Руководство собирает эти меры под одним началом — наименьшие привилегии: каждой стороне дать ровно тот минимум, который нужен для дела. Ничего необычного в списке нет, и в этом его достоинство: это базовая настройка, а не тонкая защита.
Поверхностей у узла три, и шаги закрывают их по очереди: право сдавать почту (кому вообще позволено), откуда принимаем (диапазон адресов), кто дотягивается до монитора — и, отдельно, под каким пользователем работает сам MTA.
Важно, что все пять выражаются конфигурацией. Значит их можно не советовать, а делать по построению — что для парка единственный работающий способ: советы выполняются на первом узле и забываются на двадцатом.
Это законный размен, но у него есть цена: вся защита подачи начинает держаться на одном секрете. Значит к нему предъявляется всё, что предъявлялось бы диапазону, — разный пароль на логин, предел неудачных попыток, и понимание, что открытый порт видят все.
Третий шаг — наполовину: приёмник подачи слушает 0/0, и общий блок источника тоже, но разрешения на ретрансляцию в 0/0 нет. Без логина сдавать почту можно только с самой машины и с адресов из «Кому разрешена подача», всем остальным право даёт логин. Причина в устройстве парка — узлы стоят у разных хостеров, адрес подающей стороны меняется, и жёсткий диапазон ломал бы подачу при каждом переезде.
Пятый шаг не сделан: строку run-as-root no из шаблонов убрали 29.08.2026 — одной строкой узел на пользователя pmta не переходил, а остальных условий § 2.2.1 узлы не выполняли. MTA работает от root.
# четыре шага, которые видно в конфигурации узла run-as-root no http-access 127.0.0.1 admin http-access 10.0.0.7 monitor <smtp-user pmtauser> password s3cret source {pmta-auth} </smtp-user>
▲
Типичные ошибки и проблемы
что делают не так и чем это кончается3 ошибки▶
Делают четыре шага из пяти и считают дело закрытым
§ 1.6.1
Ограничивают монитор, забыв про порт подачи
§ 1.6.1
Проверяют меры на самом узле
§ 1.6.1
Связанные записи
4 связи
http-accessGlobalДиректива, ограничивающая доступ к монитору; описана в главе 3. § 1.6.1Кто может подавать почту и на каких условияхОграничение приёма выражается блоками источника и диапазонами адресов. § 1.6.1Учётная запись для подачи почтыПраво ретранслировать выдаётся учётной записью, а не адресом. § 1.6.1
Кому разрешено сдавать почту и для кого её приниматьПервый и третий шаги рецепта — это и есть два способа решить, кому позволено ретранслировать. § 1.6.1Работа без прав rootСмежный порядок действий: часть шагов у них общая. § 1.6.1Что защищает веб-монитор и чем эта защита не являетсяСужение доступа к монитору — один из пяти шагов рецепта; остальные про подачу почты. inference
grep -n 'run-as-root\|http-access\|smtp-listener' /etc/pmta/config
ps -o user= -p "$(pgrep -n pmtad)"
curl -sS -o /dev/null -w '%{http_code}\n' http://<адрес-узла>:1000/
Что ещё почитать
3 статьи
◇Как узел выбирает источник и складывает его настройкиСоединение попадает под все блоки источника, чьи адреса его накрывают, и действуют они слитно — узкий перекрывает широкий; именованные блоки подключаются только по прямой ссылке.◇Логины подачи, пароли открытым текстом и настройки на каждогоОтправитель входит одним из трёх способов; каждый логин — блок конфигурации с паролем в открытом виде, и именованный источник этого логина перекрывает то, что дал бы его адрес.◇Лицензия на парк, а не на серверЛицензия не привязана к серверу: её ставят на столько машин, сколько разрешает предел экземпляров, а узлы раз в час отправляют вендору статистику объёма.
- Цена ошибки
- обратимо: вредит, пока стоит
- Сценарии
- Безопасность узла · Разделение отправителей