Установка и настройка iRedMail на CentOS

Тематические термины: iRedMail, CentOS, Postfix, Dovecot, Roundcube, POP3, IMAP, PTR, SPF, DKIM

Данная инструкция протестирована на CentOS версий 7 и 8, а также Rocky Linux.

Подготовка системы

Задаем имя сервера:

* обязательно задать полное (FQDN) имя, в противном случае, когда мы будем запускать установку почтового сервера мы получим ошибку << ERROR >> Please configure a fully qualified domain name (FQDN) in /etc/hosts before we go further.

Устанавливаем wget и tar (нужны для скачивания и распаковки архива iRedMail):

В CentOS 8 необходимо включить репозиторий PowerTools:

В последних версиях iRedMail необходимо использовать веб-сервер NGINX, поэтому останавливаем apache и отключаем его автозапуск:

* если в системе не установлен Apache (httpd), мы увидим ошибку или предупреждение.

Установка iRedMail

На странице загрузки iRedMail копируем ссылку на последнюю версию сборки:

Скачиваем сборку:

* где https://github.com/iredmail/iRedMail/archive/1.3.2.tar.gz — ссылка на скачивание версии, актуальной на момент обновления инструкции.

Распаковываем скачанный архив:

Переходим в распакованную папку:

Запускаем скрипт установки:

В открывшемся приветствии отвечаем Yes:

Вводим путь для хранения почты или оставляем предложенный по умолчанию:

Выбираем веб-сервер, на котором будет работать консоли управления и доступа к почте:

* с версии 0.9.8 только nginx.

Выбираем средство хранения данных:

Задаем пароль администратора базы данных:

Вводим наш почтовый домен:

Задаем пароль для администратора почтовыми ящиками:

Выбираем все дополнения для удобства работы с iRedMail:

Подтверждаем введенные настройки (y) и нажимаем Enter. На все последующие вопросы тоже отвечаем y.

Ждем окончания процесса.

Отключение Graylisting

Graylisting является мощным инструментом в борьбе со СПАМом, но при начальном тестировании сервера он создаст много неудобств. На время проверки почтовика Graylisting лучше отключить. Для этого добавляем права на редактирование следующему файлу:

Открываем для редактирования следующий файл:

Находим строчку:

И убираем "greylisting".

Возвращаем права:

Перезагружаем iredapd:

Создание пользователя

Открываем браузер и в адресной строке вводим https://IP-адрес_сервера/iredadmin/

Откроется страница входа в панель управления. Вводим логин postmaster@dmosk.ru и пароль (пароль и домен dmosk.ru — данные, которые мы вводили при установке iRedMail).

Создадим первого пользователя. Для этого переходим по Add - User:

Заполняем поля и создаем пользователя:

Проверяем работу сервера

Получение

Чтобы проверить получение почты, для домена должна быть настроена MX-запись. Открываем панель администрирования записей для домена и создаем запись типа MX (приоритет может быть любой, он важен, если используется несколько почтовых серверов). Запись должна вести на имя сервера, например:

* в данном примере добавлена MX-запись для домена dmosk.ru. Ее приоритет 10 и она говорит, что отправлять почту для домена нужно на сервер mail.dmosk.ru.

Чтобы другой сервер понимал, какой адрес у mail.dmosk.ru, создаем запись типа А. Пример:

* где mail.dmosk.ru — имя нашего сервера.

На применение настроек DNS может уйти несколько часов. Ждем и пробуем отправить письма на наш домен.

Отправка почты

Открываем браузер и в адресной строке вводим https://IP-адрес_сервера/mail/

Откроется панель для работы с почтой — вводим логин и пароль от созданного пользователя (логин должен быть с доменом, в нашем примере, test1@dmosk.ru)

Нажимаем Написать сообщение и отправляем тестовое сообщение на один из своих адресов:

Если письма не отправляются, выполняем рекомендации ниже по предотвращению попадания в СПАМ.

Защищаем сообщения от попадания в СПАМ

Чтобы другие почтовые системы не принимали наши письма за СПАМ, выполняем следующие рекомендации:

А-запись в DNS

Для почтового сервера должна быть создана А-запись в DNS. Пример записи:

* где mail.dmosk.ru — имя нашего сервера. По идее, данную запись мы создавали выше при проверке входящих сообщений.

