.TH POSTFIX-TLS 1 
.ad
.fi
.SH "نام (NAME)"
postfix-tls \- مدیریت TLS در Postfix
.SH "خلاصه دستور (SYNOPSIS)"
.na
.nf
\fBpostfix tls\fR \fIsubcommand\fR
.SH "توضیحات (DESCRIPTION)"
.ad
.fi
ویژگی «\fBpostfix tls \fIsubcommand\fR» امکان TLS فرصت‌طلبانه (opportunistic TLS) را در کارخواه یا سرور SMTP در Postfix فعال می‌کند و کلیدهای خصوصی و گواهی‌های سرور Postfix SMTP را مدیریت می‌نماید.

زیرفرمان‌های زیر در دسترس هستند:
.IP "\fBenable\-client\fR [\fB\-r \fIrandsource\fR]"
فعال‌سازی TLS فرصت‌طلبانه در کارخواه Postfix SMTP، در صورتی که تمام تنظیمات TLS کارخواه SMTP روی مقادیر پیش‌فرض خود باشند. در غیر این صورت، بدون اعمال هیچ تغییری، تنظیمات پارامترها را پیشنهاد می‌دهد.
.sp
برای به‌روزرسانی مقدار پارامتر پیکربندی \fBtls_random_source\fR (معمولاً /dev/urandom)، مقدار \fIrandsource\fR را مشخص کنید. برای مسیرهای دستگاه عبارت \fBdev:\fR یا برای مسیرهای سوکت EGD عبارت \fBegd:\fR را در ابتدای مسیر قرار دهید.
.sp
همچنین زیرفرمان \fBall\-default\-client\fR را ببینید.
.IP "\fBenable\-server\fR [\fB\-r \fIrandsource\fR] [\fB\-a \fIalgorithm\fR] [\fB\-b \fIbits\fR] [\fIhostname\fB...\fR]"
ایجاد یک کلید خصوصی جدید و گواهی سرور خودامضاشده (self\-signed)، و فعال‌سازی TLS فرصت‌طلبانه در سرور Postfix SMTP، در صورتی که تمام تنظیمات TLS سرور SMTP روی مقادیر پیش‌فرض خود باشند. در غیر این صورت، بدون اعمال هیچ تغییری، تنظیمات پارامترها را پیشنهاد می‌دهد.
.sp
پارامتر \fIrandsource\fR همانند \fBenable\-client\fR در بالا است، و سایر گزینه‌ها مشابه \fBnew\-server\-key\fR در ادامه هستند.
.sp
همچنین زیرفرمان \fBall\-default\-server\fR را ببینید.
.IP "\fBnew\-server\-key\fR [\fB\-a \fIalgorithm\fR] [\fB\-b \fIbits\fR] [\fIhostname\fB...\fR]"
ایجاد یک کلید خصوصی جدید و گواهی سرور خودامضاشده، بدون مستقر ساختن (deploy) آن‌ها. دستورات لازم برای استقرار کلید جدید و گواهی متناظر را ثبت (log) و نمایش می‌دهد. همچنین دستورات خروجی دادن CSR متناظر یا رکوردهای TLSA را که ممکن است برای دریافت گواهی CA یا به‌روزرسانی DNS پیش از استقرار کلید جدید نیاز باشند، ثبت و نمایش می‌دهد.
.sp
مقدار پیش‌فرض \fIalgorithm\fR برابر با \fBrsa\fR، و مقدار پیش‌فرض \fIbits\fR برابر با 2048 است. اگر الگوریتم \fBecdsa\fR را انتخاب کنید، مقدار \fIbits\fR نام منحنی EC خواهد بود (به طور پیش‌فرض \fBsecp256r1\fR، که با نام prime256v1 نیز شناخته می‌شود). بعید است منحنی‌هایی غیر از \fBsecp256r1\fR، \fBsecp384r1\fR یا \fBsecp521r1\fR سازگاری گسترده‌ای داشته باشند. هنگام تولید کلیدهای EC، از یکی از این سه استفاده کنید. کلیدهای DSA منسوخ شده‌اند و پشتیبانی نمی‌شوند.
