.\" -*- mode: troff; coding: utf-8 -*-
.\" Automatically generated by Pod::Man v6.0.2 (Pod::Simple 3.45)
.\"
.\" Standard preamble:
.\" ========================================================================
.de Sp \" Vertical space (when we can't use .PP)
.if t .sp .5v
.if n .sp
..
.de Vb \" Begin verbatim text
.ft CW
.nf
.ne \\$1
..
.de Ve \" End verbatim text
.ft R
.fi
..
.\" \*(C` and \*(C' are quotes in nroff, nothing in troff, for use with C<>.
.ie n \{\
.    ds C` ""
.    ds C' ""
'br\}
.el\{\
.    ds C`
.    ds C'
'br\}
.\"
.\" Escape single quotes in literal strings from groff's Unicode transform.
.ie \n(.g .ds Aq \(aq
.el       .ds Aq '
.\"
.\" If the F register is >0, we'll generate index entries on stderr for
.\" titles (.TH), headers (.SH), subsections (.SS), items (.Ip), and index
.\" entries marked with X<> in POD.  Of course, you'll have to process the
.\" output yourself in some meaningful fashion.
.\"
.\" Avoid warning from groff about undefined register 'F'.
.de IX
..
.nr rF 0
.if \n(.g .if rF .nr rF 1
.if (\n(rF:(\n(.g==0)) \{\
.    if \nF \{\
.        de IX
.        tm Index:\\$1\t\\n%\t"\\$2"
..
.        if !\nF==2 \{\
.            nr % 0
.            nr F 2
.        \}
.    \}
.\}
.rr rF
.\"
.\" Required to disable full justification in groff 1.23.0.
.if n .ds AD l
.\" ========================================================================
.\"
.IX Title "OPENSSL-S_SERVER 1ssl"
.TH OPENSSL-S_SERVER 1ssl 2026-08-25 3.6.4 OpenSSL
.\" For nroff, turn off justification.  Always turn off hyphenation; it makes
.\" way too many mistakes in technical documents.
.if n .ad l
.nh
.SH "نام (NAME)"
openssl\-s_server \- برنامه سرور SSL/TLS
.SH "خلاصه دستور (SYNOPSIS)"
.IX Header "SYNOPSIS"
\&\fBopenssl\fR \fBs_server\fR
[\fB\-help\fR]
[\fB\-port\fR \fI+int\fR]
[\fB\-accept\fR \fIval\fR]
[\fB\-unix\fR \fIval\fR]
[\fB\-4\fR]
[\fB\-6\fR]
[\fB\-unlink\fR]
[\fB\-context\fR \fIval\fR]
[\fB\-verify\fR \fIint\fR]
[\fB\-Verify\fR \fIint\fR]
[\fB\-cert\fR \fIinfile\fR]
[\fB\-cert2\fR \fIinfile\fR]
[\fB\-certform\fR \fBDER\fR|\fBPEM\fR|\fBP12\fR]
[\fB\-cert_chain\fR \fIinfile\fR]
[\fB\-build_chain\fR]
[\fB\-serverinfo\fR \fIval\fR]
[\fB\-key\fR \fIfilename\fR|\fIuri\fR]
[\fB\-key2\fR \fIfilename\fR|\fIuri\fR]
[\fB\-keyform\fR \fBDER\fR|\fBPEM\fR|\fBP12\fR|\fBENGINE\fR]
[\fB\-pass\fR \fIval\fR]
[\fB\-dcert\fR \fIinfile\fR]
[\fB\-dcertform\fR \fBDER\fR|\fBPEM\fR|\fBP12\fR]
[\fB\-dcert_chain\fR \fIinfile\fR]
[\fB\-dkey\fR \fIfilename\fR|\fIuri\fR]
[\fB\-dkeyform\fR \fBDER\fR|\fBPEM\fR|\fBP12\fR|\fBENGINE\fR]
[\fB\-dpass\fR \fIval\fR]
[\fB\-nbio_test\fR]
[\fB\-crlf\fR]
[\fB\-debug\fR]
[\fB\-msg\fR]
[\fB\-msgfile\fR \fIoutfile\fR]
[\fB\-state\fR]
[\fB\-nocert\fR]
[\fB\-quiet\fR]
[\fB\-no_resume_ephemeral\fR]
[\fB\-www\fR]
[\fB\-WWW\fR]
[\fB\-http_server_binmode\fR]
[\fB\-no_ca_names\fR]
[\fB\-ignore_unexpected_eof\fR]
[\fB\-servername\fR]
[\fB\-servername_fatal\fR]
[\fB\-tlsextdebug\fR]
[\fB\-HTTP\fR]
[\fB\-id_prefix\fR \fIval\fR]
[\fB\-keymatexport\fR \fIval\fR]
[\fB\-keymatexportlen\fR \fI+int\fR]
[\fB\-CRL\fR \fIinfile\fR]
[\fB\-CRLform\fR \fBDER\fR|\fBPEM\fR]
[\fB\-crl_download\fR]
[\fB\-chainCAfile\fR \fIinfile\fR]
[\fB\-chainCApath\fR \fIdir\fR]
[\fB\-chainCAstore\fR \fIuri\fR]
[\fB\-verifyCAfile\fR \fIinfile\fR]
[\fB\-verifyCApath\fR \fIdir\fR]
[\fB\-verifyCAstore\fR \fIuri\fR]
[\fB\-no_cache\fR]
[\fB\-ext_cache\fR]
[\fB\-verify_return_error\fR]
[\fB\-verify_quiet\fR]
[\fB\-ign_eof\fR]
[\fB\-no_ign_eof\fR]
[\fB\-no_ems\fR]
[\fB\-status\fR]
[\fB\-status_all\fR]
[\fB\-status_verbose\fR]
[\fB\-status_timeout\fR \fIint\fR]
[\fB\-proxy\fR \fI[http[s]://][userinfo@]host[:port][/path][?query][#fragment]\fR]
[\fB\-no_proxy\fR \fIaddresses\fR]
[\fB\-status_url\fR \fIval\fR]
[\fB\-status_file\fR \fIinfile\fR]
[\fB\-ssl_config\fR \fIval\fR]
[\fB\-trace\fR]
[\fB\-security_debug\fR]
[\fB\-security_debug_verbose\fR]
[\fB\-brief\fR]
[\fB\-rev\fR]
[\fB\-async\fR]
[\fB\-max_send_frag\fR \fI+int\fR]
[\fB\-split_send_frag\fR \fI+int\fR]
[\fB\-max_pipelines\fR \fI+int\fR]
[\fB\-naccept\fR \fI+int\fR]
[\fB\-read_buf\fR \fI+int\fR]
[\fB\-no_tx_cert_comp\fR]
[\fB\-no_rx_cert_comp\fR]
[\fB\-dhparam\fR \fIinfile\fR]
[\fB\-nbio\fR]
[\fB\-psk_identity\fR \fIval\fR]
[\fB\-psk_hint\fR \fIval\fR]
[\fB\-psk\fR \fIval\fR]
[\fB\-psk_session\fR \fIfile\fR]
[\fB\-srpvfile\fR \fIinfile\fR]
[\fB\-srpuserseed\fR \fIval\fR]
[\fB\-timeout\fR]
[\fB\-mtu\fR \fI+int\fR]
[\fB\-listen\fR]
[\fB\-sctp\fR]
[\fB\-sctp_label_bug\fR]
[\fB\-use_srtp\fR \fIval\fR]
[\fB\-no_dhe\fR]
[\fB\-nextprotoneg\fR \fIval\fR]
[\fB\-alpn\fR \fIval\fR]
[\fB\-ktls\fR]
[\fB\-sendfile\fR]
[\fB\-zerocopy_sendfile\fR]
[\fB\-keylogfile\fR \fIoutfile\fR]
[\fB\-recv_max_early_data\fR \fIint\fR]
[\fB\-max_early_data\fR \fIint\fR]
[\fB\-early_data\fR]
[\fB\-stateless\fR]
[\fB\-anti_replay\fR]
[\fB\-no_anti_replay\fR]
[\fB\-num_tickets\fR]
[\fB\-tfo\fR]
[\fB\-cert_comp\fR]
[\fB\-nameopt\fR \fIoption\fR]
[\fB\-no_ssl3\fR]
[\fB\-no_tls1\fR]
[\fB\-no_tls1_1\fR]
[\fB\-no_tls1_2\fR]
[\fB\-no_tls1_3\fR]
[\fB\-ssl3\fR]
[\fB\-tls1\fR]
[\fB\-tls1_1\fR]
[\fB\-tls1_2\fR]
[\fB\-tls1_3\fR]
[\fB\-dtls\fR]
[\fB\-dtls1\fR]
[\fB\-dtls1_2\fR]
[\fB\-allow_proxy_certs\fR]
[\fB\-attime\fR \fItimestamp\fR]
[\fB\-no_check_time\fR]
[\fB\-check_ss_sig\fR]
[\fB\-crl_check\fR]
[\fB\-crl_check_all\fR]
[\fB\-explicit_policy\fR]
[\fB\-extended_crl\fR]
[\fB\-ignore_critical\fR]
[\fB\-inhibit_any\fR]
[\fB\-inhibit_map\fR]
[\fB\-partial_chain\fR]
[\fB\-policy\fR \fIarg\fR]
