Сканирование в почту с МФУ после ухода из облака: почему старые МФУ перестают отправлять сканы и как это исправить
В понедельник после переезда почты из облака первыми звонят не бухгалтеры, а секретарь: «сканер не отправляет». Сканирование в почту с МФУ — самая забываемая часть переезда, а старые устройства к тому же не умеют современного шифрования, которого требуют почтовые серверы. Облачный провайдер в такой ситуации просто отказывает: ваше МФУ ему не интересно. На своём сервере это решается за полчаса — разбираем, как.
Своя почта вместо облака: варианты решения
Облачная почта — это ваша переписка на чужом сервере: когда у провайдера авария, вы ждёте вместе со всеми. Собственный почтовый сервер возвращает компании контроль. Основные варианты:
Почта, антиспам и веб-почта SOGo с календарями в контейнерах Docker; обновление одной командой.
Наследник Zimbra: привычный веб-клиент с календарями и адресными книгами, как в облаке.
Postfix, Dovecot, антиспам и веб-почта на обычном Linux-сервере; от 4 ГБ памяти.
Современный сервер «всё в одном»: IMAP, SMTP, CalDAV, CardDAV; скромные требования.
Carbonio CE или mailcow на наших серверах в ЦОД МТС, антиспам и ежедневные бэкапы — от 150 ₽/мес за ящик.
Облако не будет подстраиваться под ваш сканер
Облачные почтовые сервисы постепенно отключают старые протоколы шифрования и способы авторизации — и правильно делают, с точки зрения безопасности. Но вашему МФУ десять лет, и производитель давно не выпускает для него обновлений. В один день сканы перестают уходить, а поддержка облака отвечает, что ваше устройство не поддерживается. Выбор у вас один: купить новое МФУ — и так с каждым устройством, которое облако сочтёт устаревшим.
На своём сервере выбор шире: вы можете разрешить старому устройству отправлять почту по-старому — но только внутри офисной сети и только ему, не открывая дыру для всего интернета. Вы решаете, а не провайдер. И новое МФУ покупаете тогда, когда старое сломается, а не тогда, когда облако решило перестать с ним разговаривать.
Почему сканы перестают уходить
Причин всего несколько, и почти всегда работает одна из них. Хорошая новость: каждая находится за минуты, если смотреть в журнал своего сервера, а не гадать по невнятной ошибке на экране МФУ.
- после переезда в МФУ остались адрес и пароль старого облачного сервера
- МФУ поддерживает только TLS 1.0 или 1.1, а сервер принимает TLS 1.2 и новее
- МФУ не умеет STARTTLS на порту 587 — только 25 без шифрования или 465 с SSL
- в поле логина короткое имя вместо полного адреса
- скан больше лимита размера письма — сервер отклоняет
- у служебного ящика сменили пароль, а в МФУ остался старый
Шаг 1. Служебный ящик для сканов
Заведите на своём сервере отдельный ящик — scan@company.ru — только для отправки сканов. Не используйте личный ящик сотрудника: его пароль меняется, сотрудник увольняется, и сканирование ломается. Служебный ящик ограничьте: только отправка, небольшой лимит писем в час, без доступа к веб-почте. Если пароль из МФУ утечёт, злоумышленник не сможет ни читать почту, ни разослать спам.
На своём сервере такой ящик ничего не стоит. В облаке — это ещё одна платная лицензия, и компании экономят, вписывая в МФУ личный ящик офис-менеджера.
Шаг 2. Определите, что умеет МФУ
Откройте веб-интерфейс МФУ, раздел настроек электронной почты или SMTP, и посмотрите, какие порты и варианты шифрования он предлагает. Посмотрите версию прошивки и проверьте на сайте производителя, есть ли обновление: часто новая прошивка добавляет поддержку TLS 1.2. От ответа зависит, подключать МФУ напрямую к серверу или через ретранслятор.
| Что умеет МФУ | Что делать |
|---|---|
| SMTP 587 + STARTTLS + TLS 1.2 | подключить напрямую к своему серверу со служебным ящиком |
| SMTP 465 + SSL, но только TLS 1.0/1.1 | внутренний ретранслятор в локальной сети |
| только SMTP без шифрования | внутренний ретранслятор, разрешённый по IP МФУ |
| только папка по SMB | сканы в папку, отправка — отдельным скриптом |
Шаг 3. Современное МФУ — напрямую
Если МФУ умеет STARTTLS на порту 587 и TLS 1.2, всё просто: сервер — mail.company.ru, порт 587, шифрование STARTTLS, логин — полный адрес служебного ящика, пароль — пароль приложения. Отправитель — тот же адрес. Отправьте тестовый скан на внешний ящик и проверьте, что письмо пришло и прошло проверки SPF и DKIM.
Шаг 4. Старое МФУ — через внутренний ретранслятор
Если МФУ умеет только старое шифрование или вообще без него, не ослабляйте ради него основной почтовый сервер. Поставьте в офисной сети маленький ретранслятор — Postfix на любой Linux-машине или виртуалке — который принимает почту от МФУ без пароля, но только с его IP-адреса, и пересылает её на ваш основной сервер уже по современному TLS с авторизацией служебного ящика.
