Почтовый сервер на VPS с нуля для юридической фирмы ЮрКонсалт

Юридическая фирма «ЮрКонсалт» (18 сотрудников) использовала бесплатную почту на Яндексе. Проблемы накапливались: письма клиентам попадали в спам, конфиденциальные вложения хранились на чужих серверах, а при блокировке Яндекс.Почты в 2024 году офис остался без почты на двое суток. Руководство приняло решение перейти на собственный почтовый сервер.

Требования к itfresh.ru:

• Полный контроль над данными — переписка не покидает инфраструктуру клиента
• Доставляемость писем 9/10+ на mail-tester.com
• Веб-интерфейс для сотрудников (Roundcube)
• Спам-фильтрация входящих (Rspamd)
• Автоматическое шифрование TLS для всех соединений
• IMAP-доступ для мобильных клиентов

Мы арендовали VPS у провайдера с чистой IP-репутацией: Debian 12, 2 vCPU, 4 GB RAM, 100 GB SSD. Критично: IP-адрес не должен быть в чёрных списках. Проверили через multirbl.valli.org — чисто.

Правильные DNS-записи — фундамент доставляемости. Без них письма гарантированно попадут в спам. Настраиваем полный набор:

# MX-запись — указывает, куда доставлять почту для домена
urconsult.ru.    IN  MX  10  mail.urconsult.ru.

# A-запись для почтового сервера
mail.urconsult.ru.  IN  A  203.0.113.25

# Обратная запись (PTR) — запрашиваем у хостера
# 25.113.0.203.in-addr.arpa.  IN  PTR  mail.urconsult.ru.

# SPF — разрешаем отправку почты только с нашего IP
urconsult.ru.  IN  TXT  "v=spf1 ip4:203.0.113.25 mx -all"

# DMARC — политика reject: отклонять письма без валидного SPF/DKIM
_dmarc.urconsult.ru.  IN  TXT  "v=DMARC1; p=reject; adkim=s; aspf=s; pct=100; rua=mailto:dmarc@urconsult.ru"

# DKIM — добавляется после генерации ключа (см. раздел Rspamd)

SPF с -all (hard fail) вместо ~all (soft fail) — строже, но для корпоративного домена это правильный выбор. Мы также ставим adkim=s и aspf=s в DMARC — strict alignment, чтобы домен в заголовке From точно совпадал с доменом в DKIM и SPF.

Устанавливаем Postfix и настраиваем для production-использования:

apt install -y postfix postfix-pgsql

# Выбираем 'Internet Site', hostname: mail.urconsult.ru

Основные параметры /etc/postfix/main.cf:

# Базовые параметры
myhostname = mail.urconsult.ru
mydomain = urconsult.ru
myorigin = $mydomain
mydestination = $myhostname, localhost

# Виртуальные домены через PostgreSQL
virtual_mailbox_domains = pgsql:/etc/postfix/pgsql-virtual-domains.cf
virtual_mailbox_maps = pgsql:/etc/postfix/pgsql-virtual-mailbox.cf
virtual_alias_maps = pgsql:/etc/postfix/pgsql-virtual-alias.cf
virtual_transport = lmtp:unix:private/dovecot-lmtp

# TLS — обязательное шифрование
smtpd_tls_cert_file = /etc/letsencrypt/live/mail.urconsult.ru/fullchain.pem
smtpd_tls_key_file = /etc/letsencrypt/live/mail.urconsult.ru/privkey.pem
smtpd_tls_security_level = may
smtpd_tls_protocols = !SSLv2, !SSLv3, !TLSv1, !TLSv1.1
smtpd_tls_mandatory_protocols = !SSLv2, !SSLv3, !TLSv1, !TLSv1.1
smtp_tls_security_level = dane
smtp_dns_support_level = dnssec

# Размер письма — 50 MB
message_size_limit = 52428800

# Ограничения для защиты от спама
smtpd_helo_required = yes
smtpd_helo_restrictions =
    permit_mynetworks,
    reject_non_fqdn_helo_hostname,
    reject_invalid_helo_hostname

smtpd_recipient_restrictions =
    permit_mynetworks,
    permit_sasl_authenticated,
    reject_unauth_destination,
    reject_non_fqdn_recipient,
    reject_unknown_recipient_domain

smtpd_sender_restrictions =
    permit_mynetworks,
    permit_sasl_authenticated,
    reject_non_fqdn_sender,
    reject_unknown_sender_domain

# SASL через Dovecot
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth
smtpd_sasl_auth_enable = yes

Submission-порт (587) для отправки почты аутентифицированными клиентами — в /etc/postfix/master.cf:

submission inet n       -       y       -       -       smtpd
  -o syslog_name=postfix/submission
  -o smtpd_tls_security_level=encrypt
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_client_restrictions=permit_sasl_authenticated,reject
  -o milter_macro_daemon_name=ORIGINATING

Dovecot обеспечивает IMAP-доступ и аутентификацию для Postfix:

apt install -y dovecot-imapd dovecot-lmtpd dovecot-pgsql dovecot-sieve

Конфигурация /etc/dovecot/conf.d/10-mail.conf:

# Формат хранения — Maildir
mail_location = maildir:/var/vmail/%d/%n/Maildir
mail_home = /var/vmail/%d/%n

# Пользователь и группа для хранения почты
mail_uid = vmail
mail_gid = vmail
first_valid_uid = 150
last_valid_uid = 150

SSL/TLS в /etc/dovecot/conf.d/10-ssl.conf:

ssl = required
ssl_cert = 

LMTP для приёма почты от Postfix — /etc/dovecot/conf.d/20-lmtp.conf:

protocol lmtp {
  mail_plugins = $mail_plugins sieve
  postmaster_address = postmaster@urconsult.ru
}

Аутентификация через PostgreSQL — /etc/dovecot/conf.d/auth-sql.conf.ext:

passdb {
  driver = sql
  args = /etc/dovecot/dovecot-sql.conf.ext
}
userdb {
  driver = sql
  args = /etc/dovecot/dovecot-sql.conf.ext
}

Sieve-фильтры для автоматической сортировки — пример глобального правила:

# /var/vmail/sieve/global.sieve
require ["fileinto", "mailbox"];

# Рассылки — в отдельную папку
if header :contains "List-Unsubscribe" "" {
    fileinto :create "Newsletters";
    stop;
}

# Уведомления от сервисов — в папку Notifications
if header :contains "From" ["noreply@", "no-reply@", "notification@"] {
    fileinto :create "Notifications";
    stop;
}