allow-auth
<source>
Умолчание — true: команда AUTH разрешена. С false MTA её не предлагает и не принимает — значит ни один логин на этом источнике не работает.
Пара с require-auth читается так: эта директива говорит, можно ли войти, та — нужно ли. Сочетание «нельзя войти, но нужно» превращает источник в неработающий: сдать почту через него не сможет никто.
Выключают её ради сужения поверхности — там, где логины на этом источнике не задуманы вовсе и попытки входа с него могут быть только чужими.
Ошибка получается легко: false пишут в широком блоке ради сужения поверхности, а требование входа — в узком, и на узкий достаётся и то и другое.
Директива пригодилась бы на источнике, с которого подача не задумана вовсе, — например, на том, что принимает жалобы и отказы на почтовом порту. Сегодня Хаб такого разделения не делает.
Что ставить. Выключают её редко и по одной причине:
| Значение | Когда |
|---|---|
| yes (умолчание) | подача под логином задумана — обычный случай |
| no | на этом источнике логинов быть не должно, и любая попытка входа заведомо чужая |
Второе имеет смысл там, где источник принимает только входящую почту — жалобы, отказы, отчёты, — и подача через него не предполагается.
# на приёмном источнике логины не нужны — попытка входа заведомо чужая <source 0/0> allow-auth false</source>
▲
Типичные ошибки и проблемы
что делают не так и чем это кончается2 ошибки▶
Запрещают вход в широком блоке ради сужения поверхности
наш опыт
Считают запрет команды защитой подачи
§ 3.3.7.7
- Синтаксис
- allow-auth <boolean>
- Значения
- yes | no | true | false
- Умолчание
- true § 3.3.7.7
- Применение
- reload, перезапуск не нужен
- Очередь
- уже поставленное в очередь не затронет
- Где писать
- <source>
- Сколько раз
- один раз в блоке
Связанные директивы
2 связи
require-auth<source>Соседний вопрос: эта строка говорит, можно ли войти, та — нужно ли. § 3.3.7.10
printf 'EHLO test\r\nQUIT\r\n' | nc <адрес-узла> 2525 | grep -i auth
Что ещё почитать
3 статьи
◇Кому разрешено сдавать почту и для кого её приниматьИз коробки узел принимает подачу только с самой машины; два разных вопроса — «кто может слать через нас» и «на чьи адреса мы принимаем» — решаются разными директивами.◇Группа, дающая право управлятьЧленство в группе pmta даёт непривилегированному пользователю право звать команды узла и пользоваться подачей.◇Как узел выбирает источник и складывает его настройкиСоединение попадает под все блоки источника, чьи адреса его накрывают, и действуют они слитно — узкий перекрывает широкий; именованные блоки подключаются только по прямой ссылке.
- Цена ошибки
- обратимо: вредит, пока стоит
- Сценарии
- Безопасность узла