Почтовый сервер на FreeBSD 15.1: Exim и Dovecot - История изменений

Bas: Аудит публикации: заменить LAN-адреса документационными TEST-NET, уточнить примеры; секретов не обнаружено

2026-10-29T02:25:35Z

Аудит публикации: заменить LAN-адреса документационными TEST-NET, уточнить примеры; секретов не обнаружено

← Предыдущая версия		Версия от 02:25, 29 октября 2026
Строка 3:		Строка 3:
	Самостоятельная инструкция для одного сервера: Exim принимает SMTP и submission, Dovecot предоставляет IMAPS, а доставка в Maildir выполняется через локальный LMTP-сокет. Пользователи и алиасы хранятся в файлах, SQL не требуется. Почта, очередь и дополнительные данные размещаются на отдельной UFS в /opt. Сертификат выпускается после подготовки конфигураций: до этого сетевые почтовые службы не запускаются.		Самостоятельная инструкция для одного сервера: Exim принимает SMTP и submission, Dovecot предоставляет IMAPS, а доставка в Maildir выполняется через локальный LMTP-сокет. Пользователи и алиасы хранятся в файлах, SQL не требуется. Почта, очередь и дополнительные данные размещаются на отдельной UFS в /opt. Сертификат выпускается после подготовки конфигураций: до этого сетевые почтовые службы не запускаются.

	'''Все имена и адреса ниже — примеры.''' Заменить example.org и example.net своими доменами, mail.example.org — своим FQDN, 192.0.2.10 — реальным публичным IPv4, ~~192~~.~~168~~.1.12 — адресом сервера в LAN. 192.0.2.~~10 зарезервирован~~ для документации и ~~в интернете~~ не ~~работает~~. Команды для чистой системы выполняются от root в /bin/sh; существующие конфигурации сначала сравнить, не заменять вслепую. Проверенная основа: FreeBSD 15.1, Exim 4.100, Dovecot 2.4.5. Для других веток Dovecot синтаксис отличается.		'''Все имена и адреса ниже — примеры.''' Заменить example.org и example.net своими доменами, mail.example.org — своим FQDN, 192.0.2.10 — реальным публичным IPv4, 198.51.100.20 — адресом сервера в LAN. 192.0.2.0/24 и 198.51.100.0/24 зарезервированы для документации (RFC 5737) и не являются рабочими адресами инфраструктуры. В примерах 198.51.100.20 — условный LAN-адрес сервера, 198.51.100.1 — условный шлюз; заменить их своими значениями. Домены example.org и example.net также предназначены для примеров. Публичные адреса документации, поставщиков и источников баз приведены намеренно; учётные данные для доступа к ним не публикуются. Команды для чистой системы выполняются от root в /bin/sh; существующие конфигурации сначала сравнить, не заменять вслепую. Проверенная основа: FreeBSD 15.1, Exim 4.100, Dovecot 2.4.5. Для других веток Dovecot синтаксис отличается.

	__TOC__		__TOC__
Строка 51:		Строка 51:
	sysrc hostname=mail.example.org		sysrc hostname=mail.example.org
	hostname mail.example.org		hostname mail.example.org
	sysrc defaultrouter=~~192~~.~~168~~.1.1		sysrc defaultrouter=198.51.100.1
	# Только если в работающей таблице отсутствует default route:		# Только если в работающей таблице отсутствует default route:
	route add default ~~192~~.~~168~~.1.1		route add default 198.51.100.1
	</pre>		</pre>

Строка 149:		Строка 149:
	qualify_domain = example.org		qualify_domain = example.org
	keep_environment =		keep_environment =
	local_interfaces = 127.0.0.1 : ~~192~~.~~168~~.1.12		local_interfaces = 127.0.0.1 : 198.51.100.20
	disable_ipv6 = true		disable_ipv6 = true
	domainlist local_domains = @ : /usr/local/etc/exim/domains		domainlist local_domains = @ : /usr/local/etc/exim/domains
Строка 1202:		Строка 1202:
	server {		server {
	listen 127.0.0.1:80;		listen 127.0.0.1:80;
	listen ~~192~~.~~168~~.1.12:80;		listen 198.51.100.20:80;
	server_name mail.example.org;		server_name mail.example.org;
	return 308 https://mail.example.org$request_uri;		return 308 https://mail.example.org$request_uri;
Строка 1209:		Строка 1209:
	server {		server {
	listen 127.0.0.1:443 ssl;		listen 127.0.0.1:443 ssl;
	listen ~~192~~.~~168~~.1.12:443 ssl;		listen 198.51.100.20:443 ssl;
	server_name mail.example.org;		server_name mail.example.org;
	ssl_certificate /usr/local/etc/mail-certs/fullchain.pem;		ssl_certificate /usr/local/etc/mail-certs/fullchain.pem;
Строка 1275:		Строка 1275:
	# /usr/local/etc/mail-certs/privkey.pem -> /usr/local/etc/nginx/ssl/mail.example.org/privkey.pem		# /usr/local/etc/mail-certs/privkey.pem -> /usr/local/etc/nginx/ssl/mail.example.org/privkey.pem
	# Keep the private key root-owned, mode 0600, on the front server.		# Keep the private key root-owned, mode 0600, on the front server.
	# The front nginx must be able to reach ~~192~~.~~168~~.1.12 TCP 443.		# The front nginx must be able to reach 198.51.100.20 TCP 443.

