Как просто установить почтовый сервер на Debian 12 Bookworm с помощью iRedMail

Замените их на:

ssl_cert = mail.your-domain.com/fullchain. pem ssl_key = mail.your-domain.com/privkey. pem

Сохраните файл и закройте его. После этого выполните перезагрузку Dovecot.

sudo systemctl reload dovecot

Теперь пользователи настольной почты не будут получать уведомления о безопасности.

Отправка пробного сообщения

Авторизуйтесь в панели iredadmin с помощью учетной записи почтмейстера ([email protected]). На вкладке "Добавить" вы сможете включить новые домены или электронные адреса.

Если вы столкнулись с ошибкой "домен не находится под контролем", пожалуйста, ознакомьтесь с данной статьей.

После создания учетной записи можно зайти на веб-страницу Roundcube и авторизоваться, используя новую почтовую учетную запись.

https://mail.your-domain.com/mail/

Теперь вы можете проверить процесс отправки и получения электронной почты. Учтите, что может потребоваться несколько минут для доставки писем, так как по умолчанию iRedMail использует серый список, который уведомляет другие SMTP-серверы повторить попытку отправки через некоторое время. В журнале почты, расположенном по пути /var/log/mail.log, можно увидеть строку, подтверждающую активацию серого списка.

Адрес получателя отклонен: Преднамеренное отклонение политики, попробуйте снова позже;

Создание области подкачки

ClamAV применяется для проверки вирусов в электронной почте. Однако ClamAV может потреблять большое количество оперативной памяти. Если на сервере не хватает ОЗУ, это может привести к некорректной работе ClamAV, что нарушит отправку писем почтовым сервером. Для увеличения объема доступной памяти можно добавить файл подкачки. Учтите, что использование файла подкачки может снизить производительность системы. Для повышения эффективности рекомендуется обновить физическую оперативную память вместо использования подкачки.

Для того чтобы добавить своп-пространство на сервере, сперва примените команду fallocate для создания файла. Например, создайте файл с названием swapfile и размером 1 ГБ в корневом каталоге.

sudo fallocate - l 1G /swapfile

Убедитесь, что доступ к чтению и записи имеет исключительно root.

sudo chmod 600 /swapfile

Подготовьте его для использования в качестве файла подкачки.

sudo mkswap /swapfile

Настройка пространства подкачки версии 1, размер = 1024 MiB (1073737728 байт) без метки, UUID=0aab5886-4dfb-40d4-920d-fb1115c67433

Включите виртуальную память.

sudo swapon /swapfile

Для подключения раздела подкачки при старте системы, внесите изменения в файл /etc/fstab.

sudo nano /etc/fstab

Вставьте следующую строку в конец данного файла.

/swapfile swap swap defaults 0 0

Сохраните файл и закройте его. После этого перезагрузите систему и запустите ClamAV снова.

sudo systemctl daemon-reload sudo systemctl restart clamav-daemon

Убедитесь, что порт 25 (исходящий) не заблокирован.

Ваш интернет-провайдер или хостинг-провайдер не ограничивает входящие соединения на порт 25 вашего сервера, что позволяет вам получать электронные письма от других почтовых серверов. Тем не менее, многие провайдеры блокируют исходящие соединения на порт 25, что препятствует отправке электронных писем.

Если ваше сообщение не доставлено на другой адрес электронной почты, например, Gmail, выполните следующую команду на своем почтовом сервере, чтобы узнать, заблокирован ли исходящий порт 25.

telnet gmail-smtp-in. l.google.com 25

Если соединение успешно установлено, вы получите сообщения, похожие на приведенные ниже. (Совет: введите quit и нажмите Enter, чтобы завершить соединение.)

Попытка 74.125.68.26. Подключено к gmail-smtp-in. l.google.com. Символ для выхода '^]'. 220 mx. google.com ESMTP y22si1641751pll.208 - gsmtp

В случае, если порт 25 для исходящих соединений закрыт, вы получите сообщение, подобное следующему:

Попытка 2607:f8b0:400e:c06::1a. Попытка 74.125.195.27. telnet: Не удалось подключиться к удаленному хосту: Время подключения истекло

В данной ситуации ваш SMTP-сервер Postfix не имеет возможности отправлять электронные письма на другие SMTP-серверы. Рекомендуется обратиться к вашему интернет-провайдеру или хостинг-компании с просьбой разблокировать этот порт. Если они откажутся, вам необходимо настроить SMTP-ретрансляцию, чтобы обойти блокировку порта 25.

