Stalwart ფოსტის სერვერის დაყენება: დომენები, ანგარიშები და DKIM

Stalwart სრული ფოსტის სერვერია ერთ პროგრამაში: SMTP გასაგზავნად და მისაღებად, IMAP და JMAP წასაკითხად, spam ფილტრი, DKIM ხელმოწერა და ვებ ადმინისტრირების პანელი ამ ყველაფრის სამართავად. მისი დაყენება ხუთ გადაწყვეტილებაზე დადის, მიღებულზე თანმიმდევრობით - სერვერის ჰოსტის სახელი, დომენები, რომლებსაც ის ემსახურება, ანგარიშები, რომლებიც მათზე ცხოვრობს, DKIM გასაღებები, რომლებიც მათ ფოსტას ხელს აწერს, და DNS ჩანაწერები, რომლებიც მსოფლიოს ამ ყველაფრის შესახებ ატყობინებს. ამ თანმიმდევრობით გააკეთე და პირველი სატესტო წერილი სათაურებში სამი pass-ით მოვა. თანმიმდევრობა დაარღვიე, განსაკუთრებით DNS-ის გამოქვეყნება ჰოსტის სახელის დადგენამდე, და საღამოს შეუსაბამობების დევნაში გაატარებ.

ეს გზამკვლევი ამ თანმიმდევრობას მიჰყვება. ის კონცეფციებთან ახლოს რჩება და არა ზუსტ მენიუს გზებთან, რადგან Stalwart-ის ვებ ადმინისტრირების პანელი ვერსიებს შორის არაერთხელ გადაკეთდა. სადაც ეკრანის სახელს მნიშვნელობა აქვს, მითითებულია, რომელ ვერსიას ეხება.

რა არის Stalwart და როგორ არის აწყობილი#

Stalwart Rust-ზეა დაწერილი და ერთი ბინარული ფაილით მოდის. სადაც კლასიკური დაყენება Postfix-ს, Dovecot-ს, Rspamd-სა და OpenDKIM-ს აერთიანებს, Stalwart ყველაფერს ერთ პროცესში აკეთებს კონფიგურაციის ერთი საცავით. ნაწილები, რომლებსაც შეხვდები:

• MTA - SMTP-ის მხარე. ის შემომავალ ფოსტას პორტ 25-ზე იღებს, შენი მომხმარებლებისგან submission-ს 587-სა და 465-ზე, გამავალ ფოსტას რიგში აყენებს და აწვდის, ან პირდაპირ მიმღებების MX ჰოსტებზე, ან relay-ის გავლით.
• ფოსტის საცავი - საფოსტო ყუთები, საქაღალდეები, წერილები და მათი საძიებო ინდექსი. Stalwart-ს მონაცემების შენახვა შეუძლია ჩაშენებულ ბაზაში (ჩვეულებრივ ნაგულისხმევია RocksDB) ან გარე ბაზაში, მაგალითად PostgreSQL-ში, ხოლო დიდი წერილების შიგთავსი სურვილისამებრ object storage-ში. ერთი სერვერისთვის ჩაშენებული საცავი სწორი არჩევანია.
• წვდომის პროტოკოლები - IMAP (როგორც IMAP4rev1, ისე IMAP4rev2), JMAP HTTPS-ით და POP3. Sieve ფილტრაცია ManageSieve-ით იმ კლიენტებისთვის, რომლებიც წესებს არედაქტირებს.
• დირექტორია - სადაც ანგარიშები და პაროლები ინახება. შიდა დირექტორია ნაგულისხმევია; LDAP, SQL და OpenID Connect არჩევანია ორგანიზაციებისთვის, რომლებსაც მომხმარებლების საცავი უკვე აქვთ.
• spam-ისა და phishing-ის ფილტრი - ჩაშენებული, წესებსა და ქულებზე დაფუძნებული, სტატისტიკური კლასიფიკაციითა და DNS blocklist-ების შემოწმებით.
• ფოსტის ავთენტიფიკაცია - DKIM ხელმოწერა გასვლისას; SPF-ის, DKIM-ის, DMARC-ისა და ARC-ის შემოწმება შემოსვლისას; DMARC და TLS ანგარიშები ორივე მიმართულებით.
• ვებ ადმინისტრირების პანელი - ბრაუზერის ინტერფეისი ზემოთ ჩამოთვლილი ყველაფრისთვის, პლუს რიგი, ლოგები და ანგარიშები.

