Перенос почты на iRedMail с Яндекс 360: установка, ящики, письма и переключение домена

iRedMail — для тех, кто хочет не просто уйти из облака, а владеть каждой строкой конфигурации своей почты. Пока почта компании живёт в облаке, её судьбу решают чужие инженеры в чужом дата-центре. Перенос почты на iRedMail возвращает переписку на сервер, который вы контролируете: классические Postfix и Dovecot, установка одним скриптом на чистый Linux, без контейнеров и без лицензий на базовую версию. Разбираем переезд с Яндекс 360 на iRedMail целиком — от выбора дистрибутива до отключения старых ящиков.

Облако не спросит, удобно ли вам ждать

Корпоративная почта в облаке — это договор, в котором время восстановления после аварии определяете не вы. Когда у провайдера горит или обесточен дата-центр, ваши сотрудники сидят без переписки, клиенты пишут в пустоту, а вы обновляете страницу статуса. Никакого рычага, кроме ожидания, у компании нет.

iRedMail — один из способов этот рычаг вернуть. Сервер стоит там, где решили вы, копии делаются туда, куда решили вы, а при сбое администратор видит журналы и чинит, не дожидаясь чужой очереди заявок.

Полный контроль без компромиссов

В облаке вы не видите ничего: ни как обрабатывается ваша почта, ни что делает антиспам с письмами клиентов, ни где лежат копии. Вы получаете чёрный ящик и счёт за него. Когда что-то идёт не так, остаётся писать в поддержку и ждать.

iRedMail — противоположность чёрного ящика. Postfix, Dovecot, антиспам, веб-почта — всё на вашем Linux, всё в привычных файлах конфигурации, всё под вашим администратором. Это выбор компаний, которые не хотят никому доверять свою почту на слово.

Что входит в iRedMail

iRedMail — не отдельная почтовая программа, а установщик, который собирает проверенные компоненты на чистом сервере. Postfix отвечает за приём и отправку, Dovecot — за хранение и доступ по IMAP и POP3, Amavisd с SpamAssassin и ClamAV — за фильтрацию спама и вирусов, Roundcube — за веб-почту. По желанию добавляется SOGo — веб-почта с календарями и адресными книгами по CalDAV и CardDAV.

Управление ящиками — через веб-панель iRedAdmin. Бесплатная версия умеет домены, ящики, псевдонимы и квоты; расширенная iRedAdmin-Pro платная и добавляет массовые операции, журналы и API. Сравнение с другими сборками — в статье «iRedMail, mailcow или Carbonio».

Выбор дистрибутива и хранилища учётных записей

iRedMail ставится на свежую систему: Debian, Ubuntu, Rocky Linux, AlmaLinux, а также FreeBSD и OpenBSD. Устанавливать поверх сервера, на котором уже что-то работает, нельзя — скрипт перепишет конфигурации веб-сервера и базы данных. Мы чаще всего используем Debian: долгий срок поддержки и предсказуемые обновления.

Второе решение — где хранить учётные записи. Варианты: OpenLDAP, MariaDB или PostgreSQL. LDAP удобен, если планируется связка с другими системами по каталогу; MariaDB и PostgreSQL проще в резервном копировании и привычнее большинству администраторов. Выбор делается один раз при установке, поменять его потом можно только переустановкой и переносом ящиков.

• Debian или Ubuntu LTS — самый частый выбор
• MariaDB или PostgreSQL — если каталог LDAP не нужен
• OpenLDAP — если нужна интеграция по каталогу
• SOGo — если нужны календари и контакты на сервере

Требования к серверу

Для рабочей установки с ClamAV документация iRedMail рекомендует не меньше 4 ГБ оперативной памяти; для офиса на несколько десятков человек мы закладываем 8 ГБ. Диск считается по объёму ящиков в Яндекс 360 плюс запас на рост и место под локальные копии перед отправкой на другую площадку.

Остальное — общее для любого своего почтового сервера: постоянный внешний IP, обратная запись PTR на имя сервера, открытый провайдером исходящий порт 25, полное имя хоста вида mail.company.ru, которое разрешается в этот IP. Без этого письма будут попадать в спам, сколько ни настраивай фильтры.

Установка iRedMail

Скачайте архив актуальной версии со страницы проекта, распакуйте и запустите установщик. Он задаст несколько вопросов: каталог для хранения ящиков, веб-сервер, хранилище учётных записей, первый почтовый домен, пароль администратора и набор дополнительных компонентов.

wget https://github.com/iredmail/iRedMail/archive/refs/tags/<версия>.tar.gz
tar xzf <версия>.tar.gz && cd iRedMail-<версия>
bash iRedMail.sh

После установки перезагрузите сервер, как просит установщик. В домашнем каталоге root остаётся файл с итогами установки — в нём адреса панели и веб-почты и пароли служебных учётных записей. Перенесите эти пароли в менеджер паролей и удалите файл с сервера. Подробный разбор установки на свежем Debian — в статье «Установка iRedMail на Debian 13».

