POSTTLS-FINGER(1) General Commands Manual POSTTLS-FINGER(1)

posttls-finger - بررسی ویژگی‌های TLS یک کارساز ESMTP یا LMTP.

posttls-finger [options] [inet:]domain[:port] [match ...]
posttls-finger -S [options] unix:pathname [match ...]


posttls-finger(1) به مقصد مشخص‌شده متصل می‌شود و اطلاعات مربوط به TLS دربارهٔ کارساز را گزارش می‌دهد. در SMTP، مقصد یک نام دامنه است؛ در LMTP، یا یک نام دامنه با پیشوند inet: است یا یک مسیر پرونده با پیشوند unix:. اگر Postfix بدون پشتیبانی از TLS کامپایل شده باشد، برنامهٔ حاصل یعنی posttls-finger(1) کارایی بسیار محدودی خواهد داشت و تنها گزینه‌های -a، -c، -h، -o، -S، -t، -T و -v در دسترس خواهند بود.

نکته: این یک برنامهٔ آزمایشی پشتیبانی‌نشده است. هیچ تلاشی برای حفظ سازگاری میان نسخه‌های پیاپی انجام نمی‌گیرد.

برای کارسازهای SMTP که از ESMTP پشتیبانی نمی‌کنند، تنها بنر خوش‌آمدگویی و پاسخ منفی EHLO گزارش می‌شود. در غیر این صورت، پاسخ EHLO گزارش‌شده قابلیت‌های بیشتر کارساز را با جزئیات نشان می‌دهد.

اگر هنگام کامپایل posttls-finger(1) پشتیبانی از TLS فعال باشد و کارساز از STARTTLS پشتیبانی کند، یک دست‌تکانی TLS آزمایش می‌شود.

اگر پشتیبانی از DNSSEC در دسترس باشد، سطح امنیتی TLS اتصال (گزینهٔ -l) به صورت پیش‌فرض dane خواهد بود؛ برای جزئیات به TLS_README مراجعه کنید. در غیر این صورت، پیش‌فرض secure است. این تنظیم سیاست تطبیق گواهی را تعیین می‌کند.

اگر مذاکرهٔ TLS موفقیت‌آمیز باشد، جزئیات پروتکل TLS و رمزنگاری (cipher) گزارش می‌شوند. سپس گواهی کارساز مطابق با سیاست سطح امنیتی انتخاب‌شده (یا پیش‌فرض) اعتبارسنجی می‌شود. در صورت اعتماد مبتنی بر CA عمومی، هنگامی که گزینهٔ -L شامل certmatch باشد (به‌طور پیش‌فرض فعال است)، تطبیق نام حتی اگر زنجیرهٔ گواهی معتبر نباشد نیز انجام می‌شود. این کار نام‌های یافت‌شده در گواهی کارساز SMTP دوردست و این‌که در صورت معتبر بودن زنجیرهٔ گواهی کدام‌یک مطابقت می‌کرد را ثبت می‌کند.

نکته: posttls-finger(1) هیچ جست‌وجویی در جدول‌ها انجام نمی‌دهد، بنابراین جدول سیاست TLS و جدول‌های منسوخ اختصاصی هر سایت بررسی نمی‌شوند. این برنامه با دیمن tlsmgr(8) (یا هر دیمن دیگر Postfix) ارتباط برقرار نمی‌کند؛ کَش نشست TLS آن در حافظهٔ اختصاصی نگهداری می‌شود و با خروج فرایند از بین می‌رود.

با گزینهٔ -r delay، اگر کارساز یک شناسهٔ نشست TLS اختصاص دهد، نشست TLS ذخیره می‌شود. سپس اتصال بسته شده و پس از تأخیر مشخص‌شده دوباره باز می‌شود، و posttls-finger(1) گزارش می‌دهد که آیا نشست TLS ذخیره‌شده مجدداً استفاده شده است یا خیر.

