Почтовый сервер на VPS: порт 25, PTR, репутация IP, ресурсы и копии — как выбрать площадку для своей почты

Неправильно выбранный VPS превратит вашу независимость в разочарование уже в первый день: письма не уходят, а виноват «свой сервер». Уйти из облачной почты на свой сервер не значит ставить железо в офисе: чаще всего почтовый сервер на VPS — арендованной виртуальной машине — оказывается самым быстрым и дешёвым вариантом. Но VPS для почты выбирают не так, как для сайта: закрытый порт 25, IP-адрес из чёрного списка или отсутствие обратной записи превращают хороший сервер в бесполезный. Разбираем, что проверить до оплаты и как устроить площадку, чтобы своя почта была надёжнее облачной.

VPS — это уже свой сервер

Важное различие: облачная почта — это общий сервис, где ваши ящики соседствуют с миллионами чужих, а правила устанавливает провайдер. VPS — это ваша виртуальная машина: свой IP-адрес, своя операционная система, своя почтовая программа, свои настройки, свои копии. Чужим остаётся только оборудование под ней. Если провайдер VPS упал, вы переключаетесь на резервную площадку по своему плану, а не ждёте восстановления чужого сервиса.

Поэтому VPS — нормальная основа для своей почты, если выбрать его правильно и не хранить копии там же.

Не дайте плохой площадке убить хорошую идею

Самое обидное, что может случиться при уходе из облака, — выбрать дешёвый VPS с закрытым портом 25 и грязным IP, получить письма в спаме и решить, что своя почта не работает. Работает. Не работает плохая площадка, выбранная по цене, а не по требованиям почты.

Пять проверок до оплаты снимают почти все риски. Сделайте их — и свой сервер на VPS станет надёжнее облака, а не поводом в нём остаться.

Проверка 1. Открыт ли порт 25

Почтовый сервер отправляет письма другим серверам через исходящий порт 25. Многие провайдеры VPS закрывают его по умолчанию — для борьбы со спамом с их сетей. Где-то он открывается по заявке после проверки, где-то — только после определённого срока аренды или оплаты, где-то не открывается вовсе. Узнайте это до оплаты: спросите поддержку письменно или найдите в документации провайдера.

Если порт 25 закрыт навсегда, отправлять почту напрямую с такого VPS нельзя. Обходной путь — пересылка исходящей почты через внешний сервер-ретранслятор, но это ещё одна зависимость от чужого сервиса. Лучше сразу выбрать провайдера, который порт открывает.

Проверка 2. Обратная запись PTR

Обратная запись IP-адреса должна указывать на имя вашего почтового сервера, например mail.company.ru. Крупные почтовые сервисы проверяют её у каждого входящего соединения, и письма с IP без правильной PTR уходят в спам или отклоняются. PTR настраивает владелец IP — провайдер VPS. Хорошо, если это можно сделать самостоятельно в панели управления; приемлемо — по заявке в поддержку. Если провайдер не настраивает PTR вовсе, почтовый сервер на его площадке не взлетит.

Проверка 3. Репутация IP-адреса

IP-адреса у провайдеров VPS переиспользуются: до вас адрес мог принадлежать спамеру. Сразу после получения VPS — до установки почты — проверьте IP по основным чёрным спискам. Если адрес в списках, попросите у провайдера другой; исключение из списка — отдельная процедура, которая может занять время.

# репутация IP до покупки или в первый час аренды
dig +short 10.113.0.203.zen.spamhaus.org        # пусто — не в списке (со своего резолвера)
# открыт ли исходящий 25
nc -vz -w 5 gmail-smtp-in.l.google.com 25
# обратная запись
dig +short -x 203.0.113.10

Проверку Spamhaus делайте со своего резолвера, а не через публичные DNS: Spamhaus не отвечает на запросы с крупных публичных резолверов, и вы получите ложный «чистый» результат. Подробнее — в статье о блокировке запросов к Spamhaus.

Проверка 4. Репутация подсети и провайдера

Кроме вашего адреса, получатели смотрят на репутацию всей подсети и провайдера. Если в соседних адресах много спамеров, часть почтовых систем будет относиться к вашим письмам с подозрением, даже если ваш IP чист. Дешёвые провайдеры, у которых много клиентов-рассыльщиков, — плохой выбор для почты. Перед выбором посмотрите, нет ли диапазонов провайдера в списках, и поищите отзывы именно про почту на его площадке.

