Как просто установить и настроить полный почтовый сервер на Ubuntu 20.04 с помощью iRedMail

Замените их на:

ssl_cert = mail.your-domain.com/fullchain. pem ssl_key = mail.your-domain.com/privkey. pem

Сохраните файл и закройте его. После этого перезапустите Dovecot.

sudo systemctl reload dovecot

С этого момента пользователи настольных почтовых клиентов перестанут получать уведомления о безопасности.

Отправка пробного письма по электронной почте.

Зайдите в панель управления iredadmin, используя учетную запись администратора почты ([email protected]). В разделе "Добавить" у вас есть возможность подключить новые домены или электронные адреса.

Если вы столкнулись с ошибкой "домен не контролируется", рекомендуем ознакомиться с данной статьей.

После регистрации пользователя вы можете перейти на сайт веб-почты Roundcube и авторизоваться с помощью новой учетной записи электронной почты.

https://mail.your-domain.com/mail/

Теперь у вас есть возможность протестировать процесс отправки и получения электронной почты. Имейте в виду, что вам, возможно, придется подождать несколько минут, прежде чем вы получите сообщения, так как iRedMail по умолчанию использует серую списку. Это означает, что другим SMTP-серверам рекомендуется повторить попытку через несколько минут. В файле журнала почты /var/log/mail.log есть строка, указывающая на то, что серая списока активирована.

Адрес получателя отклонен: Умышленное отклонение политики, пожалуйста, попробуйте позже;

Создание пространства для подкачки.

ClamAV предназначен для проверки электронной почты на наличие вирусов. Эта программа может потреблять значительное количество оперативной памяти. Если вашему серверу не хватает ОЗУ, ClamAV не сможет функционировать должным образом, что может привести к проблемам с отправкой почты. Для повышения доступной оперативной памяти можно создать файл подкачки на сервере. Однако стоит учесть, что использование файла подкачки может снизить производительность. Если вы стремитесь к улучшению производительности, лучше увеличить физическую оперативную память, чем полагаться на файл подкачки.

Для добавления файла подкачки на сервере начните с использования команды fallocate для создания файла. К примеру, создайте файл с названием swapfile и размером 1G в корневой файловой системе.

sudo fallocate - l 1G /swapfile

После этого проверьте, чтобы только пользователь root имел возможность читать и записывать в данный файл.

sudo chmod 600 /swapfile

Отредактируйте его для улучшения качества.

sudo mkswap /swapfile

Настройка пространства подкачки версия 1, размер = 1024 MiB (1073737728 байт) без метки, UUID=0aab5886-4dfb-40d4-920d-fb1115c67433

Включите файл подкачки.

sudo swapon /swapfile

Для активации области подкачки во время загрузки операционной системы необходимо внести изменения в файл /etc/fstab.

sudo nano /etc/fstab

Вставьте эту строку в конце данного файла.

/swapfile swap swap defaults 0 0

Сохраните изменения в файле и закройте его. После этого перезапустите systemd и ClamAV.

sudo systemctl daemon-reload sudo systemctl restart clamav-daemon

Убедитесь, что порт 25 (исходящий) не заблокирован.

Ваш провайдер интернет-услуг или хостинга не будет препятствовать входящим соединениям на 25-й порт вашего сервера, что позволяет вам получать электронные письма от других почтовых систем. Тем не менее, многие провайдеры блокируют исходящие соединения на 25-й порт для отправки писем, что лишает вас возможности отправлять электронную почту.

Если ваше сообщение не было доставлено на другой адрес электронной почты, например, Gmail, выполните следующую команду на своем почтовом сервере, чтобы убедиться, что порт 25 (исходящий) не заблокирован.

telnet gmail-smtp-in. l.google.com 25

Если соединение успешно установлено, вы получите сообщения, аналогичные приведенным ниже, при условии, что он не заблокирован. (Совет: введите quit и нажмите Enter, чтобы завершить соединение.)

Trying 74.125.68.26. Connected to gmail-smtp-in. l.google.com. Escape character is '^]'. 220 mx. google.com ESMTP y22si1641751pll.208 - gsmtp

Если порт 25 (для исходящих соединений) заблокирован, вы получите сообщение, похожее на следующее:

Trying 2607:f8b0:400e:c06::1a. Trying 74.125.195.27. telnet: Не удается подключиться к удаленному хосту: Время подключения истекло

В данной ситуации ваш Postfix не сможет отправлять электронные письма на другие SMTP-серверы. Обратитесь к вашему интернет-провайдеру или хостинг-провайдеру с просьбой разблокировать этот порт. Если они откажут, вам следует настроить SMTP-ретрансляцию для обхода блокировки порта 25.