[\fB\-policy_check\fR]
[\fB\-policy_print\fR]
[\fB\-purpose\fR \fIpurpose\fR]
[\fB\-suiteB_128\fR]
[\fB\-suiteB_128_only\fR]
[\fB\-suiteB_192\fR]
[\fB\-trusted_first\fR]
[\fB\-no_alt_chains\fR]
[\fB\-use_deltas\fR]
[\fB\-auth_level\fR \fInum\fR]
[\fB\-verify_depth\fR \fInum\fR]
[\fB\-verify_email\fR \fIemail\fR]
[\fB\-verify_hostname\fR \fIhostname\fR]
[\fB\-verify_ip\fR \fIip\fR]
[\fB\-verify_name\fR \fIname\fR]
[\fB\-x509_strict\fR]
[\fB\-issuer_checks\fR]
[\fB\-bugs\fR]
[\fB\-no_comp\fR]
[\fB\-comp\fR]
[\fB\-no_ticket\fR]
[\fB\-serverpref\fR]
[\fB\-client_renegotiation\fR]
[\fB\-legacy_renegotiation\fR]
[\fB\-no_renegotiation\fR]
[\fB\-no_resumption_on_reneg\fR]
[\fB\-legacy_server_connect\fR]
[\fB\-no_legacy_server_connect\fR]
[\fB\-no_etm\fR]
[\fB\-allow_no_dhe_kex\fR]
[\fB\-prefer_no_dhe_kex\fR]
[\fB\-prioritize_chacha\fR]
[\fB\-strict\fR]
[\fB\-sigalgs\fR \fIalgs\fR]
[\fB\-client_sigalgs\fR \fIalgs\fR]
[\fB\-groups\fR \fIgroups\fR]
[\fB\-curves\fR \fIcurves\fR]
[\fB\-named_curve\fR \fIcurve\fR]
[\fB\-cipher\fR \fIciphers\fR]
[\fB\-ciphersuites\fR \fI1.3ciphers\fR]
[\fB\-min_protocol\fR \fIminprot\fR]
[\fB\-max_protocol\fR \fImaxprot\fR]
[\fB\-record_padding\fR \fIpadding\fR]
[\fB\-debug_broken_protocol\fR]
[\fB\-no_middlebox\fR]
[\fB\-xkey\fR \fIinfile\fR]
[\fB\-xcert\fR \fIfile\fR]
[\fB\-xchain\fR \fIfile\fR]
[\fB\-xchain_build\fR \fIfile\fR]
[\fB\-xcertform\fR \fBDER\fR|\fBPEM\fR]>
[\fB\-xkeyform\fR \fBDER\fR|\fBPEM\fR]>
[\fB\-CAfile\fR \fIfile\fR]
[\fB\-no\-CAfile\fR]
[\fB\-CApath\fR \fIdir\fR]
[\fB\-no\-CApath\fR]
[\fB\-CAstore\fR \fIuri\fR]
[\fB\-no\-CAstore\fR]
[\fB\-rand\fR \fIfiles\fR]
[\fB\-writerand\fR \fIfile\fR]
[\fB\-engine\fR \fIid\fR]
[\fB\-provider\fR \fIname\fR]
[\fB\-provider\-path\fR \fIpath\fR]
[\fB\-provparam\fR \fI[name:]key=value\fR]
[\fB\-propquery\fR \fIpropq\fR]
[\fB\-enable_server_rpk\fR]
[\fB\-enable_client_rpk\fR]
.SH "توضیحات (DESCRIPTION)"
.IX Header "DESCRIPTION"
این دستور یک سرور همگانی SSL/TLS را پیاده‌سازی می‌کند که با استفاده از SSL/TLS به اتصالات روی یک درگاه مشخص گوش می‌دهد.
.SH "گزینه‌ها (OPTIONS)"
.IX Header "OPTIONS"
علاوه بر گزینه‌های زیر، این دستور از گزینه‌های عمومی و مخصوص سرور که در بخش "دستورات خط فرمان پشتیبانی‌شده" در \fBSSL_CONF_cmd\fR\|(3) مستند شده‌اند نیز پشتیبانی می‌کند.
.IP \fB\-help\fR 4
.IX Item "-help"
چاپ یک پیام راهنمای نحوه استفاده.
.IP "\fB\-port\fR \fI+int\fR" 4
.IX Item "-port +int"
درگاه TCP برای گوش دادن به اتصالات. در صورت مشخص نشدن، از 4433 استفاده می‌شود.
.IP "\fB\-accept\fR \fIval\fR" 4
.IX Item "-accept val"
میزبان و درگاه TCP اختیاری برای گوش دادن به اتصالات. در صورت مشخص نشدن، از \f(CW*:4433\fR استفاده می‌شود.
.IP "\fB\-unix\fR \fIval\fR" 4
.IX Item "-unix val"
سوکت دامنه یونیکس برای پذیرش اتصالات.
.IP \fB\-4\fR 4
.IX Item "-4"
فقط استفاده از IPv4.
.IP \fB\-6\fR 4
.IX Item "-6"
فقط استفاده از IPv6.
.IP \fB\-unlink\fR 4
.IX Item "-unlink"
برای گزینه \fB\-unix\fR، ابتدا هر سوکت موجود را حذف (unlink) می‌کند.
.IP "\fB\-context\fR \fIval\fR" 4
.IX Item "-context val"
شناسه زمینه (context id) اس‌اس‌ال را تنظیم می‌کند. می‌توان هر مقدار رشته‌ای به آن اختصاص داد. اگر این گزینه مشخص نشود، یک مقدار پیش‌فرض استفاده خواهد شد.
.IP "\fB\-verify\fR \fIint\fR, \fB\-Verify\fR \fIint\fR" 4
.IX Item "-verify int, -Verify int"
عمق اعتبارسنجی مورد استفاده. این مقدار حداکثر طول زنجیره گواهی کلاینت را مشخص کرده و باعث می‌شود سرور از کلاینت درخواست گواهی کند. با گزینه \fB\-verify\fR گواهی درخواست می‌شود اما کلاینت ملزم به ارسال آن نیست؛ با گزینه \fB\-Verify\fR کلاینت باید حتماً گواهی ارائه دهد وگرنه خطایی رخ می‌دهد.
.Sp
اگر مجموعه رمز نتواند گواهی کلاینت درخواست کند (برای مثال یک مجموعه رمز ناشناس یا PSK)، این گزینه هیچ تأثیری ندارد.
.Sp
به‌طور پیش‌فرض، اعتبارسنجی هر گواهی ارائه‌شده کلاینت و زنجیره آن بر اساس هدف کلاینت (D)TLS (\f(CW\*(C`sslclient\*(C'\fR) انجام می‌شود.
برای جزئیات بیشتر به بخش "پسوندهای گواهی" در \fBopenssl\-verification\-options\fR\|(1) مراجعه کنید.
.IP "\fB\-cert\fR \fIinfile\fR" 4
.IX Item "-cert infile"
گواهی مورد استفاده؛ اغلب مجموعه‌های رمز سرور نیازمند استفاده از یک گواهی هستند و برخی به گواهی با نوع کلید عمومی خاصی نیاز دارند: برای مثال مجموعه‌های رمز DSS نیازمند گواهی حاوی کلید DSS (DSA) هستند. در صورت مشخص نشدن، از نام فایل \fIserver.pem\fR استفاده خواهد شد.
.IP "\fB\-cert2\fR \fIinfile\fR" 4
.IX Item "-cert2 infile"
فایل گواهی مورد استفاده برای servername؛ پیش‌فرض \f(CW\*(C`server2.pem\*(C'\fR است.
.IP "\fB\-certform\fR \fBDER\fR|\fBPEM\fR|\fBP12\fR" 4
.IX Item "-certform DER|PEM|P12"
قالب فایل گواهی سرور؛ به‌طور پیش‌فرض نامشخص است.
برای جزئیات بیشتر به \fBopenssl\-format\-options\fR\|(1) مراجعه کنید.
.IP \fB\-cert_chain\fR 4
.IX Item "-cert_chain"
یک فایل یا شناسه یکتای منبع (URI) از گواهی‌های غیرقابل‌اعتماد برای استفاده هنگام تلاش جهت ساخت زنجیره گواهی مرتبط با گواهی مشخص‌شده از طریق گزینه \fB\-cert\fR. این گواهی‌های غیرقابل‌اعتماد به کلاینت‌ها ارسال شده و برای تولید درخواست‌های وضعیت گواهی (معروف به OCSP stapling) استفاده می‌شوند.
ورودی می‌تواند در قالب PEM، DER یا PKCS#12 باشد.
.IP \fB\-build_chain\fR 4
.IX Item "-build_chain"
مشخص می‌کند که آیا برنامه باید زنجیره گواهی سرور را جهت ارائه به کلاینت بسازد یا خیر.
.IP "\fB\-serverinfo\fR \fIval\fR" 4
.IX Item "-serverinfo val"
فایلی حاوی یک یا چند بلوک از داده‌های PEM. هر بلوک PEM باید یک افزونه TLS ServerHello را کدگذاری کند (۲ بایت نوع، ۲ بایت طول، به همراه «طول» بایت از داده‌های افزونه). اگر کلاینت یک افزونه خالی TLS ClientHello منطبق با این نوع ارسال کند، افزونه متناظر ServerHello بازگردانده خواهد شد.
