Mejl server: zašto je težak i šta treba uzeti u obzir

Postavljanje mejl servera tehnički nije teško — teško je da tvoji mejlovi stignu u „Inbox“, a ne u spam, i da izbegneš tihe odbijanja. Ovaj članak pokriva šta treba da uradiš pre nego što pošalješ prvi mejl.

Zašto je ovo zaseban zadatak

Primanje mejlova radi skoro odmah: podesiš server, otvoriš port 25 i poruke stižu. Problem je slanje, i on ima dva dela. Prvo, izlazni mejl portovi su podrazumevano zatvoreni na našoj platformi i otvaraju se na zahtev. Drugo, strana koja prima (Gmail, Mail.ru, Yandex) proverava pošiljaoca po nekoliko kriterijuma, i ako bilo koji od njih padne, poruka postaje spam ili biva odbijena.

Kao minimum, proverava se sledeće:

Redosled konfiguracije

1. Zatraži izlazne portove. Portovi 25, 465 i 587 su zatvoreni za izlazni saobraćaj dok se ne otvore na tvoj zahtev. Počni odavde: bez ovoga ne možeš da testiraš ostalo, kao što je opisano u nastavku.
2. PTR. Zapis reverznog DNS-a mora da se poklapa sa imenom koje server predstavlja u SMTP-u. Podesi ga u panelu mašine na kartici „Pristup“, na primer mail.example.com, i napravi odgovarajući forward A zapis koji pokazuje na adresu mašine.
3. Mejl stek. Najlakša opcija je gotova kontejnerizovana konfiguracija — docker-mailserver ili Mailcow. Instalira se preko Docker Compose i sam podiže Postfix, Dovecot, antispam i DKIM ključeve.
4. DNS. Napravi MX zapis za ime servera, zatim SPF i DMARC:

example.com.        MX  10 mail.example.com.
example.com.        TXT "v=spf1 mx -all"
_dmarc.example.com. TXT "v=DMARC1; p=quarantine; rua=mailto:postmaster@example.com"

1. DKIM. Mejl server generiše ključ; javni deo objavljuješ kao TXT zapis <selector>._domainkey.example.com.
2. Provera. Pošalji mejl na servis za testiranje (mail-tester, learndmarc) i ciljaj pun broj poena. Ne šalji nikakvu masovnu poštu pre ovoga.

Izlazni mejl portovi su podrazumevano zatvoreni

Ovo je glavna stvar koju treba da znaš pre instaliranja mejl servera. Izlazni saobraćaj sa mašine ka portovima 25, 465 i 587 je blokiran na hostu. Slanje mejlova ka spolja sa nove mašine ne radi i neće proraditi zbog podešavanja unutar sistema: paketi ne napuštaju njenu mrežnu interfejs.

Možeš to da proveriš ovako — veza se neće uspostaviti:

nc -vz smtp.gmail.com 25

Ovo se radi zato što kompromitovana mašina prvo počne da šalje spam, a svi susedi na hostu moraju da odgovaraju za adresu i njenu reputaciju. Ovo ne utiče na primanje mejlova: dolazne veze ka 25, 465, 587 i 993 nisu blokirane, i mejl server odmah prihvata poruke.

Kako da ih otvoriš

Portovi se otvaraju na zahtev, ručno, i ne odmah. Za to ne postoji dugme u panelu.

1. Piši podršci sa brojem mašine (kartica „Plaćanje“, blok „Za podršku“).
2. Opiši šta šalješ: domen, prirodu mejlova, približan dnevni obim.
3. Sačekaj odgovor. Dok su portovi zatvoreni, možeš da instaliraš i konfigurišeš mejl server — ali ne možeš da testiraš slanje.

Masovna slanja na kupljene baze se ne otvaraju ni pod kakvim objašnjenjem; pogledaj Šta možeš i šta ne možeš da radiš na mašini.

Ako ti je slanje potrebno danas, a ne posle dopisivanja, koristi spoljni relay: mejl servis ti daje SMTP login i prihvata veze na portu 2525 ili preko API-ja, a port 25 nije potreban.

Firewall unutar mašine

Sa tvoje strane, dozvoli dolazne veze ka mejl portovima:

sudo ufw allow 25/tcp
sudo ufw allow 587/tcp
sudo ufw allow 465/tcp
sudo ufw allow 993/tcp

ufw pravila kontrolišu samo ono što ulazi u tvoj sistem. Blokada izlaznih portova 25, 465 i 587 je spoljna, i ufw allow out je ne uklanja.

Nikada ne ostavljaj otvoren relay. Proveri: swaks --to test@example.com --server <machine-address> sa druge mašine bez autentifikacije — veza treba da bude odbijena. Otvoren relay pretvara adresu mašine u izvor spama u roku od jednog dana i zauvek uništava njenu reputaciju.

Kada ti nije potreban sopstveni mejl server

• Potrebno ti je samo da šalješ obaveštenja iz aplikacije — koristi spoljni servis za slanje. Jeftiniji je i ima bolju dostavljivost. Poveži se na njega preko HTTP API-ja ili alternativnog porta kao što je 2525: standardni portovi 465 i 587 su zatvoreni isto kao i 25.
• Potrebna ti je mejl adresa na domenu za ljude — mejl hosting će rešiti zadatak bez tvog učešća.
• Nisi spreman da pratiš ažuriranja i red čekanja — napušten mejl server postaje bezbednosna rupa.

Sopstveni server je opravdan kada je nezavisnost važna i kada si spreman za održavanje: bekapovi sandučića su obavezni, a za mejl treba da izdvojiš prostor na disku sa rezervom — pogledaj prostor na disku.