Demo
Demo
База знаний PMTA›Механизм§ 14

Библиотека шифрования — часть поставки, а не системы

bundled tls stack
Чем узел шифрует — решает поставка, а не сервер

Демон пользуется своей библиотекой шифрования, приехавшей в дистрибутиве. Поэтому руководство может назвать её точную версию и номер сертификата, а системный OpenSSL на том же сервере — это отдельная программа, просто с тем же именем.

Практическое следствие первое: обновление системы ничего не меняет. Обновив OpenSSL пакетным менеджером, вы не изменили ни набор шифров, ни доступные версии протокола. Меняет их только обновление PowerMTA.

Второе: openssl version на сервере отвечает не про узел. Проверять надо то, что показывает сам PowerMTA.

Третье: openssl-security-level действует поверх всех настроек TLS. Он запрещает целые классы — слабые ключи, старые версии — и делает это раньше, чем до дела доходит разрешение в блоке получателя.

Главная ловушка — чинить шифрование на уровне системы. Отчёт сканера про «устаревший OpenSSL на сервере» и поведение узла — про разные библиотеки. Обновление системного пакета не изменит ни одной согласуемой версии, а время уйдёт.
Что делает Хаб. Настроек библиотеки не пишет — ни openssl-security-level, ни ограничений версий. Для парка это верно: набор шифров и версий приходит с версией PowerMTA, а её выбирает установка узла. Помнить об этом стоит при разборе: если у двух узлов парка согласуются разные версии протокола при одинаковой конфигурации, различаются версии продукта, а не настройки.
Рекомендуемые значения

Собственных значений у механизма нет — его задаёт версия поставки. Что от чего зависит:

Что Чем определяется
набор шифров и версий версией PowerMTA, а не системным OpenSSL
разрешённая крепость ключей openssl-security-level
сужение набора по сертификации режимом FIPS
версия к конкретному приёмнику границами smtp-tls-min-version и smtp-tls-max-version поверх всего этого
То, что библиотека едет в поставке и её версия названа в руководстве, — из главы 14 и главы 2. Вывод про сканеры и разбор различий между узлами — наш.
Пример в конфигурации
# уровень безопасности библиотеки — на весь узел, поверх всех блоков
openssl-security-level 1
# а границы версий задаются по приёмнику
<domain hotmail.com>
    smtp-tls-min-version tlsv1.2
</domain>
Первая строка может запретить то, что разрешает вторая: уровень библиотеки действует раньше и не зависит от блоков получателей. Понижать его стоит осознанно — обычно ради совместимости со старым приёмником.
жёлтым — — имена директив, голубым — блоки. Так же они подсвечены и в тексте карточки.
▲

Типичные ошибки и проблемы

что делают не так и чем это кончается2 ошибки▶

Обновляют системный OpenSSL, чтобы изменить шифрование узла

§ 14

Чем чреватоНичего не меняется: узел пользуется своей библиотекой. Работа сделана, отчёт закрыт, поведение прежнее.
Как заметитьПосле обновления системы согласуемые версии и шифры те же.
Как правильноМенять версию PowerMTA — это единственный способ обновить библиотеку. Настройки поверх неё задаются openssl-security-level и границами версий.

Сравнивают узлы парка по конфигурации, а не по версии продукта

наш опыт

Чем чреватоОдинаковая конфигурация на разных версиях PowerMTA даёт разный набор доступных версий и шифров. Разбор упирается в «настройки же одинаковые».
Как заметитьУ одного узла согласуется tlsv1.3, у другого tlsv1.2, при идентичных блоках получателей.
Как правильноСверять версии продукта. Библиотека едет с поставкой, и разница в ней объясняет разницу в поведении.
Совместимость
PowerMTA 6.0
описана в руководстве этой версии · платформа: любая
С какой версии директива доступна, вендор указывает не для всех — здесь пометки нет. Имя встречается и в издании руководства 5.0.
Наследование
Наследования у механизма нет: библиотека одна на процесс. Наследуются настройки поверх неё — границы версий в <domain> сливаются по обычному правилу блоков получателей, а openssl-security-level действует на весь узел и уровней не имеет вовсе.
⇄

Связанные записи

2 связи

Работают в паре

Что нельзя в режиме FIPSРежим, в котором набор допустимого сужается ещё сильнее — уже требованиями сертификации. § 2.8

Где применяется

openssl-security-levelGlobalЕдинственная настройка встроенной библиотеки: она разрешает или запрещает целые классы шифров и версий. § 2.8

Как проверить на узле
Спрашивать надо у самого узла, а не у системы — библиотеки разные:
pmta show version
/var/lib/pmta/fips/openssl version
Вторая строка — OpenSSL из поставки MTA; системный openssl version отвечает про другую библиотеку. Если у двух узлов парка согласуются разные версии протокола при одинаковой конфигурации, сравнивать надо версии PowerMTA.
◇

Что ещё почитать

3 статьи

◇Ключ активации — условие установки, а не шаг после неёБез ключа активации от поддержки SparkPost MTA не ставится и не работает, а уровень лицензии задаёт потолок исходящих соединений: на стандартной всё сверх 200 игнорируется.◇Ограничения облакаОблака ограничивают исходящую почту через порт 25, пока не попросишь снять лимит, а их диапазоны адресов почтовики встречают с подозрением.◇Как перевести план отправки в железоДве постоянные, по которым считается любой узел: около 2 КБ памяти на каждого получателя в очереди и место под спул, пропорциональное суммарному размеру писем.

В Хабе
Цена ошибки
безопасно: неверное значение ничего не ломает
Сценарии
Подготовить узел к отправке · Шифрование соединений