Создаем PTR-запись для внешнего IP-адреса

Она должна вести на имя сервера (в данном примере, mail.dmosk.ru). Чтобы создать такую запись, нужно написать обращение Интернет-провайдеру или хостеру виртуальной машины. Пример записи:

Добавляем SPF-запись для домена

Эта запись создается в DNS для домена, от которого идет отправка сообщений. Пример:

Прописываем DKIM в DNS

Для начала, смотрим ключ, который был сформирован во время установки iRedMail:

Пример ответа:

Копируем DKIM и создаем в DNS запись TXT. Пример:

Создать другую подпись DKIM

Генерируем новый ключ:

* где dmosk2.ru — новый домен, для которого мы сгенерируем подпись dkim.
* некоторые системы не работают с ключами более чем 1024 бит.

Задаем права на созданный файл:

Открываем конфигурационный файл amavisd:

* если файла нет или он окажется пустым, vi /etc/amavisd.conf.

Находим строчку:

* напомню, что dmosk.ru — домен, который мы вводили при установке iRedMail. В каждом случае он будет другим.

И добавляем радом с ней новую. Получится так:

Теперь находим строчку:

И также после нее добавляем новую. Должно получиться:

Перезапускаем amavisd:

Посмотреть DKIM последовательность для нового домена можно командой:

Ящик abuse

По аналогии с тем, как мы создавали тестовую учетную запись, необходимо создать ящик abuse@... На данный ящик могут приходить жалобы на СПАМ. Стоит время от времени просматривать его (или настроить переадресацию), и реагировать на жалобы.

Управление белыми и черными списками

Переходим в каталог с утилитами iredmail:

Просмотреть содержимое белого и черного списков:

Добавить в списки:

* Первая команда добавит в белый список адрес 111.112.113.114, email info@domain.ru и домен dmosk.ru со всеми поддоменами. Вторая команда добавит в черный список адрес 111.112.113.115 и домен baddomain.com.

Удалить из списка:

* как видим, процесс удаления аналогичен — просто меняем --add на --delete.

Установка своего сертификата

При установке устанавливается самоподписанный сертификат. Это приведет к лишним сообщениям нарушения безопасности в браузере.

Для начала, получаем сертификат, заверенный доверенным центром сертификации. Его можно купить или получить бесплатно от Let's Encrypt. Мы рассмотрим последнее подробнее.

Открываем файл:

... и добавим в секцию server:

Перечитаем конфиг nginx:

Устанавливаем утилиту для получения сертификата:

И получаем сертификат командой:

* обратите внимание, что в данном примере мы получим сертификат для узла mail.dmosk.ru.

Продолжаем выполнение операции:

Мы должны увидеть подтверждение об успешном получении сертификата:

Удаляем старые сертификаты:

Создаем переменную с нашим именем узла, на который мы получили сертификат (для удобства):

И создаем симлинки на полученные:

* cert.pem и iRedMail.crt — открытые ключи (public); privkey.pem и iRedMail.key — закрытые (private); mail.dmosk.ru — узел, для которого был получен сертификат (его мы задали в переменной DOMAIN). Обратите внимание, что в нашем примере прописаны пути до сертификатов от Let's Encrypt — если у вас свои сертификаты, пути должны быть соответствующими.

Перезапускаем следующие службы:

Для автоматического продления сертификата создаем в cron задачу:

Добавим: 

Отключение антивируса и антиспама

Отключить защиту для почты может понадобиться при различных обстоятельствах, например:

1. Для диагностики проблем отправки сообщений.
2. Экономии ресурсов (антивирус может слишком много потреблять ресурсов).
3. При отсутствии необходимости.

И так, для отключения amavis (clam + spamassassin) открываем файл:

Приводим к следующему виду настройку:

* в данном примере мы сняли комментарий с данных строк (если они были закомментированы) и задаем для них значение 1. Опция bypass_virus_checks_maps отвечает за включение проверки писем на вирусы; bypass_spam_checks_maps — на СПАМ.

Перезапускаем службу amavisd:

После данной настройки письма будут отправляться без проверок. Однако, сервис антивируса будет, по-прежнему, работать.