По-прежнему не удается отправить электронное письмо?

Если порт 25 (исходящий) открыт, но вы по-прежнему не можете отправлять письма с вашего почтового сервера на другие адреса, например, на Gmail, рекомендуется просмотреть журнал почты (/var/log/mail.log).

sudo nano /var/log/mail.log

К примеру, некоторые пользователи могут обнаружить следующие записи в документе.

host gmail-smtp-in. l.google.com[2404:6800:4003:c03::1b] said: 550-5.7.1 [2a0d:7c40:3000:b8b::2] Наша система обнаружила, что 550-5.7.1 это сообщение не соответствует рекомендациям по отправке IPv6 в отношении PTR 550-5.7.1 записей и аутентификации . Пожалуйста, просмотрите 550-5.7.1 https://support. google.com/mail/?p=IPv6AuthError для получения дополнительной информации

Это говорит о том, что ваш почтовый сервер отправляет электронные письма через IPv6, однако записи IPv6 не были настроены. Вам необходимо войти в менеджер DNS, добавить запись AAAA для mail.your-domain.com, а затем установить запись PTR для вашего IPv6-адреса, что будет рассмотрено в шаге 9.

Применение почтовых приложений на вашем компьютере или мобильном устройстве.

Откройте свой настольный почтовый клиент, например, Mozilla Thunderbird, и настройте новый почтовый аккаунт.

• В настройках входящего сервера выберите протокол IMAP, укажите mail.your-domain.com в качестве адреса сервера, выберите порт 143 и активируйте STARTTLS. В качестве метода аутентификации выберите обычный пароль.
• В разделе отправляемой почты выберите протокол SMTP, укажите mail.your-domain.com в качестве имени сервера, выберите порт 587 и активируйте STARTTLS. В качестве метода аутентификации выберите стандартный пароль.

Fail2ban запрещает доступ с вашего собственного IP-адреса.

Если вы несколько раз неправильно ввели данные для входа на почтовый сервер, ваша IP-адрес может быть заблокирован службой Fail2ban. Чтобы избежать этого, вы можете внести свой IP-адрес в белый список, отредактировав файл jail. local.

sudo nano /etc/fail2ban/jail. local

Включите свой собственный IP-адрес в список исключений, как указано ниже. Замените 12.34.56.78 на свой реальный IP-адрес.

ignoreip = 12.34.56.78 127.0.0.1 127.0.0.0/8 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16

Сохраните файл и закройте его. После этого перезапустите Fail2ban.

sudo systemctl restart fail2ban

Оптимизация процесса отправки электронной почты

Для того чтобы избежать попадания ваших писем в спам, необходимо настроить записи PTR, SPF, DKIM и DMARC.

PTR-запись

Запись указателя (PTR) связывает IP-адрес с полностью квалифицированным доменным именем (FQDN). Она является аналогом записи A и применяется для обратного DNS поиска, что может способствовать блокировке спамеров. Многие SMTP-серверы отвергают сообщения, если для отправляющего сервера отсутствует запись PTR.

Для того чтобы проверить запись PTR для определённого IP-адреса, используйте следующую команду:

dig - x IP-address +short

host IP-address

Запись PTR не контролируется вашим регистратором доменных имен, а управляется организацией, которая предоставляет вам IP-адрес. Поскольку IP-адрес вы получаете от своего хостинг-провайдера или интернет-провайдера, а не от регистратора доменов, вам необходимо настроить запись PTR для вашего IP в панели управления вашего хостинг-провайдера или обратиться к вашему ISP. Значение этой записи должно соответствовать имени вашего почтового сервера: mail.your-domain.com. Если ваш сервер использует IPv6-адрес, не забудьте также добавить запись PTR для него.

Для редактирования записи обратного DNS вашего VPS на Kamatera необходимо войти в клиентскую зону Kamatera, после чего создать тикет в службу поддержки с просьбой добавить запись PTR для вашего IP-адреса сервера, указывающую на mail.your-domain.com. Это может показаться неудобным, но такая мера принята для защиты платформы от спамеров, что позволяет законным отправителям электронной почты, как мы, поддерживать хорошую репутацию своего IP-адреса.