По-прежнему не удается отправить электронное письмо?

Если исходящий порт 25 не закрыт, но вы продолжаете сталкиваться с проблемами при отправке писем со своего почтового сервера на другие адреса, такие как Gmail, рекомендуется просмотреть журнал почты (/var/log/mail.log).

sudo nano /var/log/mail.log

К примеру, у некоторых пользователей могут появляться такие строки в документе.

хост gmail-smtp-in. l.google.com[2404:6800:4003:c03::1b] сказал: 550-5.7.1 [2a0d:7c40:3000:b8b::2] Наша система обнаружила, что 550-5.7.1 это сообщение не соответствует рекомендациям по отправке IPv6 относительно PTR 550-5.7.1 записей и аутентификации . Пожалуйста, просмотрите 550-5.7.1 https://support. google.com/mail/?p=IPv6AuthError для получения дополнительной информации

Это говорит о том, что ваш почтовый сервер отправляет электронные письма через IPv6, однако записи IPv6 не были настроены. Вам необходимо зайти в менеджер DNS и создать запись AAAA для mail.your-domain.com. После этого необходимо также настроить запись PTR для вашего IPv6-адреса, о которой упоминается в шаге 9.

Применение почтовых программ на вашем ПК или мобильном устройстве.

Откройте ваш почтовый клиент для компьютера, например Mozilla Thunderbird, и создайте новый почтовый аккаунт.

• В настройках входящего сервера выберите протокол IMAP, укажите mail.your-domain.com в качестве имени сервера, установите порт 143 и активируйте STARTTLS. В качестве метода аутентификации выберите обычный пароль.
• В разделе исходящих сообщений выберите протокол SMTP, укажите mail.your-domain.com в качестве имени сервера, выберите порт 587 и активируйте STARTTLS. Для аутентификации выберите стандартный пароль.

Fail2ban заблокировал ваш собственный IP-адрес.

Если вы допустили ошибку и несколько раз не смогли авторизоваться на почтовом сервере, это может привести к блокировке вашего IP-адреса службой Fail2ban. Чтобы избежать этого, можно внести свой IP-адрес в белый список, отредактировав файл jail. local.

sudo nano /etc/fail2ban/jail. local

Включите свой IP-адрес в список исключений, следуя приведенным ниже инструкциям. Убедитесь, что заменили 12.34.56.78 на свой настоящий IP-адрес.

ignoreip = 12.34.56.78 127.0.0.1 127.0.0.0/8 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16

Сохраните файл и закройте его. После этого перезапустите Fail2ban.

sudo systemctl restart fail2ban

Повышение уровня доставки электронных писем.

Для того чтобы избежать пометки ваших электронных писем как спам, необходимо настроить записи PTR, SPF, DKIM и DMARC.

Запись PTR

Запись указателя, известная как запись PTR, связывает IP-адрес с полностью квалифицированным доменным именем (FQDN). Она выполняет аналогичную функцию записи A и используется для обратного DNS поиска, что может быть полезно для предотвращения спама. Многие SMTP-серверы отвергают электронные письма, если для сервера-отправителя отсутствует запись PTR.

Для проверки записи PTR по IP-адресу используйте следующую команду:

dig - x IP-адрес +short

host IP-адрес

Запись PTR не контролируется вашим регистратором домена, а управляется организацией, предоставляющей вам IP-адрес. Поскольку IP-адрес вы получаете от хостинг-провайдера или интернет-провайдера (ISP), а не от регистратора домена, вам необходимо создать запись PTR для вашего IP в панели управления хостинга или обратиться к вашему ISP. Значение этой записи должно соответствовать имени хоста вашего почтового сервера, например mail.your-domain.com. Если ваш сервер использует IPv6-адрес, не забудьте также добавить запись PTR для IPv6.

Для изменения обратной записи DNS вашего VPS на Kamatera, зайдите в клиентскую зону Kamatera и откройте тикет в службе поддержки. Укажите, что необходимо добавить PTR-запись для вашего IP-адреса сервера, указывая его на mail.your-domain.com. Это может показаться не очень удобным, однако такая мера необходима для предотвращения злоупотреблений спамерами и для обеспечения хорошей репутации IP у легитимных отправителей электронной почты, таких как мы.

