अध्याय 05
नेटवर्किंग, DNS & क्रिप्टो
एडमिन:
#pTls
Let's Encrypt ACME v2 (0 ms SNI), MTA-STS, DANE & BIMI
nextxch Let's Encrypt ACME v2 के माध्यम से X.509 प्रमाणपत्र जारी करने और नवीनीकरण को स्वचालित करता है, और नवीनीकृत प्रमाणपत्रों को HTTPS, SMTPS, STARTTLS, IMAPS और ManageSieve पर 0 ms में बिना किसी कनेक्शन के टूटे हॉट-स्वैप करता है।
संचालन सुझाव और आर्किटेक्चर नोट
महत्वपूर्ण DANE (TLSA) विवरण: DANE रिकॉर्ड हमेशा Usage 3, Selector 1 (SPKI सार्वजनिक कुंजी), MatchingType 1 (SHA-256), यानी '3 1 1' के साथ प्रकाशित करें। स्वचालित 60-दिवसीय Let's Encrypt नवीनीकरण के साथ '3 0 1' (पूर्ण प्रमाणपत्र हैश) का कभी उपयोग न करें, जब तक कि DNS अपडेट स्वचालित न हों!
DANE TLSA (3 1 1) & MTA-STS DNS रिकॉर्ड
आपके सक्रिय प्रमाणपत्र का सटीक SPKI SHA-256 डाइजेस्ट एडमिन कॉकपिट में #pTls के भीतर कॉपी के लिए तैयार गणना किया जाता है।
_25._tcp.mail.firma.de. 3600 IN TLSA 3 1 1 e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855
_mta-sts.firma.de. 3600 IN TXT "v=STSv1; id=20261030"
_smtp._tls.firma.de. 3600 IN TXT "v=TLSRPTv1; rua=mailto:tlsrpt@firma.de"
default._bimi.firma.de. 3600 IN TXT "v=BIMI1; l=https://mail.firma.de/bimi/firma.de/logo.svg;"सेटिंग्स, डिफ़ॉल्ट मान और बेस्ट प्रैक्टिस
| सेटिंग / स्थान | विवरण | डिफ़ॉल्ट मान | उत्पादन बेस्ट प्रैक्टिस |
|---|---|---|---|
ACME SAN-Domains (#pTls) |
Let's Encrypt प्रमाणपत्र में शामिल Subject Alternative Names, समाप्ति से 30 दिन पहले स्वचालित रूप से नवीनीकृत। | ServerHostName vorausgewählt |
केवल वे होस्टनाम शामिल करें जिनके सार्वजनिक A/AAAA रिकॉर्ड इस सर्वर की ओर इंगित करते हैं! कहीं और होस्ट किए गए रूट डोमेन को शामिल करने पर HTTP-01 सत्यापन विफल होगा। |
MTA-STS & TLS-RPT (RFC 8461 / 8460) |
HTTPS नीति के माध्यम से भेजने वाले MTA को निर्देश देता है कि वे आपके डोमेन पर मेल केवल प्रमाणित TLS पर डिलीवर करें। | Integrierter Policy-Endpunkt |
/admin/ में TLS-RPT रिपोर्ट की निगरानी करते हुए testing मोड में शुरू करें, फिर नीति मोड को enforce पर स्विच करें। |
DANE TLSA (_25._tcp.<ServerHostName>) |
आपके सर्वर के SubjectPublicKeyInfo SHA-256 डाइजेस्ट को DNSSEC-हस्ताक्षरित DNS (_25._tcp.mail.company.com) में पिन करता है। | 3 1 1 <SPKI-SHA256-Hash> |
केवल DNSSEC-हस्ताक्षरित ज़ोन पर ही प्रकाशित करें, #pTls में जनरेट किए गए सटीक '3 1 1' SPKI SHA-256 रिकॉर्ड का उपयोग करके। |
BIMI Markenlogo (default._bimi) |
समर्थित मेल क्लाइंट में आपके संदेशों के बगल में आपका सत्यापित ब्रांड चिह्न (SVG Tiny 1.2 PS) प्रदर्शित करता है। | Integrierter SVG-Sanitizer |
DMARC p=quarantine या p=reject आवश्यक है। अपना SVG #pTls में अपलोड करें ताकि वह स्वचालित रूप से सैनिटाइज़ हो और उचित CORS हेडर के साथ होस्ट हो। |