Demo
Demo
База знаний PMTA›Блок Global›Директива§ 3.3.1.20

smtp-server-tls-v1.3-ciphersuites

Global

Набор шифров на приёме для TLS 1.3
в конфигурации это строкаsmtp-server-tls-v1.3-ciphersuites TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256:TLS_AES_128_CCM_SHA256:TLS_AES_128_CCM_8_SHA256внутри блока Global
Версия 1.3 на приёме настраивается своей строкой

То же, что список наборов 1.3 на отправке, только для входящих соединений. Умолчание перечисляет пять наборов — от TLS_AES_256_GCM_SHA384 до TLS_AES_128_CCM_8_SHA256.

Все пять современные, и выбирать между ними обычно нечего: разница в скорости на разном железе, а не в стойкости.

Осмысленный повод сузить — внешнее требование с конкретным перечнем. Ради «усиления» трогать не стоит: слабых наборов в версии 1.3 нет.

Главная ловушка — оставить один набор. Подающая платформа без него не согласует версию 1.3 вовсе, а при поднятом пороге — не подключится совсем. Сужение до одного набора не усиливает ничего.
Что делает Хаб. Не пишет — оставляет вендорское умолчание. Все пять наборов современные, и подача от своих платформ согласуется без всякой настройки.
Рекомендуемые значения

Значение — список наборов через двоеточие:

Что Когда
не задавать (умолчание) всегда
сузить до перечня из политики внешнее требование
оставить один набор не делать: подача может не подняться вовсе
Умолчание из пяти наборов — из руководства (§ 3.3.1.20). Совет не сужать до одного — наш.
Пример в конфигурации
# сужение до двух — по требованию политики, не «для усиления»
smtp-server-tls-v1.3-ciphersuites TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256
Пример руководства. Оба набора сильные; смысл строки — соответствие чьему-то перечню, а не повышение стойкости.
жёлтым — — имена директив, голубым — блоки. Так же они подсвечены и в тексте карточки.
▲

Типичные ошибки и проблемы

что делают не так и чем это кончается1 ошибка▶

Сужают до одного набора ради «усиления»

наш опыт

Чем чреватоСтойкость не растёт — все пять наборов современные, — а подающая платформа без этого набора не согласует версию 1.3.
Как заметитьПодача идёт по версии ниже, чем раньше, или прекращается.
Как правильноВернуть умолчание. Сужать только по внешнему требованию и минимум до двух наборов.
Совместимость
PowerMTA 6.0
описана в руководстве этой версии · платформа: любая
С какой версии директива доступна, вендор указывает не для всех — здесь пометки нет. Имя встречается и в издании руководства 5.0.
Справочные данные
Синтаксис
smtp-server-tls-v1.3-ciphersuites <openssl-ciphersuite-list>
Значения
список наборов TLS 1.3 через двоеточие
Умолчание
TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256:TLS_AES_128_CCM_SHA256:TLS_AES_128_CCM_8_SHA256 § 3.3.1.20
Применение
reload, перезапуск не нужен
Очередь
уже поставленное в очередь не затронет
Где писать
Global
Сколько раз
один раз в блоке
Всё здесь — из руководства, с разделом.
Наследование
Директива пишется в корне файла, раздел Global, и действует на весь узел. У отдельного слушателя есть своя строка — tls-v1.3-ciphersuites в <smtp-listener>. Список для версий до 1.2 задаётся отдельно и на 1.3 не влияет.
⇄

Связанные директивы

1 связь

Работают в паре

smtp-server-tls-ciphersGlobalСписок для версий до 1.2; у версии 1.3 наборы устроены иначе и задаются здесь. § 3.3.1.20

Как проверить на узле
Проверяется согласованием по версии 1.3:
openssl s_client -starttls smtp -connect localhost:25 -tls1_3
В ответе видно согласованный набор — он начинается с TLS_. Если соединение не поднимается вовсе, список сужен слишком сильно.
◇

Что ещё почитать

3 статьи

◇Подача по HTTPS на своём приёмнике, по образцу SparkPostОтдельный вход: свой приёмник с сертификатом, свои ключи и зарезервированное имя источника, через которое к такой почте применяются обычные настройки подачи.◇Приёмник объявляет требование шифрования на своём сайтеУзел забирает политику получателя по HTTPS и, если та в режиме принуждения, доставляет только при совпадении MX, шифровании и проверенном сертификате.◇Приёмник объявляет требование шифрования в своей зоне DNSУзел смотрит записи DANE получателя и, если тот требует STARTTLS, отправляет только по зашифрованному каналу с проверенным по отпечатку сертификатом.

В Хабе
Цена ошибки
опасно: последствия переживут откат
Сценарии
Шифрование соединений
Соседние настройки блока Global:smtp-server-tls-certificateopenssl-security-levelsmtp-server-tls-min-versionhttp-tls-min-versionsmtp-server-tls-cipher-server-preferenceВсе 108 директив блока →