.sp
نکته: پشتیبانی از ECDSA نیازمند OpenSSL 1.0.0 یا بالاتر است و ممکن است در سیستم شما در دسترس نباشد. همه سامانه‌های کارخواه از ECDSA پشتیبانی نمی‌کنند، بنابراین معمولاً بهتر است هر دو گواهی RSA و ECDSA را مستقر کنید تا برای کارخواه‌های سازگار از ECDSA و برای بقیه از RSA استفاده شود. اگر می‌خواهید زنجیره‌های گواهی (certificate chains) را با CAهای میانی (intermediate CAs) هم برای RSA و هم ECDSA مستقر کنید، حداقل به OpenSSL 1.0.2 نیاز خواهید داشت، زیرا نسخه‌های قدیمی‌تر ممکن است چندین فایل زنجیره را به درستی مدیریت نکنند.
.sp
نخستین آرگومان \fIhostname\fR به عنوان \fBCommonName\fR هر دو موضوع (subject) و صادرکننده (issuer) گواهی خودامضاشده قرار خواهد گرفت. این نام و هر آرگومان اضافی \fIhostname\fR نیز به عنوان نام‌های جایگزین DNS در گواهی فهرست می‌شوند. اگر هیچ \fIhostname\fR مشخص نشود، مقدار پارامتر \fBmyhostname\fR در main.cf استفاده خواهد شد.
.sp
برای RSA، فایل‌های کلید خصوصی و گواهی تولیدشده با نام‌های \fBkey\-\fIyyyymmdd\-hhmmss\fB.pem\fR و \fBcert\-\fIyyyymmdd\-hhmmss\fB.pem\fR نام‌گذاری می‌شوند، که در آن‌ها \fIyyyymmdd\fR تاریخ تقویمی و \fIhhmmss\fR زمان روز بر حسب UTC است. برای ECDSA، نام فایل‌ها به ترتیب به جای \fBkey\-\fR و \fBcert\-\fR با \fBeckey\-\fR و \fBeccert\-\fR آغاز می‌شود.
.sp
پیش از استقرار کلید و گواهی جدید با DANE، رکوردهای جدید DANE TLSA را در DNS به‌روزرسانی کنید، سپس منتظر بمانید تا کارگزارهای نام ثانویه به‌روزرسانی شوند و رکوردهای کهنه در حافظه‌های موقت دوردستِ DNS منقضی گردند.
.sp
پیش از استقرار گواهی جدید CA، اطمینان حاصل کنید که تمام گواهی‌های CA صادرکننده میانی در فایل زنجیره گواهی گنجانده شده‌اند. گواهی سرور باید نخستین گواهی در فایل زنجیره باشد. فایلی را که همراه با کلید به عنوان گواهی خودامضاشده اصلی تولید شده بود، بازنویسی کرده و مستقر نمایید.
.IP "\fBnew\-server\-cert\fR [\fB\-a \fIalgorithm\fR] [\fB\-b \fIbits\fR] [\fIhostname\fB...\fR]"
این دستور دقیقاً مانند \fBnew\-server\-key\fR است، به جز اینکه به جای تولید کلید خصوصی جدید، هر کلید خصوصی که هم‌اکنون مستقر است در فایل کلید جدید کپی می‌شود. بنابراین اگر رکوردهای DANE TLSA "3 1 1" یا "3 1 2" را منتشر می‌کنید، نیازی به به‌روزرسانی رکوردهای DNS نیست. آرگومان‌های \fIalgorithm\fR و \fIbits\fR تنها در صورتی استفاده می‌شوند که هیچ کلیدی از همان الگوریتم از پیش پیکربندی نشده باشد.
.sp
این دستور به ندرت مورد نیاز است، زیرا گواهی‌های خودامضاشده تولیدی، تاریخ انقضای اسمی ۱۰۰ ساله دارند. الگوریتم‌های کلید عمومی زیربنایی ممکن است مدت‌ها پیش از آن توسط رایانه‌های کوانتومی منسوخ شوند.
.sp
محتمل‌ترین دلیل برای استفاده از این دستور زمانی است که نام میزبان سیستم (hostname) تغییر کند و بخواهید نام موجود در گواهی با نام میزبان جدید مطابقت داشته باشد (برای DANE "3 1 1" نیازی نیست، اما برخی کارخواه‌های غیر-DANE دارای TLS فرصت‌طلبانه ممکن است هشدارهایی ثبت کنند یا حتی از برقراری ارتباط خودداری ورزند).