# /etc/postfix/main.cf на внутреннем ретрансляторе: принимать без пароля только из сети МФУ
mynetworks = 127.0.0.0/8, 192.168.10.0/24
smtpd_relay_restrictions = permit_mynetworks, reject_unauth_destination
message_size_limit = 31457280Так старое МФУ работает, а наружу смотрит только современное шифрование. Ретранслятор не должен быть доступен из интернета — только из локальной сети, и только для перечисленных адресов. Ошибка в mynetworks превращает его в открытый релей, поэтому после настройки обязательно проверьте, что с другого адреса письмо не принимается.
Шаг 5. Размер сканов
Многостраничный цветной скан легко весит десятки мегабайт. Почтовые серверы ограничивают размер письма, и если скан больше лимита, письмо отклоняется — а МФУ часто не показывает внятной ошибки. Настройте в МФУ разумное разрешение и сжатие для документов — 200–300 dpi в оттенках серого обычно достаточно — и выставьте на сервере лимит размера письма с запасом. Для очень больших сканов лучше сохранение в сетевую папку или в Nextcloud, а не почта. И помните, что получатель тоже может ограничивать размер входящих писем — то, что прошло ваш сервер, может отклонить сервер клиента.
Шаг 6. Проверка
После настройки отправьте с каждого МФУ тестовый скан на внутренний и на внешний ящик. Проверьте, что письмо пришло, что вложение открывается, что в заголовках spf=pass и dkim=pass. Посмотрите журнал почтового сервера: письмо от МФУ должно пройти авторизацию служебного ящика или прийти через ретранслятор. Запишите настройки каждого МФУ в документацию — при следующей смене пароля или сервера вы будете знать, где что менять. Проверку повторите через неделю: иногда МФУ теряет настройки после отключения питания или обновления прошивки, и лучше узнать об этом от журнала, а не от раздражённого сотрудника в разгар отчётного периода.
Отправитель, SPF и DKIM у ретранслятора
Письма через ретранслятор должны выходить в интернет так же, как обычная почта компании: от адреса вашего домена, через ваш основной сервер, с подписью DKIM. Поэтому ретранслятор не отправляет письма напрямую получателям, а передаёт их основному серверу с авторизацией служебного ящика. Адрес отправителя в МФУ должен совпадать со служебным ящиком — иначе основной сервер отклонит письмо как отправленное от чужого имени. Тогда сканы проходят проверки SPF, DKIM и DMARC и не попадают в спам у получателей.
Как найти потерянный скан
Сотрудник говорит: «отсканировал, а письмо не пришло». На своём сервере это проверяется за минуту по журналу: было ли соединение от МФУ или ретранслятора в это время, прошла ли авторизация, принято ли письмо, кому и с каким результатом доставлено. Если соединения не было — проблема в МФУ или сети. Если письмо отклонено — в журнале причина: размер, отправитель, пароль. В облаке такой журнал вам никто не покажет, и разговор с поддержкой затянется на дни.
Не только МФУ
По той же схеме почту отправляют и другие устройства офиса: источники бесперебойного питания сообщают о пропадании электричества, сетевые хранилища — о заполнении дисков, видеонаблюдение — о тревогах, системы контроля доступа — о событиях. Все они ломаются при переезде так же, как МФУ, и все чинятся тем же способом: служебный ящик или внутренний ретранслятор. Внесите их в тот же список, иначе первое предупреждение о проблеме с питанием серверной не дойдёт ни до кого.
Альтернатива: сканы в папку
Если сканов много и они большие, почта — не лучший канал. Большинство МФУ умеют сохранять сканы в сетевую папку, а оттуда их удобно брать из Nextcloud или общего файлового сервера. Почта остаётся для небольших документов, которые нужно сразу отправить клиенту. О файловом хранилище на своём сервере — в статье о замене облачного диска на Nextcloud.
Пошагово для одного МФУ: 30 минут
Реалистичный порядок для одного устройства, если служебный ящик уже создан.
- открыть веб-интерфейс МФУ, сменить заводской пароль администратора
- проверить версию прошивки и обновить, если есть обновление с поддержкой TLS 1.2
- в настройках SMTP указать сервер, порт и шифрование по таблице выше
- указать полный адрес служебного ящика как логин и как отправителя
- настроить разрешение и сжатие сканов для документов
- отправить тестовый скан на внутренний и внешний ящик
- проверить журнал почтового сервера и заголовки письма
- записать настройки в документацию офиса
Почему не ослаблять основной сервер
Самый быстрый «фикс», который мы встречаем, — включить на основном почтовом сервере устаревший TLS 1.0 или вход без шифрования, чтобы старое МФУ снова заработало. Это открывает слабое шифрование для всех: для телефонов сотрудников, для почтовых программ, для любых подключений из интернета. Ради одного сканера компания понижает защиту всей переписки. Внутренний ретранслятор решает ту же задачу, не трогая основной сервер, и стоит полчаса работы.
