Старая схема установки Postfix + Dovecot + MySQL + PostfixAdmin + Roundcube на CentOS 7 больше не подходит как production-инструкция: CentOS 7 завершил поддержку, а требования к доставляемости и безопасности почты стали заметно строже.
Современная архитектура
- Postfix — SMTP-приём и отправка;
- Dovecot — IMAP, локальная доставка и аутентификация;
- MariaDB/PostgreSQL — виртуальные домены и пользователи;
- PostfixAdmin — управление доменами, ящиками и алиасами;
- Roundcube — webmail;
- Rspamd — антиспам и DKIM;
- Redis — кэш/статистика для Rspamd;
- Let’s Encrypt — доверенные TLS-сертификаты.
Начинайте с DNS, а не с пакетов
- A/AAAA для почтового хоста;
- MX домена;
- PTR публичного IP;
- SPF;
- DKIM;
- DMARC.
Без корректного PTR и доменной аутентификации даже идеально работающий SMTP может иметь плохую доставляемость.
Не используйте самоподписанный TLS для пользователей
Для IMAP, SMTP submission и webmail используйте сертификат от доверенного центра. Исключение сертификата вручную в Thunderbird, как советовали старые инструкции, допустимо разве что в изолированной тестовой среде.
Разделяйте SMTP-порты
- 25/tcp — межсерверная доставка;
- 587/tcp — submission для пользователей с AUTH и STARTTLS;
- 465/tcp — implicit TLS, если нужен клиентам;
- 993/tcp — IMAPS.
Что обязательно для production
- fail2ban или аналогичная защита;
- ограничения relay;
- backup базы и maildir;
- тест восстановления;
- мониторинг очереди Postfix;
- контроль свободного места;
- проверка попадания IP/домена в blocklists;
- регулярные обновления.
Когда лучше не собирать всё вручную
Если цель — рабочая корпоративная почта, а не обучение Postfix, готовый mail-stack вроде Mailcow или iRedMail уменьшает количество ручных связей между компонентами. Ручная сборка оправдана, когда нужна нестандартная архитектура и есть ресурсы постоянно её поддерживать.