Останавливаем и отключаем сервис clamd:

Настройка почтового клиента

Помимо веб-интерфейса, мы можем работать с нашим сервером iredmail, используя почтовые клиенты, такие как MS Outlook, Mozilla Thunderbird и так далее.

Для подключения клиента используем следующие параметры:

Настройка	IMAP	POP3	SMTP
Адрес сервера	IP-адрес сервера или его имя
Порт	143	110	587
SSL	STARTTLS
Имя пользователя	Почтовый адрес, к которому выполняем подключение
Пароль	Пароль для почтового ящика

Пример настройки в Mozilla Thunderbird:

Группы рассылки

В профессиональной платной версии iRedMail можно управлять группами рассылки из веб-интерфейса. Данный процесс не вызовет сложностей. Мы же рассмотрим, как создать группу для рассылки через запросы SQL. Данный метод является единственным для бесплатной версии.

Подключаемся к базе данных (в нашем примере, это mariadb):

Используем нашу базу для почты:

Создадим группу рассылки:

* в данном примере мы создали группу с почтовым адресом managers@dmosk.ru для домена dmosk.ru.

Теперь добавим в нее три адреса:

* в данном примере мы добавили в созданный адрес рассылки managers@dmosk.ru три адреса — postmaster@dmosk.ru, test1@dmosk.ru, example@gmail.com. Обратите внимание, что последний адрес на бесплатном сервисе от Google.

Сбросить пароль

В бесплатной версии iredmail сброс паролей выполняется напрямую в СУБД или каталоге LDAP. Подробнее процедура описана на официальном сайте. Мы же рассмотрим пример работы с базой MySQL.

Создаем хэш для пароля:

Система попросит нас ввести дважды пароль — вводим тот, что хотим использовать. В итоге, мы получим хэш, например:

Подключаемся к базе:

Выбираем базу:

Смотрим пользователей:

Сбрасываем пароль для пользователя с правами администратора, например:

* в нашем примере, для postmaster@dmosk.ru.

Настройка аутентификации

В данном разделе рассмотрим некоторые настройки аутентификации на сервисах почтовой системы iRedMail.

Разрешить соединение без STARTTLS

После установки iRedMail, система будет требовать от клиента безопасного соединения по TLS. При необоходимости, можно отключить данную возможность.

Отключение для SMTP

Открываем конфигурационный файл postfix:

Задаем следующие настройки:

Перезапускаем postfix:

Отключение для IMAP/POP3

Открываем конфигурационный файл dovecot:

Задаем следующие настройки:

* где disable_plaintext_auth запрещает аутентификацию без защиты; ssl задает опцию защиты (в данном примере, разрешить, но не требовать).

Перезапускаем dovecot:

Настройка политики паролей

По умолчанию, система требует сложные пароли. Если это нам мешает, мы можем поменять настройку в файле:

Для длины пароля меняем:

А также дописываем те опции, которые хотим переопределить:

Чтобы настройки применились, перезагружаем uwsgi:

Отключить аутентификацию при отправке почты

Нам может потребоваться отключить необходимость проходить проверку подлинности при отправке почты. Для это открываем файл:

Находим опцию mynetworks и добавляем в нее через пробел сети или адреса компьютеров, с которых мы хотим разрешить отправку почты без проверки подлинности:

* в данном примере мы разрешаем локальному хосту и всех подсети 172.16.10.0/24.

Также нам нужно найти директиву smtpd_recipient_restrictions и сделать так, чтобы правило permit_mynetworks было выше правила check_policy_service inet:127.0.0.1:7777, например:

Можно перезагружать postfix:

Дополнительная настройка

Лимит на объем отправляемого сообщения

Задается командой:

* в данном примере выставлен лимит в 30 мб.

После перезапускаем сервис Postfix:

Настройка администратора для домена

В бесплатной версии программы из веб-панели можно назначить только глобального администратора. Но если нам нужно задать привилегированного пользователя только для одного домена, необходимо вносить настройки напрямую в базу данных.

Создаем пользователя в iredadmin и подключаемся к SQL-оболочке, в зависимости от того, какая СУБД была установлена. В нашем примере, это mariadb:

Используем базу vmail:

Изменим настройки для созданного пользователя:

* в данном примере мы указываем, что пользователь postmaster@test.local должен быть админом (isadmin=1), но не глобальным админом (isglobaladmin=0).

