log-fileGlobalХаб задаёт самДирективаПуть к файлу журнала; строка обязательна, и она же задаёт расположение журналов монитора и SNMP.min-free-space<spool>Хаб задаёт самДирективаПри падении свободного места ниже порога каталог перестаёт принимать почту; когда место возвращается, приём возобновляется сам.name-serverGlobalДирективаЗадаёт адреса серверов имён; строку повторяют, и MTA ходит по ним по кругу. Не задана — берутся резолверы операционной системы.openssl-security-levelGlobalДирективаЧисло от 0 до 5, ниже которого OpenSSL отказывается работать с ключами, сертификатами и версиями протокола; по умолчанию 1.api-key<signals>ДирективаРовно сорок шестнадцатеричных знаков; без него узел не запустится вовсе.deliver-only<spool>Хаб задаёт самДирективаКаталог опустошается доставкой, а новые письма в него не пишутся; сделано ради подъёма спула с отказавшего сервера.log-auto-rotationGlobalДирективаПереключатель ежесуточной смены файла журнала; по умолчанию включён.volume-audit-api-keyGlobalДирективаОбязателен при лицензии, считающей объём: этим ключом узел подтверждает себя, отправляя данные вендору. Выдаётся вместе с такой лицензией.customer-id<signals>ДирективаДо версии 5.5 требовалась при отслеживании силами MTA; начиная с 5.5 не нужна.delete-file-holders<spool>Хаб задаёт самДирективаДержатели — файлы, которые MTA оставляет в каталоге спула ради экономии ввода-вывода; строка решает, убирать ли их после доставки письма.spool-min-free-spaceGlobalустарелаДирективаЗадавала порог сразу всем каталогам спула; заменена одноимённой строкой внутри блока каталога.Как узел решает, впустить ли запрос по HTTPкритичноМеханизмДва способа представиться — уровень доступа по адресу и ключ; ключ сильнее и работает с любого адреса.Имя, адрес и имя в приветствии — из чего состоит адрес отправкикритичноМеханизмОпределение маленькое, и два его свойства легко упустить — пропуск строки адреса молча наследует настройки узла, а несколько адресов в одном блоке перебираются по кругу.Как перевести план отправки в железоМеханизмДве постоянные, по которым считается любой узел: около 2 КБ памяти на каждого получателя в очереди и место под спул, пропорциональное суммарному размеру писем.Ограничения облакаМеханизмОблака ограничивают исходящую почту через порт 25, пока не попросишь снять лимит, а их диапазоны адресов почтовики встречают с подозрением.Ключ активации — условие установки, а не шаг после неёМеханизмБез ключа активации от поддержки SparkPost MTA не ставится и не работает, а уровень лицензии задаёт потолок исходящих соединений: на стандартной всё сверх 200 игнорируется.Узлу нужен резолвер, который делает всю работу самМеханизмMTA требует рекурсивного разрешения имён; резолвер, отвечающий отсылкой к другому серверу, вынуждает повторять запрос и предупреждает записью в журнал.Чем опасна виртуальная машинаМеханизмРаботать на виртуальной машине можно, но руководство не рекомендует это без достаточного железа и выверенных настроек гипервизора: под нагрузкой узел может перестать отвечать.Лицензия на парк, а не на серверМеханизмЛицензия не привязана к серверу: её ставят на столько машин, сколько разрешает предел экземпляров, а узлы раз в час отправляют вендору статистику объёма.Что защищает веб-монитор и чем эта защита не являетсяМеханизмТри разные защиты — список адресов, шифрование и совет не выставлять монитор в интернет; учётных записей нет ни одной.Библиотека шифрования — часть поставки, а не системыМеханизмOpenSSL приезжает внутри дистрибутива PowerMTA, поэтому набор версий и шифров определяется версией продукта, а не системными библиотеками.Кто занял портМеханизмДва слушателя на один порт не помещаются: если порт уже занят, узел не поднимется, и причина будет только в журнале.Чужие составляющие MTAМеханизмPowerMTA работает на пяти сторонних библиотеках — PCRE, OpenSSL, ICU, gumbo-parser и prometheus-cpp; их поведение задаёт сборка MTA.