Простой способ настройки почтового сервера на Debian 11 Bullseye с использованием iRedMail

Замените их на:

ssl_cert = mail.your-domain.com/fullchain. pem ssl_key = mail.your-domain.com/privkey. pem

Сохраните файл и закройте его. После этого перезапустите dovecot.

sudo systemctl reload dovecot

С этого времени пользователи настольной почты больше не будут получать уведомления о безопасности.

Подача пробного сообщения

Зайдите в панель iredadmin, используя учетную запись администратора почты ([email protected]). На вкладке "Добавить" можно подключить новые домены или электронные почтовые адреса.

Если у вас возникла ошибка «домен не под контролем», пожалуйста, ознакомьтесь с этой статьей.

После регистрации пользователя вы можете зайти на веб-почту Roundcube и авторизоваться с использованием нового почтового аккаунта.

https://mail.your-domain.com/mail/

Теперь у вас есть возможность протестировать процесс отправки и получения электронных писем. Обратите внимание, что вам может понадобиться подождать несколько минут для получения писем, так как iRedMail по умолчанию активирует серую блокировку, которая уведомляет другие SMTP-серверы о необходимости повторной попытки через несколько минут. В следующей строке файла журнала почты /var/log/mail.log указано, что серая блокировка активна.

Адрес получателя отклонён: намеренное отклонение политики, пожалуйста, попробуйте позже;

Увеличение объема файла подкачки.

ClamAV предназначен для проверки электронных писем на наличие вирусов. Однако он может потреблять значительное количество оперативной памяти. В случае недостатка ОЗУ на сервере ClamAV может функционировать некорректно, что повлияет на способность почтового сервера отправлять сообщения. Вы можете увеличить общее количество оперативной памяти, добавив файл подкачки. Однако стоит учитывать, что использование файла подкачки может негативно сказаться на производительности сервера. Для достижения лучших результатов рекомендуется повысить объем физической оперативной памяти вместо того, чтобы полагаться на файл подкачки.

Для добавления пространства подкачки на сервере сначала выполните команду fallocate для создания файла. К примеру, создайте файл с названием swapfile объемом 1G в корневой файловой системе:

sudo fallocate - l 1G /swapfile

После этого проверьте, чтобы доступ к чтению и записи имел только пользователь root.

sudo chmod 600 /swapfile

Отформатируйте его для загрузки.

sudo mkswap /swapfile

Настройка пространства подкачки версии 1, размер = 1024 МиБ (1073737728 байт) без метки, UUID=0aab5886-4dfb-40d4-920d-fb1115c67433

Активируйте файл подкачки.

sudo swapon /swapfile

Для настройки автоматического монтирования раздела подкачки при старте системы, необходимо внести изменения в файл /etc/fstab.

sudo nano /etc/fstab

Вставьте следующую строку в конец данного файла.

/swapfile swap swap defaults 0 0

Сохраните изменения в файле и закройте его. После этого перезагрузите systemd и запустите ClamAV заново.

sudo systemctl daemon-reload sudo systemctl restart clamav-daemon

Убедитесь, что порт 25 (исходящий) не заблокирован.

Ваш интернет-провайдер или хостинг-компания не препятствует входящим соединениям на порт 25 вашего сервера, что позволяет вам получать электронные письма от других почтовых систем. В то же время многие провайдеры блокируют исходящие соединения на порт 25 для отправки сообщений, из-за чего вы не сможете отправлять электронные письма.

Если ваше сообщение не дошло до другого почтового ящика, например, Gmail, выполните следующую команду на вашем почтовом сервере, чтобы узнать, заблокирован ли исходящий порт 25.

telnet gmail-smtp-in. l.google.com 25

Если соединение успешно установлено, вы увидите сообщения, аналогичные тем, что указаны ниже, при условии, что он не заблокирован. (Совет: введите quit и нажмите Enter, чтобы завершить соединение.)

Попытка 74.125.68.26. Подключено к gmail-smtp-in. l.google.com. Символ выхода '^]'. 220 mx. google.com ESMTP y22si1641751pll.208 - gsmtp

Если исходящий порт 25 заблокирован, вы получите сообщение, похожее на следующее:

Попытка 2607:f8b0:400e:c06::1a. Попытка 74.125.195.27. telnet: Не удается подключиться к удаленному хосту: время подключения истекло

В данной ситуации ваш SMTP-сервер Postfix не в состоянии отправлять электронные письма на другие SMTP-серверы. Рекомендуется обратиться к вашему интернет-провайдеру или хостинг-компании с просьбой разблокировать этот доступ. Если они откажутся, вам потребуется настроить SMTP-ретрансляцию, чтобы обойти ограничение на порт 25.

