Полноценный почтовый сервер с iRedMail на Ubuntu или Debian

Тематические термины: iRedMail, Ubuntu, Postfix, Dovecot, Roundcube, POP3, IMAP, PTR, SPF, DKIM

В нашей инструкции будет выполнено развертывание полноценного почтового сервера на базе сборки iRedMail. После ее установки мы получим систему со следующими возможностями:

• Хранение данных в СУБД.
• Защита от СПАМа и вирусов.
• Подключение к ящикам по POP3 и IMAP (Dovecot).
• Возможность работать с почтой удаленно в браузере.
• Поддержка виртуальных доменов и почтовых ящиков.
• Управление почтовыми ящиками с помощью веб-интерфейса.
• Шифрование при передаче сообщений (STARTTLS, TLS, SSL).
• Защита сообщений от попадания в СПАМ (корректная настройкай DNS).

Подготовка сервера

Задаем правильное имя сервера:

* имя сервера должно быть в формате FQDN, в противном случае мы получим ошибку << ERROR >> Please configure a fully qualified domain name (FQDN) in /etc/hosts before we go further.

Заданное имя сервера должно разрешаться в IP-адрес через DNS. Если на момент установки это невозможно, создадим запись в файле hosts:

* очень важно, чтобы имя FQDN было первым.

Останавливаем веб-сервер apache (в данном примере будет использоваться nginx):

* если не остановить apache и попытаться установить nginx, мы получим ошибку Errors were encountered while processing: nginx-full.

Если в нашей системе настроен брандмауэр, мы должны открыть следующие порты:

Для сохранения правил установим утилиту iptables-persistent:

И запустим ее:

Установка iRedMail

Заходим на страницу iredmail.org/download.html и копируем ссылку на скачивание последней версии почтового сервера:

Теперь используем ссылку для загрузки дистрибутива на сервере:

Например:

И распаковываем скачанный архив:

Переходим в каталог с распакованным установщиком:

И запускаем скрипт установки:

Если мы хотим установить устаревшую версию iRedMail, мы получим ошибку:

Your iRedMail version (x.x.x) is out of date, please
...

Решение описано внизу.

На все запросы отвечаем Enter.

Запустится мастер настроек. В первом окне с приветствием ответьте Yes:

В окне Default mail storage path оставляем /var/vmail и задаем свой путь для хранения сообщений:

В следующем окне Preferred web server желательно оставить Nginx:

В окне Choose preferred backend used to store mail accounts выбираем Mariadb или OpenLDAP:

* в нашем примере мы выбираем MariaDB.

Если мы выберем на предыдущем шаге OpenLDAP, система потребует ввести домен:

И задаем пароль для пользователя СУБД:

На следующем шаге вводим наш первый почтовый домен:

Теперь вводим пароль для управления почтовыми ящиками:

В окне Optional components выбираем все доступные компоненты:

В самом конце вводим Y, чтобы подтвердить введенные настройки.

Начнется установка почтового сервера. В зависимости от производительности, процесс может занять от 10 до 20 минут. В конце система предложит активировать брандмауэр — соглашаемся вводом Y.

Если мы получим ошибку:

The following packages have unmet dependencies:
 mariadb-server : Depends: mariadb-server-ххх... 

То значит, что в репозитории системы нет нужной версии MariaDB. Для подключения переходим по ссылке https://mariadb.org/download/?t=repo-config и вводим данные своей системы в нужную версию системы и СУБД. Мы получим набор команд для настройки репозитория.

Например, для Ubuntu 20.04 и mariadb версии 10.3 вводим команды:

apt install apt-transport-https curl

curl -o /etc/apt/trusted.gpg.d/mariadb_release_signing_key.asc 'https://mariadb.org/mariadb_release_signing_key.asc'

echo 'deb https://mirrors.xtom.ee/mariadb/repo/10.3/ubuntu focal main' >>/etc/apt/sources.list

Обновим кэш репозиториев:

apt update

И снова запускаем установку iRedMail:

bash iRedMail.sh

На вопрос о продолжении использовать ранее введенные настройки отвечаем утвердительно — Y.

После завершения, установщик даст подсказку, что необходимо перезапустить сервер для начала работы всех компонентов. Выполним перезагрузку:

Настройка iRedMail

Создание пользователя

Открываем браузер и в адресной строке вводим https://IP-адрес_сервера/iredadmin/

Откроется страница входа в панель управления. Вводим логин postmaster@dmosk.ru и пароль (пароль и домен dmosk.ru — данные, которые мы вводили при установке iRedMail).