Откат версии MTA и настройка через APIМеханизмПри откате PowerMTA на версию без API настройки заведённое через него становится невидимым, но не удаляется; таблица руководства говорит, что уцелеет при откате между версиями с API.Запуск в образеМеханизмЭкспериментальный запуск MTA в контейнере Linux: пакет, лицензия и конфигурация ставятся при сборке образа или подключаются при запуске.Поддельный приёмник внутри самого узлаМеханизмУзел слушает свой же порт и притворяется чужим сервером: письма уходят в никуда, а нагрузка настоящая.Установка на LinuxкритичноПроцедураПоставить пакет вендора штатным менеджером, положить ключ лицензии, сверить конфигурацию с требованиями и запустить MTA один раз — дальше он поднимается сам.Подготовить машину под MTAкритичноПроцедураПять требований и поддерживаемая операционная система должны быть на месте до установки: статический адрес с именем, доступный резолвер, синхронное время, посчитанное железо и ключ лицензии.Как включить подпись DKIM с нулякритичноПроцедураВосемь шагов: домен, селектор, ключ, права, запись в DNS, объявление, включение и маршрут.Резервная копия узла и восстановлениеПроцедураПять каталогов составляют восстановимое состояние узла; восстановление — это остановить MTA, вернуть каталоги и запустить снова.Работа без прав rootПроцедураПеревод MTA на работу от отдельного пользователя: сама строка, порты выше тысячи двадцати четырёх, поднятые пределы на файлы и процессы и смена владельца пяти каталогов.Разбор отказа запускаПроцедураПорядок поиска причины, когда MTA не поднимается: отдельный файл отказов запуска, основной журнал, запуск в консоли с выводом на экран.Обновление MTAПроцедураПеред обновлением убедиться, что в файле лицензии лежит ключ, годный для новой версии, и что срок поддержки не истёк, — и только потом обновлять пакет.Удаление MTAПроцедураУдаление пакета штатным менеджером. Состояние узла при этом остаётся на диске.Развёртывание в облакеПроцедураУстановка в облаке добавляет к обычной несколько своих условий: выбор типа машины по прикидке, закреплённый адрес и снятое ограничение на исходящий почтовый порт.Установка на WindowsПроцедураУстановка мастером, с теми же требованиями к лицензии и конфигурации, что и на Linux.GlobalкритичноБлок конфигурацииСтроки, принадлежащие не очереди, а самому экземпляру: потолки, спул, слушатели, журналирование, лицензия и веб-монитор.<spool>Блок конфигурацииКаталог, в котором MTA держит файлы писем, пока они ждут доставки; каталогов может быть несколько, и у каждого свои приоритет и порог свободного места.check spfКомандаОтвечает тем же вердиктом, что и получатель, — по адресу, имени в приветствии и обратному адресу.resolveКомандаЗапрашивает записи MX и адреса домена и с –connect подключается к первому доступному почтовому хосту.pmtad –debugКомандаЗапускает MTA в переднем плане, печатая сообщения на экран вместо файла.show versionКомандаПечатает версию, дату сборки и ревизию.deregisterКомандаПрекращает отношение с консолью вендора.registerКомандаУстанавливает отношение между узлом и управляющей консолью вендора.Адреса, которые есть на машинеТочка APIПеречисляет адреса, настроенные на самой машине.Корень веб-монитораТочка APIОтдаёт начальную страницу монитора структурой: сведения об установке и верхние домены очереди.Кэш имёнМетрикаЧисло имён в кэше и число запросов, ожидающих ответа; отдельно — активные запросы.Чтение спула при запускеМетрикаДоля выполненного чтения спула при запуске, в процентах.ЛицензияЭкран монитораПоказывает лицензию MTA и позволяет её добавить или заменить.Куда узел пишет, почему не запустилсяФайлОтдельный файл с сообщением об отказе запуска — первое, что читают, когда MTA не поднимается после установки или правки конфигурации.Файл лицензииФайлКлюч лицензии простым файлом — /etc/pmta/license на Linux, license.dat в каталоге установки на Windows; на Windows обязателен ASCII, а не Unicode.