По-прежнему не удается отправить письмо?

Если порт 25 (исходящий) не закрыт, но вы по-прежнему не можете отправлять электронные письма с вашего почтового сервера на другой адрес, например, на Gmail, вам стоит просмотреть журнал почты (/var/log/mail.log).

sudo nano /var/log/mail.log

Например, в файле могут быть представлены следующие строки для некоторых пользователей.

хост gmail-smtp-in. l.google.com[2404:6800:4003:c03::1b] сообщил: 550-5.7.1 [2a0d:7c40:3000:b8b::2] Наша система обнаружила, что 550-5.7.1 это сообщение не соответствует руководящим принципам отправки IPv6 по PTR 550-5.7.1 записям и аутентификации . Пожалуйста, просмотрите 550-5.7.1 https://support. google.com/mail/?p=IPv6AuthError для получения дополнительной информации

Это указывает на то, что ваш почтовый сервер применяет IPv6 для отправки писем, однако записи IPv6 у вас не настроены. Рекомендуется войти в DNS-менеджер, создать запись AAAA для mail.your-domain.com, а также настроить запись PTR для вашего IPv6-адреса, как указано в девятом шаге.

Применение почтовых клиентов на вашем ПК или мобильном устройстве.

Откройте свой настольный почтовый клиент, такой как Mozilla Thunderbird, и настройте почтовый аккаунт.

• В разделе настройки входящего сервера выберите протокол IMAP. Укажите mail.your-domain.com в качестве имени сервера, установите порт 143 и выберите STARTTLS. В качестве метода аутентификации выберите обычный пароль.
• В настройках исходящего сервера выберите протокол SMTP, укажите mail.your-domain.com в качестве адреса сервера, установите порт 587 и выберите STARTTLS. В качестве метода аутентификации выберите обычный пароль.

Блокировка собственного IP-адреса в системе Fail2ban.

Если вы допустили ошибку и несколько раз не смогли войти на почтовый сервер, система Fail2ban может заблокировать ваш IP-адрес. Чтобы разблокировать его, вам нужно добавить свой IP в белый список, отредактировав файл jail. local.

sudo nano /etc/fail2ban/jail. local

Включите свой IP-адрес в список исключений, как указано ниже. Подмените 12.34.56.78 на свой действительный IP-адрес.

ignoreip = 12.34.56.78 127.0.0.1 127.0.0.0/8 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16

Сохраните файл и закройте его. После этого перезапустите Fail2ban.

sudo systemctl restart fail2ban

Оптимизация отправки электронной почты

Для того чтобы избежать попадания ваших писем в спам, необходимо настроить записи PTR, SPF, DKIM и DMARC.

Запись PTR

Запись указателя (PTR) связывает IP-адрес с полным доменным именем (FQDN). Она является противоположностью записи A и применяется для обратного поиска DNS, что может быть полезно в борьбе со спамом. Многие SMTP-серверы отказываются принимать сообщения, если не удается найти запись PTR для отправляющего сервера.

Чтобы проверить PTR-запись для IP-адреса, введите следующую команду:

dig - x IP-адрес +short

host IP-адрес

Запись PTR не находится под контролем вашего регистратора домена. Ею занимается организация, предоставляющая вам IP-адрес. Поскольку IP-адрес вы получаете от вашего хостинг-провайдера или интернет-провайдера (ISP), а не от регистратора доменов, необходимо настроить запись PTR для вашего IP в панели управления вашего хостинга или обратиться к вашему ISP. Значение записи должно соответствовать имени хоста вашего почтового сервера, например: mail.your-domain.com. Если ваш сервер использует IPv6, не забудьте создать запись PTR для вашего IPv6-адреса.

Для редактирования записи обратного DNS вашего VPS в Kamatera необходимо войти в клиентскую панель и создать тикет в службе поддержки. Укажите им, чтобы они добавили запись PTR для вашего серверного IP-адреса, указывающую на mail.your-domain.com. Хотя этот процесс может показаться неудобным, он важен для защиты платформы от спама, чтобы такие законные отправители электронной почты, как мы, могли поддерживать хорошую репутацию IP-адреса.

