Demo
Demo
База знаний PMTA›Блок Global›Директива§ 3.3.1.12

smtp-server-tls-allow-sslv3

Globalустарела

Принимать ли SSLv3 — директива больше не действует
в конфигурации это строкаsmtp-server-tls-allow-sslv3внутри блока Global
Строка, которая ничего не делает

Руководство говорит об этой строке одно: она больше не действительна, потому что PowerMTA не поддерживает SSLv3. Ни значения, ни умолчания у неё нет.

Так и должно быть. SSLv3 признан непригодным больше десяти лет назад; его отсутствие — нормальное состояние, а не ограничение.

Такая же строка есть и для отправки — smtp-tls-allow-sslv3 в блоке получателя, — и она тоже не действует.

Главная ловушка — принять строку за действующую настройку. Она не вызывает ошибки и выглядит как обычное разрешение; человек, читающий конфигурацию, делает вывод, что узел умеет SSLv3.
Что делает Хаб. Не пишет — и не мог бы: поддержки протокола нет. Строка встречается только в конфигурациях, перенесённых с очень старых версий, и её надо просто удалить.
Рекомендуемые значения

Значений нет. Единственное действие — убрать:

Что нашли Что делать
smtp-server-tls-allow-sslv3 удалить, поведение не изменится
рядом другие smtp-server-tls-allow-* переписать все на пару границ

Версии на приёме задаются парой smtp-server-tls-min-version и smtp-server-tls-max-version.

Факт, что директива больше не действительна, — из руководства (§ 3.3.1.12). Совет удалять её при переносе — наш.
Пример в конфигурации
# так быть не должно — строка не делает ничего
smtp-server-tls-allow-sslv3 false
# достаточно её убрать: версии задаются границами
smtp-server-tls-min-version tlsv1.2
Верхняя строка встречается в перенесённых конфигурациях. Она не вызовет ошибки и не изменит поведения: протокола нет в поставке.
жёлтым — — имена директив, голубым — блоки. Так же они подсвечены и в тексте карточки.
▲

Типичные ошибки и проблемы

что делают не так и чем это кончается1 ошибка▶

Считают строку действующей защитой

§ 3.3.1.12

Чем чреватоsmtp-server-tls-allow-sslv3 false выглядит как запрет небезопасного протокола и попадает в отчёты о настройках безопасности. На деле она не делает ничего.
Как заметитьСтрока перечисляется среди мер защиты при аудите конфигурации.
Как правильноУбрать и опираться на smtp-server-tls-min-version: это единственный работающий способ задать нижнюю границу на приёме.
Совместимость
PowerMTA 6.0
описана в руководстве этой версии · платформа: любая
С какой версии директива доступна, вендор указывает не для всех — здесь пометки нет. Имя встречается и в издании руководства 5.0.
Справочные данные
Синтаксис
smtp-server-tls-allow-sslv3 <boolean>
Значения
значения не применяются — директива не действует
Применение
reload, перезапуск не нужен
Очередь
уже поставленное в очередь не затронет
Где писать
Global
Сколько раз
один раз в блоке
Всё здесь — из руководства, с разделом.
Наследование
Наследование обсуждать не приходится: строка не действует ни на каком уровне. Заменяющие её границы пишутся в корне файла, раздел Global, и действуют на весь узел; у слушателя есть свой набор.
⇄

Связанные директивы

0 связей

Сюда ссылаются

smtp-tls-allow-sslv3<domain>Тот же недействующий переключатель с другой стороны: этот про отправку, тот про приём почты узлом. § 3.3.10.108.10

Как проверить на узле
Проверка одна — найти и убрать:
grep -rn "tls-allow-sslv3" /etc/pmta/
Найдутся все пять таких строк — отправки, приёма узлом, слушателя, входа Transmissions API и веб-монитора. Все подлежат удалению: поведение узла от этого не изменится.
◇

Что ещё почитать

3 статьи

◇Принять, направить, доставитьПуть письма внутри узла: принять, решить куда, доставить — и между этими тремя шагами живут все настройки.◇Четыре типа значений, на которых написан весь конфигЛогическое, образец домена, регулярное выражение и промежуток времени — определены один раз в § 3.2 и дальше используются всеми директивами.◇Перезагрузка настроек против перезапуска службыКонфигурация читается при старте, дальше правки подхватываются командой перезагрузки — кроме тех директив, которые руководство помечает как требующие перезапуска.

В Хабе
Цена ошибки
безопасно: неверное значение ничего не ломает
Сценарии
Жизненный цикл конфигурации
Соседние настройки блока Global:smtp-server-tls-certificateopenssl-security-levelsmtp-server-tls-min-versionhttp-tls-min-versionsmtp-server-tls-cipher-server-preferenceВсе 108 директив блока →