هنگامی که مقصد یک متعادل‌کنندهٔ بار (load balancer) است، ممکن است بار را میان چندین کَش کارساز توزیع کند. معمولاً هر کارساز نام یکتای خود را در پاسخ EHLO بازمی‌گرداند. اگر پس از اتصال مجدد با -r، یک نام کارساز جدید شناسایی شود، نشست دیگری برای کارساز جدید ذخیره می‌شود و اتصال مجدد تا حداکثر دفعاتی (پیش‌فرض ۵) که می‌توان از طریق گزینهٔ -m مشخص کرد تکرار می‌شود.

انتخاب SMTP یا LMTP (گزینهٔ -S) ساختار نحوی آرگومان مقصد را تعیین می‌کند. با SMTP، می‌توان یک سرویس روی درگاه غیرپیش‌فرض را به صورت host:service مشخص کرد، و جست‌وجوهای DNS مربوط به MX (مبادله‌گر ایمیل) را با [host] یا [host]:port غیرفعال نمود. قالب [] زمانی لازم است که به جای نام میزبان یک نشانی IP مشخص کنید. یک نشانی IPv6 به شکل [ipv6:address] درمی‌آید. درگاه پیش‌فرض برای SMTP از مدخل smtp/tcp در /etc/services گرفته می‌شود، که در صورت پیدا نشدن این مدخل به صورت پیش‌فرض ۲۵ در نظر گرفته می‌شود.

با LMTP، برای اتصال به یک کارساز محلی که به یک سوکت یونیکس متصل به مسیر فایل مشخص‌شده گوش می‌دهد، unix:pathname را مشخص کنید؛ در غیر این صورت، یک پیشوند اختیاری inet: و به دنبال آن یک domain و یک درگاه اختیاری را با همان نحو SMTP تعیین نمایید. درگاه TCP پیش‌فرض برای LMTP برابر با ۲۴ است.

آرگومان‌ها:

