Co to jest Postfix i jak skonfigurować go jako serwer pocztowy?

Postfix to otwartoźródłowy agent transferu poczty (MTA), który odpowiada za kierowanie i dostarczanie e-maili w systemach operacyjnych opartych na architekturze Linux. Żeby poprawnie skonfigurować go jako serwer pocztowy, musisz przypisać mu odpowiednią domenę w pliku main.cf, ustawić rekordy MX w strefie DNS i połączyć go z oprogramowaniem Dovecot do obsługi skrzynek IMAP.

Prawda jest zresztą absolutnie taka, że postawienie własnego serwera pocztowego to praca na żywym organizmie. Wymaga grzebania w plikach tekstowych i ciągłego czytania logów. Zamiast płacić korporacjom za gotowe pakiety biurowe, budujemy własną infrastrukturę. Zyskujesz pełną kontrolę nad danymi. Masz własny demon SMTP. I nikt nie czyta nagłówków twoich wiadomości.

Dlaczego instalujemy Postfixa zamiast innych rozwiązań MTA?

Rynek oprogramowania open source daje nam kilka opcji. Mamy wysłużonego Sendmaila. Mamy Exima, który domyślnie siedzi w Debianie. A my i tak wybieramy Postfixa. Bo ma architekturę modułową. Każdy proces robi jedną rzecz i robi ją dobrze. Demon smtpd odbiera połączenia z zewnątrz. Demon qmgr zarządza kolejką wiadomości. Jeśli jeden proces padnie z powodu błędu pamięci, reszta systemu pocztowego działa dalej bez zawieszenia całego serwera.

Pamiętam doskonale migrację starego klastra na warszawskim Mokotowie w lokalnej spółdzielni mieszkaniowej. Mieli tam Sendmaila konfigurowanego jeszcze na początku lat dwutysięcznych. Kod przypominał pismo klinowe. Zrobiliśmy na wdrożeniu szybki zrzut starych skrzynek, potem zawiesiło się autoryzowanie haseł w bazie MySQL, więc wprowadzono poprawkę w mapowaniach Postfixa tuż przed poniedziałkowym porankiem. System wstał i zaczął przetwarzać prawie pięćdziesiąt procent więcej zapytań na sekundę na tym samym, starym sprzęcie. To prosta matematyka obciążeniowa. Bez magii.

Jakie pakiety pobieramy na start z repozytorium?

Zaczynamy od czystego systemu. Wchodzisz na roota. Aktualizujesz listę pakietów. Wrzucasz komendę instalacyjną. Dobrym pomysłem jest od razu pobranie wszystkich potrzebnych narzędzi pobocznych, żeby nie wracać do tego za godzinę.

• Instalujesz główny pakiet postfix oraz dovecot-imapd. Ten pierwszy wyśle pocztę w świat. Ten drugi pozwoli twojemu programowi pocztowemu (jak Thunderbird) odebrać maile z serwera po protokole IMAP.
• Pobierasz narzędzia DNS, czyli pakiet dnsutils. Będziesz musiał na bieżąco diagnozować rekordy MX i TXT, a bez komendy dig zrobisz to co najwyżej w przeglądarce, tracąc czas na przełączanie okien.
• Dołączasz certbot dla szyfrowania
• Na koniec instalujesz opcjonalnie postfix-mysql, jeśli planujesz trzymać użytkowników w bazie danych zamiast w płaskich plikach systemowych. My dzisiaj zrobimy to najprostszą metodą.

Gdzie znajduje się główny plik konfiguracyjny i co wpisujemy w main.cf?

Cała logika programu leży w katalogu /etc/postfix. Główny plik to main.cf. To tutaj definiujesz, kim jesteś dla reszty internetu. Otwierasz go w edytorze nano lub vim. Widzisz setki linijek. Połowa z nich to zakomentowane domyślne parametry.

Skupiamy się na zmiennych określających tożsamość maszyny. Zmieniasz parametr myhostname na pełną nazwę domenową twojego serwera, na przykład mail.twojadomena.pl. Parametr mydomain dostaje samą nazwę domeny. Parametr myorigin ustawiasz na $mydomain, żeby maile wychodzące z serwera miały ładny adres nadawcy, a nie techniczny ciąg znaków z nazwą hosta.

