TLSサポート警告PostfixでTLSサポートを有効にすることで、メールを暗号化したりクライアントやサーバの認証もできるようになるだけではありません。OpenSSLライブラリコードも有効にしてしまうのです。自身のコードと同じくらい注意深く書かれているとすると、1000行ごとに1つ、余分なバグをPostfixに取り入れていることになります。証明書ベースの認証と暗号化セッションを提供します。セッションの暗号化により、SMTPメールやSASL認証で伝送される情報が保護されます。3207に記述されているTLSサポートを組み込みました。古いバージョンのPostfixでのTLSサポートはアドオンパッチとして入手できます。これらの実装の違いを議論しています。TLSアーキテクチャの主な要素とその関係を表しています。数字が付いた名前の書かれた色つきの箱はPostfixデーモンプログラムを表しています。他の色つきの箱はストレージ要素を示しています。TLSのサーバサイドを実装しています。TLSのクライアントサイドを実装しています。管理し、またTLSセッションキーキャッシュファイルも管理します。ファイルを生成する必要があります。コマンドに次に示す短い引数を付けて呼び出すことで生成されます。TLSを使わないでください。適切な平文サービスを提供できず、Postfixデーモンプロセスは終了ステータスコード2で終了させられてしまいます。指示を参照してください。PostfixはデフォルトでTLSサポートが無効になっているため、インストールしたらすぐにPostfixを使い始めることができます。SMTPサーバは一般に証明書と秘密鍵を必要とします。形式でなければいけません。秘密鍵を暗号化してはいけません。鍵はパスワードなしでアクセスできなければいけません。所有し、他のユーザから読めないようにすべきです。あってもかまいません。CAによって署名された証明書がない、公開されたインターネットMXホストは自己署名もしくはプライベートCAによって署名された証明書を生成し、たいていのクライアントに提供する準備をしなければいけません。2.3もしくは同様なソフトウェアを動かしているのでなければ、サーバ証明書を要求し続けるでしょう。2.3は証明書なしの設定をサポートしています。これは単に匿名TLS暗号を使うことになり、たいていのSMTPクライアントではサポートされていません。そのようなクライアントはTLSハンドシェイクに失敗した後で平文に落とそうとはしないため、サーバはTLSが有効なほとんどのクライアントからeメールを受け取れなくなるでしょう。設定したときのみ証明書なしの動作を有効にします。これにより新しいPostfix設定が誤って証明書なしで動かないようにすることを保証します。RSAおよびDSA証明書の両方がサポートされています。商用CAによって発行されたRSA証明書のみを持っていることでしょう。OpenSSLとともに提供されるツールはデフォルトでRSA証明書を発行します。同時に両方持つことができ、その場合には使われる暗号によってどちらの証明書が出されるかが決まります。NetscapeおよびOpenSSLクライアントでは特に暗号を選ばない限り、RSA証明書が優先されます。入手可能でなければいけません。サーバ証明書を最初にして、それから中間CAのものとします。より発行された証明書を持っているとします。SMTPサーバ証明書はSSLサーバ証明書として使えなければなりません。テストを通らなければいけません。ルートCAを信頼しているクライアントはルートCA証明書のローカルコピーを持っているため、ここにルートCA証明書を含めておく必要はありません。それを除いておくと、TLS交換のオーバーヘッドを減らせます。ディレクトリにインストールします。注目するクライアントへの証明書チェーンにおけるCAの数よりも小さくなければ、ルートCAによって署名された中間CAを明示的に信頼する必要はありません。CAによって直接署名された証明書のみを検証します。(クライアントが中間CA証明書を提供するように正しく設定されている限り)。SMTPサーバは発行証明機関の証明書を信頼する必要があります。ディレクトリに保存できます。1つ以上の信頼したCAのCA証明書を含んでいます。開かれるため、chroot監獄からアクセスできる必要はありません。必要なときにこのディレクトリのファイルから読み込まれます。ディレクトリはオプションのchroot監獄の内部でアクセスできる必要があります。あらゆるCA証明書がクライアントに送られます。指定されていないと、優先CAリストは送られず、クライアントはいずれかのCAによって署名された証明書を自由に選びます。インストールすることで、TLSネゴシエーションのオーバーヘッドを減らすことができるでしょう。指定する必要はありません。多くのTLS認証されたクライアントがアクセスするのにクライアント証明書が使えないのであれば、クライアント証明書を全く求めないのがよいでしょう。SMTPサーバのTLS行動に関してさらなる情報を得るために、ログレベルを0から4まで増加させることができます。それぞれのログレベルは下位のログレベルで記録される情報も含みます。TLS行動に関するログ記録を無効にします。TLSハンドシェイクと証明書の情報をログに記録します。TLSネゴシエーションの間のレベルをログに記録します。TLSネゴシエーションプロセスの16進数およびASCIIダンプをログに記録します。STARTTLS以降の通信の16進数およびASCIIダンプを完全にログに記録します。問題があったときのみログレベル3を使ってください。ログレベル4は使わないことを強くおすすめします。それは情報が必ずしも正しくないためです。ヘッダは中間サーバによって変更できてしまうため、最終配送先で記録された情報のみが信頼できます。Postfixと違いはありません。使って有効にしてください。SMTPサーバはSMTPクライアントにSTARTTLSサポートを案内しますが、クライアントがTLS暗号化を使うことを要求するわけではありません。呼び出した場合、サーバ秘密鍵にアクセスする権限がないため、STARTTLSは提供されません。これは意図された振る舞いです。SMTPサーバはSTARTTLSを案内し、TLSで暗号化されていないメールは受け付けません。SMTPサーバには適用しては「いけません」。このオプションはデフォルトで無効になっており、ほとんど使われることはないでしょう。モードで使われることがあります。