Теперь укажем, для какого домена пользователь должен быть администратором:

* в данном примере мы добавили запись, в которой указали, что пользователь postmaster@test.local является администратором для домена test.local. При необходимости разрешить одному пользователю управлять несколькими доменами, мы должны выполнить несколько аналогичных запросов.

Перенаправление СПАМа на специальный ящик

По умолчанию, письма с отметкой [SPAM] в теме письма приходят на ящики пользователей. Если мы хотим, чтобы наш сервер пересылал все сообщения с подозрением на СПАМ в специальный ящик, выполняем следующее.

Открываем на редактирование файл:

... и добавляем строку:

* в даной инструкции мы говорим проверять заголовок, и если находим в теме [SPAM], перенаправляем письмо на ящик spam@dmosk.ru.

Проверяем настройку командой:

Мы должны увидеть что-то на подобие:

Теперь открываем файл:

Находим в нем все опции no_header_body_checks и удаляем их. Данные опции запрещают проверку заголовков, что помешает нам использовать опцию header_checks в Postfix.

Перезапускаем службу mta:

Перенаправление почты для почтового ящика

Настройка пересылки писем через веб-интерфейс доступна только в Pro версии. В бесплатной это можно сделать с помощью прямых запросов в базу. Рассмотрим одну SQL-команду.

Подключаемся к базе данных:

Используем нашу базу для почты:

Создадим настройку для пересылки:

* в данном примере мы перенаправим всю почту, которая придет на адрес iredmail_user@dmosk.ru на почтовый ящик other_user@example.com.

Чтобы удалить перенаправление, сначала находим нужную нам строку:

Затем просто ее либо удаляем по идентификатору:

* в моем примере нужная нам строка была под идентификатором 10.

... или можно просто отключить перенаправления, не трогая троку:

Решение проблем

Рассмотрим некоторые проблемы, с которыми столкнулся я.

internal server error

При попытке зайти на веб-интерфейс, мы можем увидеть ошибку internal server error.

Причина: данное сообщение означает о наличии какой-то ошибки в работе сервера, как правило, при попытке интерпретировать страницу. Более точную причину можно узнать только в логе.

Решение: так как сообщение является общим и может означать любую ошибку, необходимо открыть лог сервера:

Еще раз загрузить страницу и получить ошибку. После посмотреть в лог и уже ориентироваться по его тексту. 

Например, я увидел сообщение:

Оно означает, что для интерпретатора python нет нужного модуля. По какой-то причине, он не был установлен. Тогда просто установим его вручную:

* актуальную версию можно посмотреть на странице pypi.org/project/web.py.

После нужно будет перезагрузить uwsgi:

Отсутствует криптографическая функция

Ошибка появляется при попытке изменить пароль пользователя в Roundcube.

Причина: отсутствует модуль php-mcrypt.

Решение: для установки php-mcrypt на CentOS 7 используем команду:

Пакет php-mcrypt был удален из репозиториев начиная с CentOS/Rocky Linux 8, поэтому установка производится немного иначе, чем на более старых версиях.

Устанавливаем EPEL-репозиторий:

Устанавливаем пакеты, необходимые для сборки расширения mcrypt:

Скачиваем исходники расширения mcrypt:

Распакуем их:

Переходим в директорию исходников и компилируем расширение:

Установите расширение:

Добавим строку extension=mcrypt.so в файл конфигурации PHP (/etc/php.ini):

Перезапустите php-интерпретатор (в нашем случае это php-fpm) и проверьте, что расширение установлено:

Если выводится строка mcrypt, то расширение успешно установлено.

Аналоги iRedMail

Если есть причины, по которым iRedMail не подходит, можно рассмотреть другие варианты:

1. iRedMail Pro. Платная версия настроенного в данной инструкции программного обеспечения. Обладает расширенными настройками и возможностями.

2. Ручная сборка компонентов для почтового сервера. Пример данной настройки описан в статье Почтовый сервер Postfix на CentOS 7 с виртуальными доменами, системой управления, веб-доступом и многим другим.

3. Microsoft Exchange Server (на Windows). Платный сервер, работает в среде Active Directory.

4. Zimbra (на Linux). Готовая сборка. Есть платная и бесплатная версии. Пример установки и настройки в инструкции Установка и настройка Zimbra на Linux.