Zimbra Collaboration 10: развёртывание корпоративного почтового сервера

Установка Zimbra Collaboration 10

# Скачиваем последнюю версию
wget https://files.zimbra.com/downloads/10.1.0_GA/zcs-10.1.0_GA_1234.UBUNTU22_64.20240520123456.tgz

tar xzf zcs-10.1.0*.tgz
cd zcs-10.1.0*/

# Запускаем установщик
./install.sh --platform-override

Установщик спрашивает, какие компоненты ставить. Для single-server инсталляции оставляем все по умолчанию, кроме zimbra-dnscache (если у вас уже есть DNS в офисе) и zimbra-imapd (не нужен, если всё в одном).

Через 15–20 минут после разворачивания пакетов попадаем в Main Menu. Важные пункты:

• 2) zimbra-store → 4) admin password — ставим стойкий пароль.
• 6) spam training user → 7) non-spam user — проверяем, что адреса созданы.
• 10) enable default CoS — оставляем default.
• r) apply — применяем конфигурацию. Ждём 10–15 минут на завершение.

Первичная настройка DKIM

sudo su - zimbra
/opt/zimbra/libexec/zmdkimkeyutil -a -d example.ru
# Команда выведет публичный ключ DKIM - копируем его в DNS

Полученный ключ вида "v=DKIM1; k=rsa; p=MIIBIjANBgkq..." добавляем в DNS как TXT-запись на имени selector1._domainkey. Проверяем через 5–10 минут утилитой opendkim-testkey или онлайн-сервисом mail-tester.com.

Создание учётных записей

Пользователей создаём через веб-консоль https://mail.example.ru:7071 или через CLI:

sudo su - zimbra
zmprov createAccount ivanov@example.ru СтойкийПароль \
  displayName "Иванов Иван Иванович" \
  givenName "Иван" sn "Иванов"

# Массовое создание через файл
zmprov < /root/create-users.zmprov

# Создание алиаса
zmprov addAccountAlias ivanov@example.ru secretary@example.ru

# Создание распределительного списка
zmprov createDistributionList all@example.ru
zmprov addDistributionListMember all@example.ru ivanov@example.ru

Настройка клиентов

Zimbra поддерживает все основные протоколы:

Outlook подключается через MAPI over HTTP, если использовать z-push-shim в качестве ActiveSync-прокси, или просто через IMAP/SMTP. Мобильные телефоны — через ActiveSync.

Let's Encrypt SSL-сертификат

По умолчанию Zimbra генерирует самоподписанный сертификат — браузер будет ругаться. Ставим бесплатный от Let's Encrypt:

apt install -y certbot

# Останавливаем proxy на 80 порту
su - zimbra -c "zmproxyctl stop"

# Выпускаем сертификат
certbot certonly --standalone -d mail.example.ru \
  --email admin@example.ru --agree-tos --non-interactive

# Импортируем в Zimbra
mkdir -p /opt/zimbra/ssl/letsencrypt
cp /etc/letsencrypt/live/mail.example.ru/*.pem /opt/zimbra/ssl/letsencrypt/
chown -R zimbra:zimbra /opt/zimbra/ssl/letsencrypt

su - zimbra -c "zmcertmgr deploycrt comm \
  /opt/zimbra/ssl/letsencrypt/cert.pem \
  /opt/zimbra/ssl/letsencrypt/chain.pem"

su - zimbra -c "zmcontrol restart"

Автоматическое обновление — через cron раз в неделю + скрипт деплоя сертификата.

Реальный кейс: миграция с Exchange 2013

В августе 2025 клиент — строительная компания на 68 пользователей — запросил уход с Exchange 2013 (конец поддержки, российские санкционные ограничения). За 3 недели мы спланировали и выполнили миграцию: поставили Zimbra 10 OSE на Dell Xeon Platinum 8280 в дата-центре МТС (16 vCPU выделено, 24 ГБ RAM, 800 ГБ NVMe), настроили DNS, SPF, DKIM, DMARC, Let's Encrypt. Миграцию почты делали через imapsync — параллельными потоками по 10 ящиков, всего 680 ГБ данных, 38 часов непрерывной работы. Переключение MX — в ночь с пятницы на субботу, пользователи утром получили новый веб-интерфейс. Выполнили настройку Outlook на всех рабочих местах + z-push для iPhone/Android сотрудников руководства. Экономия на лицензиях Exchange — около 1.2 млн руб. за 3 года, стоимость проекта миграции — 280 000 руб. У нас на практике такие миграции окупаются за первые 6 месяцев.

