пример в конфигурации
# сужение до двух наборов — по требованию политики, не «для усиления»
http-mgmt-port 1000
http-tls-v1.3-ciphersuites TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256
Пример руководства. Оба набора сильные; смысл строки — соответствие чужому списку, а не улучшение шифрования.
жёлтым — — имена директив, голубым — блоки. Так же они подсвечены и в тексте карточки.
▲

Типичные ошибки и проблемы

что делают не так и чем это кончается2 ошибки▶

Сужают до одного набора ради «усиления»

наш опыт

Чем чреватоСтойкость не растёт — все пять наборов современные, — а совместимость падает: клиент без этого набора откатится на 1.2 или не подключится.
Как заметитьЧасть клиентов монитора внезапно ходит по 1.2.
Как правильноВернуть умолчание либо оставить минимум два набора.

Пишут сюда имена шифров из списка для версий до 1.2

§ 3.3.1.58.15

Чем чреватоЗаписи вида HIGH или ECDHE-RSA-AES256-GCM-SHA384 версия 1.3 не понимает. Список окажется пустым, и согласование по 1.3 перестанет проходить.
Как заметитьProtocol version: TLSv1.2 там, где раньше была 1.3.
Как правильноПисать сюда только имена вида TLS_*, а прежние — в http-tls-ciphers.
Совместимость
PowerMTA 6.0
описана в руководстве этой версии · платформа: любая
С какой версии директива доступна, вендор указывает не для всех — здесь пометки нет. Имя встречается и в издании руководства 5.0.
Справочные данные
Синтаксис
http-tls-v1.3-ciphersuites <string>
Значения
список наборов TLS 1.3 через двоеточие
Умолчание
TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256:TLS_AES_128_CCM_SHA256:TLS_AES_128_CCM_8_SHA256 § 3.3.1.58.16
Применение
нужен перезапуск сервиса
Очередь
уже поставленное в очередь не затронет
Где писать
Global
Сколько раз
один раз в блоке
Всё здесь — из руководства, с разделом.
Наследование
Наследования у директивы нет: она пишется в корне файла, раздел Global, и действует на весь управляющий интерфейс узла.
⇄

Связанные директивы

2 связи

Работают в паре

http-tls-cipher-server-preferenceGlobalПорядок здесь решает дело только тогда, когда выбирает сервер. § 3.3.1.58.18

Где применяется

http-mgmt-portGlobalОдна из настроек того самого интерфейса, который слушает этот порт. § 3.3.1.58.16

Сюда ссылаются

http-tls-ciphersGlobalДва списка делят работу по версии протокола: этот кончается на TLS 1.2. § 3.3.1.58.16

Как проверить на узле
Смотрим, какой набор согласовался на версии 1.3:
openssl s_client -connect NODE:1000 -tls1_3 -brief </dev/null
Строка Ciphersuite: показывает выбранный набор. Если он не из вашего списка, значит соединение прошло по другой версии протокола — проверьте Protocol version в той же выдаче.
◇

Что ещё почитать

3 статьи

◇Кому разрешено сдавать почту и для кого её приниматьИз коробки узел принимает подачу только с самой машины; два разных вопроса — «кто может слать через нас» и «на чьи адреса мы принимаем» — решаются разными директивами.◇Группа, дающая право управлятьЧленство в группе pmta даёт непривилегированному пользователю право звать команды узла и пользоваться подачей.◇Как узел выбирает источник и складывает его настройкиСоединение попадает под все блоки источника, чьи адреса его накрывают, и действуют они слитно — узкий перекрывает широкий; именованные блоки подключаются только по прямой ссылке.

В Хабе
Цена ошибки
безопасно: неверное значение ничего не ломает
Сценарии
Безопасность узла
Соседние настройки блока Global:smtp-server-tls-certificateopenssl-security-levelsmtp-server-tls-min-versionhttp-tls-min-versionsmtp-server-tls-cipher-server-preferenceВсе 108 директив блока →