.IP "\fB\-key\fR \fIfilename\fR|\fIuri\fR" 4
.IX Item "-key filename|uri"
کلید خصوصی مورد استفاده. در صورت مشخص نشدن، از فایل گواهی استفاده خواهد شد.
.IP "\fB\-key2\fR \fIfilename\fR|\fIuri\fR" 4
.IX Item "-key2 filename|uri"
فایل کلید خصوصی مورد استفاده برای servername در صورتی که از طریق \fB\-cert2\fR مشخص نشده باشد.
.IP "\fB\-keyform\fR \fBDER\fR|\fBPEM\fR|\fBP12\fR|\fBENGINE\fR" 4
.IX Item "-keyform DER|PEM|P12|ENGINE"
قالب کلید؛ به‌طور پیش‌فرض نامشخص است.
برای جزئیات بیشتر به \fBopenssl\-format\-options\fR\|(1) مراجعه کنید.
.IP "\fB\-pass\fR \fIval\fR" 4
.IX Item "-pass val"
منبع گذرواژه کلید خصوصی و فایل گواهی.
برای اطلاعات بیشتر درباره قالب \fIval\fR، به \fBopenssl\-passphrase\-options\fR\|(1) مراجعه کنید.
.IP "\fB\-dcert\fR \fIinfile\fR, \fB\-dkey\fR \fIfilename\fR|\fIuri\fR" 4
.IX Item "-dcert infile, -dkey filename|uri"
تعیین یک گواهی و کلید خصوصی اضافی؛ این گزینه‌ها همانند گزینه‌های \fB\-cert\fR و \fB\-key\fR عمل می‌کنند، به جز اینکه در صورت مشخص نشدن، هیچ مقدار پیش‌فرضی وجود ندارد (از هیچ گواهی و کلید اضافی استفاده نمی‌شود). همان‌طور که در بالا ذکر شد، برخی از مجموعه‌های رمز نیازمند گواهی حاوی کلیدی از یک نوع خاص هستند. برخی از مجموعه‌های رمز به گواهی حاوی کلید RSA و برخی به کلید DSS (DSA) نیاز دارند. با استفاده از گواهی‌ها و کلیدهای RSA و DSS، یک سرور می‌تواند با استفاده از گواهی مناسب، از کلاینت‌هایی که فقط از مجموعه‌های رمز RSA یا DSS پشتیبانی می‌کنند، پشتیبانی کند.
.IP \fB\-dcert_chain\fR 4
.IX Item "-dcert_chain"
یک فایل یا شناسه یکتای منبع (URI) از گواهی‌های غیرقابل‌اعتماد برای استفاده هنگام تلاش جهت ساخت زنجیره گواهی سرور، زمانی که گواهی مشخص‌شده از طریق گزینه \fB\-dcert\fR در حال استفاده است.
ورودی می‌تواند در قالب PEM، DER یا PKCS#12 باشد.
.IP "\fB\-dcertform\fR \fBDER\fR|\fBPEM\fR|\fBP12\fR" 4
.IX Item "-dcertform DER|PEM|P12"
قالب فایل گواهی اضافی؛ به‌طور پیش‌فرض نامشخص است.
برای جزئیات بیشتر به \fBopenssl\-format\-options\fR\|(1) مراجعه کنید.
.IP "\fB\-dkeyform\fR \fBDER\fR|\fBPEM\fR|\fBP12\fR|\fBENGINE\fR" 4
.IX Item "-dkeyform DER|PEM|P12|ENGINE"
قالب کلید خصوصی اضافی؛ به‌طور پیش‌فرض نامشخص است.
برای جزئیات بیشتر به \fBopenssl\-format\-options\fR\|(1) مراجعه کنید.
.IP "\fB\-dpass\fR \fIval\fR" 4
.IX Item "-dpass val"
عبارت عبور برای کلید خصوصی و گواهی اضافی.
برای اطلاعات بیشتر درباره قالب \fIval\fR، به \fBopenssl\-passphrase\-options\fR\|(1) مراجعه کنید.
.IP \fB\-nbio_test\fR 4
.IX Item "-nbio_test"
ورودی/خروجی مسدودنشدنی (غیرمسدودکننده) را آزمایش می‌کند.
.IP \fB\-crlf\fR 4
.IX Item "-crlf"
این گزینه کاراکتر تعویض خط (line feed) دریافتی از ترمینال را به CR+LF تبدیل می‌کند.
.IP \fB\-debug\fR 4
.IX Item "-debug"
اطلاعات اشکال‌زدایی گسترده از جمله تخلیه هگزادسیمال (hex dump) تمام ترافیک را چاپ می‌کند.
.IP \fB\-security_debug\fR 4
.IX Item "-security_debug"
خروجی فریم‌ورک امنیتی SSL/TLS را چاپ می‌کند.
.IP \fB\-security_debug_verbose\fR 4
.IX Item "-security_debug_verbose"
خروجی بیشتری از فریم‌ورک امنیتی SSL/TLS را چاپ می‌کند.
.IP \fB\-msg\fR 4
.IX Item "-msg"
تمام پیام‌های پروتکل را همراه با تخلیه هگز (hex dump) نمایش می‌دهد.
.IP "\fB\-msgfile\fR \fIoutfile\fR" 4
.IX Item "-msgfile outfile"
فایلی برای ارسال خروجی \fB\-msg\fR یا \fB\-trace\fR به آن؛ در حالت پیش‌فرض خروجی استاندارد است.
.IP \fB\-state\fR 4
.IX Item "-state"
وضعیت‌های نشست SSL را چاپ می‌کند.
.IP "\fB\-CRL\fR \fIinfile\fR" 4
.IX Item "-CRL infile"
فایل CRL مورد استفاده.
.IP "\fB\-CRLform\fR \fBDER\fR|\fBPEM\fR" 4
.IX Item "-CRLform DER|PEM"
فرمت فایل CRL؛ در حالت پیش‌فرض تعیین‌نشده است.
برای جزئیات بیشتر به \fBopenssl\-format\-options\fR\|(1) مراجعه کنید.
.IP \fB\-crl_download\fR 4
.IX Item "-crl_download"
فهرست‌های ابطال گواهی (CRL) را از نقاط توزیع ارائه‌شده در افزونه‌های CDP گواهی‌ها دانلود می‌کند.
.IP "\fB\-verifyCAfile\fR \fIfilename\fR" 4
.IX Item "-verifyCAfile filename"
یک فایل با فرمت PEM حاوی گواهی‌های معتبر CA (ریشه و/یا
میانی) که برای اعتبارسنجی زنجیره گواهی کلاینت استفاده می‌شود.
.IP "\fB\-verifyCApath\fR \fIdir\fR" 4
.IX Item "-verifyCApath dir"
یک دایرکتوری حاوی گواهی‌های معتبر برای استفاده
در اعتبارسنجی گواهی‌های کلاینت.
این دایرکتوری باید در «فرمت هش» (hash format) باشد؛
برای اطلاعات بیشتر به \fBopenssl\-verify\fR\|(1) مراجعه کنید.
.IP "\fB\-verifyCAstore\fR \fIuri\fR" 4
.IX Item "-verifyCAstore uri"
شناسه یکتای منبع (URI) یک مخزن حاوی گواهی‌های معتبر برای استفاده
در اعتبارسنجی گواهی‌های کلاینت.
.Sp
هنگامی که هر یک از گزینه‌های \fB\-verifyCAfile\fR، \fB\-verifyCApath\fR یا \fB\-verifyCAstore\fR
مشخص شوند، در یک مخزن اعتبارسنجی جداگانه (از طریق
\&\fBSSL_CTX_set1_verify_cert_store\fR\|(3)) بارگذاری شده و به جای مخزن ساخته‌شده از \fB\-CAfile\fR، \fB\-CApath\fR و
\&\fB\-CAstore\fR برای اعتبارسنجی گواهی کلاینت استفاده می‌شوند. توجه داشته باشید که \fB\-CAfile\fR تنها منبع نام‌های مراجع صدور گواهی (CA) مجاز و صادرکننده‌ای است که در طول مصافحه در پیام Certificate Request برای کلاینت ارسال می‌شوند؛ گزینه‌های \fB\-CApath\fR، \fB\-CAstore\fR و گزینه‌های \fB\-verifyCA*\fR
در این فهرست نقشی ندارند.
.IP "\fB\-chainCAfile\fR \fIfile\fR" 4
.IX Item "-chainCAfile file"
یک فایل با فرمت PEM حاوی گواهی‌های معتبر برای استفاده
هنگام تلاش برای ساخت زنجیره گواهی سرور.
.IP "\fB\-chainCApath\fR \fIdir\fR" 4
.IX Item "-chainCApath dir"
یک دایرکتوری حاوی گواهی‌های معتبر برای استفاده
در ساخت زنجیره گواهی سرور که به کلاینت ارائه می‌شود.
این دایرکتوری باید در «فرمت هش» (hash format) باشد؛
برای اطلاعات بیشتر به \fBopenssl\-verify\fR\|(1) مراجعه کنید.
.IP "\fB\-chainCAstore\fR \fIuri\fR" 4
.IX Item "-chainCAstore uri"
شناسه یکتای منبع (URI) یک مخزن حاوی گواهی‌های معتبر برای استفاده
در ساخت زنجیره گواهی سرور که به کلاینت ارائه می‌شود.
