Demo
Demo
База знаний PMTA›Блок <transmissions-api-listener>›Директива§ 3.3.21.5

tls-allow-tlsv1

<transmissions-api-listener>устарела

Принимать ли TLS 1.0 на входе Transmissions API — устаревший переключатель
в конфигурации это строкаtls-allow-tlsv1 falseвнутри блока <transmissions-api-listener>
То же имя ещё 1:<smtp-listener><transmissions-api-listener>— часть из них другие настройки, часть та же самая
Старый способ выбирать версии у входа по API

Строка разрешает или запрещает согласовывать TLS 1.0 на соединениях входа Transmissions API. Объявлена устаревшей начиная с PowerMTA 5.5: вместо пяти переключателей вендор предлагает две границы — tls-min-version и tls-max-version.

Умолчание — false. Самая старая из поддерживаемых. Выключена по умолчанию задолго до того, как вендор объявил всю пятёрку устаревшей.

Одна из пяти таких пятёрок в конфигурации. Те же переключатели стоят на отправке приёмнику, на приёме почты узлом, у слушателя, у входа Transmissions API и у веб-монитора — двадцать пять строк на пять мест. Правило переноса везде одно.

Главная ловушка — смешать два способа в одном блоке. Переключатели и границы описывают одно и то же, и приоритет между ними руководство не называет. Предупреждения при применении не будет.
Что делает Хаб. Не пишет: подача у нас идёт по SMTP, блока входа по API в конфигурации нет. Строку стоит знать в лицо при разборе чужой конфигурации.
Рекомендуемые значения

Значение переводить не надо — надо переносить:

Что было Что стало
разрешены tlsv1.2 и tlsv1.3 ничего писать не нужно, это умолчание
разрешены все от tlsv1 tls-min-version tlsv1
запрещена tlsv1.3 tls-max-version tlsv1.2
всё по умолчанию обе строки не нужны

Умолчание нижней границы у этого входа — tlsv1.2. После переноса это стоит перепроверить: переключатели могли разрешать больше.

Устаревание с версии 5.5 и умолчания — из руководства (§ 3.3.21.5). Таблица переноса — наша, общая для всех пяти таких наборов в конфигурации.
Пример в конфигурации
# так было раньше
<transmissions-api-listener 0/0:443>
    tls-allow-tlsv1 true</transmissions-api-listener>

# так пишут теперь
<transmissions-api-listener 0/0:443>
    tls-min-version tlsv1.2
</transmissions-api-listener>
Нижний блок — замена верхнему. Пара границ описывает весь диапазон разом и читается проще пяти переключателей.
жёлтым — — имена директив, голубым — блоки. Так же они подсвечены и в тексте карточки.
▲

Типичные ошибки и проблемы

что делают не так и чем это кончается2 ошибки▶

Оставляют переключатели рядом с границами

§ 3.3.21.5

Чем чреватоДва способа описывают одно и то же, и приоритет между ними руководство не называет. Конфигурация читается неоднозначно.
Как заметитьСогласуемая версия не совпадает ни с тем, что разрешают переключатели, ни с тем, что задают границы.
Как правильноУбрать переключатели и оставить только границы.

Переносят строки входа API вместе со строками почтового слушателя

наш опыт

Чем чреватоИмена совпадают дословно, а блоки разные: это два независимых входа. Перенос «пачкой» меняет поведение подачи по SMTP заодно с подачей по API.
Как заметитьПосле правки изменилось согласование там, где его не трогали.
Как правильноПереносить каждый блок отдельно и сверять, в каком из них строка стояла.
Совместимость
PowerMTA 6.0
описана в руководстве этой версии · платформа: любая
С какой версии директива доступна, вендор указывает не для всех — здесь пометки нет. Имя встречается и в издании руководства 5.0.
Справочные данные
Синтаксис
tls-allow-tlsv1 <boolean>
Значения
yes | no | true | false
Умолчание
false § 3.3.21.5
Применение
reload, перезапуск не нужен
Очередь
уже поставленное в очередь не затронет
Где писать
<transmissions-api-listener>
Сколько раз
один раз в блоке
Всё здесь — из руководства, с разделом.
Наследование
Наследования нет: строка действует внутри своего <transmissions-api-listener>. Заменяющие её границы — там же, в том же блоке, и на другие входы не распространяются.
⇄

Связанные директивы

1 связь

Чем заменена

tls-min-version<transmissions-api-listener>Пришла на смену всей пятёрке переключателей: диапазон версий на этом входе задаётся парой границ. § 3.3.21.5

Как проверить на узле
Найти такие строки — первый шаг переноса; в конфигурации их пять наборов, в разных местах:
grep -rn "tls-allow-" /etc/pmta/
Найдутся переключатели отправки, приёма узлом, слушателя, входа Transmissions API и веб-монитора. Заменять их надо парами границ, а результат сверять согласованием.
◇

Что ещё почитать

3 статьи

◇Подача по HTTPS на своём приёмнике, по образцу SparkPostОтдельный вход: свой приёмник с сертификатом, свои ключи и зарезервированное имя источника, через которое к такой почте применяются обычные настройки подачи.◇Приёмник объявляет требование шифрования на своём сайтеУзел забирает политику получателя по HTTPS и, если та в режиме принуждения, доставляет только при совпадении MX, шифровании и проверенном сертификате.◇Приёмник объявляет требование шифрования в своей зоне DNSУзел смотрит записи DANE получателя и, если тот требует STARTTLS, отправляет только по зашифрованному каналу с проверенным по отпечатку сертификатом.

В Хабе
Цена ошибки
безопасно: неверное значение ничего не ломает
Сценарии
Шифрование соединений
Соседние настройки блока <transmissions-api-listener>:tls-certificatetls-min-versiontls-max-versiontls-cipher-server-preferencetls-ciphersВсе 15 директив блока →