Создадим первого пользователя. Для этого переходим по Add - User:

Заполняем поля и создаем пользователя:

Отключение Graylisting

Graylisting — мощное оружие против СПАМа, но с существенным минусом — все входящие сообщения, отправленные с определенного домена, в первый раз, будут приходить с задержкой. На момент тестирования это создает массу неудобств.

Для отключения серого списка, добавляем права на редактирование следующему файлу:

После открываем его:

Находим перечисление плагинов:

И вырезаем greylisting.

Возвращаем права:

Перезагружаем iredapd:

Проверяем работу сервера

Для проверки сервера можно выполнить тестовую отправку и получения писем.

Отправка

Открываем браузер и в адресной строке вводим https://IP-адрес_сервера/mail/

Откроется панель для работы с почтой — вводим логин и пароль от созданного пользователя (логин должен быть с доменом, в нашем примере, test1@dmosk.ru)

Нажимаем Написать сообщение и отправляем тестовое сообщение на один из своих адресов:

Получение

Для возможности получать письма, необходимо прописать в DNS для нашего домена запись типа MX.

Пример такой записи:

MX 10 mail.dmosk.ru

* где MX — тип; 10 — приоритет (таких записей может быть несколько); mail.dmosk.ru — имя нашего почтового сервера (на данное имя необходима также запись типа А).

После создания такой записи необходимо подождать от 1 до 8 часов, так как настройки DNS могут применяться не сразу.

Установка сертификата

Вместе с iRedMail создается самоподписный сертификат, которому по умолчанию, не доверяют другие системы. Если мы хотим, чтобы пользователи не видели предупреждений об использовании потенциально не безопасного сертификата, можно установить последний, выданный акредитованным центром сертификации. Мы же рассмотрим, как получить для iRedMail бесплатный сертификат от Let's Encrypt (подробнее в статье получение сертификата от Let's Encrypt).

Откроем на редактирование файл:

... и добавим в секцию server (отмечено желтым):

Перечитаем конфиг nginx

Устанавливаем утилиту для получения сертификата:

Для нашего удобства, создаем переменную с нашим хостом, для которого мы будем получать сертификат:

* данная команда в качестве значения задаст имя нашего сервера.

И получаем сертификат командой:

* подробнее параметры описаны в статье получение сертификата от Let's Encrypt. Обратите внимание, что в данном примере мы получим сертификат для узла mail.dmosk.ru.

При успешном завершении команды, мы получим сообщение на подобие:

Удаляем старые сертификаты:

И создаем симлинки на полученные:

* cert.pem и iRedMail.crt — открытые ключи (public); privkey.pem и iRedMail.key — закрытые (private); $DOMAIN — переменная, которая содержит наш домен.

Перезапускаем службы nginx, postfix и dovecot:

Для автоматического продления сертификата создаем в cron задачу:

Добавим: 

После автоматического продления, добавим настройку для перезапуска сервисов:

Настройка Clamav

Если наш сервер находится за российскими IP-адресами, то clam не будет обновляться, так как настроенные по умолчанию заркала заблокированы. Выполняем следующие настройки.

Открываем файл:

Комментируем строки, которые начинаются на ##DatabaseMirror

Добавляем строку:

Останавливаем службу clamav-freshclam:

Удаляем старую информацию об обновлениях:

Запускаем обновление:

Ждем обновления, после запускаем службу clamav-freshclam и перезапускаем clamav-daemon, amavis:

Защищаем сообщения от попадания в СПАМ

Чтобы другие почтовые системы не принимали наши письма за СПАМ, выполняем следующие рекомендации:

А-запись в DNS

Для FQDN-имени почтового сервера должна быть создана А-запись в DNS. Пример записи:

Создаем PTR-запись для внешнего IP-адреса

Она должна вести на имя сервера (в данном примере, mail.dmosk.ru). Чтобы создать такую запись, нужно написать обращение Интернет-провайдеру или хостеру виртуальной машины. Пример записи:

* данная запись соответствует IP-адресу 83.222.23.171.

Добавляем SPF-запись для домена

Эта запись создается в DNS для домена, от которого идет отправка сообщений. Пример:

Прописываем DKIM в DNS

Для начала, смотрим ключ, который был сформирован во время установки iRedMail:

Пример ответа:

Копируем DKIM и создаем в DNS запись TXT. Пример:

Создать другую подпись DKIM

Для удобства, создаем переменную с именем домена:

* где dmosk2.ru — новый домен, для которого мы сгенерируем подпись dkim.