این URI ممکن است یک گواهی تکی یا مجموعه‌ای از آنها را نشان دهد.
با URIهایی در طرح‌واره \f(CW\*(C`file:\*(C'\fR، این گزینه بسته به اینکه URI نشان‌دهنده یک دایرکتوری یا یک
فایل تکی باشد، مانند \fB\-chainCAfile\fR یا
\&\fB\-chainCApath\fR عمل می‌کند.
برای اطلاعات بیشتر درباره طرح‌واره \f(CW\*(C`file:\*(C'\fR به \fBossl_store\-file\fR\|(7) مراجعه کنید.
.IP \fB\-nocert\fR 4
.IX Item "-nocert"
اگر این گزینه تنظیم شود، هیچ گواهی‌ای استفاده نمی‌شود. این کار مجموعه
الگوریتم‌های رمزنگاری در دسترس را به موارد ناشناس (در حال حاضر فقط DH
ناشناس) محدود می‌کند.
.IP \fB\-quiet\fR 4
.IX Item "-quiet"
از چاپ اطلاعات نشست و گواهی جلوگیری می‌کند.
.IP \fB\-no_resume_ephemeral\fR 4
.IX Item "-no_resume_ephemeral"
در صورت استفاده از (EC)DH زودگذر (ephemeral)، کش‌کردن و بلیت‌ها را غیرفعال می‌کند.
.IP \fB\-tlsextdebug\fR 4
.IX Item "-tlsextdebug"
تخلیه هگزادسیمال (hex dump) هرگونه افزونه TLS دریافت‌شده از سرور را چاپ می‌کند.
.IP \fB\-www\fR 4
.IX Item "-www"
هنگام اتصال کلاینت، یک پیام وضعیت برای آن ارسال می‌کند. این پیام شامل
اطلاعاتی درباره رمزهای مورداستفاده و پارامترهای گوناگون نشست است.
خروجی در قالب HTML است، بنابراین این گزینه می‌تواند با یک مرورگر وب استفاده شود.
نشانی ویژه \f(CW\*(C`/renegcert\*(C'\fR اعتبارسنجی گواهی کلاینت را فعال می‌کند، و \f(CW\*(C`/reneg\*(C'\fR
به سرور می‌گوید که درخواست مذاکره مجدد (renegotiation) بدهد.
.IP "\fB\-WWW\fR, \fB\-HTTP\fR" 4
.IX Item "-WWW, -HTTP"
یک وب‌سرور ساده را شبیه‌سازی می‌کند. صفحات به صورت وابسته به
دایرکتوری جاری حل می‌شوند؛ به عنوان مثال اگر آدرس \f(CW\*(C`https://myhost/page.html\*(C'\fR
درخواست شود، فایل \fI./page.html\fR ارسال خواهد شد.
اگر فلگ \fB\-HTTP\fR استفاده شود، فایل‌ها مستقیماً ارسال می‌شوند و باید حاوی
تمام هدرهای پاسخ HTTP (شامل خط پاسخ وضعیت) باشند.
اگر گزینه \fB\-WWW\fR استفاده شود،
هدرهای پاسخ توسط سرور تولید می‌شوند و پسوند فایل
برای تعیین هدر \fBContent\-Type\fR بررسی می‌شود.
پسوندهای \f(CW\*(C`html\*(C'\fR، \f(CW\*(C`htm\*(C'\fR و \f(CW\*(C`php\*(C'\fR به عنوان \f(CW\*(C`text/html\*(C'\fR و سایر موارد به عنوان
\&\f(CW\*(C`text/plain\*(C'\fR در نظر گرفته می‌شوند.
علاوه بر این، نشانی ویژه \f(CW\*(C`/stats\*(C'\fR اطلاعات وضعیت را
مانند گزینه \fB\-www\fR برمی‌گرداند.
.IP \fB\-http_server_binmode\fR 4
.IX Item "-http_server_binmode"
هنگام عمل کردن به عنوان وب‌سرور (با استفاده از گزینه \fB\-WWW\fR یا \fB\-HTTP\fR)، فایل‌های درخواستی
از سوی کلاینت را در حالت باینری (دودویی) باز می‌کند.
.IP \fB\-no_ca_names\fR 4
.IX Item "-no_ca_names"
افزونه CA Names در TLS را غیرفعال می‌کند. ممکن است بخواهید به دلایل امنیتی
یا به منظور سازگاری با برخی پیاده‌سازی‌های TLS ویندوز که در صورت بزرگ‌تر بودن این
افزونه از ۱۰۲۴ بایت کرش می‌کنند، آن را غیرفعال کنید.
.IP \fB\-ignore_unexpected_eof\fR 4
.IX Item "-ignore_unexpected_eof"
برخی از پیاده‌سازی‌های TLS هنگام خاموش کردن اتصال، هشدار اجباری close_notify را
ارسال نمی‌کنند. اگر برنامه سعی کند منتظر هشدار close_notify بماند اما
طرف مقابل اتصال را بدون ارسال آن ببندد، خطا تولید می‌شود. هنگامی که این
گزینه فعال باشد، طرف مقابل نیازی به ارسال هشدار close_notify ندارد و با
یک اتصال بسته‌شده طوری رفتار می‌شود که گویی هشدار close_notify دریافت شده است.
برای اطلاعات بیشتر درباره بستن یک اتصال، به \fBSSL_shutdown\fR\|(3) مراجعه کنید.
.IP \fB\-servername\fR 4
.IX Item "-servername"
نام سرور (Servername) برای افزونه TLS از نوع HostName.
.IP \fB\-servername_fatal\fR 4
.IX Item "-servername_fatal"
در صورت عدم تطابق نام سرور، یک هشدار مهلک (fatal alert) ارسال می‌کند (پیش‌فرض: هشدار اخطار).
.IP "\fB\-id_prefix\fR \fIval\fR" 4
.IX Item "-id_prefix val"
شناسه‌های نشست SSL/TLS را با پیشوند \fIval\fR تولید می‌کند. این گزینه عمدتاً
برای آزمایش کدهای SSL/TLS (مانند پروکسی‌ها) کاربرد دارد که قصد دارند با چندین
سرور کار کنند، در شرایطی که ممکن است هر یک از آنها بازه منحصربه‌فردی از شناسه‌های
نشست را تولید نمایند (مثلاً با یک پیشوند خاص).
.IP \fB\-keymatexport\fR 4
.IX Item "-keymatexport"
صادر کردن مواد کلیدسازی با استفاده از برچسب.
.IP \fB\-keymatexportlen\fR 4
.IX Item "-keymatexportlen"
صادر کردن تعداد بایت‌های مشخص‌شده از مواد کلیدسازی؛ پیش‌فرض ۲۰ است.
.IP \fB\-no_cache\fR 4
.IX Item "-no_cache"
غیرفعال کردن حافظه موقت (کش) نشست.
.IP \fB\-ext_cache\fR. 4
.IX Item "-ext_cache."
غیرفعال کردن کش داخلی، و راه‌اندازی و استفاده از کش خارجی.
.IP \fB\-verify_return_error\fR 4
.IX Item "-verify_return_error"
خطاهای اعتبارسنجی معمولاً به منظور اشکال‌زدایی تنها یک پیام چاپ کرده و اجازه می‌دهند اتصال ادامه یابد.
اگر از این گزینه استفاده شود، خطاهای اعتبارسنجی موجب بستن اتصال می‌شوند.
.IP \fB\-verify_quiet\fR 4
.IX Item "-verify_quiet"
عدم نمایش خروجی اعتبارسنجی به جز خطاهای اعتبارسنجی.
.IP \fB\-ign_eof\fR 4
.IX Item "-ign_eof"
نادیده گرفتن EOF ورودی (پیش‌فرض: هنگامی که \fB\-quiet\fR فعال باشد).
.IP \fB\-no_ign_eof\fR 4
.IX Item "-no_ign_eof"
نادیده نگرفتن EOF ورودی.
.IP \fB\-no_ems\fR 4
.IX Item "-no_ems"
غیرفعال کردن مذاکره راز اصلی گسترش‌یافته (Extended Master Secret).
.IP \fB\-status\fR 4
.IX Item "-status"
پشتیبانی از درخواست وضعیت گواهی (معروف به منگنه کردن OCSP یا OCSP stapling) را فعال می‌کند:
در صورت درخواست کلاینت، یک پاسخ OCSP برای گواهی برگ (سرور) ارائه می‌شود.
.IP \fB\-status_all\fR 4
.IX Item "-status_all"
مشابه گزینه قبل، اما برای TLS v1.3 و فراتر از آن، در صورت درخواست کلاینت، پاسخ‌های وضعیت برای تمام گواهی‌های موجود در زنجیره (به جز لنگر اعتماد یا trust anchor) ارائه می‌شود.
.IP \fB\-status_verbose\fR 4
.IX Item "-status_verbose"
پشتیبانی از درخواست وضعیت گواهی (معروف به OCSP stapling) را فعال کرده و خروجی مفصلی از پاسخ OCSP ارائه می‌دهد.
از گزینه \fB\-cert_chain\fR برای مشخص کردن گواهی امضاکننده گواهی سرور که برای درخواست‌های وضعیت گواهی مورد نیاز است، استفاده کنید.
