Demo
Demo
База знаний PMTA›Блок <smtp-listener>›Директива§ 3.3.17.10

tls-min-version

<smtp-listener>

Нижняя граница версии TLS на этом входе
в конфигурации это строкаtls-min-version tlsv1.2внутри блока <smtp-listener>
То же имя ещё 1:<smtp-listener><transmissions-api-listener>— часть из них другие настройки, часть та же самая
Порог версии на отдельном входе

Та же граница, что у узла, но для соединений этого слушателя. Значения те же четыре, умолчание tlsv1.2.

Ради чего разделять. Разные входы обслуживают разных клиентов: подача своей платформы может требовать современной версии, а вход для старого партнёра — терпеть более раннюю. Разводя их по слушателям, порог задают каждому свой.

Поверх границы действует openssl-security-level — он один на узел и слушателями не делится.

Главная ловушка — понизить порог на общем входе вместо выделенного. Строка в слушателе 0/0 действует на всех, кто подключается к узлу, — то есть ровно так же, как настройка уровня узла. Смысл в разделении появляется только тогда, когда входы разные.
Что делает Хаб. Не пишет: у узла два слушателя — порт подачи и порт MX для приёма жалоб и отказов, — и оба берут порог с уровня узла. Отдельный порог понадобится, если у входов появятся клиенты с разными требованиями.
Рекомендуемые значения

Умолчание у слушателя своё, такое же, как у узла — строку задают здесь, когда у этого входа должно быть иначе или когда значение изменено на узле (наследования руководство не обещает):

Значение Когда
не задавать вход один, и граница на узле не менялась
tlsv1.1 или ниже выделенный вход для клиента со старым стеком
tlsv1.2 (умолчание) обычная подача
tlsv1.3 вход, все клиенты которого точно современные
Значения и умолчание tlsv1.2 — из руководства (§ 3.3.17.10). Совет разводить клиентов по входам — наш.
Пример в конфигурации
# настройка одного входа, остальные берут значение узла
<smtp-listener 0.0.0.0:2525>
    tls-min-version tlsv1.1</smtp-listener>
Выделенный вход для клиента со старым стеком: основной слушатель при этом остаётся с умолчанием tlsv1.2.
жёлтым — — имена директив, голубым — блоки. Так же они подсвечены и в тексте карточки.
▲

Типичные ошибки и проблемы

что делают не так и чем это кончается2 ошибки▶

Настраивают слушатель вместо узла при единственном входе

§ 3.3.17.10

Чем чреватоСлушатель один, и настройка у него равносильна настройке узла — но найти её труднее: она лежит внутри блока, а не в корне файла. Следующий человек будет искать в общих настройках.
Как заметитьВ корне файла настройки нет, а поведение узла ей не соответствует.
Как правильноПри одном входе задавать на уровне узла. Настройка слушателя нужна там, где входов несколько и они разные.

Меняют у одного слушателя, ожидая изменения у всех

наш опыт

Чем чреватоСтрока действует только на свой адрес и порт. Соседний вход продолжает работать по значению узла, и разница обнаруживается по поведению разных клиентов.
Как заметитьОдни подающие видят новое поведение, другие прежнее.
Как правильноМенять на уровне узла — тогда изменение достанется всем входам, где не задано своё.
Совместимость
PowerMTA 6.0
описана в руководстве этой версии · платформа: любая
С какой версии директива доступна, вендор указывает не для всех — здесь пометки нет. Имя встречается и в издании руководства 5.0.
Справочные данные
Синтаксис
tls-min-version <enumeration>
Значения
tlsv1 | tlsv1.1 | tlsv1.2 | tlsv1.3
Умолчание
tlsv1.2 § 3.3.17.10
Применение
reload, перезапуск не нужен
Очередь
уже поставленное в очередь не затронет
Где писать
<smtp-listener>
Сколько раз
один раз в блоке
Всё здесь — из руководства, с разделом.
Наследование
Директива живёт в <smtp-listener> и действует на соединения его адреса и порта. Наследования от smtp-server-tls-min-version руководство не обещает: у строки своё умолчание, такое же, как у узла, а «наследуется от узла» сказано только про tls-certificate. Изменили значение на узле — повторите его у слушателя явно.
⇄

Связанные директивы

2 связи

То же имя в других блоках

smtp-server-tls-min-versionGlobalТа же настройка на уровне узла; наследует ли её слушатель, руководство не говорит. § 3.3.17.10

Где применяется

smtp-listenerGlobalСтрока живёт внутри слушателя и действует на соединения его адреса и порта. § 3.3.17.10

Сюда ссылаются

tls-max-version<smtp-listener>Вторая граница того же диапазона: вместе они и задают, какие версии принимает этот вход. § 3.3.17.11tls-allow-tlsv1.3<smtp-listener>Пришла на смену всей пятёрке переключателей: диапазон версий на этом входе задаётся парой границ. § 3.3.17.5tls-allow-tlsv1.2<smtp-listener>Пришла на смену всей пятёрке переключателей: диапазон версий на этом входе задаётся парой границ. § 3.3.17.6tls-allow-tlsv1.1<smtp-listener>Пришла на смену всей пятёрке переключателей: диапазон версий на этом входе задаётся парой границ. § 3.3.17.7tls-allow-tlsv1<smtp-listener>Пришла на смену всей пятёрке переключателей: диапазон версий на этом входе задаётся парой границ. § 3.3.17.8tls-allow-sslv3<smtp-listener>Версии на этом входе задаются парой границ; отдельных переключателей больше не нужно. § 3.3.17.9

Как проверить на узле
Проверять надо порт того слушателя, о котором речь, — у соседнего значение может быть другим:
openssl s_client -starttls smtp -connect localhost:2525 -tls1_1
Успешное согласование означает, что порог понижен именно на этом входе. Проверять надо порт того слушателя, о котором идёт речь.
◇

Что ещё почитать

3 статьи

◇Кому разрешено сдавать почту и для кого её приниматьИз коробки узел принимает подачу только с самой машины; два разных вопроса — «кто может слать через нас» и «на чьи адреса мы принимаем» — решаются разными директивами.◇Заголовки, которыми отправитель управляет доставкойШесть служебных заголовков позволяют подающей стороне выбрать поток, пометить письмо заданием, задать настройки и ключ подписи, идентификатор конверта и расписание; каждый разрешается отдельно и по источникам.◇Заголовок балансировщика на входеУзел читает заголовок PROXY в начале входящего соединения и считает источником адрес из него; работает у обоих видов входа.

В Хабе
Цена ошибки
обратимо: вредит, пока стоит
Сценарии
Безопасность узла · Подключить платформу отправки
Соседние настройки блока <smtp-listener>:tls-certificateimmediate-tlstls-cipher-server-preferencetls-ca-filetls-ciphersВсе 18 директив блока →