.IP "\fBdeploy\-server\-cert \fIcertfile\fB \fIkeyfile\fR"
این زیرفرمان گواهی‌های موجود در \fIcertfile\fR و کلید خصوصی در \fIkeyfile\fR را مستقر می‌کند (که معمولاً توسط دستورهای بالا تولید می‌شوند؛ دستورهایی که دستور کامل مورد نیاز برای استقرار کلید و گواهی تولیدشده را نیز ثبت و نمایش می‌دهند). پس از استقرار گواهی و کلید جدید، هرگونه کلید و گواهی منسوخ را می‌توان به صورت دستی حذف کرد. نام فایل‌های \fIkeyfile\fR و \fIcertfile\fR می‌توانند نسبت به دایرکتوری پیکربندی Postfix نسبی باشند.
.IP "\fBoutput\-server\-csr\fR [\fB\-k \fIkeyfile\fR] [\fIhostname\fB...\fR]"
نوشتن یک درخواست امضای گواهی (CSR) در خروجی استاندارد (stdout) برای \fIkeyfile\fR مشخص‌شده.
.sp
به جای یک مسیر مطلق یا مسیری نسبت به config_directory$، مقدار \fIkeyfile\fR می‌تواند نام یکی از الگوریتم‌های کلید پشتیبانی‌شده باشد (به «\fBpostconf \-T public\-key\-algorithms\fR» رجوع کنید). در این حالت، از تنظیم متناظر در main.cf برای یافتن \fIkeyfile\fR استفاده می‌شود. مقدار پیش‌فرض \fIkeyfile\fR برابر \fBrsa\fR است.
.sp
صفر یا چند مقدار \fIhostname\fR را می‌توان مشخص کرد. مقدار پیش‌فرض \fIhostname\fR همان مقدار پارامتر \fBmyhostname\fR در main.cf است.
.IP "\fBoutput\-server\-tlsa\fR [\fB\-h \fIhostname\fR] [\fIkeyfile\fB...\fR]"
نوشتن یک مجموعه رکورد منبع (RRset) از نوع DANE TLSA در خروجی استاندارد، مناسب برای یک سرور SMTP در درگاه ۲۵ روی میزبان \fIhostname\fR، همراه با کلیدهایی از هر یک از مقادیر مشخص‌شده \fIkeyfile\fR. مقدار پیش‌فرض \fIhostname\fR همان مقدار پارامتر \fBmyhostname\fR در main.cf است.
.sp
به جای مسیرهای مطلق یا مسیرهای نسبی به config_directory$، فهرست \fIkeyfile\fR می‌تواند نام الگوریتم‌های کلید عمومی پشتیبانی‌شده باشد (به «\fBpostconf \-T public\-key\-algorithms\fR» رجوع کنید). در این حالت، فهرست واقعی \fIkeyfile\fR از مقادیر پارامترهای فایل کلید TLS سرور Postfix متناظر استفاده می‌کند. اگر مقدار یک پارامتر خالی یا برابر با \fBnone\fR باشد، هیچ رکورد TLSA برای آن الگوریتم خروجی داده نمی‌شود.
.sp
فهرست پیش‌فرض \fIkeyfile\fR شامل دو الگوریتم پشتیبانی‌شده \fBrsa\fR و \fBecdsa\fR است.
.SH "دستورهای کمکی (AUXILIARY COMMANDS)"
.na
.nf
.IP "\fBall\-default\-client\fR"
خروج با وضعیت ۰ (موفقیت‌آمیز) در صورتی که تمام تنظیمات TLS کارخواه SMTP روی مقادیر پیش‌فرض خود باشند. در غیر این صورت، با وضعیت غیر صفر خارج می‌شود. این دستور معمولاً به صورت زیر استفاده می‌شود:
.sp
\fBpostfix tls all\-default\-client &&
        postfix tls enable\-client\fR
.IP "\fBall\-default\-server\fR"
خروج با وضعیت ۰ (موفقیت‌آمیز) در صورتی که تمام تنظیمات TLS سرور SMTP روی مقادیر پیش‌فرض خود باشند. در غیر این صورت، با وضعیت غیر صفر خارج می‌شود. این دستور معمولاً به صورت زیر استفاده می‌شود:
.sp
\fBpostfix tls all\-default\-server &&
        postfix tls enable\-server\fR
.SH "پارامترهای پیکربندی (CONFIGURATION PARAMETERS)"
.na
.nf
.ad
.fi
ویژگی «\fBpostfix tls \fIsubcommand\fR» پارامترهای پیکربندی زیر را می‌خواند یا به‌روزرسانی می‌کند.
