smtp-max-auth-failure-rate
<source>Хаб задаёт сам
Умолчание — unlimited, то есть перебор ничем не ограничен. Значение 0 означает то же самое. Руководство называет назначение прямо: защита от подбора пароля.
Значение — темп: 5/min разрешает пять неудачных попыток в минуту. Синтаксис общий с остальными пределами темпа: N/[M]единица, где N обязательно и не ноль, M необязательно и по умолчанию 1. Единицы — d/day, h/hr, m/min, s/sec.
Отсчёт идёт от первой неудачи, а не от последней. Руководство разбирает это на примере: при 3/5m неудачные попытки в 10:00, 10:01 и 10:02 закрывают вход до 10:05 — пять минут от первой.
Руководство ставит и условие: директива действует только там, где вход требуется строкой require-auth. MTA 6.0 применяет порог и без неё — проверено на узле Хаба (см. ниже).
Вторая половина — место строки. Неудачная попытка происходит до того, как отправитель опознан, а значит именованный источник логина ещё не выбран. Работать директива может только в том блоке, который подобрался по адресу. В именованном она бесполезна.
Место выбрано верно: неудачный вход случается до того, как выбран именованный источник логина. require-auth в 0/0 Хаб не пишет — через этот же блок узел принимает жалобы и отказы, которые входа не проходят. Порог при этом срабатывает: на узле 45.134.12.126 за 15.09.2026 в журнале 13 348 отказов с пометкой <source> smtp-max-auth-failure-rate reached, а неудачных попыток с одного адреса за минуту — не больше пяти.
Что ставить. Порог выбирается по тому, сколько неудач бывает у своих:
| Значение | Когда |
|---|---|
| unlimited (умолчание) | порт подачи закрыт диапазоном, и попасть на него посторонний не может |
| 5/m | обычная подача: своя платформа ошибается редко и не подряд |
| 3/5m | порт открыт всей сети, логинов немного, пароли меняются нечасто |
Слишком строгий порог опасен своей же платформой: перезапуск, после которого она пробует войти несколько раз подряд, закроет вход на весь период. Отсчёт при этом идёт от первой неудачи, так что период — это и есть время простоя.
# обе строки в адресном блоке: до входа именованный источник не выбран <source 0/0> require-auth true smtp-max-auth-failure-rate 5/m</source>
▲
Типичные ошибки и проблемы
что делают не так и чем это кончается3 ошибки▶
Ставят порог, не потребовав входа
§ 3.3.7.8
Считают отсчёт от последней неудачи
§ 3.3.7.8
Пишут порог в именованный источник логина
наш опыт
- Синтаксис
- smtp-max-auth-failure-rate <rate>
- Значения
- unlimited · 0 · N/[M] с единицей d|day|h|hr|m|min|s|sec — например 5/m или 3/5m
- Умолчание
- unlimited § 3.3.7.8
- Применение
- reload, перезапуск не нужен
- Очередь
- уже поставленное в очередь не затронет
- Где писать
- <source>
- Сколько раз
- один раз в блоке
Связанные директивы
2 связи
grep -n 'smtp-max-auth-failure-rate\|require-auth' /etc/pmta/config grep -i 'auth' /var/log/pmta/pmta.log | tail -20
Что ещё почитать
3 статьи
◇Как узел выбирает источник и складывает его настройкиСоединение попадает под все блоки источника, чьи адреса его накрывают, и действуют они слитно — узкий перекрывает широкий; именованные блоки подключаются только по прямой ссылке.◇Логины подачи, пароли открытым текстом и настройки на каждогоОтправитель входит одним из трёх способов; каждый логин — блок конфигурации с паролем в открытом виде, и именованный источник этого логина перекрывает то, что дал бы его адрес.◇Лицензия на парк, а не на серверЛицензия не привязана к серверу: её ставят на столько машин, сколько разрешает предел экземпляров, а узлы раз в час отправляют вендору статистику объёма.
- Значение
- Хаб подбирает сам — темп, стадия прогрева, метрики
- Цена ошибки
- обратимо: вредит, пока стоит
- Сценарии
- Безопасность узла · Разделение отправителей