Zmienna mydestination mówi serwerowi, dla jakich domen ma przyjmować pocztę lokalnie. Jeśli ktoś wyśle maila na adres w tej domenie, Postfix nie przekaże go dalej w internet, tylko wrzuci do lokalnej skrzynki. A to błąd, jeśli zapomnisz tu dopisać localhost. Serwer zacznie odrzucać własne powiadomienia systemowe.

Absolutnie najważniejsza zmienna to mynetworks. NIE WOLNO ci wstawić tam całej puli adresowej internetu. Definiujesz tu tylko adresy IP, którym ufasz. Najczęściej wpisuje się 127.0.0.0/8 dla pętli zwrotnej. Jeśli zostawisz to źle skonfigurowane, zrobisz z maszyny tak zwany open relay. Spamerzy z całego świata znajdą twój serwer w dwie godziny i wyślą przez niego miliony wiadomości o cudownych lekach. Zanim rano wstaniesz, twój adres IP wyląduje na wszystkich możliwych czarnych listach Spamhaus i Sorbs.

W jaki sposób upewnić się, że składnia jest poprawna?

Przed każdym restartem demona używasz polecenia systemowego. Wpisujesz w konsoli postfix check. Program analizuje pliki w locie. Jeśli milczy i oddaje pusty znak zachęty, składnia jest czysta. Jeśli wypluwa błędy, od razu podaje numer linijki. Naprawiasz to natychmiast.

Jak poprawnie spiąć Postfix z systemem DNS?

Bez wpisów w strefie domenowej twój serwer to tylko odizolowany byt. Inne maszyny muszą wiedzieć, gdzie kierować pocztę dla twojej domeny. Logujesz się do panelu u swojego rejestratora domeny. Szukasz edytora strefy DNS.

Tworzysz rekord typu A. Nazwij go mail.twojadomena.pl i skieruj na publiczny adres IP twojego serwera VPS. Następnie dodajesz rekord MX (Mail Exchange). Jako wartość wpisujesz stworzoną przed chwilą subdomenę mail.twojadomena.pl. Ustawiasz priorytet na 10. Priorytet ma znaczenie tylko wtedy, gdy masz zapasowe serwery pocztowe odbierające ruch w razie awarii głównego. My mamy jeden, więc wpisujemy dziesiątkę z przyzwyczajenia.

Chociaż prawdę mówiąc brakuje nam twardych danych za wczoraj z propagation time, więc wydaje się to tylko jedną z możliwych hipotez, że DNS rozejdzie się w godzinę. Czasami propagacja trwa dobę. Czekasz. Używasz narzędzia dig mx twojadomena.pl w terminalu, żeby sprawdzić, czy internet już widzi twoje zmiany.

Jak zabezpieczyć serwer pocztowy przed wpadnięciem na czarne listy spamowe?

Samo wysyłanie maili to dzisiaj najprostsza część zadania. Problemem jest sprawienie, by Google czy Microsoft przyjęły twoją wiadomość do głównego folderu odbiorcy, a nie odrzuciły jej z błędem 550. Giganci narzucają bezwzględne reguły autoryzacji nadawców. Musisz wdrożyć trzy mechanizmy w rekordach TXT domeny.

Zaczynamy od SPF (Sender Policy Framework). Tworzysz rekord TXT o wartości „v=spf1 mx a ~all”. Ten krótki ciąg znaków informuje inne serwery: hej, tylko maszyny wymienione w moich rekordach MX i A mają prawo wysyłać pocztę w moim imieniu. Resztę traktujcie podejrzliwie.

Potem konfigurujesz DKIM (DomainKeys Identified Mail). To wymaga doinstalowania pakietu opendkim. Generujesz na serwerze parę kluczy kryptograficznych. Klucz prywatny zostaje w systemie i Postfix podpisuje nim każdego wychodzącego maila. Klucz publiczny wrzucasz jako kolejny rekord TXT do strefy DNS. Serwer odbiorcy widzi podpis, pobiera klucz z DNS, weryfikuje matematyczną zgodność. Jeśli ktoś po drodze zmienił treść wiadomości, podpis pęka. Mail ląduje w koszu.