შედეგი ისაა, რომ ამ გზამკვლევში თითქმის ყველაფერი ვებ ადმინისტრირების პანელში ხდება. კონფიგურაციის ფაილს იშვიათად შეეხები.

პირველი შესვლა ვებ ადმინისტრირების პანელში#

Stalwart-ის ახალი ინსტალაცია იწყება რეჟიმში, რომელსაც პროექტი bootstrap mode-ს უწოდებს: ფოსტის სერვისები არ მუშაობს, სერვერი მხოლოდ HTTP პორტ 8080-ზე უსმენს და კონსოლში დროებით ადმინისტრატორის პაროლს ზუსტად ერთხელ ბეჭდავს. დაყენების ოსტატი მისამართზე http://<host>:8080/admin გეკითხება სერვერის ჰოსტის სახელს, ნაგულისხმევ დომენს, სად შეინახოს მონაცემები და რომელი დირექტორიით მოხდეს ავთენტიფიკაცია. როცა დაასრულებს, ის თავის კონფიგურაციას ჩაწერს, მუდმივ ადმინისტრატორს შექმნის და გადაიტვირთება, რის შემდეგაც ვებ ადმინისტრირების პანელი HTTPS-ზე გადადის კონფიგურირებულ ჰოსტის სახელზე.

ჰოსტინგის სერვერზე ინსტალაცია შენთვის უკვე გაკეთებულია, ამიტომ პირველი ნაბიჯი უბრალოდ შესვლაა. იპოვე ადმინისტრატორის მონაცემები, რომლებითაც სერვერი შეიქმნა - შეხედე პანელის Startup ჩანართს და კონსოლის გამოსავალს პირველი გაშვებიდან, და თუ არცერთ ადგილას არ არის, ჰკითხე support-ს და არაფერი გადააყენო - და გახსენი ვებ ადმინისტრირების პანელი იმ მისამართსა და პორტზე, რომელსაც პანელი შენი სერვერისთვის აჩვენებს.

შესვლის შემდეგ ყველაფერზე ადრე ორი რამ გააკეთე:

1. შეცვალე ადმინისტრატორის პაროლი ისეთით, რომელიც პაროლების მენეჯერში ინახება, და ჩართე ორფაქტორიანი ავთენტიფიკაცია ადმინის ანგარიშისთვის, თუ შენი ვერსია ამას გთავაზობს.
2. ერთხელ წაიკითხე ლოგების ხედი. სწორედ იქ შეიხედავ პირველად, როცა წერილი დაიკარგება, და იმის ცოდნა, როგორ გამოიყურება ნორმა, არანორმალურს აშკარას ხდის.

ჰოსტის სახელი და სერტიფიკატები#

სერვერის ჰოსტის სახელი არის სახელი, რომელსაც ის ყოველ SMTP საუბარში აცხადებს (EHLO მისალმება), სახელი შენს MX ჩანაწერებში და სახელი TLS სერტიფიკატზე, რომელსაც კლიენტები ხედავენ. ერთხელ აირჩიე და შეინარჩუნე: mail.example.com ჩვეულებრივი არჩევანია და მუშაობს.

ეს ერთი სახელი ოთხ ადგილას უნდა ემთხვეოდეს:

ბოლო შენს ზონაში არ არის - reverse DNS ეკუთვნის იმას, ვინც მისამართს ფლობს. Reverse DNS და PTR ფოსტის სერვერებისთვის ხსნის, რატომ არის ეს მნიშვნელოვანი და რა გააკეთო, როცა მისი დაყენება არ შეგიძლია.