اولویت خانوادهٔ نشانی: ipv4، ipv6 یا any. هنگام استفاده از any، posttls-finger(1) به‌طور تصادفی یکی از آن دو را به عنوان اولویت بالاتر برمی‌گزیند و پیش از امتحان هر نشانی برای دیگری، تمام اولویت‌های MX را برای خانوادهٔ نشانی اول امتحان می‌کند.
فهرستی از فایل‌های لنگر اعتماد (trust-anchor) با فرمت PEM که اعتبارسنجی زنجیرهٔ اعتماد CAfile و CApath را لغو و جایگزین می‌کند. برای تعیین چندین فایل، این گزینه را چند بار مشخص کنید. برای جزئیات به مستندات main.cf برای smtp_tls_trust_anchor_file مراجعه کنید.
غیرفعال کردن ثبت گفت‌وگوی SMTP؛ تنها اطلاعات مربوط به TLS ثبت می‌شوند.
چاپ زنجیرهٔ اعتماد گواهی کارساز SMTP دوردست در فرمت PEM. مشخصهٔ صادرکننده (issuer DN)، مشخصهٔ موضوع (subject DN)، اثرانگشت‌های گواهی و کلید عمومی (گزینهٔ -d mdalg در زیر را ببینید) در بالای هر بلوک گواهی PEM چاپ می‌شوند. اگر -F CAfile یا -P CApath را مشخص کنید، کتابخانهٔ OpenSSL ممکن است زنجیره را با گواهی‌های صادرکنندهٔ مفقود تکمیل کند. برای مشاهدهٔ زنجیرهٔ واقعی ارسال‌شده توسط کارساز SMTP دوردست، CAfile و CApath را تنظیم‌نشده رها کنید.
الگوریتم خلاصه‌ساز پیام (message digest) جهت استفاده برای گزارش اثرانگشت‌های کارساز SMTP دوردست و تطبیق در برابر اثرانگشت‌های گواهی ارائه‌شده توسط کاربر (با رکوردهای DANE TLSA الگوریتم در DNS مشخص می‌شود). در نسخه‌های Postfix پیش از 3.6، مقدار پیش‌فرض "md5" بود.
جست‌وجوی مجموعه رکوردهای (RRset) مرتبط با DANE TLSA حتی زمانی که نام میزبان یک نام مستعار نیست و رکوردهای آدرس آن در یک منطقهٔ (zone) امضانشده قرار دارند. برای جزئیات smtp_tls_force_insecure_host_tlsa_lookup را ببینید.
فایل CAfile با فرمت PEM برای اعتبارسنجی گواهی کارساز SMTP دوردست. به‌طور پیش‌فرض هیچ CAfile استفاده نمی‌شود و به هیچ CA عمومی اعتماد نمی‌شود.
حداقل درجهٔ رمزنگاری (cipher grade) TLS مورد استفاده توسط posttls-finger(1). برای جزئیات smtp_tls_mandatory_ciphers را ببینید.
روش‌های جست‌وجوی نام میزبان مورد استفاده برای اتصال. برای نحو و مفاهیم، مستندات smtp_host_lookup را ببینید.
فهرستی از فایل‌ها با توالی زنجیره‌های گواهی کارخواه TLS کدگذاری‌شده به صورت PEM. این فهرست می‌تواند به صورت تدریجی با تعیین چندبارهٔ گزینه ساخته شود، یا به یک‌باره از طریق فهرستی از نام‌های فایل که با کاما یا فاصله جدا شده‌اند مشخص گردد. هر زنجیره با یک کلید خصوصی آغاز می‌شود، که بلافاصله پس از آن گواهی متناظر، و به صورت اختیاری گواهی‌های صادرکنندهٔ اضافی می‌آیند. هر کلید جدید یک زنجیرهٔ جدید را برای الگوریتم متناظر آغاز می‌کند. این گزینه با گزینه‌های -k و -K در زیر مانعة‌الجمع است.
فایل حاوی زنجیرهٔ گواهی کارخواه TLS کدگذاری‌شده به صورت PEM. در صورت تعیین keyfile، مقدار پیش‌فرض آن است.
فایل حاوی کلید خصوصی کارخواه TLS کدگذاری‌شده به صورت PEM. در صورت تعیین certfile، مقدار پیش‌فرض آن است.