.IP "\fB\-status_timeout\fR \fIint\fR" 4
.IX Item "-status_timeout int"
مهلت زمانی (timeout) برای پاسخ OCSP را به \fIint\fR ثانیه تنظیم می‌کند.
.IP "\fB\-proxy\fR \fI[http[s]://][userinfo@]host[:port][/path][?query][#fragment]\fR" 4
.IX Item "-proxy [http[s]://][userinfo@]host[:port][/path][?query][#fragment]"
سرور پروکسی HTTP(S) مورد استفاده برای دسترسی به سرور OCSP، مگر اینکه \fB\-no_proxy\fR اعمال شود؛ به توضیحات زیر مراجعه کنید.
اگر رشته میزبان یک آدرس IPv6 باشد، باید درون \f(CW\*(C`[\*(C'\fR و \f(CW\*(C`]\*(C'\fR قرار گیرد.
درگاه (پورت) پروکسی در صورت استفاده از طرح \f(CW\*(C`https\*(C'\fR به طور پیش‌فرض ۴۴۳ و در غیر این صورت ۸۰ است؛ به جز این موارد، پیشوند اختیاری \f(CW\*(C`http://\*(C'\fR یا \f(CW\*(C`https://\*(C'\fR نادیده گرفته می‌شود، همچنین هرگونه بخش‌های اطلاعات کاربر (userinfo)، مسیر (path)، پرس‌وجو (query) و قطعه (fragment) نادیده گرفته می‌شوند.
در صورت تنظیم بودن، مقدار پیش‌فرض از متغیر محیطی \f(CW\*(C`http_proxy\*(C'\fR گرفته می‌شود، در غیر این صورت اگر از TLS استفاده نشود از \f(CW\*(C`HTTP_PROXY\*(C'\fR، وگرنه از \f(CW\*(C`https_proxy\*(C'\fR در صورت تنظیم، یا \f(CW\*(C`HTTPS_PROXY\*(C'\fR استفاده می‌شود.
.IP "\fB\-no_proxy\fR \fIaddresses\fR" 4
.IX Item "-no_proxy addresses"
فهرستی از نشانی‌های IP یا نام‌های DNS سرورهایی که نباید از پروکسی HTTP(S) برای آن‌ها استفاده شود، که با کاما یا فاصله‌های خالی از هم جدا شده‌اند (در مورد دوم کل آرگومان باید درون "..." قرار گیرد).
مقدار پیش‌فرض در صورت تنظیم بودن از متغیر محیطی \f(CW\*(C`no_proxy\*(C'\fR و در غیر این صورت از \f(CW\*(C`NO_PROXY\*(C'\fR گرفته می‌شود.
.IP "\fB\-status_url\fR \fIval\fR" 4
.IX Item "-status_url val"
یک نشانی وب (URL) پاسخ‌دهنده رزرو (fallback) را تنظیم می‌کند تا در صورت عدم وجود نشانی پاسخ‌دهنده در گواهی سرور استفاده شود. بدون این گزینه، اگر گواهی سرور شامل نشانی پاسخ‌دهنده نباشد، خطایی بازگردانده می‌شود.
بخش‌های اختیاری userinfo و fragment در نشانی اینترنتی نادیده گرفته می‌شوند.
هر بخش پرس‌وجوی (query) داده‌شده به عنوان بخشی از مسیر (path) رسیدگی می‌شود.
.IP "\fB\-status_file\fR \fIinfile\fR" 4
.IX Item "-status_file infile"
تمام نشانی‌های پاسخ‌دهنده OCSP از گواهی را لغو کرده و همیشه پاسخ OCSP ذخیره‌شده در فایل را ارائه می‌دهد. این فایل باید در قالب DER باشد.
این گزینه می‌تواند چندین بار برای مشخص کردن پاسخ‌های OCSP برای تمام گواهی‌های موجود در زنجیره گواهی سرور استفاده شود.
.IP "\fB\-ssl_config\fR \fIval\fR" 4
.IX Item "-ssl_config val"
پیکربندی SSL_CTX با استفاده از مقدار پیکربندی داده‌شده.
.IP \fB\-trace\fR 4
.IX Item "-trace"
نمایش خروجی ردگیری (trace) مفصل از پیام‌های پروتکل.
.IP \fB\-brief\fR 4
.IX Item "-brief"
ارائه خلاصه‌ای مختصر از پارامترهای اتصال به جای خروجی مفصل و معمول.
.IP \fB\-rev\fR 4
.IX Item "-rev"
یک سرور بازتابی (echo) ساده که متن دریافت‌شده را به صورت معکوس بازمی‌فرستد. همچنین گزینه \fB\-brief\fR را تنظیم می‌کند.
نمی‌تواند همراه با \fB\-early_data\fR استفاده شود.
.IP \fB\-async\fR 4
.IX Item "-async"
فعال کردن حالت ناهمگام (asynchronous). عملیات رمزنگاری به صورت ناهمگام انجام خواهند شد. این گزینه تنها زمانی تأثیر خواهد داشت که از طریق گزینه \fB\-engine\fR از موتوری با قابلیت ناهمگام نیز استفاده شده باشد. برای اهداف آزمایشی، می‌توان از موتور ناهمگام ساختگی (dasync) استفاده کرد (در صورت دردسترس بودن).
.IP "\fB\-max_send_frag\fR \fI+int\fR" 4
.IX Item "-max_send_frag +int"
حداکثر اندازه قطعه داده (fragment) برای ارسال.
برای اطلاعات بیشتر به \fBSSL_CTX_set_max_send_fragment\fR\|(3) مراجعه کنید.
.IP "\fB\-split_send_frag\fR \fI+int\fR" 4
.IX Item "-split_send_frag +int"
اندازه مورد استفاده برای تقسیم داده‌ها برای خط‌لوله‌های (پایپ‌لاین‌های) رمزگذاری. اگر در یک مرحله داده‌های بیشتری نسبت به این مقدار نوشته شود، به چندین خط‌لوله (پایپ‌لاین) تقسیم می‌شود، حداکثر تا تعداد خط‌لوله‌های تعیین‌شده توسط max_pipelines. این گزینه تنها در صورتی تأثیر دارد که مجموعه رمزنگاری مناسبی مذاکره شده باشد، موتوری که از خط‌لوله پشتیبانی می‌کند بارگذاری شده باشد، و max_pipelines بزرگ‌تر از ۱ باشد. برای اطلاعات بیشتر به \&\fBSSL_CTX_set_split_send_fragment\fR\|(3) مراجعه کنید.
.IP "\fB\-max_pipelines\fR \fI+int\fR" 4
.IX Item "-max_pipelines +int"
حداکثر تعداد خط‌لوله‌های (پایپ‌لاین‌های) رمزگذاری/رمزگشایی مورد استفاده. این گزینه تنها زمانی تأثیر دارد که موتوری با قابلیت پشتیبانی از خط‌لوله بارگذاری شده باشد (مانند موتور dasync) و مجموعه رمزنگاری مناسبی مذاکره شده باشد. مقدار پیش‌فرض ۱ است. برای اطلاعات بیشتر به \fBSSL_CTX_set_max_pipelines\fR\|(3) مراجعه کنید.
.IP "\fB\-naccept\fR \fI+int\fR" 4
.IX Item "-naccept +int"
سرور پس از دریافت تعداد مشخص‌شده‌ای از اتصالات خارج می‌شود؛ پیش‌فرض نامحدود است.
.IP "\fB\-read_buf\fR \fI+int\fR" 4
.IX Item "-read_buf +int"
اندازه پیش‌فرض بافر خواندن مورد استفاده برای اتصالات. این گزینه تنها در صورتی تأثیر خواهد داشت که اندازه بافر بزرگ‌تر از اندازه‌ای باشد که در غیر این صورت استفاده می‌شد و خط‌لوله (پایپ‌لاین) در حال استفاده باشد (برای اطلاعات بیشتر به \fBSSL_CTX_set_default_read_buffer_len\fR\|(3) مراجعه کنید).
.IP \fB\-no_tx_cert_comp\fR 4
.IX Item "-no_tx_cert_comp"
پشتیبانی از ارسال گواهی‌های فشرده‌سازی‌شده در TLSv1.3 را غیرفعال می‌کند.
.IP \fB\-no_rx_cert_comp\fR 4
.IX Item "-no_rx_cert_comp"
پشتیبانی از دریافت گواهی‌های فشرده‌سازی‌شده در TLSv1.3 را غیرفعال می‌کند.
.IP \fB\-no_comp\fR 4
.IX Item "-no_comp"
غیرفعال کردن مذاکره برای فشرده‌سازی TLS.
فشرده‌سازی TLS توصیه نمی‌شود و از زمان OpenSSL 1.1.0 به طور پیش‌فرض غیرفعال است.
.IP \fB\-num_tickets\fR 4
.IX Item "-num_tickets"
کنترل تعداد بلیت‌هایی (tickets) که پس از یک دست‌تکانی کامل در TLSv1.3 برای کلاینت ارسال می‌شود. تعداد پیش‌فرض بلیت‌ها ۲ است. این گزینه بر تعداد بلیت‌های ارسال‌شده پس از یک دست‌تکانی ازسرگیری تأثیری ندارد.