Бэкап Open Source Edition

В OSE нет встроенного зашитого бэкапа — используем скрипты. Ежедневный ночной бэкап на NAS:

#!/bin/bash
# /opt/scripts/zimbra-backup.sh
BACKUP_DIR="/mnt/nas/zimbra-backup/$(date +%F)"
mkdir -p "$BACKUP_DIR"

# Остановка чтобы согласовать файлы
su - zimbra -c "zmcontrol stop"

# Снапшот ZFS (если используется)
zfs snapshot rpool/zimbra@backup-$(date +%F-%H%M)
zfs send rpool/zimbra@backup-$(date +%F-%H%M) | gzip > "$BACKUP_DIR/zimbra.zfs.gz"

# Запуск обратно
su - zimbra -c "zmcontrol start"

# Удаление старше 30 дней
find /mnt/nas/zimbra-backup -maxdepth 1 -mtime +30 -exec rm -rf {} \;

Альтернатива без простоя — zmailbox export каждого ящика в .tgz и бэкап каталогов конфигурации. Скрипт zimbra-foss-backup на GitHub автоматизирует это.

Мониторинг и производительность

• Raid-кэш, NVMe, 16 ГБ+ RAM — иначе Jetty и MariaDB захлёбываются.
• zmcontrol status раз в день, лучше — через Zabbix с шаблоном Zimbra.
• Следить за очередью Postfix: mailq | grep -c '^[0-9A-F]'.
• Индексация Lucene на больших ящиках — занимает часы. Планируйте миграцию с запасом.
• Логи в /opt/zimbra/log/ — чистим ротацией раз в месяц.

Типичные грабли при развёртывании

• Неправильный hostname. Должен резолвиться во все стороны — forward и reverse DNS совпадают с именем сервера.
• Провайдер блокирует 25 порт. Исходящий SMTP — проблема многих домашних ISP. Решение: smart-host через Mailgun/SendGrid или переезд к нормальному хостеру.
• Не настроили PTR. Gmail отправит в спам сразу, причём navбросит вашу репутацию.
• Кривой SSL. Сертификат должен содержать полную цепочку — с Let's Encrypt используйте fullchain, а не cert.
• Ограниченная RAM. Меньше 8 ГБ — веб-интерфейс тормозит, Jetty падает по OOM. Zimbra на VPS с 4 ГБ — плохая идея.
• Забыли про z-push для ActiveSync. В OSE нет нативной поддержки — без z-push-shim iPhone не подключается.

Обновления и поддержка

Zimbra Collaboration 10 — текущая актуальная ветка, поддержка до 2029 года. Обновления минорных версий (10.1.x → 10.1.latest) выкатывают раз в квартал. Перед апгрейдом — обязательно снапшот всей виртуалки и тестовый прогон на копии. В 2024 году была крупная уязвимость CVE-2023-37580 с RCE — все установки надо было срочно патчить.

FAQ — частые вопросы по Zimbra

Zimbra или Exchange?

Zimbra — open source аналог Exchange с ActiveSync, календарями, контактами и веб-интерфейсом. Бесплатна в Open Source Edition для малого бизнеса, платная Network Edition — с HA, архивированием, бэкапом. Для импортозамещения в России Zimbra — основной выбор.

Сколько ресурсов нужно для Zimbra на 50 пользователей?

Минимум 4 vCPU, 8 ГБ RAM, 200 ГБ SSD. Zimbra — прожорливая: Jetty, MariaDB, Postfix, Amavisd, ClamAV, Redis. На слабом железе интерфейс тормозит, индексация почты может часами занимать CPU.

Нужен ли белый IP для почтового сервера?

Да, обязательно. Без белого IP, валидной PTR-записи и настроенных SPF/DKIM/DMARC письма с Zimbra будут уходить в спам у Gmail, Яндекса и Mail.ru. Серый IP = приговор для корпоративной почты.

Поддерживает ли Zimbra мобильные клиенты?

Да, через протокол ActiveSync (в Open Source через z-push-shim, в Network Edition нативно), IMAP и Exchange ActiveSync-совместимые клиенты. Outlook, iPhone Mail, Android Gmail — всё работает.

Как бэкапить Zimbra Open Source?

В OSE нет встроенного бэкапа (он только в Network Edition). Используем скрипты: zmprov getAllAccounts для списка, zmmailbox -z user exportURL для экспорта mbox-файлов. Либо снапшоты ZFS/LVM + официальный zimbra-foss-backup скрипт с GitHub.