სერტიფიკატი ფარავს იმ ჰოსტის სახელს, რომელსაც შენი მომხმარებლების კლიენტები IMAP-ისა და submission-ისთვის უკავშირდება. Stalwart-ს ჩაშენებული ACME კლიენტი აქვს და სერტიფიკატების მიღება და განახლება თავად შეუძლია TLS-ALPN, HTTP ან DNS challenge-ით. რომელი challenge იმუშავებს, დამოკიდებულია იმაზე, რომელი პორტები აღწევს სერვერამდე, ამიტომ ჰოსტინგის გეგმაზე პორტების ფიქსირებული ნაკრებით ჰკითხე support-ს, როგორ ჯობს სერტიფიკატების მართვა შენი სერვერისთვის, და ნუ გამოიცნობ. ვადაგასული ან შეუსაბამო სერტიფიკატი ფოსტის ჰოსტზე კლასიკური ინციდენტია, როცა "ოფისის ყველა ტელეფონი ორშაბათს უჩივის".

დომენები, ანგარიშები და alias-ები#

დომენი Stalwart-ში არის სახელი, რომლისთვისაც სერვერი ფოსტას იღებს. ჯერ დომენი დაამატე; ანგარიშები მის გარეშე ვერ იარსებებს.

შემდეგ ანგარიშები შექმენი. თითოეულ ანგარიშს აქვს შესვლის სახელი, პაროლი, ერთი ან მეტი ელფოსტის მისამართი და სურვილისამებრ კვოტა. რამდენიმე წესი, რომელიც მოგვიანებით პრობლემებს აგარიდებს:

• შესვლის სახელი და მისამართი ცალკეა. ანგარიშს სახელით anna შეუძლია მისამართებად ჰქონდეს anna@example.com, a.smith@example.com და anna@example.org. მომხმარებლები შედიან იმით, რაც შესვლის სახელად დააყენე; უთხარი, რომელი.
• ყველა ანგარიშზე დააწესე კვოტა. საფოსტო ყუთი კვოტის გარეშე არის დისკი, რომელიც ივსება გრაფიკით, რომელსაც შენ ვერ აკონტროლებ. 2-5 GB გონივრული საწყისი წერტილია საოფისე ფოსტისთვის.
• როლებისთვის გამოიყენე alias-ები და არა ანგარიშები. info@, sales@ და billing@ უკეთესია, როგორც დამატებითი მისამართები იმ ადამიანებზე, ვინც მათ ამუშავებს, ან როგორც ჯგუფი, ვიდრე ანგარიშები საკუთარი პაროლებით, რომლებიც ვიღაცას უნდა ახსოვდეს.
• ჯგუფები და mailing list-ები ერთ მისამართს რამდენიმე ანგარიშზე აწვდის. ჯგუფი გამოიყენე, როცა გუნდი მისამართს იზიარებს და საერთო წვდომა სჭირდება, list - როცა ეს სუფთა დისტრიბუციაა.
• catch-all - დომენზე ყველა მისამართის მიღება - მოსახერხებლად ჟღერს და უამრავ spam-ს აგროვებს. მოერიდე, თუ კონკრეტული მიზეზი არ გაქვს.
• postmaster მისამართი. RFC 5321 მოითხოვს, რომ postmaster@ არსებობდეს ყველა დომენისთვის, რომლისთვისაც ფოსტას იღებ. მიუთითე ის ნამდვილ ადამიანზე.

თითოეული მომხმარებლის მოწყობილობებისთვის უპირატესობა მიანიჭე app password-ებს, სადაც შენი ვერსია მათ მხარს უჭერს, რომ დაკარგული ტელეფონი ერთი პაროლის გაუქმებას ნიშნავდეს და არა მომხმარებლის მთავარი პაროლის გადაყენებას. კლიენტის მხარე აღწერილია სტატიაში ელფოსტის კლიენტის დაყენება IMAP-ისა და SMTP-ისთვის.

DKIM გასაღებები და DNS ჩანაწერები გამოსაქვეყნებლად#

როცა დომენს ამატებ, Stalwart მისთვის DKIM გასაღებებს აგენერირებს. ბოლო ვერსიები ნაგულისხმევად ორს აგენერირებს, ერთ Ed25519-ს და ერთ RSA-ს, და გამავალ ფოსტას ორივეთი აწერს ხელს. ეს განზრახ არის: Ed25519 ხელმოწერები პატარა და თანამედროვეა, მაგრამ ყველა მიმღები მათ ჯერ არ ამოწმებს, ამიტომ RSA ხელმოწერაა ის, რომელსაც მიმღებების უმეტესობა რეალურად ამოწმებს. ორივე გამოაქვეყნე. თითოეულს საკუთარი სელექტორი აქვს, და ბოლო რელიზებში ნაგულისხმევი სელექტორის ნიმუში ასე გამოიყურება: v1-ed25519-20260101 - რაც არ უნდა დააგენერირა შენმა სერვერმა, ზუსტად დააკოპირე.