.IP "\fB\-dhparam\fR \fIinfile\fR" 4
.IX Item "-dhparam infile"
فایل پارامترهای DH مورد استفاده. مجموعه‌های رمزنگاری زودگذر DH (موسوم به Ephemeral DH) کلیدها را با استفاده از مجموعه‌ای از پارامترهای DH تولید می‌کنند. در صورت عدم تعیین، تلاشی برای بارگذاری پارامترها از فایل گواهی سرور انجام می‌شود. اگر این اقدام ناموفق باشد، از یک مجموعه پارامترهای ایستا که در کد این دستور گنجانده شده استفاده خواهد شد.
.IP \fB\-nbio\fR 4
.IX Item "-nbio"
ورودی/خروجی (I/O) غیرمسدودکننده را فعال می‌کند.
.IP \fB\-timeout\fR 4
.IX Item "-timeout"
فعال کردن مهلت‌های زمانی.
.IP \fB\-mtu\fR 4
.IX Item "-mtu"
تنظیم MTU لایه پیوند (link\-layer).
.IP "\fB\-psk_identity\fR \fIval\fR" 4
.IX Item "-psk_identity val"
هنگام استفاده از یک مجموعه رمزنگاری PSK، انتظار دارد که کلاینت شناسه هویت PSK مقدار \fIval\fR را ارسال کند و در صورت عدم ارسال هشدار می‌دهد. به طور پیش‌فرض، شناسه PSK مورد انتظار رشته "Client_identity" است.
.IP "\fB\-psk_hint\fR \fIval\fR" 4
.IX Item "-psk_hint val"
استفاده از راهنمای شناسه هویت PSK مقدار \fIval\fR هنگام استفاده از یک مجموعه رمزنگاری PSK.
.IP "\fB\-psk\fR \fIval\fR" 4
.IX Item "-psk val"
استفاده از کلید PSK مقدار \fIval\fR هنگام استفاده از یک مجموعه رمزنگاری PSK. کلید به صورت یک عدد هگزادسیمال بدون پیشوند 0x مشخص می‌شود، برای مثال \-psk 1a2b3c4d.
این گزینه باید به منظور استفاده از یک رمزنگار PSK ارائه شود.
.IP "\fB\-psk_session\fR \fIfile\fR" 4
.IX Item "-psk_session file"
استفاده از داده‌های SSL_SESSION با کدگذاری pem که در \fIfile\fR ذخیره شده است به عنوان مبنای یک PSK. توجه داشته باشید که این گزینه تنها در صورتی کار می‌کند که TLSv1.3 مذاکره شده باشد.
.IP \fB\-srpvfile\fR 4
.IX Item "-srpvfile"
فایل اعتبارسنج برای SRP.
این گزینه منسوخ شده است.
.IP \fB\-srpuserseed\fR 4
.IX Item "-srpuserseed"
یک رشته بذر (seed) برای سالت (salt) پیش‌فرض کاربر.
این گزینه منسوخ شده است.
.IP \fB\-listen\fR 4
.IX Item "-listen"
این گزینه فقط می‌تواند در ارتباط با یکی از گزینه‌های DTLS در بالا استفاده شود.
با این گزینه، این دستور برای اتصالات ورودی روی یک پورت UDP به گوش ایستاده (شنود) می‌کند.
هر ClientHello دریافتی بررسی می‌شود تا مشخص گردد آیا حاوی یک کوکی است یا خیر.
به هر موردی که بدون کوکی باشد، با یک HelloVerifyRequest پاسخ داده خواهد شد.
اگر یک ClientHello همراه با کوکی دریافت شود، این دستور به آن همتا متصل شده و دست‌تکانی (هندشیک) را تکمیل خواهد کرد.
.IP \fB\-sctp\fR 4
.IX Item "-sctp"
استفاده از پروتکل انتقال SCTP به جای UDP در DTLS. باید همراه با
.BR \-dtls ،
.B \-dtls1
یا
.B \-dtls1_2
به کار رود. این گزینه تنها در صورتی در دسترس است که در OpenSSL پشتیبانی از SCTP فعال شده باشد.
.IP \fB\-sctp_label_bug\fR 4
.IX Item "-sctp_label_bug"
استفاده از رفتار نادرست پیاده‌سازی‌های قدیمی‌تر OpenSSL هنگام محاسبه اسرار مشترک جفت‌نقطه پایانی (endpoint\-pair shared secrets) برای DTLS/SCTP. این کار امکان برقراری ارتباط با پیاده‌سازی‌های معیوب قدیمی‌تر را فراهم می‌کند، اما سازگاری‌پذیری با پیاده‌سازی‌های درست را از بین می‌برد. باید همراه با
.B \-sctp
به کار رود. این گزینه تنها زمانی در دسترس است که پشتیبانی از SCTP در OpenSSL فعال باشد.
.IP \fB\-use_srtp\fR 4
.IX Item "-use_srtp"
ارائه مدیریت کلید SRTP به همراه فهرستی از پروفایل‌ها که با دونقطه (:) از هم جدا شده‌اند.
.IP \fB\-no_dhe\fR 4
.IX Item "-no_dhe"
اگر این گزینه تنظیم شود، هیچ پارامتر DH بارگذاری نخواهد شد که در عمل مجموعه‌های رمزنگاری موقت DH (ephemeral DH) را غیرفعال می‌کند.
.IP "\fB\-alpn\fR \fIval\fR, \fB\-nextprotoneg\fR \fIval\fR" 4
.IX Item "-alpn val, -nextprotoneg val"
این فلگ‌ها به ترتیب افزونه Application\-Layer Protocol Negotiation (ALPN) یا Next Protocol Negotiation (NPN) را فعال می‌کنند. ALPN استاندارد IETF بوده و جایگزین NPN است.
فهرست
\&\fIval\fR
فهرستی جداشده با کاما از نام‌های پروتکل‌های پشتیبانی‌شده است. این فهرست باید ابتدا شامل مطلوب‌ترین پروتکل‌ها باشد. نام‌های پروتکل رشته‌های اسکی قابل چاپ هستند، برای نمونه "http/1.1" یا "spdy/3".
در صورت استفاده از
.BR \-tls1_3 ،
فلگ
.B \-nextprotoneg
نمی‌تواند مشخص شود.
.IP \fB\-ktls\fR 4
.IX Item "-ktls"
فعال‌سازی Kernel TLS برای ارسال و دریافت.
این گزینه در OpenSSL 3.2.0 معرفی شد.
از نسخه OpenSSL 3.2.0، قابلیت Kernel TLS به‌طور پیش‌فرض غیرفعال است.
.IP \fB\-sendfile\fR 4
.IX Item "-sendfile"
اگر این گزینه تنظیم شود و KTLS فعال باشد، به جای
\&\fBBIO_write()\fR
از
\&\fBSSL_sendfile()\fR
برای ارسال پاسخ HTTP درخواستی کلاینت استفاده خواهد شد.
این گزینه فقط زمانی معتبر است که
.B \-ktls
همراه با
.B \-WWW
یا
.B \-HTTP
مشخص شده باشد.
.IP \fB\-zerocopy_sendfile\fR 4
.IX Item "-zerocopy_sendfile"
اگر این گزینه تنظیم شود،
\&\fBSSL_sendfile()\fR
از حالت انتقال بدون رونوشت (zerocopy TX mode) استفاده می‌کند که هنگام استفاده با تخلیه بار سخت‌افزاری (hardware offload) KTLS کارایی را ارتقا می‌دهد. توجه داشته باشید که اگر فایل در حال ارسال تغییر کند، ممکن است رکوردهای TLS نامعتبر منتقل شوند.
این گزینه به
.B \-sendfile
وابسته است؛ هنگامی که به تنهایی استفاده شود،
.B \-sendfile
به‌طور ضمنی در نظر گرفته شده و یک هشدار نمایش داده می‌شود. توجه داشته باشید که sendfile در KTLS روی FreeBSD همواره در حالت zerocopy اجرا می‌شود.
.IP "\fB\-keylogfile\fR \fIoutfile\fR" 4
.IX Item "-keylogfile outfile"
اسرار TLS را به فایل لاگ کلید (keylog) مشخص‌شده پیوست می‌کند تا برنامه‌های خارجی (مانند Wireshark) بتوانند اتصالات TLS را رمزگشایی نمایند.
.IP "\fB\-max_early_data\fR \fIint\fR" 4
.IX Item "-max_early_data int"
تغییر حداکثر بایت‌های پیش‌فرض داده‌های اولیه (early data) که برای نشست‌های جدید و هر داده اولیه ورودی (هنگام استفاده همراه با فلگ
\&\fB\-early_data\fR)
مشخص می‌شوند. مقدار پیش‌فرض تقریباً 16k است. این آرگومان باید یک عدد صحیح بزرگ‌تر یا مساوی با ۰ باشد.
.IP "\fB\-recv_max_early_data\fR \fIint\fR" 4
.IX Item "-recv_max_early_data int"
تعیین حد سخت‌گیرانه روی حداکثر تعداد بایت‌های داده‌های اولیه که پذیرفته خواهند شد.
.IP \fB\-early_data\fR 4
.IX Item "-early_data"
پذیرش داده‌های اولیه در صورت امکان. نمی‌تواند همراه با
.BR \-www ،
.BR \-WWW ،
.B \-HTTP
یا
.B \-rev
استفاده شود.