Что сказать сотрудникам
Для сотрудников сканирование в почту должно работать так же, как раньше: та же кнопка на МФУ, тот же список адресов. Если после переезда адрес отправителя сканов сменился — например, со старого облачного ящика на scan@ вашего домена, — предупредите об этом: письма от нового отправителя могут попасть в спам у получателей или в непросмотренные у самих сотрудников. Обновите и адресную книгу МФУ, если в ней остались адреса, которые изменились при переезде.
Безопасность служебных ящиков
Пароль служебного ящика хранится в МФУ открыто для любого, у кого есть доступ к его веб-интерфейсу. Поэтому: смените пароль администратора МФУ с заводского, закройте веб-интерфейс МФУ от гостевой сети, дайте служебному ящику минимальные права и лимит отправки. На своём сервере вы увидите в журнале, если с этого ящика вдруг пошла отправка не из офисной сети, — и заблокируете его за минуту.
А если МФУ десятки
В крупном офисе МФУ много, и настраивать каждое вручную долго. Удобнее одна схема для всех: внутренний ретранслятор, разрешённый для подсети принтеров, и одинаковые настройки во всех устройствах — сервер, порт, отправитель. Тогда смена основного почтового сервера или пароля служебного ящика затрагивает только ретранслятор, а не десятки устройств. Это та же логика, что и со своей почтой в целом: одна точка управления вместо разбросанных настроек.
Внесите МФУ в план переезда
Сканирование в почту ломается при переезде чаще всего просто потому, что о нём забыли. Пройдите по офису до переключения, составьте список устройств, которые отправляют почту, — МФУ, сканеры, системы видеонаблюдения, — и включите их в план так же, как 1С и сайт. Об отправке из 1С — в статье «1С не отправляет почту»; общий порядок переезда — в руководстве по переносу почты с Яндекс 360.
Типичные ошибки
Каждая из них встречалась нам на реальных переездах.
- в МФУ вписан личный ящик сотрудника — сканирование ломается при смене пароля или увольнении
- ради старого МФУ на основном сервере включили TLS 1.0 для всех
- ретранслятор с ошибкой в mynetworks стал открытым релеем
- скан больше лимита — письма молча не доходят
- пароль администратора МФУ заводской — любой видит пароль почтового ящика
- МФУ забыли при переезде — в понедельник сканы уходят на старый сервер
Своя почта решает, а не запрещает
Облачный провайдер отвечает на старое устройство одним словом — «не поддерживается». Свой сервер даёт решение, которое сохраняет и безопасность, и работающий сканер. Это и есть разница между сервисом, который навязывает вам свои правила, и инфраструктурой, которой управляете вы. О безопасности своего сервера — в статье о безопасности почтового сервера в первый день.
Частые вопросы
Почему МФУ перестало отправлять сканы после переезда почты?
В нём остались старые сервер и пароль, либо МФУ не поддерживает TLS 1.2 и STARTTLS, которых требует новый сервер.
Какие настройки указать в МФУ?
Сервер mail.company.ru, порт 587 со STARTTLS, полный адрес служебного ящика и пароль приложения — если МФУ это поддерживает.
Что делать со старым МФУ без TLS 1.2?
Поставить внутренний ретранслятор в офисной сети, который принимает почту от МФУ по его IP и пересылает на основной сервер по современному TLS.
Не опасно ли принимать почту без пароля?
Только внутри локальной сети и только с IP-адресов МФУ. После настройки проверьте, что ретранслятор не принимает письма с других адресов.
Почему большие сканы не доходят?
Письмо больше лимита размера сервера. Уменьшите разрешение и включите сжатие или сохраняйте большие сканы в сетевую папку.
С какого ящика отправлять сканы?
С отдельного служебного ящика с правом только на отправку и лимитом писем, а не с личного ящика сотрудника.
Миграция почты с Яндекса под ключ от АйТи Фреш
Возьмём на себя весь переезд: проверим текущую почту и домен, поможем выбрать вариант, перенесём письма, папки, календари и контакты, переключим MX, SPF, DKIM и DMARC, проверим доставляемость и поддержим сотрудников после переезда.
Куда переносим: в облако на российской площадке, на ваш собственный сервер, в гибридную схему или как резервный контур рядом с текущей почтой.
- Аудит текущей почты и домена — 1–2 рабочих дня
- План миграции и фиксированная смета — 1 рабочий день
- Настройка сервера, DNS и перенос ящиков — 3–5 рабочих дней
- Сопровождение сотрудников и проверка доставляемости — 5 рабочих дней
| Работа | Стоимость |
|---|---|
| Перенос почты, календарей и контактов до 50 ящиков | от 12 000 ₽ разово |
| Корпоративная почта под ключ: сервер, домен, SPF/DKIM/DMARC, до 15 ящиков | от 25 000 ₽ разово |
| Ящики на нашей инфраструктуре (Carbonio CE или mailcow, ЦОД МТС) | от 150 ₽/мес за ящик |
| Обслуживание почтового сервера | от 7 000 ₽/мес |
Опыт: перенесли 617 ящиков гостиничной группы за 3 дня. Точный срок и смету фиксируем после аудита; простой при переключении зависит от схемы и оговаривается в договоре. Подробнее — на странице услуги «Корпоративная почта для бизнеса».