posttls-finger - En ligne dans le Cloud

PROGRAMME:

Nom

posttls-finger - Sonde les propriétés TLS d'un serveur ESMTP ou LMTP.

SYNOPSIS

posttls-doigt [Options] [inet :]domaine[:port] [rencontre ...]
posttls-doigt -S [Options] unix :chemin d'accès [rencontre ...]

DESCRIPTION

posttls-doigt(1) se connecte à la destination spécifiée et signale le TLS
informations sur le serveur. Avec SMTP, la destination est un nom de domaine ; avec LMTP c'est
soit un nom de domaine préfixé par inet : ou un chemin précédé de unix :. Si Postfix est
construit sans support TLS, le programme posttls-finger résultant a très limité
fonctionnalité, et seul le -a, -c, -h, -o, -S, -t, -T et -v des options sont disponibles.

Remarque : il s'agit d'un programme de test non pris en charge. Aucune tentative n'est faite pour maintenir la compatibilité
entre les versions successives.

Pour les serveurs SMTP qui ne prennent pas en charge ESMTP, uniquement la bannière d'accueil et le négatif EHLO
réponse sont signalés. Sinon, la réponse EHLO signalée détaille davantage le serveur
capacités.

Si la prise en charge de TLS est activée lorsque posttls-doigt(1) est compilé et le serveur prend en charge
DÉMARRAGES, une négociation TLS est tentée.

Si la prise en charge DNSSEC est disponible, le niveau de sécurité TLS de la connexion (-l option) est par défaut
danse; voir TLS_README pour plus de détails. Sinon, il est par défaut sécurisée. Ce paramètre
détermine la politique de correspondance des certificats.

Si la négociation TLS réussit, le protocole TLS et les détails du chiffrement sont signalés. Le serveur
le certificat est ensuite vérifié conformément à la politique au niveau choisi (ou par défaut)
niveau de sécurité. Avec la confiance publique basée sur l'autorité de certification, lorsque le -L l'option comprend correspondance de certificat, (vrai
par défaut) la correspondance de nom est effectuée même si la chaîne de certificats n'est pas approuvée. Cette
enregistre les noms trouvés dans le certificat du serveur SMTP distant et qui, le cas échéant, correspondraient,
étaient la chaîne de certificat de confiance.

Remarque: posttls-doigt(1) n'effectue aucune recherche de table, donc la table de stratégie TLS et
les tables par site obsolètes ne sont pas consultées. Il ne communique pas avec le tlsmgr(8)
démon (ou tout autre démon Postfix) ; son cache de session TLS est conservé en mémoire privée,
et disparaît lorsque le processus se termine.

Avec la collection -r retarder option, si le serveur attribue un identifiant de session TLS, la session TLS est
mis en cache. La connexion est ensuite fermée et rouverte après le délai spécifié, et
posttls-doigt(1) indique ensuite si la session TLS mise en cache a été réutilisée.

Lorsque la destination est un équilibreur de charge, il peut répartir la charge entre plusieurs
cache du serveur. En règle générale, chaque serveur renvoie son nom unique dans sa réponse EHLO. Si,
lors de la reconnexion avec -r, un nouveau nom de serveur est détecté, une autre session est mise en cache pour
le nouveau serveur, et la reconnexion est répétée jusqu'à un nombre maximum de fois (par défaut 5)
qui peut être spécifié via le -m option.

Le choix de SMTP ou LMTP (-S option) détermine la syntaxe de l'argument de destination.
Avec SMTP, on peut spécifier un service sur un port autre que celui par défaut comme hôte:service, et désactiver MX
(échangeur de messagerie) Recherches DNS avec [hôte] Ou [hôte]:port. Le formulaire [] est requis lorsque vous
spécifiez une adresse IP au lieu d'un nom d'hôte. Une adresse IPv6 prend la forme
[ipv6 :propos]. Le port par défaut pour SMTP est tiré du smtp/tcp entrée dans
/ etc / services, la valeur par défaut étant 25 si l'entrée n'est pas trouvée.

