邮件服务器¶

example.com.        IN  MX  10  mail.example.com.
example.com.        IN  MX  20  mail2.example.com.
mail.example.org.   IN  A       203.0.113.1

example.com.  IN  TXT  "v=spf1 mx a:mail.example.com ip4:203.0.113.0/24 -all"

mail._domainkey.example.com.  IN  TXT  "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3..."

_dmarc.example.com.  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; pct=100"

# 邮件主机的完全限定域名
myhostname = mail.example.com

# 邮件域名（默认取 myhostname 第一个点后的部分）
mydomain = example.com

# 发出邮件的 From 地址中使用的域名
myorigin = $mydomain

# 监听所有网络接口（默认只监听 127.0.0.1）
inet_interfaces = all
inet_protocols = ipv4

# 声明本机负责收信的主机名列表
mydestination = $myhostname, localhost.$mydomain, localhost, $mydomain

# 信任的客户端网段（无需认证即可中继发送）
mynetworks = 127.0.0.0/8, 192.168.1.0/24

# 允许为哪些下游域中继邮件（作为 MX 中继时使用）
relay_domains = $mydestination

# 邮件别名数据库
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases

# 单封邮件最大容量（字节，默认 10MB）
message_size_limit = 52428800

/etc/dovecot/
├── dovecot.conf          # 主配置（通过 !include conf.d/*.conf 引入子配置）
└── conf.d/
    ├── 10-auth.conf      # 认证设置
    ├── 10-mail.conf      # 邮件存储位置
    ├── 10-master.conf    # 服务和监听端口
    ├── 10-ssl.conf       # SSL/TLS 设置
    └── 20-imap.conf      # IMAP 协议设置

# 启用 IMAP 和 POP3 协议（lmtp 用于与 Postfix 整合）
protocols = imap pop3 lmtp

# 使用 Maildir 格式存储（推荐，每封邮件一个文件）
mail_location = maildir:~/Maildir

# 如果使用 mbox 格式（单文件，不推荐用于 IMAP）
# mail_location = mbox:~/mail:INBOX=/var/mail/%u

# 使用 Dovecot LMTP 进行本地投递
mailbox_transport = lmtp:unix:private/dovecot-lmtp

service lmtp {
  unix_listener /var/spool/postfix/private/dovecot-lmtp {
    mode = 0600
    user = postfix
    group = postfix
  }
}

# === 接收端 TLS（SMTPS / STARTTLS）===
smtpd_tls_cert_file = /etc/letsencrypt/live/mail.example.com/fullchain.pem
smtpd_tls_key_file  = /etc/letsencrypt/live/mail.example.com/privkey.pem
smtpd_tls_security_level = may       # 支持但不强制 TLS（改为 encrypt 可强制）
smtpd_tls_loglevel = 1

# === 发送端 TLS（向其他 MTA 发送时）===
smtp_tls_security_level = may
smtp_tls_loglevel = 1

# 587 Submission（STARTTLS 提交，推荐 MUA 使用）
submission inet n - n - - smtpd
  -o syslog_name=postfix/submission
  -o smtpd_tls_security_level=encrypt
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_recipient_restrictions=permit_sasl_authenticated,reject

# 465 SMTPS（直接 TLS，传统加密提交）
smtps inet n - n - - smtpd
  -o syslog_name=postfix/smtps
  -o smtpd_tls_wrappermode=yes
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_recipient_restrictions=permit_sasl_authenticated,reject

ssl = required
ssl_cert = </etc/letsencrypt/live/mail.example.com/fullchain.pem
ssl_key  = </etc/letsencrypt/live/mail.example.com/privkey.pem

# 禁止明文认证（强制走加密通道）

# 禁止在非加密连接上传输明文密码
disable_plaintext_auth = yes

smtpd_recipient_restrictions =
  permit_mynetworks,              # 信任内网无条件放行
  permit_sasl_authenticated,      # 已认证用户放行
  reject_unknown_sender_domain,   # 拒绝发件方域名无 DNS 记录
  reject_unknown_recipient_domain,# 拒绝收件方域名无 DNS 记录
  reject_unauth_destination,      # 拒绝非授权目标（防 Open Relay）
  reject_rbl_client zen.spamhaus.org,   # RBL 黑名单检查
  reject_rbl_client bl.spamcop.net,
  permit

zen.spamhaus.org      # 综合型，覆盖最广，推荐首选
bl.spamcop.net        # 用户举报型
cbl.abuseat.org       # 僵尸网络来源

service auth {
  # 供 Postfix 使用的 SASL 接口
  unix_listener /var/spool/postfix/private/auth {
    mode = 0660
    user = postfix
    group = postfix
  }
}

# 启用 SASL 认证
smtpd_sasl_auth_enable = yes
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth
smtpd_sasl_security_options = noanonymous

# 兼容早期 Outlook Express 等非标准客户端（可选）
broken_sasl_auth_clients = yes

NOQUEUE: reject: RCPT from unknown[1.2.3.4]: 554 5.7.1 <user@example.com>:
Relay access denied