Debian邮件服务器安装注意事项

Debian邮件服务器安装注意事项

一 规划与基础准备

• 选择稳定版本：生产环境优先使用 Debian Stable，测试环境再考虑 Testing，避免不稳定依赖影响邮件可用性。
• 资源与分区：邮件服务对磁盘与内存有一定要求，最小安装建议至少 780MB RAM 与 920MB 磁盘空间；磁盘可按需为日志、队列与用户邮箱单独分区，便于维护与扩容。
• 网络与主机名：确保 IP、子网掩码、网关、DNS 正确；设置全域名 FQDN（如 mail.example.com），并保证反向 DNS（PTR）与主机名一致，有助于通过反垃圾检查。
• 公网可达与端口：邮件入站通常依赖 TCP 25（MTA）、提交端口 587（Submission，带认证）、以及 IMAP/POP3 的 143/110；若仅内网收发，可限制来源网段。
• 合规与策略：提前规划发信策略（如仅本域中继、外发需认证）、备份策略（邮箱与配置分区分份）、监控与告警（队列积压、连接失败）。

二 组件选择与基础配置

• 组件搭配：常用组合为 Postfix（MTA）+ Dovecot（IMAP/POP3/LMTP）；也可选 Exim 作为 MTA，按团队熟悉度与生态选择。
• Postfix 基础：设置 myhostname、mydomain、myorigin、inet_interfaces、mydestination 等关键参数；仅监听必要接口，明确可接收的域名列表。
• Dovecot 基础：启用 IMAP/POP3，配置 mail_location = maildir:~/Maildir；认证建议启用 SASL PLAIN/LOGIN，并规划系统用户或虚拟用户方案。
• 交付链路：Postfix 与 Dovecot 可通过 LMTP 或本地投递代理集成，确保邮件落库到用户邮箱目录。
• 避免冲突：安装前确认未运行其他 MTA（如 sendmail/exim），必要时停用或卸载，防止端口与队列冲突。

三 安全与加固要点

• 加密传输：为 SMTP（25/587） 与 IMAP/POP3（143/110） 启用 SSL/TLS；证书可用自签或 Let’s Encrypt，后者可通过 Certbot 自动部署到 Postfix/Dovecot。
• 认证与中继：禁用明文认证（IMAP/POP3），强制 STARTTLS；仅允许受控网段在 mynetworks 内无需认证中继，外发必须认证，杜绝开放中继。
• 访问控制：细化 smtpd_*_restrictions（如 permit_mynetworks、reject_unauth_destination 等），限制 HELO/EHLO 标识、空发件人与速率。
• 系统与账户：禁用 root 远程登录，使用 SSH 密钥；为邮件服务创建专用系统或虚拟用户，遵循最小权限原则。
• 防火墙与端口：仅开放 25、587、143、110（必要时 993/995 用于 IMAPS/POP3S），并限制来源；云厂商安全组同样要放通对应端口。
• 持续更新：保持 Debian 与邮件组件 的及时更新，修补漏洞并重启受影响服务。

四 DNS 与反垃圾配置

• 必要记录：配置 A 记录（mail.example.com → 服务器 IP）与 MX 记录（example.com → 10 mail.example.com.）；确保 PTR 与 HELO/EHLO 主机名一致。
• 发送信誉：添加 SPF（如 “v=spf1 mx a ~all”），部署 DKIM（生成密钥并在 DNS 发布 selector._domainkey 记录），并考虑 DMARC 策略以提升到达率与可信度。
• 端口与加密：对外提供 587/Submission 用于客户端发信（强制认证与 STARTTLS），25 主要用于服务器间传输；IMAP/POP3 建议使用 993/995 的隐式加密端口。
• 连通性测试：部署后用 telnet/nc 测试 25/587 会话，使用 swaks 或邮件客户端测试 IMAP/POP3 登录与收发；检查队列与日志定位问题。

五 上线后的运维与排错

• 日志与监控：重点查看 /var/log/mail.log 与 /var/log/mail.err，监控队列长度、连接失败与投递延迟；设置告警阈值。
• 备份与恢复：定期备份 /etc/postfix、/etc/dovecot、/var/vmail 与数据库（如有），并进行恢复演练；按日/周分层保留。
• 性能与队列：合理设置 message_size_limit、smtpd_recipient_limit，监控 deferred 队列与连接峰值，必要时横向扩容或优化规则。
• 客户端与协议：统一客户端安全策略（强制 TLS、禁用明文），逐步引导用户使用 IMAP over 993 与 Submission 587。
• 合规与策略：持续评估 黑名单（RBL）、灰名单与速率限制策略，避免误判与滥用；对外部发信域进行 SPF/DKIM/DMARC 对齐检查。