Stalwart ასევე ითვლის ჩანაწერების სრულ ნაკრებს, რომელსაც თითოეული დომენისთვის ელის, და ვებ ადმინისტრირების პანელში აჩვენებს როგორც ზონას, რომლის კოპირებაც შეგიძლია. გამოიყენე ის ჭეშმარიტების წყაროდ და ნუ აკრეფ ჩანაწერებს ბლოგის პოსტიდან, რადგან DKIM გასაღებები შენი სერვერისთვის უნიკალურია. example.com-ისთვის mail.example.com-ზე მისამართით 203.0.113.25 ფორმა ასეთია:

mail                         IN A     203.0.113.25@                            IN MX    10 mail.example.com.@                            IN TXT   "v=spf1 mx -all"v1-rsa-20261008._domainkey   IN TXT   "v=DKIM1; k=rsa; p=MIIBIjANBgkq..."v1-ed25519-20261008._domainkey IN TXT "v=DKIM1; k=ed25519; p=11qYAYKx..."_dmarc                       IN TXT   "v=DMARC1; p=none; rua=mailto:postmaster@example.com"

სია, რომელსაც Stalwart აჩვენებს, ასევე შეიცავს ჩანაწერებს, რომლებიც მოგვიანებით შეგიძლია დაამატო: MTA-STS და TLS-RPT შემომავალ ფოსტაზე TLS-ის იძულებისთვის, SRV ჩანაწერები კლიენტების მიერ აღმოჩენისთვის და CNAME ჩანაწერები autoconfig-ისა და autodiscover-ისთვის. დაიწყე ზემოთ მოცემული ხუთით; დანარჩენი დაამატე, როცა ფოსტა იმოძრავებს.

მომენტები, რომლებზეც ხალხი ებმევა:

• DKIM ჩანაწერის სახელი ფარდობითია. DNS რედაქტორების უმეტესობაში სახელის ველში წერ v1-rsa-20261008._domainkey-ს და არა სრულ სახელს დომენის მიმატებით. სრული სახელის აკრეფა ქმნის ...example.com.example.com-ს.
• გრძელი RSA გასაღებები სტრიქონებად იყოფა. 2048-ბიტიანი გასაღები 255 სიმბოლოს აჭარბებს, ამიტომ ის რამდენიმე ბრჭყალებში ჩასმული სტრიქონის სახით უნდა შეინახოს. რედაქტორების უმეტესობა ამას შენთვის აკეთებს; თუ შემოწმება ჩავარდა, ჯერ ეს შეამოწმე.
• SPF `mx`-ით შენს MX ჰოსტებს აძლევს უფლებას. თუ relay-ით აგზავნი, დაამატე relay-ის include: და შეინარჩუნე ერთი ჩანაწერი.
• DMARC დაიწყე `p=none`-ით. DMARC ანგარიშები და პოლიტიკის დანერგვა ხსნის, როდის გაამკაცრო.

გასაღებების როტაცია, მათ შორის როგორ შეუძლია Stalwart-ს მისი ავტომატიზაცია, როცა შენს DNS პროვაიდერზე API წვდომა აქვს, აღწერილია სტატიაში DKIM გასაღებები და როტაცია.

პორტები და რომელი სერვისები გახსნა#

Stalwart-ს ყველა სტანდარტულ ფოსტის პორტზე მოსმენა შეუძლია. საკუთარ მანქანაზე იმათ გახსნიდი, რომლებსაც იყენებ; ჰოსტინგის გეგმაზე პორტების ფიქსირებული რაოდენობით შენ ირჩევ.

