База знаний PMTA›Блок конфигурации§ 3.3.7

<source>

критично

Кто может подавать почту и на каких условиях

Решается до того, как письмо попало в очередь

Блок применяется по адресу, с которого подключились, — и всё в нём решается до того, как письмо встанет в очередь.

Что он решает. Разрешена ли пересылка вообще, какие управляющие заголовки узел слушает, какие пределы на письмо и получателей, требуется ли авторизация и как именно.

Слияние — как у приёмников. Подходящих блоков может быть несколько, и более узкий адресный диапазон перекрывает более широкий (source-matching).

Здесь же живут решения о заголовках: какие снять перед отправкой, добавлять ли свой Received, слушаться ли выбора адреса отправки. То есть блок — граница между чужой почтой и нашей.

Пример в конфигурации

# блок подачи, который пишет Хаб
<source {pmta-auth}>
    require-auth true    always-allow-relaying yes
    default-virtual-mta pmta-pool
    pattern-list pmta-pattern
</source>

Выделенная строка и делает блок безопасным: пересылка разрешена, но только тому, кто вошёл. Имя блока в фигурных скобках — ссылка на учётную запись подачи, а не образец адреса.

жёлтым — — имена директив, голубым — блоки. Так же они подсвечены и в тексте карточки.

Директивы блока: 74

Содержимое письма 16

jobid-prefixПриставка, дописываемая к метке задания из письма process-x-jobХаб задаёт самЧитать ли заголовок x-job и метить им письмо add-date-headerДобавлять ли заголовок Date, если его нет add-message-id-headerХаб задаёт самДобавлять ли заголовок Message-Id, если его нет add-received-headerХаб задаёт самДобавлять ли заголовок Received при приёме письма add-x-virtual-mta-headerДобавлять ли в письмо заголовок с именем потока, если его там нет allow-mailmergeМожно ли использовать расширения слияния от этого источника bccАдрес, на который копируется каждое письмо от этого источника jobid-headerИз какого заголовка брать метку задания вместо x-job pattern-listХаб задаёт самКакой список правил применяется к письмам из этого источника remove-headerХаб задаёт самКакие заголовки вырезать из письма date-header-timeКакое время попадает в дописанный заголовок Date process-x-envidЧитать ли заголовок x-envid и задавать по нему идентификатор конверта replace-message-id-headerЗаменять ли идентификатор письма, который поставил отправитель retain-x-dkim-optionsОставлять ли заголовок X-DKIM-Options в письме при доставке retain-x-jobОставлять ли заголовок x-job в письме при доставке

Подача почты 14

accept-invalid-recipientsПринимать ли синтаксически неверные адреса вместо отказа в сессии allow-authРазрешена ли этому источнику команда AUTH allow-smtputf8Можно ли подавать международные адреса от этого источника always-allow-api-submissionВключить ли разом все права, нужные подаче по API disconnect-on-transient-errorЗакрывать ли соединение вместо временного отказа max-message-sizeХаб задаёт самНаибольший размер письма, принимаемого по SMTP от этого источника max-rcpt-per-messageСколько получателей принимается на одно письмо source-groupК какой группе источников относится этот источник too-many-rcpts-fails-messageВалит ли превышение числа получателей всё письмо целиком allow-chunkingПредлагается ли этому источнику расширение CHUNKING auto-qualify-domainХаб задаёт самДополнять ли неполный домен адреса доменным суффиксом max-message-hopsСколько заголовков Received может нести письмо smtp-command-timeoutСколько ждать команду во входящем обмене SMTP smtp-data-timeoutСколько ждать данные в фазе передачи тела письма

Доступ 9

process-x-dkim-keyкритичноЧитать ли приватный ключ подписи из заголовка письма retain-x-dkim-keyкритичноОставлять ли приватный ключ подписи в отправленном письме smtp-serviceкритичноХаб задаёт самПредлагать ли SMTP соединениям от этого источника allow-unencrypted-plain-authХаб задаёт самРазрешать ли механизм PLAIN на незашифрованном соединении allowed-sender-listsПо каким спискам проверяется адрес отправителя при подаче require-authХаб задаёт самТребовать ли вход до приёма любой почты от этого источника smtp-max-auth-failure-rateХаб задаёт самСколько неудачных входов за период допускается с этого источника hide-message-sourceСкрывать ли в отметке о приёме имя и адрес подающего broken-auth-clientsустарелаУстаревшая, без описания и без названной замены