سطح امنیتی اتصال، که بسته به در دسترس بودن DNSSEC پیش‌فرض dane یا secure است. برای نحو و مفاهیم، مستندات smtp_tls_security_level را ببینید. هنگامی که dane یا dane-only پشتیبانی و انتخاب شده باشد، در صورتی که هیچ رکورد TLSA یافت نشود، یا تمام رکوردهای یافت‌شده غیرقابل استفاده باشند، به جای آن از سطح secure استفاده خواهد شد. سطح امنیتی fingerprint به شما اجازه می‌دهد پیش از به‌کارگیری تطابق‌های اثرانگشت گواهی یا کلید عمومی در جدول سیاست، آن‌ها را بیازمایید.
توجه داشته باشید که چون posttls-finger(1) عملاً هیچ ایمیلی تحویل نمی‌دهد، سطوح امنیتی none، may و encrypt چندان مفید نیستند. از آن‌جا که may و encrypt نیازی به گواهی‌های همتا ندارند، اغلب مجموعه‌رمزهای TLS ناشناس را مذاکره می‌کنند، بنابراین اگر کارساز SMTP دوردست از TLS ناشناس نیز پشتیبانی کند، در این سطوح اطلاعات زیادی دربارهٔ گواهی‌های آن به دست نخواهید آورد (اگرچه ممکن است متوجه شوید که کارساز از TLS ناشناس پشتیبانی می‌کند).
گزینه‌های دقیق ثبت وقایع TLS. برای تنظیم ویژگی‌های TLS ثبت‌شده در طول دست‌تکانی TLS، یک یا چند مورد از گزینه‌های زیر را مشخص کنید:
0, none
این مقادیر هیچ رویدادی از TLS را ثبت نمی‌کنند؛ شما عموماً اطلاعات بیشتری می‌خواهید، اما اگر فقط زنجیرهٔ اعتماد را می‌خواهید، این گزینه مفید است:
$ posttls-finger -cC -L none destination
1, routine, summary
این مقادیر هم‌معنی، یک خلاصهٔ تک‌خطی معمول از اتصال TLS ارائه می‌دهند.
2, debug
این مقادیر هم‌معنی گزینه‌های routine، ssl-debug، cache و verbose را با هم ترکیب می‌کنند.
3, ssl-expert
این مقادیر هم‌معنی debug را با ssl-handshake-packet-dump ترکیب می‌کنند. تنها برای متخصصان.
4, ssl-developer
این مقادیر هم‌معنی ssl-expert را با ssl-session-packet-dump ترکیب می‌کنند. تنها برای متخصصان، و در بیشتر موارد بهتر است به جای آن از wireshark استفاده کنید.
فعال‌سازی ثبت وقایع پیشرفت دست‌تکانی SSL در OpenSSL. این گزینه خروجی تفصیلی پیام‌های رمزگشایی‌شدهٔ دست‌تکانی را در بر می‌گیرد.
ثبت دامپ بسته‌های هگزادسیمال دست‌تکانی SSL؛ فقط برای متخصصان.
ثبت دامپ بسته‌های هگزادسیمال کل نشست SSL؛ فقط برای افرادی مفید است که می‌توانند اشکالات پروتکل SSL را از روی دامپ‌های هگزادسیمال ردیابی کنند.
مشکلات اعتبارسنجی زنجیرهٔ اعتماد را ثبت می‌کند. این مورد به‌طور خودکار در سطوح امنیتی که از نام‌های همتای امضاشده توسط مراجع صدور گواهی (CA) جهت اعتبارسنجی گواهی‌ها بهره می‌برند فعال می‌شود. بنابراین در حالی که این تنظیم شناخته می‌شود، هرگز نیازی به تنظیم صریح آن نخواهید داشت.
یک خلاصهٔ تک‌خطی از موضوع، صادرکننده و اثرانگشت‌های گواهی کارساز SMTP دوردست را ثبت می‌کند.
تطبیق گواهی کارساز SMTP دوردست را ثبت می‌کند، CN و هر subjectAltName و این‌که کدام نام مطابقت داشته را نمایش می‌دهد. با DANE، تطبیق لنگر اعتماد رکورد TLSA و گواهی‌های موجودیت نهایی (end-entity) را ثبت می‌کند..IP "cache" این مورد عملیات حافظهٔ موقت (کش) نشست را ثبت می‌کند و نشان می‌دهد که آیا کش کردن نشست با کارساز SMTP دوردست مؤثر است یا خیر. هنگام اتصال مجدد با گزینهٔ -r به‌طور خودکار استفاده می‌شود؛ به‌ندرت نیاز به تنظیم صریح آن وجود دارد.