Запись SPF

Запись SPF (Sender Policy Framework) определяет, какие хосты или IP-адреса имеют право отправлять электронные письма от имени вашего домена. Разрешите отправку писем только вашему собственному почтовому серверу или серверу вашего интернет-провайдера. В вашем DNS-управлении добавьте новую TXT-запись, как указано ниже.

• TXT обозначает, что это запись типа TXT.
• Для обозначения основного доменного имени введите символ @ в поле имени.
• Запись v=spf1 обозначает, что это SPF-запись версии 1.
• MX указывает, что только хосты, указанные в записях MX, могут отправлять электронные письма от имени вашего домена, а все другие хосты не имеют на это права.
• ~Запись all обозначает, что сообщения с вашего домена должны отправляться исключительно через серверы, указанные в SPF. Все письма от других серверов будут отмечены как фальшивые.

Чтобы убедиться, что ваша запись SPF доступна в публичной сети, можно воспользоваться утилитой dig на компьютере с Linux, как в примере ниже:

dig your-domain.com txt

Параметр txt указывает dig, что нужно запросить исключительно TXT-записи.

Запись DomainKeys Identified Mail (DKIM)

DKIM (DomainKeys Identified Mail) применяет закрытый ключ для создания цифровой подписи исходящих писем с вашего домена. Серверы получателей SMTP используют открытый ключ, опубликованный в DNS-записи DKIM, для проверки этой подписи.

Скрипт iRedMail автоматически настраивает DKIM-подпись и её проверку на вашем сервере. Остается только добавить DKIM-запись в DNS-менеджере. Для отображения публичного ключа DKIM используйте следующую команду.

sudo amavisd-new showkeys

DKIM открытый ключ указан в скобках.

После этого в вашем менеджере DNS необходимо создать TXT-запись. В поле имени укажите dkim._domainkey. Скопируйте содержимое в скобках и вставьте его в поле значений, предварительно удалив все двойные кавычки и переносы строк.

После того как изменения будут сохранены, выполните следующую команду для проверки корректности вашей DKIM-записи.

sudo amavisd-new testkeys

При условии, что DKIM-запись корректна, тест будет выполнен успешно. Имейте в виду, что распространение вашей DKIM-записи в Интернете может занять некоторое время. В зависимости от вашего регистратора доменов, DNS-запись может обновиться мгновенно или же на это может уйти до 24 часов. Вы можете посетить сайт https://www.dmarcanalyzer.com/dkim/dkim-check/, ввести "dkim" в качестве селектора и указать ваше доменное имя для проверки статуса распространения DKIM-записи.

TESTING#1 linux16.ru: dkim._domainkey. linux16.ru => pass

Запись DMARC

DMARC расшифровывается как аутентификация сообщений, основанная на домене, а также включает в себя механизм отчетности и контроля. С помощью DMARC почтовые серверы, принимающие сообщения, могут различать настоящие электронные письма и защититься от мошеннического использования вашего доменного имени в фальшивых письмах.

Для создания записи DMARC зайдите в ваш DNS-менеджер и добавьте запись типа TXT. В поле имени укажите _dmarc, а в поле значения введите необходимую информацию. (Рекомендуется создать электронный адрес [email protected].)

Указанная запись DMARC представляет собой надежный стартовый пункт. Для получения более детального объяснения DMARC, пожалуйста, ознакомьтесь со следующей статьей.

• Настройка записи DMARC для обеспечения безопасности вашего домена от мошеннической электронной почты.

Проверка качества электронной почты и размещения.

После настройки записей PTR, SPF и DKIM, зайдите на сайт https://www.mail-tester.com. Вы получите уникальный адрес электронной почты. Отправьте сообщение с вашего домена на этот адрес и затем оцените свой результат. Как видно, я получил максимальный балл. По итогам теста проверьте, корректны ли ваши записи PTR, SPF и DKIM.

Сервис Mail-tester.com предоставляет лишь оценку отправителя. Однако существует и другая платформа — GlockApps, которая позволяет узнать, пришло ли ваше письмо в основную папку "Входящие", оказалось ли оно в "Спаме" или было полностью отклонено. Этот инструмент совместим с множеством известных почтовых сервисов, таких как Gmail, Outlook, Hotmail, Yahoo Mail, iCloud и другими.