.IP "\fBcommand_directory (see 'postconf -d' output)\fR"
مکان تمام دستورهای مدیریتی postfix.
.IP "\fBconfig_directory (see 'postconf -d' output)\fR"
مکان پیش‌فرض فایل‌های پیکربندی main.cf و master.cf در Postfix.
.IP "\fBopenssl_path (openssl)\fR"
مکان برنامه خط فرمان OpenSSL به نام \fBopenssl\fR(1).
.IP "\fBsmtp_tls_loglevel (0)\fR"
فعال‌سازی ثبت وقایع (logging) اضافی برای فعالیت‌های TLS در کارخواه Postfix SMTP.
.IP "\fBsmtp_tls_security_level (Postfix >= 3.11: may; Postfix < 3.11: empty)\fR"
سطح امنیت پیش‌فرض SMTP TLS برای کارخواه Postfix SMTP.
.IP "\fBsmtp_tls_session_cache_database (empty)\fR"
نام فایل حاوی حافظه موقت اختیاری نشست (session cache) مربوط به TLS کارخواه Postfix SMTP.
.IP "\fBsmtpd_tls_cert_file (empty)\fR"
فایل حاوی گواهی RSA سرور Postfix SMTP در قالب PEM.
.IP "\fBsmtpd_tls_eccert_file (empty)\fR"
فایل حاوی گواهی ECDSA سرور Postfix SMTP در قالب PEM.
.IP "\fBsmtpd_tls_eckey_file ($smtpd_tls_eccert_file)\fR"
فایل حاوی کلید خصوصی ECDSA سرور Postfix SMTP در قالب PEM.
.IP "\fBsmtpd_tls_key_file ($smtpd_tls_cert_file)\fR"
فایل حاوی کلید خصوصی RSA سرور Postfix SMTP در قالب PEM.
.IP "\fBsmtpd_tls_loglevel (0)\fR"
فعال‌سازی ثبت وقایع اضافی فعالیت‌های TLS در سرور Postfix SMTP.
.IP "\fBsmtpd_tls_received_header (no)\fR"
درخواست از سرور Postfix SMTP برای تولید سرآیندهای پیام Received: که شامل اطلاعاتی درباره پروتکل و رمز (cipher) استفاده‌شده، و همچنین CommonName کارخواه دوردست SMTP و CommonName صادرکننده گواهی کارخواه باشد.
.IP "\fBsmtpd_tls_security_level (empty)\fR"
سطح امنیت SMTP TLS برای سرور Postfix SMTP؛ وقتی یک مقدار غیر خالی مشخص شود، جایگزین پارامترهای منسوخ smtpd_use_tls و smtpd_enforce_tls می‌شود.
.IP "\fBtls_random_source (see 'postconf -d' output)\fR"
منبع آنتروپی خارجی برای مخزن تولیدکننده اعداد شبه‌تصادفی (PRNG) درون حافظه در \fBtlsmgr\fR(8).
.SH "همچنین ببینید (SEE ALSO)"
.na
.nf
master(8) برنامه اصلی Postfix
postfix(1) رابط مدیریتی Postfix
.SH "فایل‌های راهنما (README FILES)"
.na
.nf
.ad
.fi
برای یافتن این اطلاعات از «\fBpostconf readme_directory\fR» یا «\fBpostconf html_directory\fR» استفاده کنید.
.na
.nf
TLS_README، پیکربندی و عملکرد TLS در Postfix
.SH "مجوز (LICENSE)"
.na
.nf
.ad
.fi
مجوز Secure Mailer باید همراه با این نرم‌افزار توزیع شود.
.SH "تاریخچه (HISTORY)"
.ad
.fi
فرمان «\fBpostfix tls\fR» در نسخه 3.1 از Postfix معرفی شد.
.SH "نویسندگان (AUTHORS)"
.na
.nf
Viktor Dukhovni