Ящики, псевдонимы и общие адреса

Создайте в iRedAdmin ящики с теми же адресами, что в Яндекс 360, и задайте квоты с запасом относительно текущего объёма. Дополнительные адреса сотрудников оформляются как псевдонимы, рассылки отделов — как списки рассылки с участниками.

Общие ящики вроде info@ или zakaz@ удобнее всего сделать обычными ящиками, к которым подключаются несколько сотрудников, или настроить общий доступ к папкам через Dovecot. Решите это до переноса писем: структура на приёмнике должна быть готова, когда imapsync начнёт копировать.

• ящики с адресами и квотами
• псевдонимы сотрудников
• списки рассылки отделов
• общие ящики и права доступа
• исключения антиспама для важных отправителей

Подготовка Яндекс 360

Со стороны источника всё стандартно. Администратор организации разрешает почтовые программы, в каждом ящике включается доступ по IMAP, создаются пароли приложений. Пароль приложения начинает работать с задержкой, поэтому делайте это накануне. Сервер — imap.yandex.ru, порт 993, SSL, логин — полный адрес. Подробно — в статье о подготовке Яндекс 360 к выгрузке.

Перенос писем: один ящик

Письма переносим imapsync из контейнера Docker — на любом Linux-сервере с доступом к обоим серверам. Пароли лежат в файлах, а не в командной строке.

docker run --rm -v "$PWD":/var/tmp gilleslamiral/imapsync imapsync \
  --host1 imap.yandex.ru --ssl1 --user1 buh@company.ru --passfile1 /var/tmp/pass_yandex \
  --host2 mail.company.ru --ssl2 --user2 buh@company.ru --passfile2 /var/tmp/pass_new \
  --automap --nofoldersizes

--automap сопоставляет «Отправленные», «Черновики», «Спам» и «Удалённые» с системными папками Dovecot, чтобы Roundcube и почтовые программы видели их на своих местах. --nofoldersizes ускоряет запуск на больших ящиках: imapsync не пересчитывает размеры папок перед переносом. Повторный запуск докачивает только новое — на нашем стенде второй проход по ящику из 755 писем перенёс ноль писем и пропустил все 755.

Перенос писем: все ящики сразу

Для десятков ящиков составьте файл users.csv: адрес и имена файлов с паролями для источника и приёмника. Скрипт ниже проходит по списку и пишет отдельный журнал для каждого ящика.

while IFS=';' read -r user p1 p2; do
  docker run --rm -v "$PWD":/var/tmp gilleslamiral/imapsync imapsync \
    --host1 imap.yandex.ru --ssl1 --user1 "$user" --passfile1 "/var/tmp/$p1" \
    --host2 mail.company.ru --ssl2 --user2 "$user" --passfile2 "/var/tmp/$p2" \
    --automap --logdir /var/tmp/logs
done < users.csv

Образ imapsync работает от непривилегированного пользователя, поэтому каталог с журналами и файлы паролей должны быть ему доступны на чтение и запись — это частая причина «молчаливых» ошибок при первом запуске. После прохода просмотрите журналы на строки с ошибками и запустите проблемные ящики повторно. Подробнее о массовом переносе — в статье «Миграция почты на iRedMail».

Контакты и календари

Если вы поставили SOGo, сотрудники получают календари и адресные книги на сервере. Выгрузите их из Яндекс 360 файлами — контакты в vCard, календари в iCalendar — и импортируйте в SOGo через веб-интерфейс. Затем подключите CalDAV и CardDAV на телефонах и в почтовых программах и удалите старые аккаунты Яндекса, чтобы не было двойных событий.

Без SOGo календари останутся в почтовых программах сотрудников или в отдельном сервисе. Для компании, которая уходит из облака ради контроля, разумнее поставить SOGo сразу: иначе календари так и останутся в чужом облаке.

DKIM, SPF, DMARC и MX

iRedMail генерирует ключ DKIM при установке, подписывает письма через Amavisd. Публичную часть ключа выводит команда amavisd showkeys — точный вид команды и путь к конфигурации зависят от дистрибутива, их даёт документация iRedMail. Опубликуйте запись DKIM в DNS заранее и проверьте командой amavisd testkeys.