Генерируем новый ключ:

* некоторые системы не работают с ключами более чем 1024 бит.

Задаем права на созданный файл:

Открываем конфигурационный файл amavisd

Находим строчку:

* где dmosk.ru — наш первый домен, с которым мы развернули сервер.

И добавляем радом с ней новую. Получится так:

Теперь находим строчку:

И также после нее добавляем новую. Должно получиться:

Перезапускаем amavisd:

Посмотреть новый ключ можно командой:

Политика DMARC

Данная политика определяет, что делать с письмом, которое не проходит проверку. Подробнее о DMARC.

Для создания данной политики необходимо в DNS добавить TXT запись, примерно, такого содержания:

* данная запись означает, что все письма, которые не прошли проверку, необходимо отправить в карантин, а отчет написать на ящик postmaster@dmosk.ru.

Ящик abuse

По аналогии с тем, как мы создавали тестовую учетную запись, необходимо создать ящик abuse@... На данный ящик могут приходить жалобы на СПАМ. Стоит время от времени просматривать его (или настроить переадресацию), и реагировать на жалобы.

Управление белыми и черными списками

Переходим в каталог с утилитами iredmail:

Просмотреть содержимое белого и черного списков:

Добавить в списки:

* Первая команда добавит в белый список адрес 111.112.113.114, email info@domain.ru и домен dmosk.ru со всеми поддоменами. Вторая команда добавит в черный список адрес 111.112.113.115 и домен baddomain.com.

Удалить из списка:

* как видим, процесс удаления аналогичен — просто меняем --add на --delete.

Отключение антивируса и антиспама

Отключить защиту для почты может понадобиться при различных обстоятельствах, например:

1. Для диагностики проблем отправки сообщений.
2. Экономии ресурсов (антивирус может слишком много потреблять ресурсов).
3. При отсутствии необходимости.

И так, для отключения amavis (clam + spamassassin) открываем файл:

Приводим к следующему виду настройку:

* в данном примере мы сняли комментарий с данных строк (если они были закомментированы) и задаем для них значение 1. Опция bypass_virus_checks_maps отвечает за включение проверки писем на вирусы; bypass_spam_checks_maps — на СПАМ.

Перезапускаем службу amavis:

После данной настройки письма будут отправляться без проверок. Однако, сервис антивируса будет, по-прежнему, работать.

Останавливаем и отключаем сервис clamd:

Разрешить соединение без STARTTLS

После установки iRedMail, система будет требовать от клиента безопасного соединения по TLS. При необоходимости, можно отключить данную возможность.

Отключение для SMTP

Открываем конфигурационный файл postfix:

Задаем следующие настройки:

* где smtpd_sasl_auth_enable разрешает или запрещает аутентификацию; smtpd_sasl_security_options — дополнительные опции для аутентификации; smtpd_tls_auth_only — разрешает соединение SMTP только по TLS. В данном примере мы разрешаем аутентификацию, запрещаем анонимные соединения и комментируем опцию, которая требует только безопасного соединения.

Перезапускаем postfix:

Отключение для IMAP/POP3

Открываем конфигурационный файл dovecot:

Задаем следующие настройки:

* где disable_plaintext_auth запрещает аутентификацию без защиты; ssl задает опцию защиты (в данном примере, разрешить, но не требовать).

Перезапускаем dovecot:

Обновление iRedAdmin

При выходе новой версии интерфейса iRedAdmin мы можем получить соответствующее уведомление в консоли управления. Процедура обновления не сложная.

Переходим в каталог для хранения исходников:

Для начала зайдем на страницу https://github.com/iredmail/iRedAdmin/tags и скопируем ссылку на последнюю версию пакета:

Используя скопированную ссылку, скачиваем архив:

Распаковываем его:

* имя файла зависит от версии iRedAdmin.

Переходим в скачанный каталог:

Запускаем скрипт для обновления:

Сброс пароля

В бесплатной версии iredmail сброс паролей выполняется напрямую в СУБД или каталоге LDAP. Подробнее процедура описана на официальном сайте. Мы же рассмотрим пример работы с базой MySQL.

Создаем хэш для пароля:

Система попросит нас ввести дважды пароль — вводим тот, что хотим использовать. В итоге, мы получим хэш, например:

Подключаемся к базе:

Выбираем базу:

Смотрим пользователей:

Сбрасываем пароль для пользователя с правами администратора, например:

* в нашем примере, для postmaster@dmosk.ru.

Дополнительные настройки

Рассмотрим дополнительные настройки, которые могут нам пригодиться.