Как поступить, если ваше сообщение не было принято почтовым ящиком Microsoft?

Microsoft применяет свой внутренний черный список, который запрещает доступ к ряду легитимных IP-адресов. Если ваши сообщения не доходят до Outlook или Hotmail, следует ознакомиться с приведенными ниже инструкциями, чтобы обойти блокировку со стороны Microsoft Outlook.

• Как преодолеть ограничения черного списка Microsoft Outlook и других аналогичных систем.

Как поступить, если ваши сообщения продолжают попадать в папку со спамом?

Вот еще несколько рекомендаций, которые помогут вам предотвратить маркировку ваших писем как спам. Хотя это потребует определенного времени и усилий, в конечном итоге ваши сообщения окажутся в папке «Входящие», если следовать данным советам.

Подключение нескольких почтовых доменов

Как снять серую блокировку

В iRedMail по умолчанию активирована серая блокировка, которая предлагает другим SMTP-серверам повторить попытку отправки через несколько минут. Эта функция в первую очередь предназначена для борьбы со спамом, но может негативно сказываться на удобстве использования. Если вы хотите отключить серую блокировку, воспользуйтесь приведёнными ниже инструкциями.

Предоставьте разрешения на запись для файла /opt/iredapd/settings. py.

sudo chmod 600 /opt/iredapd/settings. py

После этого внесите изменения в файл конфигурации.

sudo nano /opt/iredapd/settings. py

Найдите последующую строку.

plugins = ["reject_null_sender", "wblist_rdns", "reject_sender_login_mismatch", "greylisting", "throttle", "amavisd_wblist", "sql_alias_access_policy"]

Уберите "greylisting" из перечня. Сохраните изменения и закройте документ. После этого перезапустите iredapd.

sudo systemctl restart iredapd

Верните файл конфигурации в режим доступный только для чтения.

sudo chmod 400 /opt/iredapd/settings. py

Активация порта 465 для SMTPS.

Если вы планируете использовать клиент Microsoft Outlook, необходимо активировать SMTPS на порту 465 в сервере Postfix SMTP.

Диагностика и решение проблем

В начале рекомендуем использовать VPS с объемом оперативной памяти не менее 4 ГБ. Попытка установить iRedMail на VPS с 1 ГБ ОЗУ может привести к сбоям в работе базы данных, SpamAssassin или ClamAV из-за нехватки ресурсов.

location ~ /.well-known/acme-challenge < root /var/www/html/; allow all; >

Сохраните файл и закройте его. Убедитесь в корректности конфигурации Nginx, затем выполните перезагрузку.

sudo nginx - t sudo systemctl reload nginx

Настройка задачи Cron

Если пробный запуск пройдет успешно, вы сможете настроить Cron-задачу для автоматического обновления сертификата. Для этого откройте файл crontab от имени пользователя root.

sudo crontab - e

После этого вставьте следующую строку в конец файла.

@daily certbot renew - w /var/www/html --quiet && systemctl reload postfix dovecot nginx

Для того чтобы Postfix, Dovecot и Nginx смогли использовать новый сертификат и закрытый ключ, необходимо выполнить их перезагрузку.

Для продвинутых пользователей

Можно настроить фильтр контента SpamAssassin для более эффективного выявления спама.

• Фильтрация почтового спама с помощью анализа заголовков и содержимого в системе Postfix/SpamAssassin.

Если ваш веб-сайт и почтовый сервер располагаются на отдельных VPS (виртуальных частных серверах), вы можете организовать SMTP-ретрансляцию, позволяющую вашему веб-сайту отправлять электронные письма через почтовый сервер. Ознакомьтесь с приведенной ниже статьей. (Она предназначена для Ubuntu, но подходит и для Debian).

• Настройка SMTP-ретрансляции между двумя серверами Postfix на базе Ubuntu.

Заключение

Итак, это всё! Надеюсь, данный учебник был вам полезен для настройки почтового сервера на Debian 11 с помощью iRedmail.Если вы нашли эту статью интересной, не забудьте подписаться на нашу бесплатную рассылку, чтобы получать больше советов и рекомендаций.