За сутки до переключения снизьте TTL MX и SPF. В день переключения: MX — на mail.company.ru, SPF — v=spf1 mx -all или с явным IP сервера, DMARC — сначала p=none с отчётами. Порядок и проверки — в статье о смене MX, SPF, DKIM и DMARC.

Ошибки установки, которые всплывают позже

Большинство проблем iRedMail закладывается в первые полчаса, на этапе установки, а проявляется через недели. Проверьте эти пункты до того, как переносить письма: исправлять их на работающем сервере дороже.

• имя хоста не полное: должно быть mail.company.ru, а не просто mail — иначе Postfix представляется неверным именем
• PTR-запись указывает на техническое имя площадки, а не на имя почтового сервера
• на сервере уже стоял веб-сервер или база — установщик их перенастроил, сайт перестал работать
• каталог ящиков на системном диске без запаса — через год место кончается
• межсетевой экран площадки закрывает 587 и 993 — сотрудники не могут подключиться снаружи
• служебные пароли из файла итогов остались на сервере

Защита сервера с первого дня

Почтовый сервер с открытыми портами начинают перебирать по паролям в первые часы после запуска. iRedMail ставит Fail2ban с правилами для Postfix, Dovecot, Roundcube и SSH — убедитесь, что он запущен и что правила срабатывают на тестовые неверные входы. Вход по SSH переведите на ключи, панель iRedAdmin при возможности закройте от внешнего мира и открывайте только из офиса или через VPN.

Отдельно настройте ограничения на отправку: лимит писем в час для одного ящика защитит репутацию IP, если пароль сотрудника всё-таки утечёт. Взломанный ящик, рассылающий спам, за пару часов отправляет IP сервера в чёрные списки — и тогда страдает вся компания. Пароли сотрудников при переезде задайте новые и сложные: пароли от облачных ящиков на новом сервере не используйте.

Резервная копия до переключения

Сделайте первую полную копию нового сервера до смены MX — ящики уже заполнены перенесёнными письмами, и это хорошая точка отката. Копия должна уйти на другую площадку: другой сервер, другой дата-центр, другой провайдер. Заодно проверьте восстановление одного ящика из этой копии на тестовой машине. Если восстановление не работает сегодня, в день аварии оно тоже не заработает.

Переключение и финальный проход

Сразу после смены MX запустите imapsync с --maxage 2 по всем ящикам: он заберёт письма, пришедшие в Яндекс 360 за последние двое суток, за секунды на ящик. Через несколько часов, когда DNS обновится у большинства отправителей, повторите проход. Ящики в Яндекс 360 оставьте на две-четыре недели и раз в день повторяйте короткий проход — на случай писем от серверов со старым кэшем DNS.

Что перенастроить в офисе

Каждое устройство, которое отправляло почту через Яндекс, перестанет это делать после смены паролей и отключения ящиков. Поэтому список нужен до переключения.

• почтовые программы и телефоны: IMAP 993 SSL, SMTP 587 STARTTLS
• 1С: отправка счетов и актов, рассылка расчётных листков
• МФУ: сканирование в почту
• сайт: формы обратной связи и уведомления о заказах
• CRM, мониторинг, резервное копирование — уведомления
• подписи сотрудников и автоответы

Проверка после переезда

Сравните число писем по каждой папке на обеих сторонах — imapsync с --justfoldersizes показывает это без переноса. Отправьте тестовые письма на внешние ящики и посмотрите заголовки: spf=pass, dkim=pass, dmarc=pass. Проверьте IP сервера по чёрным спискам и убедитесь, что веб-почта и iRedAdmin открываются по HTTPS с действующим сертификатом.

Регламент обслуживания iRedMail

iRedMail не обновляется одной кнопкой: каждая новая версия выходит с инструкцией по обновлению, которую выполняют вручную. Системные пакеты обновляются штатно через менеджер пакетов. Резервное копирование — ежедневно: ящики, база учётных записей, конфигурации Postfix, Dovecot, Amavisd и ключи DKIM, причём копия уходит на другую площадку.

Полный регламент — с проверками очереди, места, сертификатов и восстановления — разобран в статье «Эксплуатация iRedMail: регламент». Реальный пример переезда — кейс бухгалтерской фирмы на iRedMail.

Когда iRedMail — не лучший выбор

Если в компании нет никого, кто разбирается в Linux, и обслуживание не передаётся подрядчику, iRedMail быстро превратится в сервер, который никто не обновляет. В этом случае лучше mailcow с обновлением одним скриптом или почта на нашей инфраструктуре, где обслуживание входит в цену. Если важны совместная работа, общие календари и мессенджер — посмотрите Carbonio CE.

Частые вопросы