.IP \fB\-stateless\fR 4
.IX Item "-stateless"
کوکی‌های TLSv1.3 را الزامی می‌کند.
.IP "\fB\-anti_replay\fR, \fB\-no_anti_replay\fR" 4
.IX Item "-anti_replay, -no_anti_replay"
به ترتیب محافظت در برابر بازپخش (Replay) را روشن یا خاموش می‌کند. محافظت در برابر بازپخش (Replay) به‌طور پیش‌فرض روشن است مگر اینکه توسط یک فایل پیکربندی بازنویسی شود. هنگامی که روشن است، OpenSSL به‌طور خودکار تشخیص می‌دهد که آیا یک بلیت نشست (session ticket) بیش از یک بار استفاده شده است، TLSv1.3 مذاکره شده و داده‌های اولیه روی سرور فعال است یا خیر. در صورتی که بلیت نشست برای بار دوم یا دفعات بعدی استفاده شود، یک دست‌تکانی (هندشیک) کامل تحمیل می‌شود. هر داده اولیه‌ای که ارسال شده باشد رد خواهد شد.
.Sp
توجه داشته باشید که سرور یک حافظه نهان (کَش) داخلی از بلیت‌های نشست را مدیریت می‌کند. اگر کلاینت اتصال را بدون ارسال هشدار close_notify ببندد، بلیت نشست متناظر حذف شده و یک دست‌تکانی (هندشیک) کامل تحمیل می‌گردد.
.IP \fB\-tfo\fR 4
.IX Item "-tfo"
فعال‌سازی پذیرش اتصالات TCP Fast Open (RFC7413).
.IP \fB\-cert_comp\fR 4
.IX Item "-cert_comp"
گواهی‌هایی (RFC8879) را که در طول دست‌تکانی (هندشیک) ارسال خواهند شد، از قبل فشرده می‌کند.
.IP "\fB\-nameopt\fR \fIoption\fR" 4
.IX Item "-nameopt option"
مشخص می‌کند که نام‌های موضوع (subject) یا صادرکننده (issuer) چگونه نمایش داده شوند.
برای جزئیات بیشتر به
\&\fBopenssl\-namedisplay\-options\fR\|(1)
مراجعه کنید.
.IP "\fB\-no_ssl3\fR, \fB\-no_tls1\fR, \fB\-no_tls1_1\fR, \fB\-no_tls1_2\fR, \fB\-no_tls1_3\fR, \fB\-ssl3\fR, \fB\-tls1\fR, \fB\-tls1_1\fR, \fB\-tls1_2\fR, \fB\-tls1_3\fR" 4
.IX Item "-no_ssl3, -no_tls1, -no_tls1_1, -no_tls1_2, -no_tls1_3, -ssl3, -tls1, -tls1_1, -tls1_2, -tls1_3"
به بخش «گزینه‌های نسخه TLS» (TLS Version Options) در
\&\fBopenssl\fR\|(1)
مراجعه کنید.
.IP "\fB\-dtls\fR, \fB\-dtls1\fR, \fB\-dtls1_2\fR" 4
.IX Item "-dtls, -dtls1, -dtls1_2"
این گزینه‌ها استفاده از DTLS به جای TLS را مشخص می‌کنند.
به بخش «گزینه‌های نسخه TLS» (TLS Version Options) در
\&\fBopenssl\fR\|(1)
مراجعه کنید.
.IP "\fB\-bugs\fR, \fB\-comp\fR, \fB\-no_comp\fR, \fB\-no_ticket\fR, \fB\-serverpref\fR, \fB\-client_renegotiation\fR, \fB\-legacy_renegotiation\fR, \fB\-no_renegotiation\fR, \fB\-no_resumption_on_reneg\fR, \fB\-legacy_server_connect\fR, \fB\-no_legacy_server_connect\fR, \fB\-no_etm\fR \fB\-allow_no_dhe_kex\fR, \fB\-prefer_no_dhe_kex\fR, \fB\-prioritize_chacha\fR, \fB\-strict\fR, \fB\-sigalgs\fR \fIalgs\fR, \fB\-client_sigalgs\fR \fIalgs\fR, \fB\-groups\fR \fIgroups\fR, \fB\-curves\fR \fIcurves\fR, \fB\-named_curve\fR \fIcurve\fR, \fB\-cipher\fR \fIciphers\fR, \fB\-ciphersuites\fR \fI1.3ciphers\fR, \fB\-min_protocol\fR \fIminprot\fR, \fB\-max_protocol\fR \fImaxprot\fR, \fB\-record_padding\fR \fIpadding\fR, \fB\-debug_broken_protocol\fR, \fB\-no_middlebox\fR" 4
.IX Item "-bugs, -comp, -no_comp, -no_ticket, -serverpref, -client_renegotiation, -legacy_renegotiation, -no_renegotiation, -no_resumption_on_reneg, -legacy_server_connect, -no_legacy_server_connect, -no_etm -allow_no_dhe_kex, -prefer_no_dhe_kex, -prioritize_chacha, -strict, -sigalgs algs, -client_sigalgs algs, -groups groups, -curves curves, -named_curve curve, -cipher ciphers, -ciphersuites 1.3ciphers, -min_protocol minprot, -max_protocol maxprot, -record_padding padding, -debug_broken_protocol, -no_middlebox"
برای جزئیات بیشتر به بخش «SUPPORTED COMMAND LINE COMMANDS» در
\&\fBSSL_CONF_cmd\fR\|(3)
مراجعه کنید.
.IP "\fB\-xkey\fR \fIinfile\fR, \fB\-xcert\fR \fIfile\fR, \fB\-xchain\fR \fIfile\fR, \fB\-xchain_build\fR \fIfile\fR, \fB\-xcertform\fR \fBDER\fR|\fBPEM\fR, \fB\-xkeyform\fR \fBDER\fR|\fBPEM\fR" 4
.IX Item "-xkey infile, -xcert file, -xchain file, -xchain_build file, -xcertform DER|PEM, -xkeyform DER|PEM"
تنظیم گزینه‌های گسترده اعتبارسنجی گواهی.
برای جزئیات بیشتر به بخش «گزینه‌های اعتبارسنجی گسترده» (Extended Verification Options) در
\&\fBopenssl\-verification\-options\fR\|(1)
مراجعه کنید.
.IP "\fB\-CAfile\fR \fIfile\fR, \fB\-no\-CAfile\fR, \fB\-CApath\fR \fIdir\fR, \fB\-no\-CApath\fR, \fB\-CAstore\fR \fIuri\fR, \fB\-no\-CAstore\fR" 4
.IX Item "-CAfile file, -no-CAfile, -CApath dir, -no-CApath, -CAstore uri, -no-CAstore"
برای جزئیات بیشتر به بخش «گزینه‌های گواهی مورد اعتماد» (Trusted Certificate Options) در
\&\fBopenssl\-verification\-options\fR\|(1)
مراجعه کنید.
.IP "\fB\-rand\fR \fIfiles\fR, \fB\-writerand\fR \fIfile\fR" 4
.IX Item "-rand files, -writerand file"
برای جزئیات بیشتر به بخش «گزینه‌های وضعیت تصادفی» (Random State Options) در
\&\fBopenssl\fR\|(1)
مراجعه کنید.
.IP "\fB\-engine\fR \fIid\fR" 4
.IX Item "-engine id"
به بخش «گزینه‌های موتور» (Engine Options) در
\&\fBopenssl\fR\|(1)
مراجعه کنید.
این گزینه منسوخ شده است.
.IP "\fB\-provider\fR \fIname\fR" 4
.IX Item "-provider name"
.PD 0
.IP "\fB\-provider\-path\fR \fIpath\fR" 4
.IX Item "-provider-path path"
.IP "\fB\-provparam\fR \fI[name:]key=value\fR" 4
.IX Item "-provparam [name:]key=value"
.IP "\fB\-propquery\fR \fIpropq\fR" 4
.IX Item "-propquery propq"
.PD
به بخش «گزینه‌های ارائه‌دهنده» (Provider Options) در
\&\fBopenssl\fR\|(1)،
\&\fBprovider\fR\|(7)
و
\&\fBproperty\fR\|(7)
مراجعه کنید.
.IP "\fB\-allow_proxy_certs\fR, \fB\-attime\fR, \fB\-no_check_time\fR, \fB\-check_ss_sig\fR, \fB\-crl_check\fR, \fB\-crl_check_all\fR, \fB\-explicit_policy\fR, \fB\-extended_crl\fR, \fB\-ignore_critical\fR, \fB\-inhibit_any\fR, \fB\-inhibit_map\fR, \fB\-no_alt_chains\fR, \fB\-partial_chain\fR, \fB\-policy\fR, \fB\-policy_check\fR, \fB\-policy_print\fR, \fB\-purpose\fR, \fB\-suiteB_128\fR, \fB\-suiteB_128_only\fR, \fB\-suiteB_192\fR, \fB\-trusted_first\fR, \fB\-use_deltas\fR, \fB\-auth_level\fR, \fB\-verify_depth\fR, \fB\-verify_email\fR, \fB\-verify_hostname\fR, \fB\-verify_ip\fR, \fB\-verify_name\fR, \fB\-x509_strict\fR \fB\-issuer_checks\fR" 4
.IX Item "-allow_proxy_certs, -attime, -no_check_time, -check_ss_sig, -crl_check, -crl_check_all, -explicit_policy, -extended_crl, -ignore_critical, -inhibit_any, -inhibit_map, -no_alt_chains, -partial_chain, -policy, -policy_check, -policy_print, -purpose, -suiteB_128, -suiteB_128_only, -suiteB_192, -trusted_first, -use_deltas, -auth_level, -verify_depth, -verify_email, -verify_hostname, -verify_ip, -verify_name, -x509_strict -issuer_checks"
تنظیم گزینه‌های گوناگون اعتبارسنجی زنجیره گواهی.