Запись SPF

Запись SPF (Sender Policy Framework) определяет, какие хосты или IP-адреса имеют право отправлять электронные письма от имени вашего домена. Необходимо разрешить отправку писем только с вашего собственного почтового сервера или сервера вашего интернет-провайдера для вашего домена. В интерфейсе управления DNS создайте новую TXT-запись, следуя приведённым ниже инструкциям.

• TXT обозначает, что это запись типа TXT.
• Введите символ @ в поле для имени, чтобы указать основное доменное имя.
• Запись v=spf1 обозначает, что это запись SPF и она относится к версии SPF1.
• MX указывает на то, что все хосты, указанные в записях MX, имеют право отправлять электронные письма от имени вашего домена, в то время как остальные хосты не имеют такой возможности.
• ~Вся информация указывает на то, что сообщения электронной почты, отправляемые с вашего домена, должны поступать только от серверов, указанных в записи SPF. Письма, приходящие с других серверов, будут считаться поддельными.

Для того чтобы удостовериться, что ваша SPF-запись доступна в общем интернете, вы можете воспользоваться утилитой dig на вашем устройстве с Linux следующим образом:

dig your-domain.com txt

Опция txt указывает dig, что требуется получить только записи формата TXT.

Запись DKIM

DKIM (DomainKeys Identified Mail) применяет закрытый ключ для создания цифровой подписи на электронных письмах, отправленных с вашего домена. SMTP-серверы, принимающие письма, проверяют подпись с использованием открытого ключа, который размещается в DNS-записи DKIM.

Скрипт iRedMail автоматически настраивает подпись и проверку DKIM для вашего сервера. Вам только нужно создать запись DKIM в DNS-менеджере. Чтобы отобразить открытый ключ DKIM, выполните следующую команду.

sudo amavisd-new showkeys

Открытый ключ DKIM представлен в фигурных скобках.

В вашем DNS-менеджере создайте TXT-запись, указав dkim._domainkey в качестве имени. Скопируйте содержимое в скобках и вставьте его в поле значений. Убедитесь, что вы удалили все двойные кавычки и переносы строк.

По завершении внесения изменений, выполните следующую команду для проверки корректности вашей записи DKIM.

sudo amavisd-new testkeys

Если запись DKIM корректна, тест завершится успешно.

TESTING#1 linux16.ru: dkim._domainkey. linux16.ru => pass

Имейте в виду, что распространение вашей записи DKIM в интернете может занять некоторое время. В зависимости от вашего регистратора доменных имен, DNS-запись может обновиться мгновенно или может потребоваться до 24 часов. Вы можете зайти на сайт https://www.dmarcanalyzer.com/dkim/dkim-check/, указать селектор dkim и ввести ваше доменное имя, чтобы проверить статус распространения записи DKIM.

Запись DMARC

DMARC расшифровывается как аутентификация доменных сообщений, отчетность и соблюдение правил. Эта система позволяет почтовым серверам, которые обрабатывают входящие сообщения, выявлять подлинные письма и защищает ваше доменное имя от спуфинга в электронной почте.

Для создания записи DMARC откройте ваш DNS-менеджер и добавьте TXT-запись. В поле имени укажите _dmarc, а в поле значения внесите следующую информацию. (Не забудьте создать адрес электронной почты [email protected].)

Запись DMARC, упомянутая выше, представляет собой надежную базу для начала. Для более подробного понимания DMARC рекомендуется ознакомиться с последующей статьей.

• Настройка записи DMARC для обеспечения безопасности вашего домена от подделки электронной почты.

Проверка оценки электронной почты и ее расположения.

Создав записи PTR, SPF и DKIM, посетите сайт https://www.mail-tester.com. На экране появится уникальный адрес электронной почты. Отправьте сообщение с вашего домена на этот адрес, а затем проверьте полученный результат. Как видно, я получил максимальную оценку. В результате тестирования вам необходимо убедиться, что ваши записи PTR, SPF и DKIM корректны.

Mail-tester.com способен лишь оценить ваш рейтинг отправителя. Однако существует еще один инструмент — GlockApps, который дает возможность проверить, дошло ли ваше письмо до папки "Входящие" получателя, попало ли в спам или было полностью отклонено. Этот сервис совместим со многими известными почтовыми платформами, такими как Gmail, Outlook, Hotmail, Yahoo Mail, iCloud и другими.

Ваше электронное письмо было отклонено почтовым ящиком Microsoft?