Na koniec dodajesz DMARC. To polityka, która mówi obcym serwerom, co mają zrobić, jeśli mail obleje testy SPF lub DKIM. Wrzucasz w DNS rekord TXT dla subdomeny _dmarc o treści „v=DMARC1; p=quarantine;”. Nakazujesz wrzucenie fałszywych maili do folderu spam u odbiorców.

Co to jest rekord PTR i dlaczego bez niego nic nie zadziała?

(Nawiasem mówiąc w zeszłym miesiącu siedziałem nad konfiguracją dla znajomego warsztatu samochodowego. Chłopaki postawili serwer u taniego dostawcy chmury. Maile do Onetu przechodziły, a Gmail odbijał wszystko z komunikatem o braku weryfikacji tożsamości. Sprawdziłem SPF, sprawdziłem DKIM. Wszystko na zielono. Zapomnieli o jednym drobnym detalu, o którym dostawcy tanich VPS-ów milczą). Brakowało rekordu PTR, czyli tak zwanego Reverse DNS.

Rekord A tłumaczy nazwę domeny na adres IP. Rekord PTR robi dokładnie odwrotnie. Tłumaczy adres IP z powrotem na nazwę domeny. Nie ustawisz tego w panelu rejestratora domeny. Musisz wejść do panelu firmy hostingowej, która wynajęła ci serwer, i tam w sekcji sieciowej przypisać nazwę mail.twojadomena.pl do twojego adresu IP. Zdecydowana większość dużych operatorów pocztowych natychmiast odrzuca połączenia od serwerów bez poprawnego rekordu PTR. Traktują je jak zainfekowane komputery domowe podłączone do Neostrady.

W jaki sposób autoryzujemy użytkowników za pomocą Dovecot?

Mamy już działającego Postfixa. Potrafi wysłać maila. Ale jak ty, jako użytkownik, masz się do niego podłączyć z telefonu, żeby napisać wiadomość do klienta? Postfix z założenia nie posiada wbudowanego mechanizmu sprawdzania haseł z bazy. On tylko rzuca komunikaty SMTP.

Dlatego spinamy go z demonem Dovecot. Dovecot to serwer IMAP/POP3. Odpowiada za czytanie skrzynek i autoryzację. Otwierasz plik /etc/dovecot/conf.d/10-master.conf. Szukasz sekcji odpowiedzialnej za usługę auth. Odkomentowujesz gniazdo unixowe /var/spool/postfix/private/auth. Zmieniasz uprawnienia tak, by Postfix miał do niego dostęp. Zapisujesz.

Wracasz do głównego pliku main.cf Postfixa. Dopisujesz reguły SASL (Simple Authentication and Security Layer). Wskazujesz Dovecota jako dostawcę mechanizmu logowania. Od tego momentu, gdy twój program pocztowy próbuje wysłać maila, Postfix pyta Dovecota: czy ten gość podał dobre hasło? Dovecot zagląda do pliku /etc/shadow lub bazy MySQL, sprawdza hash i odpowiada twierdząco. Dopiero wtedy Postfix pozwala na wysłanie wiadomości na zewnątrz.

Jak skonfigurować szyfrowanie TLS żeby nikt nie podsłuchiwał ruchu?

Wysyłanie poczty otwartym tekstem to proszenie się o kłopoty. Każdy węzeł po drodze może przeczytać treść wiadomości. Uruchamiamy szyfrowanie. Pobieramy darmowy certyfikat od Let’s Encrypt. Wpisujesz w terminalu certbot certonly –standalone -d mail.twojadomena.pl. Program łączy się z serwerami weryfikującymi, sprawdza poprawność domeny i zrzuca klucze do katalogu /etc/letsencrypt/live/.