Запись SPF

Запись SPF (Sender Policy Framework) определяет, какие хосты или IP-адреса могут отправлять электронные письма от имени вашего домена. Разрешите отправку сообщений только вашему почтовому серверу или серверу вашего интернет-провайдера. В интерфейсе управления DNS создайте новую TXT-запись, следуя приведенным ниже инструкциям.

• TXT обозначает, что это текстовая запись.
• Введите символ @ в поле для имени, чтобы указать основное доменное имя.
• Запись v=spf1 обозначает, что это SPF-запись и используется версия SPF1.
• MX обозначает, что все серверы, указанные в записях MX, имеют право отправлять электронные письма от имени вашего домена, тогда как для всех других серверов это действие недоступно.
• ~Все свидетельствует о том, что электронные письма, отправленные с вашего домена, должны исходить исключительно от хостов, перечисленных в записи SPF. Сообщения от иных хостов будут классифицированы как фальшивые.

Для того чтобы убедиться, что ваша запись SPF доступна в публичном Интернете, можно воспользоваться утилитой dig на компьютере с Linux, как показано ниже:

dig your-domain.com txt

Опция txt указывает dig, что необходимо запрашивать исключительно записи типа TXT.

Запись DKIM

DKIM (DomainKeys Identified Mail) применяет приватный ключ для создания цифровой подписи электронных сообщений, отправленных с вашего домена. SMTP-серверы, получающие эти письма, проверяют подпись с помощью открытого ключа, который размещён в DNS-записи DKIM.

Скрипт iRedMail самостоятельно настроил DKIM на вашем сервере. Теперь вам нужно только добавить запись DKIM в вашем DNS-менеджере. Для отображения открытого ключа DKIM выполните следующую команду.

sudo amavisd-new showkeys

Открытый ключ DKIM представлен в круглых скобках.

После этого в вашем DNS-менеджере добавьте запись типа TXT, указав dkim._domainkey в поле имени. Скопируйте содержимое в скобках и вставьте его в поле значений. Убедитесь, что вы удалили все двойные кавычки и переносы строк.

После того как вы сохраните изменения, выполните следующую команду, чтобы убедиться в корректности вашей записи DKIM.

sudo amavisd-new testkeys

Если запись DKIM настроена верно, тест будет завершён успешно.

TESTING#1 linux16.ru: dkim._domainkey. linux16.ru => pass

Имейте в виду, что для распространения вашей записи DKIM в Интернете может потребоваться некоторое время. В зависимости от вашего регистратора домена, обновление DNS может произойти мгновенно или занять до 24 часов. Вы можете посетить сайт https://www.dmarcanalyzer.com/dkim/dkim-check/, указать "dkim" в качестве селектора и ввести ваше доменное имя, чтобы проверить статус распространения записи DKIM.

Запись DMARC

DMARC расшифровывается как аутентификация сообщений, основанная на домене, а также включает в себя отчетность и соответствие. Этот механизм позволяет почтовым серверам, принимающим сообщения, отличать законные письма от мошеннических и защищает ваше доменное имя от его использования в фальсификации электронной почты.

Для настройки записи DMARC откройте свой DNS-менеджер и добавьте новую запись типа TXT. В поле имени укажите _dmarc, а в поле значения введите необходимые данные. (Рекомендуется создать адрес электронной почты [email protected].)

Приведенная выше запись DMARC служит надежной базой для начала. Если вас интересует детальное описание DMARC, вы можете ознакомиться со следующей статьей. Учтите, что это не является обязательным.

• Настройка записи DMARC для обеспечения безопасности вашего доменного имени от фальсификации электронной почты.

Анализ оценки электронной почты и её размещение.

После настройки записей PTR, SPF и DKIM, посетите сайт https://www.mail-tester.com. Там вы найдете уникальный адрес электронной почты. Отправьте сообщение с вашего домена на этот адрес и проверьте свою оценку. Как видно, я получил максимальную оценку. В результатах теста обязательно убедитесь, что ваши записи PTR, SPF и DKIM действительны.

Mail-tester.com предоставляет только оценку для отправителей. Есть также сервис GlockApps, который позволяет выяснить, доставлено ли ваше письмо в папку «Входящие» у получателя, попало ли оно в спам или было отклонено. Этот инструмент совместим с различными известными почтовыми сервисами, такими как Gmail, Outlook, Hotmail, Yahoo Mail, iCloud и другими.