Подпись 8

check-spf-inboundПроверять ли SPF у почты, которую подают нам reject-spf-check-failОтвергать ли письмо, когда проверка SPF прямо не прошла reject-spf-check-permerrorОтвергать ли письмо, когда запись SPF отправителя нечитаема reject-spf-check-temperrorОтвергать ли письмо, когда проверку не удалось выполнить check-arc-inboundПроверять ли заверение пересылки у писем, которые подают нам check-dkim-inboundПроверять ли подпись у писем, которые подают нам process-x-dkim-optionsЧитать ли заголовок X-DKIM-Options и править по нему подпись check-spf-inbound-best-guessустарелаУстаревшая строка: пользоваться не следует

Диагностика 7

log-commandsХаб задаёт самЗаписывать ли весь разговор SMTP log-connectionsХаб задаёт самЗаписывать ли начало и конец каждого соединения log-dataХаб задаёт самЗаписывать ли каждый байт обмена log-tlsЗаписывать ли в журнал ход согласования TLS на подаче trace-dkim-checkКласть ли в заголовок письма запросы проверки подписи trace-iprev-checkКласть ли в заголовок письма запросы обратной проверки trace-spf-checkКласть ли в заголовок письма все запросы, сделанные при проверке

Адреса отправки 5

default-virtual-mtaкритичноХаб задаёт самПоток или пул по умолчанию для писем из этого источника process-x-virtual-mtaкритичноХаб задаёт самЧитать ли заголовок X-Virtual-MTA и выбирать по нему поток reject-invalid-virtual-mtaОтвергать ли письмо, назвавшее несуществующий или пустой поток allow-empty-x-virtual-mtaСчитать ли пустое значение заголовка X-Virtual-MTA допустимым retain-x-virtual-mtaОставлять ли обработанный заголовок X-Virtual-MTA в письме

DNS 5

check-iprev-inboundПроверять ли, что адрес подающего сходится с его именем check-spf-inbound-max-void-lookupsСколько пустых ответов DNS терпеть при проверке SPF reject-iprev-check-failОтвергать ли письмо, когда адрес не сходится с именем reject-iprev-check-permerrorОтвергать ли письмо, когда обратную проверку выполнить нельзя reject-iprev-check-temperrorОтвергать ли письмо, когда обратную проверку не удалось выполнить

TLS 3

allow-starttlsХаб задаёт самРазрешать ли клиенту начинать шифрование при подаче require-starttls-before-authТребовать ли шифрование перед вводом пароля require-starttlsТребовать ли шифрование до любых команд при подаче

Отказы 3

verp-defaultВписывать ли получателя в обратный адрес всей почты этого источника suppress-local-dsnХаб задаёт самФормировать ли отчёты об исходе для почты от этого источника dsn-return-defaultВозвращает ли отчёт об отказе тело письма целиком или только заголовки

Очередь 2

process-x-scheduleЧитать ли заголовок x-schedule и соблюдать окна отправки retain-x-scheduleОставлять ли заголовок x-schedule в письме при доставке

Подавление 1

suppression-listsСписки подавления для писем из этого источника

Основа 1

includeПодключить файл настроек внутри блока источника

Совместимость

PowerMTA 6.0

описана в руководстве этой версии · платформа: любая

С какой версии директива доступна, вендор указывает не для всех — здесь пометки нет. Имя встречается и в издании руководства 5.0.

⇄

Связанные записи

0 связей

Сюда ссылаются

Ограничить, кто вообще достаёт до узлаОграничение приёма выражается блоками источника и диапазонами адресов. § 1.6.1 Кому разрешено сдавать почту и для кого её приниматьРазрешение выдаётся блоку источника и подчиняется его слиянию. § 2.3 smtp-listenerGlobalБлок конфигурации, в котором механизм и живёт. § 3.3.1.27 always-allow-relayingGlobalРазрешение выдаётся блоку источника и подчиняется его слиянию. § 3.3.1.54.1

◇

Что ещё почитать

3 статьи

◇Кому разрешено сдавать почту и для кого её приниматьИз коробки узел принимает подачу только с самой машины; два разных вопроса — «кто может слать через нас» и «на чьи адреса мы принимаем» — решаются разными директивами.◇Заголовки, которыми отправитель управляет доставкойШесть служебных заголовков позволяют подающей стороне выбрать поток, пометить письмо заданием, задать настройки и ключ подписи, идентификатор конверта и расписание; каждый разрешается отдельно и по источникам.◇Заголовок балансировщика на входеУзел читает заголовок PROXY в начале входящего соединения и считает источником адрес из него; работает у обоих видов входа.

В Хабе

Цена ошибки: обратимо: вредит, пока стоит
Сценарии: Безопасность узла · Подключить платформу отправки
Важность: критично