目錄

簡介

在傳送時啟用TLS

TLS設定定義

在GUI上啟用TLS

在CLI上啟用TLS

簡介

本文檔介紹如何在郵件安全裝置(ESA)上傳輸時控制傳輸層安全(TLS)協商。

如RFC 3207中所定義，「TLS是SMTP服務的擴展，它允許SMTP伺服器和客戶端使用傳輸層安全性通過Internet提供經過身份驗證的專用通訊。TLS是一種常用機制，用於通過隱私和身份驗證增強TCP通訊。」

在傳送時啟用TLS

您可以要求STARTTLS使用本文檔中介紹的其中一種方法將電子郵件傳送到特定域：

- 使用CLI destconfig命令。

- 在GUI中選擇Mail Policies > Destination Controls。

使用「目標控制」頁或destconfig命令，可以在包含域時為給定域指定五種不同的TLS設定。此外，您可以指定是否需要驗證域。

TLS設定定義

TLS設定

含義

預設

使用「目標控制」頁或destconfig -> default子命令設定的預設TLS設定，該子命令用於從監聽程式到域的消息傳輸代理(MTA)的傳出連線。如果您對以下問題回答no，則設定值「Default」：「是否要對此域應用特定TLS設定？」

1.否

對於從介面到域的MTA的傳出連線，不會協商TLS。

2.首選

TLS從ESA介面協商至域的MTA。但是，如果TLS協商失敗（在接收220響應之前），則SMTP事務繼續「以明文形式」（未加密）。 不會嘗試驗證憑證是否來自受信任的憑證授權單位。如果在收到220響應後發生錯誤，則SMTP事務不會回退到明文狀態。

3.必填

TLS從ESA介面協商至域的MTA。沒有嘗試驗證域的證書。如果協商失敗，則不會通過連線傳送電子郵件。如果協商成功，郵件將通過加密會話傳送。

4.首選（驗證）

TLS從ESA協商到域的MTA。裝置將嘗試驗證域的證書。可能產生三個結果：

- 將協商TLS並驗證證書。郵件通過加密會話傳送。

- 將協商TLS，但不會驗證證書。郵件通過加密會話傳送。

- 不建立TLS連線，隨後將不驗證證書。電子郵件以純文字檔案形式傳送。

5.必需（驗證）

TLS從ESA協商到域的MTA。需要驗證域證書。可能產生三種結果：

- 協商一個TLS連線並驗證證書。該電子郵件是通過加密會話傳送的。

- TLS連線是經過協商的，但證書未經受信任的證書頒發機構(CA)驗證。 郵件未送達。

- 不會協商TLS連線。郵件未送達。

6.必需 — 驗證託管域

TLS Required -Verify和TLS Required - Verify Hosted Domain選項之間的區別位於身份驗證過程中。處理呈現標識的方式以及允許使用何種型別的參考識別符號對最終結果有影響。

呈現的標識首先從dNSName型別的subjectAltName擴展派生。如果dNSName與接受的一個引用標識(REF-ID)之間不匹配，則無論主題欄位中是否存在CN，驗證都會失敗，並且可以通過進一步的身份驗證。僅當證書不包含任何dNSName型別的subjectAltName副檔名時，才會驗證從subject欄位派生的CN。

有關詳細資訊，請檢視Cisco電子郵件安全的TLS驗證流程。

在GUI上啟用TLS

1. 選擇Monitor > Destination Controls。

2. 按一下Add Destination。

3. 在「目標」欄位中新增目標域。

4. 從「TLS支援」下拉選單中選擇TLS支援方法。

5. 按一下「Submit」以提交變更。

在CLI上啟用TLS

此示例使用destconfig命令來要求域example.com的TLS連線和加密會話。請注意，此示例顯示，對於使用預安裝在裝置上的演示證書的域，需要TLS。您可以使用演示證書啟用TLS以進行測試，但該證書並不安全，建議不要將其用於常規用途。

如果您對以下問題回答no，則設定值「Default」：「是否要對此域應用特定TLS設定？」 如果回答yes，請選擇No、Preferred或Required。

ESA> destconfig

Choose the operation you want to perform:

- SETUP - Change global settings.

- NEW - Create a new entry.

- EDIT - Modify an entry.

- DELETE - Remove an entry.

- DEFAULT - Change the default.

- LIST - Display a summary list of all entries.

- DETAIL - Display details for one destination or all entries.

- CLEAR - Remove all entries.

- IMPORT - Import tables from a file.

- EXPORT - Export tables to a file.

[]> new

Enter the domain you wish to configure.

[]> example.com

Choose the operation you want to perform:

- SETUP - Change global settings.

- NEW - Create a new entry.

- EDIT - Modify an entry.

- DELETE - Remove an entry.

- DEFAULT - Change the default.

- LIST - Display a summary list of all entries.

- DETAIL - Display details for one destination or all entries.

- CLEAR - Remove all entries.

- IMPORT - Import tables from a file.

- EXPORT - Export tables to a file.

[]> new

Enter the domain you wish to configure.

[]> example.com

Do you wish to configure a concurrency limit for example.com? [Y]> N

Do you wish to apply a messages-per-connection limit to this domain? [N]> N

Do you wish to apply a recipient limit to this domain? [N]> N

Do you wish to apply a specific TLS setting for this domain? [N]> Y

Do you want to use TLS support?

1. No

2. Preferred

3. Required

4. Preferred - Verify

5. Required - Verify

6. Required - Verify Hosted Domains

[1]> 3

You have chosen to enable TLS. Please use the 'certconfig' command to

ensure that there is a valid certificate configured.

Do you wish to apply a specific bounce verification

address tagging setting for this domain? [N]> N

Do you wish to apply a specific bounce profile to this domain? [N]> N

Do you wish to apply a specific IP sort preference to this domain? [N]> N

There are currently 3 entries configured.

Choose the operation you want to perform:

- SETUP - Change global settings.

- NEW - Create a new entry.

- EDIT - Modify an entry.

- DELETE - Remove an entry.

- DEFAULT - Change the default.

- LIST - Display a summary list of all entries.

- DETAIL - Display details for one destination or all entries.

- CLEAR - Remove all entries.

- IMPORT - Import tables from a file.

- EXPORT - Export tables to a file.

[]> list

Rate               Bounce        Bounce     IP Version

Domain       Limiting  TLS      Verification  Profile    Preference

===========  ========  =======  ============  =========  ============

example.com  Default   On       Default       Default    Default

(Default)    On        Off      Off           (Default)  Prefer IPv6