SMTP DANE vs MTA-STS vs TLS-RPT 三选一对比决策

三者定位概述

维度一：DNSSEC 依赖

这是三者在信任模型上的根本差异：

• DANE：强依赖 DNSSEC。TLSA 记录的验证链完全建立在 DNSSEC 之上。没有 DNSSEC 签名，TLSA 记录可被篡改，DANE 起不到任何绑定作用。RFC 7671 §4 明确要求发送方 MTA 必须验证 DNSSEC 签名。
• MTA-STS：不依赖 DNSSEC。策略通过 HTTPS 分发（从 mta-sts.域名 获取 JSON 文件），信任模型基于 Web PKI。
• TLS-RPT：不依赖 DNSSEC。报告通过 SMTP 邮件或 HTTPS POST 投递。

维度二：安全强度对比

维度三：配置复杂度

DANE 部署路径：

# 前置条件
1. 域名注册 DNSSEC 签名（通过 DNS 托管商配置 DS 记录）
2. DNS 区域支持 TLSA 记录类型

# TLSA 记录生成
# 使用 postfix tls 工具
posttls-finger -l 25 mx.example.com

# 手动生成 TLSA 记录（RFC 6698 §2.1.3）
# Usage: 3 (DANE-EE: 终端实体证书关联)
# Selector: 1 (SPKI: 公钥) 
# Match: 1 (SHA-256)
openssl x509 -in /etc/ssl/certs/mx-cert.pem \
  -pubkey -noout | openssl pkey -pubin -outform DER | \
  openssl dgst -sha256

# DNS 记录示例：
_25._tcp.mx.example.com. IN TLSA 3 1 1 \
  abcd1234efab5678... (64 hex chars)

MTA-STS 部署路径：

# 前置条件
1. 有效的 TLS 证书（DV 即可）
2. HTTPS 可访问的 Web 服务器（或同一域名的静态托管）

# DNS TXT 记录
_mta-sts.example.com. IN TXT "v=STSv1; id=2026072401;"

# HTTPS 策略文件（部署在 https://mta-sts.example.com/.well-known/mta-sts.txt）
{
  "version": "STSv1",
  "mode": "testing",   # ← 先 testing，验证无误后改为 enforce
  "mx": ["mx.example.com.", "mx2.example.com."],
  "max_age": 86400
}

# Nginx 配置示例
location = /.well-known/mta-sts.txt {
    alias /var/www/mta-sts/policy.json;
    add_header Content-Type "text/plain; charset=utf-8";
    add_header Cache-Control "public, max-age=3600";
}

TLS-RPT 部署路径：

# DNS TXT 记录
_smtp._tls.example.com. IN TXT \
  "v=TLSRPTv1; rua=mailto:tls-reports@example.com;"

# 接收报告的邮件地址
# 建议设置专用邮箱 + 自动处理脚本

维度四：推荐部署组合

维度五：失败处理对比

Postfix 配置参考

# DANE 配置
smtp_tls_security_level = dane
smtp_dns_support_level = dnssec
smtp_tls_CAfile = /etc/ssl/certs/ca-certificates.crt
smtp_tls_protocols = !SSLv2, !SSLv3, !TLSv1, !TLSv1.1
smtp_tls_mandatory_protocols = !SSLv2, !SSLv3, !TLSv1, !TLSv1.1
smtp_tls_mandatory_ciphers = medium
# DANE only 模式（严格）：仅对 DNSSEC 签名域使用 DANE
smtp_tls_security_level = dane
smtp_tls_dane_usage_requested = 3  # DANE-EE

# MTA-STS 需要通过 TLS 策略缓存实现
# Postfix 3.5+ 原生支持（via tls_policy 文件或 DANE fallback）
# 也可以使用外部工具：postfix-mta-sts-resolver

# TLS-RPT 不需要 Postfix 端配置
# 接收方配置 DNS 即可接收报告