external/ibm-public/postfix/dist/man/man8/tlsmgr.8

   1 .\"     $NetBSD$
   2 .\"
   3 .TH TLSMGR 8
   4 .ad
   5 .fi
   6 .SH NAME
   7 tlsmgr
   8 \-
   9 Postfix TLS session cache and PRNG manager
  10 .SH "SYNOPSIS"
  11 .na
  12 .nf
  13 \fBtlsmgr\fR [generic Postfix daemon options]
  14 .SH DESCRIPTION
  15 .ad
  16 .fi
  17 The \fBtlsmgr\fR(8) manages the Postfix TLS session caches.
  18 It stores and retrieves cache entries on request by
  19 \fBsmtpd\fR(8) and \fBsmtp\fR(8) processes, and periodically
  20 removes entries that have expired.
  21
  22 The \fBtlsmgr\fR(8) also manages the PRNG (pseudo random number
  23 generator) pool. It answers queries by the \fBsmtpd\fR(8)
  24 and \fBsmtp\fR(8)
  25 processes to seed their internal PRNG pools.
  26
  27 The \fBtlsmgr\fR(8)'s PRNG pool is initially seeded from
  28 an external source (EGD, /dev/urandom, or regular file).
  29 It is updated at configurable pseudo-random intervals with
  30 data from the external source. It is updated periodically
  31 with data from TLS session cache entries and with the time
  32 of day, and is updated with the time of day whenever a
  33 process requests \fBtlsmgr\fR(8) service.
  34
  35 The \fBtlsmgr\fR(8) saves the PRNG state to an exchange file
  36 periodically and when the process terminates, and reads
  37 the exchange file when initializing its PRNG.
  38 .SH "SECURITY"
  39 .na
  40 .nf
  41 .ad
  42 .fi
  43 The \fBtlsmgr\fR(8) is not security-sensitive. The code that maintains
  44 the external and internal PRNG pools does not "trust" the
  45 data that it manipulates, and the code that maintains the
  46 TLS session cache does not touch the contents of the cached
  47 entries, except for seeding its internal PRNG pool.
  48
  49 The \fBtlsmgr\fR(8) can be run chrooted and with reduced privileges.
  50 At process startup it connects to the entropy source and
  51 exchange file, and creates or truncates the optional TLS
  52 session cache files.
  53
  54 With Postfix version 2.5 and later, the \fBtlsmgr\fR(8) no
  55 longer uses root privileges when opening cache files. These
  56 files should now be stored under the Postfix-owned
  57 \fBdata_directory\fR.  As a migration aid, an attempt to
  58 open a cache file under a non-Postfix directory is redirected
  59 to the Postfix-owned \fBdata_directory\fR, and a warning
  60 is logged.
  61 .SH DIAGNOSTICS
  62 .ad
  63 .fi
  64 Problems and transactions are logged to the syslog daemon.
  65 .SH BUGS
  66 .ad
  67 .fi
  68 There is no automatic means to limit the number of entries in the
  69 TLS session caches and/or the size of the TLS cache files.
  70 .SH "CONFIGURATION PARAMETERS"
  71 .na
  72 .nf
  73 .ad
  74 .fi
  75 Changes to \fBmain.cf\fR are not picked up automatically,
  76 because \fBtlsmgr\fR(8) is a persistent processes.  Use the
  77 command "\fBpostfix reload\fR" after a configuration change.
  78
  79 The text below provides only a parameter summary. See
  80 \fBpostconf\fR(5) for more details including examples.
  81 .SH "TLS SESSION CACHE"
  82 .na
  83 .nf
  84 .ad
  85 .fi
  86 .IP "\fBlmtp_tls_loglevel (0)\fR"
  87 The LMTP-specific version of the smtp_tls_loglevel
  88 configuration parameter.
  89 .IP "\fBlmtp_tls_session_cache_database (empty)\fR"
  90 The LMTP-specific version of the smtp_tls_session_cache_database
  91 configuration parameter.
  92 .IP "\fBlmtp_tls_session_cache_timeout (3600s)\fR"
  93 The LMTP-specific version of the smtp_tls_session_cache_timeout
  94 configuration parameter.
  95 .IP "\fBsmtp_tls_loglevel (0)\fR"
  96 Enable additional Postfix SMTP client logging of TLS activity.
  97 .IP "\fBsmtp_tls_session_cache_database (empty)\fR"
  98 Name of the file containing the optional Postfix SMTP client
  99 TLS session cache.
 100 .IP "\fBsmtp_tls_session_cache_timeout (3600s)\fR"
 101 The expiration time of Postfix SMTP client TLS session cache
 102 information.
