Przed przystąpieniem do konfiguracji, musi powstać wpis w DNSie o nazwie mta-sts.domena.tld chociażby na potrzeby wystawienia certyfikatu SSL. Jak już będzie, to trzeba wykonać konfigurację:
# --- definicja serwera HTTP -----------------------------------
#
server {
listen 217.182.201.233:80;
listen [2001:41d0:602:4e9::1]:80;
server_name mta-sts.bsdserwis.com;
location ~ ^/(?!.well-known/acme-challenge/) {
return 301 https://$server_name/.well-known/mta-sts.txt;
}
# logowanie
access_log /var/log/nginx/mta-sts.bsdserwis.com/access.log main;
error_log /var/log/nginx/mta-sts.bsdserwis.com/error.log;
include codenix/014-acmele.conf;
include codenix/000-cmsploit.conf;
include codenix/004-dot-ht.conf;
include codenix/004-err-page-404.conf;
include codenix/004-err-page-5xx.conf;
include codenix/004-pillaging-dvcs.conf;
include codenix/005-no-logging.conf;
include codenix/005-x-frame.conf;
include expires.conf;
}
# --- definicja serwera HTTPS ----------------------------------
#
server {
listen 217.182.201.233:443 http2 ssl;
listen [2001:41d0:602:4e9::1]:443 http2 ssl;
server_name mta-sts.bsdserwis.com;
ssl_certificate certs/mta-sts.bsdserwis.com.chained.pem;
ssl_certificate_key certs/mta-sts.bsdserwis.com.key;
include codenix/005-x-robots-tag-all.conf;
include codenix/005-x-headers-security.conf;
# logowanie
access_log /var/log/nginx/mta-sts.bsdserwis.com/access.log main;
error_log /var/log/nginx/mta-sts.bsdserwis.com/error.log;
root /var/www/htdocs/virtuals/mta-sts.bsdserwis.com/data;
index index.html;
location /.well-known/ {}
include codenix/000-mta-sts-txt.conf;
include codenix/000-cmsploit.conf;
include codenix/004-dot-ht.conf;
include codenix/004-err-page-404.conf;
include codenix/004-err-page-5xx.conf;
include codenix/004-pillaging-dvcs.conf;
include codenix/005-no-logging.conf;
include codenix/005-x-frame.conf;
}
Plik tekstowy z polityką
Tryby polityki:
- none
- testing
- enforce
Zaś sama polityka wygląda następująco:
version: STSv1 mode: testing max_age: 86400 mx: mx1.bsdserwis.com mx: mx2.bsdserwis.com mx: mx3.bsdserwis.com
UWAGA!!! Wpis w polityce musi pokrywać się z wpisami z dns-u (rekordy MX). W przeciwnym przypadku raporty będą zawierać, że mta-sts zawiera błędy. Dodatkowo certyfikat samego serwera pocztowego musi zawierać w sobie nazwę, która jest wypisana w polityce. W przeciwnym przypadku ponownie zgłoszony zostanie błąd (niezgodność nazw z certyfikatami). Tak więc w przypadku serwera głównego jest to problem: konieczność zrobienia oddzielnych katalogów (polityk) dla każdej z obsługiwanych domen albo też wpisanie podstawowego serwera mx1.bsdserwis.com jako podstawowego serwera obsługi poczty1.
Reasumując: jest to dobry mechanizm, w przypadku obsługiwania jednej domeny, gdzie nie trzeba się dużo napracować, aby utworzyć całą konfigurację...