Avec LMTP, précisez unix :chemin d'accès se connecter à un serveur local écoutant sur un domaine unix
socket lié au chemin d'accès spécifié ; sinon, spécifiez une option inet : préfixe
suivie d'une domaine et un port optionnel, avec la même syntaxe que pour SMTP. Le défaut
Le port TCP pour LMTP est 24.

Arguments:

-a famille (défaut: tout)
Adresse de préférence familiale : ipv4, ipv6 or tout. Lors de l'utilisation tout, posttls-finger
sélectionnez au hasard l'un des deux comme le plus préféré et épuisez tous les MX
préférences pour la première famille d'adresses avant d'essayer des adresses pour l'autre.

-A ancre-de-confiance.pem (par défaut : aucun)
Une liste de fichiers d'ancrage de confiance PEM qui remplacent la chaîne de confiance CAfile et CApath
vérification. Spécifiez l'option plusieurs fois pour spécifier plusieurs fichiers. Voir
la documentation main.cf pour smtp_tls_trust_anchor_file pour plus de détails.

-c Désactiver la journalisation des discussions SMTP ; seules les informations relatives à TLS sont enregistrées.

-C Imprimez la chaîne de confiance du certificat du serveur SMTP distant au format PEM. Le DN émetteur,
DN du sujet, empreintes digitales du certificat et de la clé publique (voir -d mdalg option ci-dessous) sont
imprimé au-dessus de chaque bloc de certificat PEM. Si vous spécifiez -F Fichier CA or -P CApath,
la bibliothèque OpenSSL peut augmenter la chaîne avec des certificats d'émetteur manquants. Voir
la chaîne réelle envoyée par le serveur SMTP distant laisse Fichier CA et CApath désarmé.

-d mdalg (défaut: sha1)
L'algorithme de résumé de message à utiliser pour signaler les empreintes digitales du serveur SMTP distant
et correspondance avec les empreintes digitales du certificat fournies par l'utilisateur (avec les enregistrements DANE TLSA
l'algorithme est spécifié dans le DNS).

-f Recherchez le DANE TLSA RRset associé même lorsqu'un nom d'hôte n'est pas un alias et son
les enregistrements d'adresse se trouvent dans une zone non signée. Voir
smtp_tls_force_insecure_host_tlsa_lookup pour plus de détails.

-F Fichier_CA.pem (par défaut : aucun)
Le fichier CA au format PEM pour la vérification du certificat du serveur SMTP à distance. Par
par défaut, aucun fichier CA n'est utilisé et aucune autorité de certification publique n'est approuvée.

-g grade (par défaut : moyen)
Le niveau de chiffrement TLS minimum utilisé par posttls-finger. Voir
smtp_tls_mandatory_ciphers pour plus de détails.

-h recherche_hôte (défaut: dns)
Les méthodes de recherche de nom d'hôte utilisées pour la connexion. Voir la documentation de
smtp_host_lookup pour la syntaxe et la sémantique.

-k fichier de certificat (défaut: fichier clé)
Fichier avec chaîne de certificats client TLS codée PEM. Cette valeur par défaut est fichier clé Si un
est spécifié.

-K fichier clé (défaut: fichier de certificat)
Fichier avec la clé privée du client TLS encodée PEM. Cette valeur par défaut est fichier de certificat si l'on est
spécifié.

-l niveau (défaut: danse or sécurisée)
Le niveau de sécurité de la connexion, par défaut danse or sécurisée selon que
DNSSEC est disponible. Pour la syntaxe et la sémantique, voir la documentation de
smtp_tls_security_level. Lorsque danse or danois seulement est pris en charge et sélectionné, si non
Des enregistrements TLSA sont trouvés, ou tous les enregistrements trouvés sont inutilisables, le sécurisée niveau
sera utilisé à la place. Les empreinte digitale le niveau de sécurité vous permet de tester
correspondances de certificat ou d'empreinte digitale de clé publique avant de les déployer dans la stratégie
tableau.