 103 .IP "\fBsmtpd_tls_loglevel (0)\fR"
 104 Enable additional Postfix SMTP server logging of TLS activity.
 105 .IP "\fBsmtpd_tls_session_cache_database (empty)\fR"
 106 Name of the file containing the optional Postfix SMTP server
 107 TLS session cache.
 108 .IP "\fBsmtpd_tls_session_cache_timeout (3600s)\fR"
 109 The expiration time of Postfix SMTP server TLS session cache
 110 information.
 111 .SH "PSEUDO RANDOM NUMBER GENERATOR"
 112 .na
 113 .nf
 114 .ad
 115 .fi
 116 .IP "\fBtls_random_source (see 'postconf -d' output)\fR"
 117 The external entropy source for the in-memory \fBtlsmgr\fR(8) pseudo
 118 random number generator (PRNG) pool.
 119 .IP "\fBtls_random_bytes (32)\fR"
 120 The number of bytes that \fBtlsmgr\fR(8) reads from $tls_random_source
 121 when (re)seeding the in-memory pseudo random number generator (PRNG)
 122 pool.
 123 .IP "\fBtls_random_exchange_name (see 'postconf -d' output)\fR"
 124 Name of the pseudo random number generator (PRNG) state file
 125 that is maintained by \fBtlsmgr\fR(8).
 126 .IP "\fBtls_random_prng_update_period (3600s)\fR"
 127 The time between attempts by \fBtlsmgr\fR(8) to save the state of
 128 the pseudo random number generator (PRNG) to the file specified
 129 with $tls_random_exchange_name.
 130 .IP "\fBtls_random_reseed_period (3600s)\fR"
 131 The maximal time between attempts by \fBtlsmgr\fR(8) to re-seed the
 132 in-memory pseudo random number generator (PRNG) pool from external
 133 sources.
 134 .SH "MISCELLANEOUS CONTROLS"
 135 .na
 136 .nf
 137 .ad
 138 .fi
 139 .IP "\fBconfig_directory (see 'postconf -d' output)\fR"
 140 The default location of the Postfix main.cf and master.cf
 141 configuration files.
 142 .IP "\fBdata_directory (see 'postconf -d' output)\fR"
 143 The directory with Postfix-writable data files (for example:
 144 caches, pseudo-random numbers).
 145 .IP "\fBdaemon_timeout (18000s)\fR"
 146 How much time a Postfix daemon process may take to handle a
 147 request before it is terminated by a built-in watchdog timer.
 148 .IP "\fBprocess_id (read-only)\fR"
 149 The process ID of a Postfix command or daemon process.
 150 .IP "\fBprocess_name (read-only)\fR"
 151 The process name of a Postfix command or daemon process.
 152 .IP "\fBsyslog_facility (mail)\fR"
 153 The syslog facility of Postfix logging.
 154 .IP "\fBsyslog_name (see 'postconf -d' output)\fR"
 155 The mail system name that is prepended to the process name in syslog
 156 records, so that "smtpd" becomes, for example, "postfix/smtpd".
 157 .SH "SEE ALSO"
 158 .na
 159 .nf
 160 smtp(8), Postfix SMTP client
 161 smtpd(8), Postfix SMTP server
 162 postconf(5), configuration parameters
 163 master(5), generic daemon options
 164 master(8), process manager
 165 syslogd(8), system logging
 166 .SH "README FILES"
 167 .na
 168 .nf
 169 .ad
 170 .fi
 171 Use "\fBpostconf readme_directory\fR" or
 172 "\fBpostconf html_directory\fR" to locate this information.
 173 .na
 174 .nf
 175 TLS_README, Postfix TLS configuration and operation
 176 .SH "LICENSE"
 177 .na
 178 .nf
 179 .ad
 180 .fi
 181 The Secure Mailer license must be distributed with this software.
 182 .SH "AUTHOR(S)"
 183 .na
 184 .nf
 185 Lutz Jaenicke
 186 BTU Cottbus
 187 Allgemeine Elektrotechnik
 188 Universitaetsplatz 3-4
 189 D-03044 Cottbus, Germany
 190
 191 Adapted by:
 192 Wietse Venema
 193 IBM T.J. Watson Research
 194 P.O. Box 704
 195 Yorktown Heights, NY 10598, USA