Demo
Demo
База знаний PMTA›Блок <source>›Директива§ 3.3.7.33

log-tls

<source>

Записывать ли в журнал ход согласования TLS на подаче
в конфигурации это строкаlog-tls falseвнутри блока <source>
То же имя ещё 2:<domain><source><transmissions-api>— часть из них другие настройки, часть та же самая
Почему шифрование на подаче не сложилось

Третье место одного и того же переключателя, и все три про разные разговоры: log-tls в <domain> — про исходящие соединения к приёмнику, эта строка — про входящие, от подающей платформы, а log-tls в <transmissions-api> — про подачу по HTTP API. Умолчание везде false.

Это диагностический переключатель, а не постоянная настройка. Он отвечает на вопрос «почему подающий клиент не шифруется»: не предложен STARTTLS, не нашлось общего шифра, не сошлась цепочка сертификата.

Включать точечно — на тот источник, о котором речь. Блок <source> задаётся адресом или подсетью, и запись можно ограничить одной подающей платформой вместо всех.

Главная ловушка — включить в источнике 0/0. Это все подающие разом, включая собственные проверки узла; объём записи вырастет на порядок, а нужные строки в нём потеряются.
Что делает Хаб. Не пишет: включается вручную на время разбора. Конфигурацию Хаб перезаписывает целиком при каждом применении — дописанная руками строка исчезнет при следующем применении, и это как раз тот случай, когда так и надо.

🔴 Разбирать на подаче есть что: в общем источнике мы разрешаем незашифрованный вход и не требуем шифрования до входа в систему, так что пароль подачи может уйти открытым текстом. Эта строка покажет, по шифру ли пришёл конкретный клиент.

Рекомендуемые значения

Значение булево, вопрос — где включать:

Значение Когда
no (умолчание) всегда в обычной работе
yes в узком источнике разбор одной подающей платформы
yes в источнике 0/0 никогда
Умолчание false — из руководства (§ 3.3.7.33). Совет ограничивать разбор одним источником и предупреждение про 0/0 — наши.
Пример в конфигурации
# разбор одной подающей платформы, а не всех сразу
<source 10.0.0.7>
    allow-starttls yes
    log-tls true</source>
Источник задан узко — одним адресом. После разбора строку убирают: в общем источнике она даёт объём без пользы.
жёлтым — — имена директив, голубым — блоки. Так же они подсвечены и в тексте карточки.
▲

Типичные ошибки и проблемы

что делают не так и чем это кончается2 ошибки▶

Включают в источнике 0/0

наш опыт

Чем чреватоЗаписывается каждое подключение к подаче, включая собственные проверки узла. Объём вырастает на порядок, и нужные строки в нём теряются.
Как заметитьЖурнал растёт скачком после правки конфигурации.
Как правильноОграничить блок адресом или подсетью разбираемой платформы.

Путают с одноимённой строкой в блоке получателя

наш опыт

Чем чреватоТа строка про исходящие соединения к приёмнику, эта — про входящие от подающего. Включённая не там, она пишет не про тот разговор.
Как заметитьЗаписи есть, но в них имена приёмников, а не адрес подающей платформы.
Как правильноДля входящих — <source>, для исходящих — <domain>, для подачи по HTTP — <transmissions-api>.
Совместимость
PowerMTA 6.0
описана в руководстве этой версии · платформа: любая
С какой версии директива доступна, вендор указывает не для всех — здесь пометки нет. Имя встречается и в издании руководства 5.0.
Справочные данные
Синтаксис
log-tls <boolean>
Значения
yes | no | true | false
Умолчание
false § 3.3.7.33
Применение
reload, перезапуск не нужен
Очередь
уже поставленное в очередь не затронет
Где писать
<source>
Сколько раз
один раз в блоке
Всё здесь — из руководства, с разделом.
Наследование
Директива живёт в <source> и достаётся тому, чей адрес совпал с блоком; при нескольких подходящих блоках побеждает самое точное совпадение. Тот же переключатель отдельно существует для исходящих соединений — в <domain> — и для подачи по HTTP API.
⇄

Связанные директивы

1 связь

Зависит от

allow-starttls<source>Записывать нечего, пока клиентам этого источника не разрешено начинать шифрование. § 3.3.7.33

Как проверить на узле
Записи попадают в журнал узла; смотреть их надо по адресу подающего:
grep -i "tls" /var/log/pmta/pmta.log | tail -30
Видно, предложил ли клиент STARTTLS, какая версия и шифр согласованы и на каком шаге сорвалось. Пусто при включённой строке — значит клиент шифрование не начинал вовсе, и разбираться надо на его стороне.
◇

Что ещё почитать

3 статьи

◇Как письмо попадает в MTAШесть описанных способов подачи: расширенный SMTP, четыре языковые обвязки и каталог, за которым узел следит на диске.◇Кому разрешено сдавать почту и для кого её приниматьИз коробки узел принимает подачу только с самой машины; два разных вопроса — «кто может слать через нас» и «на чьи адреса мы принимаем» — решаются разными директивами.◇Заголовки, которыми отправитель управляет доставкойШесть служебных заголовков позволяют подающей стороне выбрать поток, пометить письмо заданием, задать настройки и ключ подписи, идентификатор конверта и расписание; каждый разрешается отдельно и по источникам.

В Хабе
Цена ошибки
безопасно: неверное значение ничего не ломает
Сценарии
Подключить платформу отправки
Соседние настройки блока <source>:log-commandstrace-dkim-checklog-connectionstrace-iprev-checklog-dataВсе 74 директив блока →