برای جزئیات بیشتر به بخش «گزینه‌های اعتبارسنجی» (Verification Options) در
\&\fBopenssl\-verification\-options\fR\|(1)
مراجعه کنید.
.Sp
اگر سرور درخواست گواهی کلاینت کند، خطاهای اعتبارسنجی جهت اشکال‌زدایی نمایش داده می‌شوند، اما دستور به کار خود ادامه خواهد داد مگر اینکه از گزینه
.B \-verify_return_error
استفاده شده باشد.
.IP \fB\-enable_server_rpk\fR 4
.IX Item "-enable_server_rpk"
فعال‌سازی پشتیبانی از ارسال کلید عمومی خام (RPK) (RFC7250) به کلاینت.
در صورت درخواست کلاینت و به شرط پیکربندی یک جفت کلید و گواهی عمومی مناسب، یک کلید عمومی خام (RPK) توسط سرور ارسال خواهد شد.
کلاینت‌هایی که از کلید عمومی خام (RPK) پشتیبانی نمی‌کنند یا ترجیح می‌دهند از گواهی‌های X.509 استفاده نمایند، همچنان می‌توانند طبق معمول دریافت گواهی‌های X.509 را انتخاب کنند.
.Sp
کلیدهای عمومی خام (RPK) از گواهی/کلید خصوصی پیکربندی‌شده استخراج می‌شوند.
.IP \fB\-enable_client_rpk\fR 4
.IX Item "-enable_client_rpk"
فعال‌سازی پشتیبانی از دریافت کلید عمومی خام (RPK) (RFC7250) از کلاینت.
استفاده از گواهی‌های X.509 توسط کلاینت اختیاری می‌شود، و کلاینت‌هایی که از کلید عمومی خام (RPK) پشتیبانی می‌کنند می‌توانند استفاده از آن‌ها را انتخاب نمایند.
کلاینت‌هایی که از کلید عمومی خام (RPK) پشتیبانی نمی‌کنند یا ترجیح می‌دهند از گواهی‌های X.509 استفاده کنند، همچنان می‌توانند طبق معمول ارسال گواهی‌های X.509 را انتخاب نمایند.
.Sp
کلیدهای عمومی خام (RPK) از گواهی/کلید خصوصی پیکربندی‌شده استخراج می‌شوند.
.SH "دستورات متصل (CONNECTED COMMANDS)"
.IX Header "CONNECTED COMMANDS"
اگر درخواست اتصالی با یک کلاینت SSL برقرار شود و از هیچ‌یک از گزینه‌های
\&\fB\-www\fR
یا
\&\fB\-WWW\fR
استفاده نشده باشد، در این صورت معمولاً هر داده‌ای که از کلاینت دریافت شود نمایش داده شده و فشردن هر کلیدی به کلاینت ارسال خواهد شد.
.PP
دستورات مشخصی نیز شناسایی می‌شوند که عملیات ویژه‌ای را انجام می‌دهند. این دستورات یک حرف هستند که باید در ابتدای خط قرار گیرند. این دستورات در زیر فهرست شده‌اند:
.IP \fBq\fR 4
.IX Item "q"
پایان دادن به اتصال فعلی SSL، اما همچنان پذیرش اتصالات جدید.
.IP \fBQ\fR 4
.IX Item "Q"
پایان دادن به اتصال فعلی SSL و خروج.
.IP \fBr\fR 4
.IX Item "r"
مذاکره مجدد نشست SSL (فقط در TLSv1.2 و پایین‌تر).
.IP \fBR\fR 4
.IX Item "R"
مذاکره مجدد نشست SSL و درخواست گواهی کلاینت (فقط در TLSv1.2 و پایین‌تر).
.IP \fBP\fR 4
.IX Item "P"
ارسال مقداری متن ساده روی اتصال TCP زیرین؛ این کار باید باعث قطع اتصال کلاینت به دلیل نقض پروتکل شود.
.IP \fBS\fR 4
.IX Item "S"
چاپ برخی اطلاعات مربوط به وضعیت کش نشست.
.IP \fBk\fR 4
.IX Item "k"
ارسال یک پیام به‌روزرسانی کلید به کلاینت (فقط در TLSv1.3).
.IP \fBK\fR 4
.IX Item "K"
ارسال یک پیام به‌روزرسانی کلید به کلاینت و درخواست متقابل آن از کلاینت (فقط در TLSv1.3).
.IP \fBc\fR 4
.IX Item "c"
ارسال یک درخواست گواهی به کلاینت (فقط در TLSv1.3).
.SH "نکات (NOTES)"
.IX Header "NOTES"
این دستور می‌تواند برای اشکال‌زدایی کلاینت‌های SSL استفاده شود. برای پذیرش اتصالات از یک مرورگر وب، می‌توان به عنوان مثال از دستور:
.PP
.Vb 1
\& openssl s_server \-accept 443 \-www
.Ve
.PP
استفاده کرد.
.PP
اگرچه مشخص کردن یک فهرست خالی از CAها هنگام درخواست گواهی کلاینت، از نظر فنی نقض پروتکل است، اما برخی کلاینت‌های SSL این موضوع را به این معنی تفسیر می‌کنند که هر مرجع صدور گواهی (CA) قابل قبول است. این ویژگی برای مقاصد اشکال‌زدایی مفید است.
.PP
پارامترهای نشست را می‌توان با استفاده از دستور
\&\fBopenssl\-sess_id\fR\|(1)
چاپ کرد.
.SH "اشکالات (BUGS)"
.IX Header "BUGS"
به دلیل اینکه این برنامه گزینه‌های بسیار زیادی دارد و همچنین به دلیل قدیمی بودن برخی از تکنیک‌های به‌کاررفته در آن، سورس کد C این دستور برای خواندن نسبتاً دشوار است و الگویی برای چگونگی انجام درست کارها محسوب نمی‌شود.
یک برنامه سرور SSL معمولی بسیار ساده‌تر خواهد بود.
.PP
خروجی رمزهای مشترک نادرست است: این خروجی صرفاً فهرستی از رمزهایی را نشان می‌دهد که OpenSSL می‌شناسد و کلاینت از آن‌ها پشتیبانی می‌کند.
.PP
باید راهکاری برای این دستور وجود داشته باشد تا بتواند جزئیات هر مجموعه رمزیِ ناشناخته‌ای را که کلاینت اعلام می‌کند پشتیبانی می‌کند، چاپ نماید.
.SH "همچنین ببینید (SEE ALSO)"
.IX Header "SEE ALSO"
\&\fBopenssl\fR\|(1),
\&\fBopenssl\-sess_id\fR\|(1),
\&\fBopenssl\-s_client\fR\|(1),
\&\fBopenssl\-ciphers\fR\|(1),
\&\fBSSL_CONF_cmd\fR\|(3),
\&\fBSSL_CTX_set_max_send_fragment\fR\|(3),
\&\fBSSL_CTX_set_split_send_fragment\fR\|(3),
\&\fBSSL_CTX_set_max_pipelines\fR\|(3),
\&\fBossl_store\-file\fR\|(7)
.SH "تاریخچه (HISTORY)"
.IX Header "HISTORY"
گزینه
.B \-no_alt_chains
در OpenSSL 1.1.0 اضافه شد.
.PP
گزینه‌های
\&\fB\-allow\-no\-dhe\-kex\fR
و
\&\fB\-prioritize_chacha\fR
در OpenSSL 1.1.1 اضافه شدند.
.PP
گزینه‌های
\&\fB\-srpvfile\fR،
\&\fB\-srpuserseed\fR
و
\&\fB\-engine\fR
در OpenSSL 3.0 منسوخ شدند.
.PP
گزینه‌های
\&\fB\-enable_client_rpk\fR،
\&\fB\-enable_server_rpk\fR،
\&\fB\-no_rx_cert_comp\fR،
\&\fB\-no_tx_cert_comp\fR
و
\&\fB\-tfo\fR
در OpenSSL 3.2 اضافه شدند.
.PP
گزینه
\&\fB\-status_all\fR
در OpenSSL 3.6 اضافه شد.
.SH "حق نشر (COPYRIGHT)"
.IX Header "COPYRIGHT"
حق نشر 2000\-2026 متعلق به نویسندگان پروژه OpenSSL است. تمامی حقوق محفوظ است.
.PP
تحت مجوز آپاچی نسخه 2.0 («مجوز») منتشر شده است. شما مجاز به استفاده از این فایل نیستید مگر با رعایت مفاد مجوز. می‌توانید نسخه‌ای از مجوز را در فایل LICENSE در توزیع سورس یا در نشانی
<https://www.openssl.org/source/license.html>
دریافت کنید.