Demo
Demo
База знаний PMTA›Блок <transmissions-api-listener>›Директива§ 3.3.21.6

tls-allow-sslv3

<transmissions-api-listener>устарела

Принимать ли SSLv3 на входе Transmissions API — директива не действует
в конфигурации это строкаtls-allow-sslv3внутри блока <transmissions-api-listener>
То же имя ещё 1:<smtp-listener><transmissions-api-listener>— часть из них другие настройки, часть та же самая
Четвёртая копия строки, которая ничего не делает

Как и её однофамильцы для отправки, приёма, слушателя и веб-монитора, строка не действительна: протокола нет в поставке.

Таких строк в конфигурации может встретиться пять, и все пять подлежат удалению — поведение узла от этого не изменится.

На входе по API она особенно бессмысленна. Версию здесь, как и везде, задаёт пара границ, а не переключатели.

Главная ловушка — принять строку за действующую настройку. Она не вызывает ошибки и выглядит как обычный запрет; в отчётах о настройках безопасности она регулярно фигурирует как «запрет небезопасного протокола».
Что делает Хаб. Не пишет — и не мог бы: поддержки протокола нет, а блока входа по API в нашей конфигурации нет тем более.
Рекомендуемые значения

Значений нет. Единственное действие — убрать:

Что нашли Что делать
tls-allow-sslv3 в блоке входа API удалить
такие же строки у отправки, приёма, слушателя и монитора удалить тоже
рядом другие tls-allow-* переписать на пару границ
Факт, что директива больше не действительна, — из руководства (§ 3.3.21.6). Совет удалять все пять копий — наш.
Пример в конфигурации
# так быть не должно — строка не делает ничего
<transmissions-api-listener 0/0:443>
    tls-allow-sslv3 false</transmissions-api-listener>
Встречается в перенесённых конфигурациях. Удаление не изменит поведения: протокола нет в поставке.
жёлтым — — имена директив, голубым — блоки. Так же они подсвечены и в тексте карточки.
▲

Типичные ошибки и проблемы

что делают не так и чем это кончается1 ошибка▶

Считают строку действующей защитой входа по API

§ 3.3.21.6

Чем чреватоВыглядит как запрет небезопасного протокола и попадает в отчёты о безопасности. На деле не делает ничего, а настоящая нижняя граница остаётся такой, какой была.
Как заметитьСтрока перечисляется среди мер защиты при аудите конфигурации.
Как правильноУбрать и опираться на tls-min-version: это единственный работающий способ задать нижнюю границу у этого входа.
Совместимость
PowerMTA 6.0
описана в руководстве этой версии · платформа: любая
С какой версии директива доступна, вендор указывает не для всех — здесь пометки нет. Имя встречается и в издании руководства 5.0.
Справочные данные
Синтаксис
tls-allow-sslv3 <boolean>
Значения
значения не применяются — директива не действует
Применение
reload, перезапуск не нужен
Очередь
уже поставленное в очередь не затронет
Где писать
<transmissions-api-listener>
Сколько раз
один раз в блоке
Всё здесь — из руководства, с разделом.
Наследование
Наследование обсуждать не приходится: строка не действует. Заменяющая её нижняя граница пишется в том же блоке входа и на другие входы не распространяется.
⇄

Связанные директивы

1 связь

Чем заменена

tls-min-version<transmissions-api-listener>Нижнюю границу на этом входе задаёт она; отдельных переключателей больше не нужно. § 3.3.21.6

Как проверить на узле
Проверка одна — найти все пять копий и убрать:
grep -rn "tls-allow-sslv3" /etc/pmta/
Найдутся строки отправки, приёма узлом, слушателя, входа Transmissions API и веб-монитора. Все подлежат удалению.
◇

Что ещё почитать

3 статьи

◇Подача по HTTPS на своём приёмнике, по образцу SparkPostОтдельный вход: свой приёмник с сертификатом, свои ключи и зарезервированное имя источника, через которое к такой почте применяются обычные настройки подачи.◇Приёмник объявляет требование шифрования на своём сайтеУзел забирает политику получателя по HTTPS и, если та в режиме принуждения, доставляет только при совпадении MX, шифровании и проверенном сертификате.◇Приёмник объявляет требование шифрования в своей зоне DNSУзел смотрит записи DANE получателя и, если тот требует STARTTLS, отправляет только по зашифрованному каналу с проверенным по отпечатку сертификатом.

В Хабе
Цена ошибки
безопасно: неверное значение ничего не ломает
Сценарии
Шифрование соединений
Соседние настройки блока <transmissions-api-listener>:tls-certificatetls-min-versiontls-max-versiontls-cipher-server-preferencetls-ciphersВсе 15 директив блока →