	server {		server {
Строка 1293:		Строка 1293:

	location / {		location / {
	proxy_pass https://~~192~~.~~168~~.1.12;		proxy_pass https://198.51.100.20;
	proxy_http_version 1.1;		proxy_http_version 1.1;
	proxy_set_header Host mail.example.org;		proxy_set_header Host mail.example.org;
Строка 1316:		Строка 1316:
	}		}
	</pre>		</pre>
	Перед reload выполнить nginx -t. В этой схеме NAT 443 указывает на frontend, а он должен достигать ~~192~~.~~168~~.1.12:443 по LAN. Порты SMTP/IMAP идут непосредственно на почтовый сервер.		Перед reload выполнить nginx -t. В этой схеме NAT 443 указывает на frontend, а он должен достигать 198.51.100.20:443 по LAN. Порты SMTP/IMAP идут непосредственно на почтовый сервер.

	== 12. Необязательно: ClamAV и проверка SMTP-писем ==		== 12. Необязательно: ClamAV и проверка SMTP-писем ==

Bas: /* 15.2. Настроить Redis и Rspamd */ Заменить PhishTank на OpenPhish: конфигурация, установка и результаты проверки

2026-10-29T02:13:18Z

15.2. Настроить Redis и Rspamd: Заменить PhishTank на OpenPhish: конфигурация, установка и результаты проверки

@@ Строка 1577: / Строка 1577: @@
 for&#32;module&#32;in&#32;(&#x27;greylist&#x27;,&#32;&#x27;ratelimit&#x27;,&#32;&#x27;neural&#x27;,&#32;&#x27;force_actions&#x27;,&#32;&#x27;fuzzy_check&#x27;):
 &#32;&#32;&#32;&#32;write(local&#32;/&#32;(module&#32;+&#32;&#x27;.conf&#x27;),&#32;&#x27;enabled&#32;=&#32;false;\n&#x27;)
 print(&#x27;Configuration&#32;written;&#32;secrets&#32;are&#32;stored&#32;in&#32;root-only&#32;files.&#x27;)
 </pre>
@@ Строка 1593: / Строка 1598: @@
 Проверить отсутствие Redis/Rspamd на внешних адресах. В local.d/options.inc не задан чужой DNS-сервер: используется системный резолвер; для DNSBL нужен разрешённый их политикой резолвер. Пароли не печатать через cat и не включать дамп полного конфигурационного файла в общие логи. При ошибке не подключать Exim, пока configtest, запуск и авторизованный stat не проходят. Значение min_learns = 200 означает, что для работы Bayes-оценок требуются примеры обоих классов: по 200 spam и ham; остальные проверки могут работать до накопления этих примеров.
 === 15.3. Подключить Exim без антиспам-отказов ===

Bas: 1 версия импортирована: Обновление одной существующей статьи: Rspamd, автоматическое обучение INBOX ↔ Junk и необязательная сортировка. Предыдущая история сохраняется.

2026-10-29T01:50:46Z

1 версия импортирована: Обновление одной существующей статьи: Rspamd, автоматическое обучение INBOX ↔ Junk и необязательная сортировка. Предыдущая история сохраняется.

← Предыдущая версия		Версия от 01:50, 29 октября 2026
(нет различий)

Bas: Добавлена пошаговая настройка Rspamd, IMAPSieve, автоматического обучения INBOX ↔ Junk и необязательной сортировки

2026-10-29T01:49:10Z

Добавлена пошаговая настройка Rspamd, IMAPSieve, автоматического обучения INBOX ↔ Junk и необязательной сортировки

Внесённые изменения

Bas: Пошаговая установка Exim и Dovecot 2.4 на FreeBSD 15.1: UFS /opt, домены, алиасы, TLS, DKIM, SnappyMail, ClamAV и Alloy

2026-10-29T01:29:00Z

Пошаговая установка Exim и Dovecot 2.4 на FreeBSD 15.1: UFS /opt, домены, алиасы, TLS, DKIM, SnappyMail, ClamAV и Alloy

Внесённые изменения