Attention, puisque posttls-doigt ne délivre en fait aucun e-mail, le aucun, Au cours de cette réunion, Matthew a obtenu de précieux conseils et Linda lui a demandé de la tenir au courant de ses progrès. et
crypter les niveaux de sécurité ne sont pas très utiles. Depuis Au cours de cette réunion, Matthew a obtenu de précieux conseils et Linda lui a demandé de la tenir au courant de ses progrès. et crypter n'exige pas
certificats homologues, ils négocient souvent des suites de chiffrement TLS anonymes, vous
n'apprendra pas grand-chose sur les certificats du serveur SMTP distant à ces niveaux s'il
prend également en charge TLS anonyme (bien que vous puissiez apprendre que le serveur prend en charge
TLS anonyme).

-L logopts (défaut: routine, certmatch)
Options de journalisation TLS à grain fin. Pour régler les fonctionnalités TLS enregistrées pendant le TLS
poignée de main, spécifiez un ou plusieurs des éléments suivants :

0, aucun
Celles-ci ne génèrent aucune journalisation TLS ; vous en voudrez généralement plus, mais c'est pratique si
vous voulez juste la chaîne de confiance :
$ posttls-finger -cC -L aucune destination

1, routine, Sommaire
Ces valeurs synonymes donnent un résumé normal d'une ligne du TLS
connexion.

2, déboguer
Ces valeurs synonymes combinent routine, ssl-debug, cache et verbose.

3, expert-ssl
Ces valeurs synonymes combinent le débogage avec ssl-handshake-packet-dump. Pour
experts seulement.

4, développeur ssl
Ces valeurs synonymes combinent ssl-expert avec ssl-session-packet-dump.
Pour les experts uniquement, et dans la plupart des cas, utilisez plutôt wireshark.

débogage ssl
Activez la journalisation OpenSSL de la progression de la négociation SSL.

ssl-handshake-packet-dump
Consignez les vidages de paquets hexadécimaux de la négociation SSL ; réservé aux experts.

SSL-session-paquet-dump
Enregistrer les vidages de paquets hexadécimaux de l'ensemble de la session SSL ; utile seulement à ceux
qui peut déboguer les problèmes de protocole SSL à partir de vidages hexadécimaux.

non sécurisé
Enregistre les problèmes de vérification de la chaîne de confiance. Ceci est activé automatiquement à
niveaux de sécurité qui utilisent des noms d'homologues signés par les autorités de certification pour
valider les certificats. Ainsi, tant que ce paramètre est reconnu, vous devez
jamais besoin de le définir explicitement.

certificat par les pairs
Cela enregistre un résumé d'une ligne du sujet du certificat du serveur SMTP distant,
l'émetteur et les empreintes digitales.

correspondance de certificat
Cela enregistre la correspondance des certificats du serveur SMTP distant, indiquant le CN et chaque
subjectAltName et quel nom correspond. Avec DANE, correspondance des logs de TLSA
enregistrer les certificats d'ancre de confiance et d'entité finale.

cachette Ceci enregistre les opérations de cache de session, indiquant si la mise en cache de session est
efficace avec le serveur SMTP distant. Utilisé automatiquement lors de la reconnexion
grâce à la fonction -r option; doit rarement être défini explicitement.

verbeux
Active la journalisation détaillée dans le pilote Postfix TLS ; comprend tous
peercert..cache et plus.

La valeur par défaut est routine, certmatch. Après une reconnexion, certificat par les pairs, correspondance de certificat et
verbeux sont automatiquement désactivés pendant cachette et Sommaire sont activés.

-m compter (défaut: 5)
When the -r retarder l'option est spécifiée, le -m l'option détermine le nombre maximum
des tentatives de reconnexion à utiliser avec un serveur derrière un équilibreur de charge, pour voir si
la mise en cache de la connexion est susceptible d'être efficace pour cette destination. Certains MTA ne
exposer l'identité du serveur sous-jacent dans leur réponse EHLO ; avec ces serveurs
il n'y aura jamais plus d'une tentative de reconnexion.

-M insecure_mx_policy (défaut: danse)
La politique TLS pour les hôtes MX avec des enregistrements TLSA "sécurisés" lorsque la destination nexthop
le niveau de sécurité est danse, mais l'enregistrement MX a été trouvé via une recherche MX "non sécurisée".
Voir la documentation main.cf pour smtp_tls_insecure_mx_policy pour plus de détails.

