tls-min-version
<transmissions-api-listener>
Строка задаёт, ниже какой версии протокола вход по API не опустится. Умолчание — tlsv1.2, руководство называет его прямо (§ 3.3.21.7).
Этот вход — не уровень почтового слушателя, а отдельный вход. Имена строк совпадают с <smtp-listener>, и от этого кажется, что одна настройка перекрывает другую. Ничего подобного: у каждого входа свои значения, и между ними нет ни наследования, ни приоритета.
Доводов о совместимости здесь меньше, чем у почты. На другом конце не тысяча чужих приёмников, а ваши же клиенты, подающие письма — их версию вы знаете и можете обновить.
Умолчание разумно; снижать — только под конкретный клиент:
| Значение | Когда |
|---|---|
| tlsv1.2 (умолчание) | всегда |
| tlsv1.3 | все подающие клиенты свои и современные |
| tlsv1.1 и ниже | старый клиент, который нельзя обновить |
Ключ подачи идёт заголовком Authorization — то есть внутри шифрованного разговора. Снижение границы ослабляет именно его защиту.
# у каждого входа свои границы; наследования между входами нет <transmissions-api-listener 1.2.3.4:8585> tls-certificate /etc/pmta/transmissions-api-certificate.pem tls-min-version tlsv1.2</transmissions-api-listener>
▲
Типичные ошибки и проблемы
что делают не так и чем это кончается2 ошибки▶
Ждут, что настройка почтового слушателя достанется входу API
наш опыт
Снижают границу, чтобы «заработал старый клиент»
§ 3.3.21.7
- Синтаксис
- tls-min-version { tlsv1 | tlsv1.1 | tlsv1.2 | tlsv1.3 }
- Значения
- tlsv1 | tlsv1.1 | tlsv1.2 | tlsv1.3
- Умолчание
- tlsv1.2 § 3.3.21.7
- Применение
- reload, перезапуск не нужен
- Очередь
- уже поставленное в очередь не затронет
- Где писать
- <transmissions-api-listener>
- Сколько раз
- один раз в блоке
Связанные директивы
3 связи
log-tls<transmissions-api>Переключатель, показывающий, почему рукопожатие на этом входе не сложилось, живёт в соседнем блоке. inferencetls-max-version<transmissions-api-listener>Вторая граница того же диапазона на этом входе. § 3.3.21.8
tls-allow-tlsv1.3<transmissions-api-listener>Пришла на смену всей пятёрке переключателей: диапазон версий на этом входе задаётся парой границ. § 3.3.21.2tls-allow-tlsv1.2<transmissions-api-listener>Пришла на смену всей пятёрке переключателей: диапазон версий на этом входе задаётся парой границ. § 3.3.21.3tls-allow-tlsv1.1<transmissions-api-listener>Пришла на смену всей пятёрке переключателей: диапазон версий на этом входе задаётся парой границ. § 3.3.21.4tls-allow-tlsv1<transmissions-api-listener>Пришла на смену всей пятёрке переключателей: диапазон версий на этом входе задаётся парой границ. § 3.3.21.5tls-allow-sslv3<transmissions-api-listener>Нижнюю границу на этом входе задаёт она; отдельных переключателей больше не нужно. § 3.3.21.6
openssl s_client -connect NODE:8585 -tls1_2 -brief </dev/null
Что ещё почитать
3 статьи
◇Кому разрешено сдавать почту и для кого её приниматьИз коробки узел принимает подачу только с самой машины; два разных вопроса — «кто может слать через нас» и «на чьи адреса мы принимаем» — решаются разными директивами.◇Группа, дающая право управлятьЧленство в группе pmta даёт непривилегированному пользователю право звать команды узла и пользоваться подачей.◇Как узел выбирает источник и складывает его настройкиСоединение попадает под все блоки источника, чьи адреса его накрывают, и действуют они слитно — узкий перекрывает широкий; именованные блоки подключаются только по прямой ссылке.
- Цена ошибки
- обратимо: вредит, пока стоит
- Сценарии
- Безопасность узла