Ресурсы: сколько нужно почте

Требования зависят от сборки. mailcow с антивирусом требует от 6 ГБ памяти и 1 ГБ подкачки; iRedMail — от 4 ГБ, комфортно 8; Carbonio CE со всеми ролями — от 16 ГБ; Stalwart — меньше всех, несколько гигабайт. Процессор — два-четыре ядра для компании на десятки ящиков.

Диск — главное. Возьмите текущий объём почты, добавьте рост на два-три года и запас под локальные копии перед отправкой на другую площадку. Лучше SSD: почтовые серверы постоянно читают и пишут мелкие файлы, а индексы поиска на медленных дисках тормозят веб-почту. Проверьте, можно ли увеличить диск без переустановки — у большинства провайдеров можно.

• mailcow: от 6 ГБ памяти + 1 ГБ подкачки
• iRedMail: от 4 ГБ, комфортно 8
• Carbonio CE: от 16 ГБ
• Stalwart: несколько гигабайт
• диск: объём почты × рост за 2–3 года + запас, SSD

Где должен стоять сервер

Если в почте есть персональные данные граждан России — а они есть почти в любой корпоративной почте, — сервер и копии должны находиться в России: этого требует часть 5 статьи 18 152-ФЗ. Выбирайте провайдера с дата-центрами в России и проверяйте, где физически хранятся снимки и копии, которые он делает. Подробно — в статье о 152-ФЗ и корпоративной почте.

Второй критерий — сеть. Почтовому серверу нужна стабильная связность с крупными почтовыми сервисами и с офисом. Выбирайте площадку в крупном узле связи.

Третий — расстояние до сотрудников. Веб-почта и синхронизация телефонов чувствительны к задержкам: сервер в том же регионе, где работает основная часть компании, ощущается заметно быстрее. Для распределённых компаний выбирайте площадку в узле, где сходятся каналы основных офисов.

Снимки и копии: не у того же провайдера

Снимки виртуальной машины у провайдера удобны для быстрого отката после неудачного обновления. Но они хранятся у того же провайдера: если площадка сгорела, провайдер заблокировал аккаунт или ушёл с рынка, снимки уйдут вместе с сервером. Поэтому копия ящиков и конфигурации должна уходить к другому провайдеру, в другой дата-центр. Это главное правило, которое отличает надёжный свой сервер от ещё одной единой точки отказа.

Об устройстве копий и резервной площадки — в статье о резервном MX и второй площадке.

Условия провайдера

Прочитайте правила использования: некоторые провайдеры запрещают почтовые серверы на дешёвых тарифах или ограничивают число исходящих писем. Убедитесь, что почтовый сервер для собственной компании разрешён, массовые рассылки — как правило, нет, и для них нужен отдельный сервис. Узнайте, как провайдер реагирует на жалобы: если на ваш IP пришла жалоба на спам из-за взломанного ящика, отключит ли он сервер сразу или даст время разобраться.

Защита от DDoS и сетевая доступность

Почтовый сервер с открытыми портами — постоянная мишень для перебора паролей и сканирования. Базовая защита от DDoS у провайдера желательна, но важнее собственная защита: межсетевой экран с открытыми только нужными портами, защита от перебора паролей, закрытая панель администратора. Подробный список — в статье о безопасности почтового сервера в первый день.

VPS, выделенный сервер или своя инфраструктура

VPS подходит большинству компаний до нескольких сотен ящиков: быстро, недорого, масштабируется. Выделенный физический сервер имеет смысл при больших объёмах почты и жёстких требованиях к изоляции. Сервер в офисе — при наличии хорошего канала, резервного питания и внешнего статического IP; но офисная площадка обычно менее надёжна, чем дата-центр.

Отдельный вариант — почта на нашей инфраструктуре: Carbonio CE или mailcow на наших серверах в ЦОД МТС, с антиспамом и ежедневными копиями, от 150 ₽ в месяц за ящик. Площадку, PTR, порты и копии мы берём на себя.

