A TLSA-ennätys yhdistää TLS palvelun varmenteeseen tai julkisen avaimen tietoihin. Se ei ole a TXT tietue, korvike an MX tietue tai todisteita, joita jokainen lähettäjä käyttää DANE. SMTP ssä asiaankuuluva etsintä- ja valvontakäyttäytyminen on määritelty RFC 7672 :ssa.
Aloita MX palvelun isäntänimellä
Viitteet: RFC 7672 §2.2, RFC 7672 §3.1.1, RFC 6698 §2.1.
Palvelua varten TCP-portissa 25 osoitteessa mx.example.com, perinteinen TLSA-omistaja on _25._tcp.mx.example.com. Johda nimi todellisesta SMTP vaihdon isäntänimestä, ei automaattisesti näkyvästä From-toimialueesta tai vyöhykkeen kärjestä. Tarkista jokainen MX -päätepiste, jota käyttöönotto aikoo suojata, ja DNSSEC tila löytöpolulla.
TLSA-tietokentät ovat varmenteen käyttö, valitsin, vastaavat tyyppi- ja assosiaatiotiedot. Tälle yksinkertaiselle aliasoimattomalle reitille osoitettu omistaja riittää; aliakset edellyttävät RFC 7672 §2.2:n mukaista todennettua TLSA-perustoimialueen käsittelyä. Yleisesti suositeltu SMTP DANE -profiili on 3 1 1: DANE-EE-käyttö, SubjectPublicKeyInfo-valinta ja SHA-256-sovitus. Nämä numerot ovat merkityksellisiä protokollavaihtoehtoja, eivät mielivaltaisen varmennetekstin yleisiä etuliitteitä. RFC 7672 ja RFC 7671 kuvaavat tuetut käyttötavat ja toiminnalliset näkökohdat; pidä ei-tuetut yhdistelmät poissa käyttöönottoreseptistä.
Johda tarkat tavut
Viitteet: RFC 6698 §2.1.2, RFC 6698 §2.1.3.
Paikallinen PEM-sertifikaattitiedosto cert.pem, Bash-kuoressa ota ensin käyttöön set -o pipefail; toistettava SPKI-tiivistelmäputki on silloin openssl x509 -in cert.pem -pubkey -noout | openssl pkey -pubin -outform DER | openssl dgst -sha256. Vaadi jokaista vaihetta menestyäkseen. Hash DER julkisen avaimen esitys, ei PEM-teksti, näytettävä sormenjälki tai koko varmenne, kun valitsin 1 on tarkoitettu.
Rakentaa _25._tcp.mx.example.com. 300 IN TLSA 3 1 1 HEXDIGEST, joka korvaa HEXDIGESTin varsinaisella tiivistelmällä. Tämä on malli, ei julkaistava tietue. Hanki aiotun SMTP päätepisteen esittämä varmenne ohjatun sovelluksen kautta STARTTLS tarkastaa ja vertailla sen valittuja tavuja. Paikallinen tiedosto voi poiketa varmenteesta, jota palvelin todella palvelee.
Testaa keskeistä muutosta ennen kuin eroat vanhasta yhdistyksestä
Viitteet: RFC 7672 §4, RFC 7671 §8.
Synteettinen kiinnitys A käyttää testivarmennetta avaimella A ja A:sta johdettua TLSA-assosiaatiota. Odotettu tavuvertailu vastaa toisiaan. Fixture B palvelee varmennetta avaimella B säilyttäen kuitenkin vain A:n assosiaation; odotettu vertailu on epäsuhta. Fixture C julkaisee molemmat hyväksyttävät assosiaatiot suunnitellulle siirtymälle ja varmistaa aiotun päätepisteen B:tä vastaan ennen kuin A:n lopetetaan.
Ajoituksen on otettava huomioon välimuistissa olevat TLSA-tiedot ja kaikki aktiiviset palvelinesiintymät. Samalla julkisella avaimella uusittu varmenne voi säilyttää saman 3 1 1 yhdistys, kun taas uusi avain muuttaa sen. Onnistunut tiivistelmän vertailu on paikallinen salaustarkistus, ei SMTP DANE -yhteentoimivuuden tulos. Live DNSSEC ja SMTP -testaus pysyvät erillisinä todisteina.
Tarkista kuljetus kojelaudan tarran sijaan
Viitteet: RFC 7672 §2.2, RFC 7672 §3.
Käytä DNSSEC-vahvistuspolkua käyttökelpoisten TLSA-tietojen luomiseen ja testaa sitten todellinen SMTP kättely ja yhteys DANE-yhteensopivaan toteutukseen. Säilytä DNS vastaukset, vahvistusjäljitys, varmenneketju, valittu yhteys ja lähettäjän tulos. Tukevan lähettäjän ei pitäisi hiljaa käsitellä epäonnistunutta vaadittua DANE todennusta onnistuneena suojattuna toimituksena. Älä vaadi yleistä kuljetussuojaa: lähettäjän tuki ja tarkka todennettu hakutulos ratkaisevat.
Havaitut assosiaatio- ja löydöstarkastukset
Viitteet: RFC 4035 §5.
Säilytetty 7. marraskuuta 2026 allekirjoitettu kiinnitys, joka on tarkastettu, mutta sitä ei suoritettu uudelleen tätä tarkistusta varten, vahvistaa TLSA RRsetin kiinnitetyn ylätason, todetun DS:n ja ali-DNSKEY:n kautta. Erillinen silmukka TLS palvelu esitti itse asiassa testivarmenteen A ja sitten B. SPKI:n purkaminen kustakin vastaanotetusta kättelyvarmenteesta tuotti ottelun A vastaan A, yhteensopimattomuus B:lle yksin A:lle, osuman B:lle A/B-päällekkäisyyden aikana ja ottelun B:lle A:n luopumisen jälkeen. Transkriptio tallentaa aikaleimat, silmukan päätepisteet, TLS -protokollan ja tiivisteet. Tämä vahvistaa erilliset kryptografiset ainesosat; palvelu oli tavallinen TLS , ei SMTP STARTTLS , eikä integroitua DANE sähköpostiohjelmaa tai live DNS -ratkaisutestiä vaadita.