Почтовый ящик Microsoft не принимает электронные письма?

Microsoft применяет внутренний черный список, из-за которого множество законных IP-адресов оказывается заблокированными. Если ваши письма не доходят до Outlook или Hotmail, вам следует ознакомиться с руководством, представленным ниже, чтобы обойти блокировку Microsoft Outlook.

• Способы избежать блокировки в Microsoft Outlook и других черных списках.

Что предпринять, если ваши электронные письма продолжают попадать в папку со спамом?

Вот несколько дополнительных рекомендаций, которые я хотел бы предложить в этой статье: Как предотвратить попадание ваших электронных писем в спам. Хотя процесс может потребовать времени и усилий, в итоге ваши письма будут перемещены в папку "Входящие", если вы воспользуетесь этими советами.

Добавление нескольких адресов электронной почты.

Как деактивировать серый список

iRedMail по умолчанию активирует серую списку, которая советует другим SMTP-серверам повторить попытку отправки через некоторое время. Эта функция в первую очередь предназначена для борьбы со спамом, однако она может негативно сказаться на удобстве пользователей. Чтобы отключить серую списку, выполните указанные ниже шаги.

Убедитесь, что у вас есть права на запись в файл /opt/iredapd/settings. py.

sudo chmod 600 /opt/iredapd/settings. py

После этого внесите изменения в файл настроек.

sudo nano /opt/iredapd/settings. py

Определите следующую строку.

plugins = ["reject_null_sender", "wblist_rdns", "reject_sender_login_mismatch", "greylisting", "throttle", "amavisd_wblist", "sql_alias_access_policy"]

Избавьтесь от "greylisting" в перечне. Сохраните изменения и закройте документ. После этого перезапустите iredapd.

sudo systemctl restart iredapd

Верните файл конфигурации в режим доступный только для чтения.

sudo chmod 400 /opt/iredapd/settings. py

Активирование порта SMTPS 465.

Если вы

Сохраните файл и закройте его. Убедитесь в правильности настроек Nginx и выполните перезагрузку.

sudo nginx - t sudo systemctl reload nginx

Настройка задачи Cron

В случае успешного прохождения теста можно настроить Cron-задачу для автоматического обновления сертификата. Для этого откройте файл crontab от имени пользователя root.

sudo crontab - e

После этого добавьте последнюю строку в конец документа.

@daily certbot renew - w /var/www/html/ --quiet && systemctl reload postfix dovecot nginx

Для того чтобы программы Postfix, Dovecot и Nginx смогли применять новый сертификат и закрытый ключ, требуется их перезагрузка.

Конфигурация резервного почтового сервера

Ваш основной почтовый сервер может время от времени испытывать сбои. Если он находится в дата-центре, вероятность простоя будет невелика, и вам не стоит опасаться потери входящей корреспонденции. В случае, если сервер размещён у вас дома, предсказать время его неработоспособности невозможно, поэтому рекомендуется иметь резервный почтовый сервер в дата-центре, чтобы избежать потерь. Для работы резервного сервера потребуется всего 512 МБ оперативной памяти. Подробную информацию можно найти в следующей статье.

• Настройка резервного почтового сервера с использованием Postfix на Ubuntu (Подробное руководство)

Для опытных пользователей

iRedMail не предлагает встроенный сервис для проверки DMARC. Рекомендуем ознакомиться с данным руководством, чтобы настроить OpenDMARC для предотвращения подделки электронных писем.

• Конфигурация OpenDMARC с Postfix на Ubuntu для предотвращения фальсификации и спама в электронной почте.

Вы имеете возможность оптимизировать фильтр контента SpamAssassin для более эффективного выявления спама.

• Фильтрация нежелательных писем в электронной почте с использованием анализа заголовков и содержания в Postfix/SpamAssassin.

В случае, если ваш сайт и почтовый сервер размещены на отдельных VPS (виртуальных частных серверах), вы можете организовать SMTP-релей, который позволит вашему сайту отправлять электронные письма через почтовый сервер. Подробности можно найти в следующей статье.

• Настройка SMTP-реле между двумя серверами Postfix на Ubuntu.

Завершение

Итак, всё завершено! Надеюсь, данное руководство оказалось полезным для настройки почтового сервера на Ubuntu 20.04 с iRedmail.Как обычно, если вам понравилась эта статья, не забудьте подписаться на нашу бесплатную рассылку, чтобы получать дополнительные советы и рекомендации.