IPv6: частая ловушка

Многие VPS получают и IPv4, и IPv6. Почтовый сервер, увидев у получателя IPv6-адрес, будет отправлять по нему — и если для вашего IPv6 нет обратной записи PTR, крупные почтовые сервисы отклонят письмо или отправят в спам. Решений два: настроить PTR и для IPv6-адреса, если провайдер это позволяет, или запретить почтовому серверу отправлять по IPv6. Второй вариант проще и надёжнее для большинства компаний. Мы разбирали, как правильно отключить IPv6 в mailcow, в статье о правильном отключении IPv6 в mailcow.

Один VPS или два

Минимальная надёжная схема — два VPS у разных провайдеров. Основной — с почтовым сервером. Второй — небольшая машина, куда ежедневно уходят копии ящиков и конфигурации и где при необходимости поднимается резервный сервер. Второй VPS дешёвый: ему не нужны большие ресурсы, пока он только хранит копии. Зато авария у основного провайдера перестаёт быть катастрофой: у вас есть всё, чтобы подняться на другой площадке.

Мониторинг площадки

Следите не только за почтовыми службами, но и за самой площадкой: свободное место на диске, нагрузка, доступность портов снаружи, срок сертификатов, IP в чёрных списках. Провайдеры иногда проводят работы с перезагрузкой виртуальных машин — после неё все службы должны подниматься сами. Проверьте это сразу после запуска: перезагрузите VPS и убедитесь, что почта заработала без ручного вмешательства.

Переезд между провайдерами

Свой сервер на VPS не привязывает вас к провайдеру так, как облачная почта: если условия перестали устраивать, сервер переносится на другую площадку. Порядок такой же, как при первом переезде: новый VPS с проверкой IP и порта 25, восстановление из копии, синхронизация писем, пониженный TTL и смена записей A и MX в выходной. Хорошо, если вы проверили этот сценарий заранее на учениях: тогда переезд между провайдерами — плановая работа на выходные, а не авария.

Сколько стоит владение

Цена VPS — только часть расходов. К ней добавляются второй VPS или хранилище для копий у другого провайдера, время на обслуживание — обновления, проверка восстановления, мониторинг — и разовый перенос почты. Ориентиры по нашим ценам: перенос почты, календарей и контактов до 50 ящиков — от 12 000 ₽, корпоративная почта под ключ на вашем сервере до 15 ящиков — от 25 000 ₽, обслуживание своего почтового сервера — от 7 000 ₽ в месяц. Сравнение с облаком по полной стоимости — в статье о стоимости корпоративной почты.

Что спросить у поддержки провайдера

Короткий список вопросов, которые снимают большинство рисков до оплаты.

• открыт ли исходящий порт 25 и на каких условиях
• можно ли настроить PTR для IPv4 и IPv6
• в каком городе дата-центр и где хранятся снимки
• можно ли увеличить диск без переустановки
• разрешён ли почтовый сервер для собственной компании
• что происходит при жалобе на спам с моего IP

Чек-лист выбора VPS для почты

Пройдите его до оплаты или в первый час пробного периода.

• исходящий порт 25 открыт или открывается по заявке — подтверждено письменно
• PTR настраивается — в панели или через поддержку
• IP чист в чёрных списках, проверка со своего резолвера
• у провайдера нет репутации рассадника спама
• ресурсы с запасом под выбранную сборку, SSD, диск расширяется
• дата-центр в России, снимки и копии — тоже
• почтовый сервер разрешён правилами провайдера
• есть другой провайдер для копий
• понятен порядок действий при жалобе на IP

Порядок запуска

Когда площадка выбрана: проверка IP и порта 25, настройка PTR, установка выбранной сборки, сертификат, DKIM, проверка доставляемости тестовыми письмами — и только потом перенос ящиков и смена MX. Первую копию на другую площадку сделайте до переключения. Порядок переезда из облака — в руководстве по переносу почты с Яндекс 360, выбор сборки — в статье «iRedMail, mailcow или Carbonio».

Типичные ошибки

Все они встречаются нам на проектах после самостоятельного запуска.

• купили VPS с закрытым портом 25 — сервер принимает почту, но не отправляет
• PTR указывает на техническое имя провайдера — письма в спаме
• IP оказался в чёрном списке — неделя на исключение
• 2 ГБ памяти под mailcow — антивирус падает, почта тормозит
• снимки провайдера считались резервной копией — до первой аварии площадки
• сервер за границей при персональных данных в почте

Частые вопросы