Demo
Demo
База знаний PMTA›Блок Global›Директива§ 3.3.1.58.7

no-http-mgmt-source

Globalустарела

Прежний способ запретить адресу доступ к монитору — устаревшая директива
в конфигурации это строкаno-http-mgmt-sourceвнутри блока Global
Запрет, ставший уровнем

Строка запрещала адресу или подсети доступ к монитору — отрицательная половина пары к http-mgmt-source. Объявлена устаревшей, и раздел руководства состоит из одной фразы: пользуйтесь http-access.

Отдельная строка для запрета больше не нужна: запрет стал одним из четырёх уровней — none. Пишется он той же директивой, что и разрешение.

И порядок теперь значим. http-access разбирается сверху вниз до первого совпадения, поэтому исключение пишут выше разрешающей строки; у прежней пары такого правила не было.

Главная ловушка — поставить запрет ниже разрешения. Прежняя пара порядка не различала, новая строка различает: разбор кончается на первом совпадении, и запрет ниже широкого разрешения не сработает.
Что делает Хаб. Не пишет: явных запретов в нашем списке нет — по умолчанию не разрешён никто, и достаточно перечислить нужные адреса.
Рекомендуемые значения

Замена — уровень none, и он должен стоять выше:

Что было Что стало
no-http-mgmt-source 10.0.0.9 http-access 10.0.0.9 none выше разрешающих строк
запрет всем, кроме одного не нужен: умолчание и так «никого»

Отдельный запрет нужен редко — только как исключение внутри разрешённого диапазона.

Факт устаревания и замена на http-access — из руководства (§ 3.3.1.58.7). Правило про порядок строк — из § 3.3.1.58.3. Таблица переноса — наша.
Пример в конфигурации
# так было раньше
no-http-mgmt-source 10.0.0.9
# так пишут теперь — исключение стоит ВЫШЕ разрешения
http-access 10.0.0.9 none
http-access 10.0.0.0/24 monitor
Порядок в нижнем примере — часть замены. Переставленные местами, эти две строки дадут запрещённому адресу доступ.
жёлтым — — имена директив, голубым — блоки. Так же они подсвечены и в тексте карточки.
▲

Типичные ошибки и проблемы

что делают не так и чем это кончается2 ошибки▶

Ставят замену запрета ниже разрешающей строки

§ 3.3.1.58.3

Чем чреватоНовая директива разбирается сверху вниз до первого совпадения. Широкое разрешение выше делает запрет недостижимым, и адрес продолжает ходить на монитор.
Как заметитьСтрока none есть, а адрес получает доступ.
Как правильноПереставить исключение выше разрешающей строки.

Переносят запрет, которого не требуется

наш опыт

Чем чреватоПо умолчанию не разрешён никто. Запреты «на всякий случай» удлиняют список и создают риск ошибиться порядком.
Как заметитьВ списке строки none на адреса, которых нет ни в одном разрешении.
Как правильноУбрать: достаточно не перечислять адрес среди разрешённых.
Совместимость
PowerMTA 6.0
описана в руководстве этой версии · платформа: любая
С какой версии директива доступна, вендор указывает не для всех — здесь пометки нет. Имя встречается и в издании руководства 5.0.
Справочные данные
Синтаксис
no-http-mgmt-source
Значения
значения не документированы — в разделе только пометка об устаревании
Применение
reload, перезапуск не нужен
Очередь
уже поставленное в очередь не затронет
Где писать
Global
Сколько раз
можно повторять
Всё здесь — из руководства, с разделом.
Наследование
Наследования нет: строка писалась в корне файла, раздел Global. Заменяющая её http-access пишется там же, и у неё, в отличие от прежней пары, значим порядок строк.
⇄

Связанные директивы

1 связь

Чем заменена

http-accessGlobalПришла ей на смену: запрет теперь пишется той же строкой с уровнем none. § 3.3.1.58.7

Как проверить на узле
Найти обе устаревшие строки в конфигурации:
grep -rn "http-mgmt-source" /etc/pmta/
Найдутся обе формы — разрешающая и запрещающая. Запрет заменяется строкой http-access с уровнем none, поставленной выше разрешений.
◇

Что ещё почитать

3 статьи

◇Кому разрешено сдавать почту и для кого её приниматьИз коробки узел принимает подачу только с самой машины; два разных вопроса — «кто может слать через нас» и «на чьи адреса мы принимаем» — решаются разными директивами.◇Группа, дающая право управлятьЧленство в группе pmta даёт непривилегированному пользователю право звать команды узла и пользоваться подачей.◇Как узел выбирает источник и складывает его настройкиСоединение попадает под все блоки источника, чьи адреса его накрывают, и действуют они слитно — узкий перекрывает широкий; именованные блоки подключаются только по прямой ссылке.

В Хабе
Цена ошибки
безопасно: неверное значение ничего не ломает
Сценарии
Безопасность узла
Соседние настройки блока Global:run-as-roothttp-accesshttp-api-keyhttp-csrf-protectionhttp-redirect-to-httpsВсе 108 директив блока →