ثبت تفصیلی وقایع را در راه‌انداز TLS مربوط به Postfix فعال می‌کند؛ شامل تمامی موارد peercert..cache و فراتر از آن می‌شود.
مقدار پیش‌فرض routine,certmatch است. پس از اتصال مجدد، peercert، certmatch و verbose به‌طور خودکار غیرفعال شده و در همین حال cache و summary فعال می‌شوند.
هنگامی که گزینهٔ -r delay مشخص شده باشد، گزینهٔ -m حداکثر تعداد تلاش‌ها برای اتصال مجدد جهت استفاده با یک کارسازِ پشت توازن‌بار (load balancer) را تعیین می‌کند، تا مشخص شود آیا کش کردن اتصال برای این مقصد به احتمال زیاد مؤثر خواهد بود یا خیر. برخی از MTAها هویت کارساز زیرین را در پاسخ EHLO خود نشان نمی‌دهند؛ با این کارسازها هرگز بیش از ۱ بار تلاش برای اتصال مجدد صورت نخواهد گرفت.
سیاست TLS برای میزبان‌های MX دارای رکوردهای TLSA «امن» در حالتی که سطح امنیتی مقصد گام بعدی (nexthop) برابر با dane است، اما رکورد MX از طریق یک جست‌وجوی MX «ناامن» یافت شده است. برای جزئیات به مستندات main.cf برای smtp_tls_dane_insecure_mx_policy مراجعه کنید.
برای بازنویسی مقدار پارامتر name در main.cf با مقدار value، صفر یا چند بار مشخص می‌شود. کاربردهای احتمالی شامل بازنویسی مقادیر پارامترهای کتابخانهٔ TLS، یا «myhostname» برای پیکربندی نام SMTP EHLO ارسالی به کارساز دوردست است.
پروتکل‌های TLS که posttls-finger(1) آن‌ها را مستثنی یا لحاظ خواهد کرد. برای جزئیات به smtp_tls_mandatory_protocols مراجعه کنید.
دایرکتوری CApath/ مربوط به OpenSSL (فهرست‌بندی‌شده از طریق c_rehash(1)) برای اعتبارسنجی گواهی کارساز SMTP دوردست. به‌طور پیش‌فرض از هیچ CApath استفاده نمی‌شود و به هیچ مرجع گواهی (CA) عمومی اعتماد نمی‌شود.
با یک نشست TLS با قابلیت کش شدن، اتصال را قطع کرده و پس از delay ثانیه مجدداً متصل می‌شود. گزارش می‌دهد که آیا نشست مجدداً استفاده شده است یا خیر. در صورت مواجهه با یک کارساز جدید، تا ۵ بار یا به اندازه‌ای که با گزینهٔ -m تعیین شده، مجدداً تلاش می‌کند. به‌طور پیش‌فرض اتصال مجدد غیرفعال است؛ برای فعال‌سازی این رفتار یک تأخیر مثبت مشخص کنید.
استفاده از جست‌وجوی SRV به جای MX.
نام کارساز جهت ارسال با افزونهٔ نشان‌گر نام کارساز (SNI) در TLS. هنگامی که کارساز دارای رکوردهای DANE TLSA باشد، این پارامتر نادیده گرفته شده و دامنهٔ پایهٔ TLSA به جای آن استفاده می‌شود. در غیر این صورت، SNI به‌طور پیش‌فرض استفاده نمی‌شود، اما می‌تواند با مشخص کردن مقدار مورد نظر با این گزینه فعال شود.
غیرفعال کردن SMTP؛ یعنی اتصال به یک کارساز LMTP. درگاه پیش‌فرض برای LMTP روی TCP عدد 24 است. درگاه‌های جایگزین را می‌توان با افزودن «:servicename» یا «:portnumber» به آرگومان مقصد مشخص کرد.
مهلت زمانی اتصال TCP برای استفاده. این مقدار همچنین مهلت زمانی برای خواندن اعلان 220 کارساز دوردست است.
مهلت زمانی دستورات SMTP/LMTP برای EHLO/LHLO، STARTTLS و QUIT.
فعال‌سازی ثبت تفصیلی گزارش‌های Postfix. برای افزایش سطح گزارش‌دهی تفصیلی بیش از یک بار مشخص کنید.