არასოდეს გახსნა ღია IMAP 143-ზე ან POP3 110-ზე იძულებითი STARTTLS-ის გარეშე; პაროლები ქსელში წაკითხვადი სახით გადავიდოდა. RE:NODE-ის Mail Server გეგმაზე გასანაწილებლად ხუთი პორტია, რაც საკმარისია ერთი submission პორტისთვის, IMAPS-ისთვის, HTTPS-ისთვის და კიდევ ორისთვის - ხოლო თავად პორტ 25-ს support მოთხოვნისამებრ გადაამისამართებს, რადგან კონტეინერი მას საჯარო მისამართზე თავად ვერ გახსნის. შენს კლიენტებში გამოიყენე პორტის ის ნომრები, რომლებსაც პანელი შენი სერვერისთვის აჩვენებს; თუ რომელიმე სტანდარტული ნომერი არ არის, კლიენტს უბრალოდ უნდა უთხრა.

spam ფილტრაცია და გამავალი მიწოდება#

Stalwart-ის spam ფილტრი თითოეულ შემომავალ წერილს თეგებით აფასებს - ავთენტიფიკაციის შედეგები, blocklist-ებზე დამთხვევები, სათაურების უცნაურობები, შიგთავსის მახასიათებლები, სტატისტიკური კლასიფიკატორის ვერდიქტი - და მათ ქულებს აჯამებს. spam-ის ნაგულისხმევი ზღვარი 5.0-ია. ნაგულისხმევად მხოლოდ ქულის საფუძველზე არაფერი უარიყოფა; spam ინიშნება და შესაბამის საქაღალდეში ინახება. ყოველ წერილს ორი სათაური ემატება, რომელთა კითხვაც უნდა ისწავლო:

X-Spam-Status: No, score=-1.20X-Spam-Result: DKIM_ALLOW (-0.20), DMARC_POLICY_ALLOW (-0.50), SPF_ALLOW (-0.20), ...

X-Spam-Result ჩამოთვლის ყველა გააქტიურებულ წესს და მის წვლილს, რაც კითხვას "რატომ მოხვდა ეს Junk-ში" საიდუმლოდან უბრალო მოძიებად აქცევს. ზღვრები და ქულები ვებ ადმინისტრირების პანელის spam ფილტრის პარამეტრებში რეგულირდება; ფოსტის სერვერის spam ფილტრაცია აღწერს მორგებას, სწავლებასა და ცრუ დადებით შედეგებს.

გამავალი ფოსტისთვის ორი სტრატეგია არსებობს. პირდაპირი მიწოდება თითოეული მიმღების MX-ს ეძებს და მის პორტ 25-ს უკავშირდება. Relay ყველაფერს ერთ smarthost-ს გადასცემს, რომელიც შენი სახელით აწვდის. Stalwart-ის ბოლო ვერსიებში relay არის Relay ტიპის მარშრუტი გამავალის პარამეტრებში, relay-ის მისამართით, პორტით, იმით, TLS implicit-ია (პორტი 465) თუ შეთანხმებული (587 STARTTLS-ით), და მომხმარებლის სახელითა და საიდუმლოთი ავთენტიფიკაციისთვის; გამავალი სტრატეგია შემდეგ დისტანციურ ფოსტას ამ მარშრუტით აგზავნის. Stalwart ფოსტის გადაცემამდე მაინც შენი DKIM გასაღებებით აწერს ხელს, ამიტომ შენი ხელმოწერა ხელუხლებლად მიდის. SMTP relay გამავალი ფოსტისთვის აღწერს relay-ის არჩევას და SPF-ის ცვლილებას, რომელიც მას სჭირდება.

ტესტირება და პრობლემების მოგვარება#

შეამოწმე გარედან, ამ თანმიმდევრობით.

# DNS: ყველა ჩანაწერი, რომელიც გამოაქვეყნე$ dig +short MX example.com$ dig +short TXT example.com$ dig +short TXT _dmarc.example.com$ dig +short TXT v1-rsa-20261008._domainkey.example.com# შემომავალი SMTP ხელმისაწვდომია, banner-ით და შეთავაზებული STARTTLS-ით$ openssl s_client -starttls smtp -connect mail.example.com:25 -crlf -quiet# Submission ავთენტიფიკაციით, swaks-ის გამოყენებით$ swaks --to you@gmail.com --from anna@example.com \    --server mail.example.com:587 --tls --auth-user anna

შემდეგ კლიენტიდან გაგზავნე ნამდვილი წერილი Gmail-ის ან Outlook-ის მისამართზე, რომელსაც აკონტროლებ, და წაიკითხე Authentication-Results სათაური: spf=pass, dkim=pass და dmarc=pass header.from=example.com-ით დასრულებული მდგომარეობაა. უპასუხე მას, რომ შემომავალი შეამოწმო.