W main.cf dodajesz ścieżki do plików fullchain.pem oraz privkey.pem. Wymuszasz stosowanie szyfrowania dla klientów logujących się do serwera parametrem smtpd_tls_security_level = may. Zmieniasz to na encrypt, jeśli chcesz bezwzględnie odrzucać próby połączeń bez SSL. My zalecamy zostawienie „may” dla komunikacji między serwerami (MTA-to-MTA), bo niektóre stare systemy w internecie nadal nie obsługują TLS i poczta od nich po prostu by do ciebie nie dotarła.

Dlaczego logi systemowe to jedyne miejsce, w którym znajdziesz prawdę?

Sami pewnie widzicie po wdrożeniach, że testy wysyłki potrafią doprowadzić do szału. Klient dzwoni i mówi, że mail nie doszedł. Nie szukasz problemu w jego Outlooku. Od razu logujesz się na serwer i wpisujesz tail -f /var/log/mail.log. To twój monitor pracy serca systemu. Widzisz tam każdą próbę nawiązania połączenia.

Zwracasz uwagę na kody błędów SMTP. Kod 250 oznacza sukces. Wiadomość przyjęta. Kod 450 to błąd tymczasowy, na przykład docelowy serwer jest przeciążony i prosi o ponowną próbę za kwadrans. Kod 550 to twarda odmowa. Skrzynka nie istnieje, albo wylądowałeś na czarnej liście. Postfix zapisuje w logach dokładny komunikat, jaki otrzymał od obcego serwera. Czytasz go. Wyciągasz wnioski. Poprawiasz konfigurację.

Zbudowaliśmy właśnie prosty, działający system transferu wiadomości. Wiesz, co to jest Postfix i jak skonfigurować go jako serwer pocztowy weryfikujący nadawców. Środowisko Linux nie wybacza błędów w składni, ale odwdzięcza się bezawaryjną pracą przez długie lata. Zaloguj się teraz na swój VPS, otwórz terminal i sprawdź, czy port 25 nasłuchuje poprawnie. Reszta to tylko edycja plików tekstowych.

Często zadawane pytania (FAQ)

• Co to jest Postfix?
  Postfix to otwartoźródłowy agent transferu poczty (MTA) działający w systemach Linux. Odpowiada za przyjmowanie, kolejkowanie i wysyłanie wiadomości e-mail z wykorzystaniem protokołu SMTP.
• W jakim pliku znajduje się główna konfiguracja Postfixa?
  Główny plik konfiguracyjny to main.cf, który domyślnie znajduje się w katalogu /etc/postfix. To w nim definiuje się nazwę hosta, domeny oraz zasady przyjmowania poczty.
• Dlaczego mój serwer pocztowy wysyła maile do spamu?
  Najczęstszą przyczyną jest brak poprawnie skonfigurowanych rekordów DNS takich jak SPF, DKIM oraz DMARC. Dodatkowo problemem bywa brak ustawionego rekordu PTR (Reverse DNS) dla adresu IP serwera.
• Do czego służy program Dovecot przy konfiguracji Postfixa?
  Dovecot to serwer IMAP/POP3, który zarządza skrzynkami pocztowymi użytkowników i odpowiada za ich bezpieczną autoryzację (sprawdzanie haseł) przed pozwoleniem Postfixowi na wysłanie wiadomości.
• Jak sprawdzić błędy w konfiguracji Postfix przed jego zrestartowaniem?
  Należy użyć w terminalu komendy systemowej „postfix check”. Przeanalizuje ona pliki konfiguracyjne i zwróci numery linii zawierających błędy składniowe.
• Gdzie znajdę informacje o niedostarczonych wiadomościach e-mail?
  Wszystkie zdarzenia związane z przepływem poczty, w tym odrzucenia i błędy autoryzacji, zapisywane są w pliku logów systemowych, najczęściej pod ścieżką /var/log/mail.log.

Bibliografia

1. Postfix Architecture Overview – https://www.postfix.org
2. Dovecot Manual – https://dovecot.org
3. Internet Engineering Task Force (IETF) – https://www.ietf.org
4. Debian Administrator’s Handbook – https://debian-handbook.info
5. Spamhaus Project – https://www.spamhaus.org