فعال‌سازی حالت پوشش‌دهندهٔ (wrapper) خروجی TLS، یا پشتیبانی از SUBMISSIONS/SMTPS. این معمولاً روی درگاه 465 توسط کارسازهایی ارائه می‌شود که به جای پروتکل STARTTLS با پروتکل SMTP-in-SSL سازگار هستند. مقصد domain:port البته باید چنین سرویسی را ارائه دهد.
ترجیح دادن اعتبارنامه‌های کارساز کلید عمومی خام (RPK) غیر X.509 مطابق با RFC7250. به‌طور پیش‌فرض فقط گواهی‌های X.509 پذیرفته می‌شوند. این مشابه با تنظیم smtp_tls_enable_rpk = yes در کلاینت smtp(8) است. در سطح امنیتی fingerprint، وقتی کلیدهای عمومی خام فعال هستند، فقط اثرانگشت‌های کلید عمومی (و نه گواهی) با فهرست مشخص‌شده از آرگومان‌های match مقایسه خواهند شد. اثرانگشت‌های گواهی هنگامی که کلیدهای عمومی خام درخواست می‌شوند شکننده هستند؛ ممکن است کارساز در مقطعی از زمان تنها شروع به بازگرداندن کلید عمومی کند.
فعال‌سازی حالت tlsproxy(8). این یک حالت پشتیبانی‌نشده است و فقط برای توسعهٔ برنامه در نظر گرفته شده است.
[inet:]domain[:port]
اتصال از طریق TCP به دامنهٔ domain و درگاه port. درگاه پیش‌فرض smtp (یا 24 با LMTP) است. در SMTP، جست‌وجوی MX برای تفکیک دامنه به یک میزبان انجام می‌شود، مگر آنکه دامنه در [] محصور شده باشد. اگر می‌خواهید به یک میزبان MX خاص، به عنوان مثال mx1.example.com متصل شوید، [mx1.example.com] را به عنوان مقصد و example.com را به عنوان یک آرگومان match مشخص کنید. هنگام استفاده از DNS، فرض می‌شود که دامنهٔ مقصد به‌طور کامل واجد شرایط (fully qualified) است و هیچ دامنهٔ پیش‌فرض یا پسوند جست‌وجویی اعمال نمی‌شود؛ باید از نام‌های کاملاً واجد شرایط استفاده کنید یا جست‌وجوی میزبان‌های native را نیز فعال کنید (این موارد از dane یا dane-only پشتیبانی نمی‌کنند زیرا اطلاعات اعتبارسنجی DNSSEC از طریق جست‌وجوهای native در دسترس نیست).
اتصال به سوکت یونیکس‌دامین در pathname. فقط برای LMTP.
در صورتی که هیچ آرگومان تطابقی مشخص نشده باشد، تطبیق نام همتای گواهی از راهبردهای پیش‌فرض تعبیه‌شده برای هر سطح امنیتی استفاده می‌کند. اگر یک یا چند آرگومان مشخص کنید، از آن‌ها به عنوان فهرست خلاصه‌های گواهی یا کلید عمومی جهت تطبیق در سطح fingerprint، یا به عنوان فهرست نام‌های DNS برای تطبیق در گواهی در سطوح verify و secure استفاده خواهد شد. اگر سطح امنیتی dane یا dane-only باشد، نام‌های تطابق نادیده گرفته می‌شوند و راهبردهای hostname, nexthop استفاده خواهند شد.

خواندن پارامترهای پیکربندی از مکانی غیر از پیش‌فرض.
مشابه گزینهٔ -v.

smtp-source(1), منبع پیام SMTP/LMTP
smtp-sink(1), تخلیه‌گاه پیام SMTP/LMTP.SH "فایل‌های README (README FILES)"

برای یافتن محل این اطلاعات از «postconf readme_directory» یا «postconf html_directory» استفاده کنید.

TLS_README، راهنمای Postfix STARTTLS

مجوز Secure Mailer باید به همراه این نرم‌افزار توزیع شود.

Wietse Venema
IBM T.J. Watson Research
P.O. Box 704
Yorktown Heights, NY 10598, USA
Wietse Venema
Google, Inc.
111 8th Avenue
New York, NY 10011, USA
Viktor Dukhovni