Настройка лимита на объем вложения

По умолчанию, допустимый размер отправляемого вложения, отправленного через iRedMail может быть размером не больше 15 Мб. Для увеличения этого порога вводим команду:

* в данном примере выставлен лимит в 50 мб.

Квота по умолчанию

При создании новых пользователей веб-интерфейс подставляет значение для квоты. Если значение по умолчанию для данной опции нужно изменить, настройку придется сделать в базе данных.

Подключаемся к sql-оболочке (в нашем примере это MySQL):

Используем базу vmail:

Смотрим настройки для нашего домена:

* на сервере может быть настроено много доменов. У каждого могут быть свои настройки. Мы смотрим настройки для домена dmosk.ru.

В моем случае ответ был такой:

Это значит, что для домена dmosk.ru есть только одна настройка default_user_quota, которая задает значение квоты 1024 МБ.

Настроек может быть несколько, копируем содержимое поля settings и меняем в нем необходимые значения (у нашем случае мы должны заменить 1024 для default_user_quota). Получается такой запрос:

* в данном примере мы указываем размер квоты для создаваемого пользователя в 2 Гб.

Язык по умолчанию

При создании новых пользователей веб-интерфейс подставляет значение для используемого языка. Данное значение по умолчанию можно изменить в базе данных.

Подключаемся к sql-оболочке (в нашем примере это MySQL):

Используем базу vmail:

Смотрим настройки для нашего домена:

* на сервере может быть настроено много доменов. У каждого могут быть свои настройки. Мы смотрим настройки для домена dmosk.ru.

В моем случае ответ был такой:

* на предыдущем шаге мы меняли настройку для квот.

Параметры должны перечисляться через точку с запятой. Для настройки языка по умолчанию нужна опция default_language. Итого, запрос будет таким:

* в нашем примере для домена будет указано 2 настройки — квота и язык по умолчанию.

Использование нестандартных портов

После установки iRedMail мы можем обнаружить, что нестандартные порты для входящих запросов могут быть заблокированы, при этом:

• Нужный порт разрешен с помощью iptables.
• tcpdump видит, что запрос приходит.

Дело в том, что для фильтрации сетевых пакетов используется подсистема nftables. Для настройки открываем файл:

И в секцию table inet filter добавим, например:

* в данном примере мы хотим использовать SSH на порту 2222.

Применяем настройку:

Аналоги iRedMail

Если есть причины, по которым iRedMail не подходит, можно рассмотреть другие варианты:

1. iRedMail Pro. Платная версия настроенного в данной инструкции программного обеспечения. Обладает расширенными настройками и возможностями.

2. Ручная сборка компонентов для почтового сервера. Пример данной настройки описан в статье Почтовый сервер Postfix на CentOS 7 с виртуальными доменами, системой управления, веб-доступом и многим другим.

3. Microsoft Exchange Server (на Windows). Платный сервер, работает в среде Active Directory.

4. Zimbra (на Linux). Готовая сборка. Только платная версия. Пример установки и настройки в инструкции Установка и настройка Zimbra на Linux.

5. Carbonio (на Linux). Готовая сборка. Есть платная и бесплатная версии. Пример установки и настройки в инструкции Установка и настройка Carbonio CE на Linux Ubuntu.

Возможные проблемы

Рассмотрим ошибки, с которыми приходилось столкнуться мне.

1. Ошибка обновления clamav с помощью freshclam

Антивирус clamav не обновляется. В логе мы можем увидеть сообщение о блокировке подключения к базе обновлений.

Причина: блокировка доступа к антивирусным базам с IP-адресов в России.

Решение: меняем источник баз. Открываем файл:

Комментируем строки, которые начинаются на DatabaseMirror

Добавляем строку:

Останавливаем службу clamav-freshclam:

Удаляем старую информацию об обновлениях:

Запускаем обновление:

Ждем обновления, после запускаем службу clamav-freshclam и перезапускаем clamav-daemon с amavis:

2. Your iRedMail version (x.x.x) is out of date

При попытке установить старую версию iRedMail, мы можем увидеть ошибку:

Причина: разработчик iRedMail решил технически ограничивать возможность установки старой версии.

Решение: для установки устаревшей версии нужно использовать системную переменную. Запуск установщика будет выполняться командой:

Читайте также

Другая информация по iRedMail:

1. Установка и настройка iRedMail на CentOS.

2. Резервное копирование и восстановление iRedMail.

3. Интеграция iRedMail с Microsoft Active Directory.

4. Обновление почтового сервера iRedMail.