შეცდომები, რომლებსაც ხალხი რეალურად აწყდება:

• გარედან არაფერი მოდის. პორტი 25 სერვერამდე არ აღწევს. შეამოწმე, რომ MX სამიზნე სწორ მისამართად იხსნება, შემდეგ პორტი შეამოწმე შენი ქსელის გარეთ მყოფი მანქანიდან. ჰოსტინგის გეგმაზე დაადასტურე, რომ პორტ 25-ის გადამისამართება დაყენებულია.
• გაგზავნა საკუთარ თავთან მუშაობს, Gmail-თან კი არა. გამავალი 25 დაბლოკილია, ამიტომ ფოსტა რიგში ჩერდება. შეხედე რიგს ვებ ადმინისტრირების პანელში; თუ მცდელობებს დრო ეწურება, relay დააკონფიგურირე.
• `dkim=fail` ან `dkim=neutral`. გამოქვეყნებული ჩანაწერი გასაღებს არ ემთხვევა, ჩვეულებრივ შეკვეცილი ან არასწორად დაყოფილი მნიშვნელობის გამო, ან სელექტორის სახელია არასწორი.
• კლიენტები სერტიფიკატზე გაფრთხილებას აჩვენებს. სახელი, რომელსაც უკავშირდებიან, სერტიფიკატზე არ არის, ან მას ვადა გაუვიდა.
• შესვლა კლიენტებიდან ვერ ხერხდება, ვებ ადმინისტრირების პანელში კი მუშაობს. კლიენტი სრულ მისამართს იყენებს, როცა შესვლის სახელი განსხვავებულია, ან პორტისთვის არასწორი უსაფრთხოების პარამეტრია (STARTTLS 465-ზე, ან implicit TLS 587-ზე).

FAQ#

სჭირდება თუ არა Stalwart-ს ცალკე მონაცემთა ბაზის სერვერი?

არა. ჩაშენებული საცავი ნაგულისხმევია და ერთი სერვერისთვის სწორი არჩევანია. გარე ბაზები და object storage არსებობს კლასტერული განლაგებებისთვის რამდენიმე კვანძით.

შეუძლია ერთ Stalwart სერვერს რამდენიმე დომენის მასპინძლობა?

კი. დაამატე თითოეული დომენი, მიეცი თითოეულს საკუთარი DKIM გასაღებები და DNS ჩანაწერები და შექმენი ანგარიშები მისამართებით რომელიმე მათგანზე. ერთ ანგარიშს რამდენიმე დომენზე მისამართების ქონაც კი შეუძლია.

რატომ აწერს Stalwart ხელს ორი DKIM გასაღებით?

ერთი Ed25519 გასაღები და ერთი RSA გასაღები. Ed25519 თანამედროვე ალგორითმია, მაგრამ მისი შემოწმების მხარდაჭერა ჯერ კიდევ არათანაბარია, ამიტომ RSA ხელმოწერაა ის, რასაც მიმღებების უმეტესობა ამოწმებს. წერილი ერთი გამავალი ხელმოწერით DKIM-ს გადის.

მჭირდება POP3?

თითქმის ნამდვილად არა. IMAP ფოსტას სერვერზე ინახავს და მოწყობილობებს შორის სინქრონიზებულს; POP3 ჩამოტვირთავს და ჩვეულებრივ შლის. გამორთული დატოვე, თუ ის კონკრეტულ ძველ მოწყობილობას არ სჭირდება.

რა უნდა დავაბექაპო?

მთელი მონაცემთა საცავი, რომელიც ერთად ინახავს საფოსტო ყუთებს, ანგარიშებს, DKIM გასაღებებსა და პარამეტრებს. RE:NODE-ზე backup-ის სლოტები ინახება იმ მანქანის გარეთ, რომელსაც იცავს, და მათი ჩამოტვირთვა შეიძლება, ამიტომ ერთი ბოლო ჩამოტვირთული ასლი შენთანაც შეინახე. ერთხელ აღადგინე ის სატესტო სერვერზე, რომ დაამტკიცო, რომ backup მუშაობს.