-o nom=valeur
Spécifiez zéro ou plusieurs fois pour remplacer la valeur du paramètre main.cf prénom avec
Plus-value. Les cas d'utilisation possibles incluent le remplacement des valeurs des paramètres de la bibliothèque TLS,
ou "myhostname" pour configurer le nom SMTP EHLO envoyé au serveur distant.

-p protocoles (par défaut : !SSLv2)
Liste des protocoles TLS que posttls-finger exclura ou inclura. Voir
smtp_tls_mandatory_protocols pour plus de détails.

-P CApath/ (par défaut : aucun)
Le répertoire OpenSSL CApath/ (indexé via c_ressaisir(1)) pour le serveur SMTP distant
vérification du certificat. Par défaut, aucun CApath n'est utilisé et aucune CA publique n'est
de confiance.

-r retarder
Avec une session TLS pouvant être mise en cache, déconnectez-vous et reconnectez-vous après retarder secondes. Signaler
si la session est réutilisée. Réessayez si un nouveau serveur est rencontré, jusqu'à 5 fois
ou comme spécifié avec le -m option. Par défaut la reconnexion est désactivée, spécifiez un
délai positif pour activer ce comportement.

-S Désactiver SMTP ; c'est-à-dire connectez-vous à un serveur LMTP. Le port par défaut pour LMTP sur
TCP est 24. Les ports alternatifs peuvent être spécifiés en ajoutant ":Nom du service" ou
":numéro de port" à l'argument de destination.

-t temps mort (défaut: 30)
Délai d'expiration de la connexion TCP à utiliser. C'est aussi le délai de lecture de la télécommande
bannière 220 du serveur.

-T temps mort (défaut: 30)
Délai d'expiration de la commande SMTP/LMTP pour EHLO/LHLO, STARTTLS et QUIT.

-v Activez la journalisation détaillée de Postfix. Spécifiez plus d'une fois pour augmenter le niveau de
journalisation détaillée.

-w Activez le mode wrapper TLS sortant ou la prise en charge SMTPS. Ceci est généralement fourni sur
le port 465 par des serveurs compatibles avec le protocole SMTP ad-hoc en SSL,
plutôt que le protocole STARTTLS standard. La destination domaine:port devrait de
bien sûr fournir un tel service.

[inet :]domaine[:port]
Se connecter via TCP au domaine domaine, Port port. Le port par défaut est smtp (ou 24 avec
LMTP). Avec SMTP, une recherche MX est effectuée pour résoudre le domaine en hôte, à moins que
le domaine est enfermé dans []. Si vous souhaitez vous connecter à un hôte MX spécifique, par exemple
instance mx1.exemple.com, précisez [mx1.exemple.com] comme destination et
example.com en tant que rencontre argument. Lors de l'utilisation de DNS, le domaine de destination est supposé
entièrement qualifié et aucun domaine par défaut ou suffixe de recherche n'est appliqué ; Tu dois utiliser
noms complets ou activer également indigène les recherches d'hôte (celles-ci ne prennent pas en charge danse
or danois seulement car aucune information de validation DNSSEC n'est disponible via indigène recherches).

unix :chemin d'accès
Connectez-vous au socket du domaine UNIX à chemin d'accès. LMTP uniquement.

rencontre ...
En l'absence d'arguments de correspondance spécifiés, la correspondance du nom d'homologue du certificat utilise le
stratégies par défaut compilées pour chaque niveau de sécurité. Si vous spécifiez un ou plusieurs
arguments, ceux-ci seront utilisés comme liste de certificats ou de résumés de clé publique à
match pour le empreinte digitale niveau, ou comme la liste des noms DNS à faire correspondre dans le
certificat à la vérifier et sécurisée niveaux. Si le niveau de sécurité est danse, ou
danois seulement les noms de correspondance sont ignorés, et nom d'hôte, prochain saut des stratégies sont utilisées.

ENVIRONNEMENT

MAIL_CONFIG
Lisez les paramètres de configuration à partir d'un emplacement différent de celui par défaut.

MAIL_VERBOSE
Pareil que -v option.

Utilisez posttls-finger en ligne en utilisant les services onworks.net