Microsoft применяет внутренний черный список, который блокирует множество законных IP-адресов. Если ваши электронные письма отклоняются в Outlook или Hotmail, вам следует воспользоваться инструкциями, приведенными ниже, чтобы обойти блокировку Microsoft Outlook.

• Способы обхода черного списка Microsoft Outlook и других черных списков.

Что предпринять, если ваши электронные письма продолжают попадать в спам?

Вот еще несколько рекомендаций, которые помогут вам избежать пометки ваших писем как спам. Несмотря на то что на это потребуется время и усилия, в конечном итоге ваши электронные письма будут попадать во входящие после использования этих советов.

Добавление различных почтовых доменов.

Как выключить серую фильтрацию.

В iRedMail по умолчанию активирована серая фильтрация, позволяющая отправляющим SMTP-серверам повторить попытку отправки через некоторое время. Этот механизм в основном предназначен для борьбы со спамом, однако он может негативно сказываться на удобстве пользователей. Если вы хотите отключить серую фильтрацию, выполните инструкции ниже.

Предоставьте права на запись для файла /opt/iredapd/settings. py.

sudo chmod 600 /opt/iredapd/settings. py

После этого внесите изменения в файл настроек.

sudo nano /opt/iredapd/settings. py

Найдите последующую строку.

plugins = ["reject_null_sender", "wblist_rdns", "reject_sender_login_mismatch", "greylisting", "throttle", "amavisd_wblist", "sql_alias_access_policy"]

Изъять "greylisting" из перечня. Сохраните изменения и закройте документ. После этого перезапустите iredapd.

sudo systemctl restart iredapd

Верните файл конфигурации в режим только для чтения.

sudo chmod 400 /opt/iredapd/settings. py

Активирование порта SMTPS 465

Для использования клиента Microsoft Outlook необходимо активировать порт SMTPS 465 на SMTP-сервере Postfix.

Диагностика неисправностей

Для начала рекомендуем выбрать VPS с не менее чем 4 ГБ оперативной памяти. Попытка запустить iRedMail на VPS с 1 ГБ ОЗУ может привести к остановке работы базы данных, SpamAssassin или ClamAV из-за нехватки памяти. Если вы всё же решили использовать VPS с 1 ГБ ОЗУ, это может вызвать потерю входящих писем и другие нежелательные последствия.

Если веб-интерфейс iRedMail не работает и появляется ошибка 502 Bad Gateway, рекомендуется заглянуть в журналы Nginx, которые находятся в каталоге /var/log/nginx/, чтобы найти возможные причины проблемы. Дополнительно стоит просмотреть журнал почты по пути /var/log/mail.log.

Убедитесь, что различные службы функционируют корректно.

systemctl status postfix systemctl status dovecot systemctl status nginx systemctl status mariadb systemctl status clamav-daemon systemctl status amavis

Пожалуйста, предоставьте текст, который вы хотите, чтобы я перефразировал.

Сохраните изменения в файле и закройте его. Убедитесь в правильности настроек Nginx, затем перезагрузите сервер.

sudo nginx - t sudo systemctl reload nginx

Настроить задачу Cron

Если проверка завершилась удачно, можно настроить Cron-задачу для автоматического обновления сертификата. Для этого откройте файл crontab под пользователем root.

sudo crontab - e

В завершение добавьте следующую строку в конец файла.

@daily certbot renew - w /var/www/html --quiet && systemctl reload postfix dovecot nginx

Чтобы эти программы могли использовать новый сертификат и приватный ключ, требуется перезагрузить Postfix, Dovecot и Nginx.

Для опытных пользователей.

Возможно, вам понадобится настроить фильтр контента SpamAssassin для более эффективного выявления спама.

• Фильтрация спама в электронной почте с использованием анализа заголовков и содержимого в Postfix/SpamAssassin

Если ваш сайт и почтовый сервер размещены на отдельных виртуальных частных серверах (VPS), можно настроить SMTP-ретрансляцию для связи между ними. Это позволит сайту отправлять письма через почтовый сервер. Дополнительные инструкции можно найти в статье (хотя она ориентирована на Ubuntu, она также совместима с Debian).

• Настройка SMTP-релейинга между двумя серверами Postfix SMTP на Ubuntu

Итоги

Учебник завершён! Надеюсь, он был полезен для настройки почтового сервера на Debian 12 с iRedmail.Если вам понравилась эта статья, подписывайтесь на нашу бесплатную рассылку, чтобы получать ещё больше полезных рекомендаций и советов.