跳到内容 
主题 Postfix 高级 它涉及安全、灵活和高性能配置电子邮件服务器的关键方面。在专业托管环境中，Postfix 在确保电子邮件的可靠发送、身份验证和完整性方面发挥着核心作用。
中心点
- main.cf 和 master.cf 为复杂的设置启用有针对性的配置
- 运输规则 和别名管理打开定制转发
- 安全措施 如 SMTP-AUTH、SPF、DKIM 和 DMARC，确保发送安全
- 监测记录和自动化提高了可靠性和可维护性
- 群组运行 和外部中继优化了可扩展性和可交付性
main.cf：微调邮件环境以提高效率
在文件 main.cf 我定义了邮件服务器性质的核心设置。特别是在多域配置中，定义以下参数非常重要 我的主机名, 我的域名 和 我的目的地 以避免退货和邮件循环。
借助 虚拟别名映射 我将地址逻辑从静态配置文件转移到灵活的后台系统，如 MySQL 或 LDAP。这样就可以动态管理电子邮件别名、转发和域。我确保定期用 后映射 有待更新。
特别关注 运输地图.在这里，我可以具体控制通过哪个中继发送某些目标地址--这对于在内部和外部网络之间运行分路网关至关重要。
贡献 Postfix 设置和 Maildir 提示 为服务器层面的优化策略提供了更多见解。
此外，值得 调谐参数 在 main.cf 以提高性能和安全性。例如，设置 smtp_tls_security_level 可以设置为 "可以 "或 "加密"，前提是确保与目标服务器的通信始终加密。特别是在生产环境中，我建议 smtp_tls_security_level = 加密在技术上可行的情况下，执行端到端加密。与此相关的还有对 队列运行延迟 和 最小回退时间来指定 Postfix 尝试重新发送无法投递邮件的频率。尤其是在出现临时网络问题时，这可以防止邮件无处投递或过快被退回。
另一种选择是 禁用查询选择性地停用 DNS 查询，例如在封闭的内部网络中工作时。这可以减少延迟，但需要精确了解内部 DNS 和路由结构。对于大量邮件，建议设置参数 默认目的地货币限额 以提高 SMTP 发送的同步性，避免瓶颈。
正确实施高级安全措施
Postfix 不仅能通过 TLS 实现加密连接，还能对谁有权使用服务器进行特定控制。我激活了 SMTP-AUTH由 smtpd_sasl_auth_enable = yes 并集成兼容的 SASL 后端。这样，用户就可以在发送邮件前主动进行身份验证。
与 smtpd_recipient_restrictions 和 smtpd_relay_restrictions 我防止服务器被滥用为开放中继站。我在规则中添加了合理的策略，例如 permit_sasl_authenticated 或 拒绝 UNAUTH_Destination.
为维护域名声誉，应实施 SPF, DKIM 和 DMARC 必不可少。我用 Policyd 来做 SPF、 opendkim 签名，并选择可防止非法化的 DMARC 政策。服务，如 postfix-policyd-spf-python 便于集成到运行系统中。
还建议 绿名单 来考虑。其原理是未知发件人在第一次尝试发送时会被暂时拒绝--合法的服务器会再次尝试，而许多垃圾邮件机器人只会尝试一次。对于 Postfix 下的灰名单，例如 后灰色 来控制垃圾邮件的泛滥。您还可以 RBL 名单 (实时黑洞列表）中的 smtp_recipient_restrictions 以在早期阶段阻止已知的垃圾邮件来源。
高级安全战略的另一个核心要素是将以下方面分离出来 入站和出站邮件服务器.通过运行两个物理上（或虚拟上）独立的 Postfix 实例，可以独立管理传入邮件流量和传出邮件流量。这样，管理员就可以配置全面的安全过滤器，如 SpamAssassin、rspamd 或 ClamAV，对进入的系统进行病毒扫描。在发出系统中，可以为用户账户定义严格的控制或速率限制，以防止垃圾邮件的发送。
master.cf：有针对性地控制服务
在文件 master.cf 我可以具体控制哪些邮件服务使用哪些端口和参数。例如，我用自定义的过滤链定义自己的 SMTP 实例，或决定是否在 chroot 中运行服务。
我直接在该文件中维护单个进程的资源利用率，例如将邮件过滤器捆绑到单独的队列中。对于 Amavis 或 rspamd 等外部邮件过滤器，我会创建一个 master.cf 专用服务和使用 内容过滤器来整合它们。
对于具有不同输入类别的并行设置（例如稳定版与测试版系统），我可以使用不同的实例来控制邮件的处理和转发方式。
在 master.cf 例如，管理员还可以 基于进程数量的限制 这样，当邮件数量较多时，系统就不会超负荷。选项 -o (等服务中的 smtp 或 呈件 允许 main.cf 可以有针对性地进行覆盖。例如，您可以对提交端口（587 端口）使用与标准 SMTP 25 端口不同的 TLS 设置，假设您想始终将提交端口限制为带身份验证的 TLS，而 25 端口仍负责接受不带身份验证的外部电子邮件。所有这些都可以在 master.cf 灵活。
另一个亮点是 dnsblog 和 核对-服务分开。这样，DNS 黑名单就可以在一个独立的进程中运行，并最大限度地减少设置错误。有针对性地分离单个服务可确保在出现故障时提高透明度，并使调试变得更加容易。
利用传输图优化交付逻辑
我通过 运输地图.我将某些域直接转发给专门的中继器，为内部系统定义例外情况，或为专用集群节点设置域。
在拥有多个邮件服务器的混合基础架构中，或在从自己的服务器切换到外部 SMTP 中继站时，该功能起着决定性作用。Postfix 允许使用 中继主机 甚至可以基于授权向 Amazon SES 或 Sendinblue 等服务交付。
Postfix 配置基础知识 帮助您开始使用这些机制。
必须确保广泛 运输地图-规则来保持概览。网络中的域或目标系统越多，通过数据库进行集中控制就越合理。所有路由信息都可以保存在 MySQL 或 PostgreSQL 表中，Postfix 可以动态访问这些信息。这样，管理员就不必再维护文本文件，而是通过 后映射 系统无需更新，只需接收实时配置，即可无缝适应不断增长的需求。
另一个技巧是使用 发送方依赖中继主机映射.这样，您就可以为不同的发件人地址（或域）定义特定的中继。如果您在同一服务器上运行多个品牌或客户域，并希望通过不同的提供商发送每个域，这一点尤为实用。这样，您就可以为每个发件人存储单独的身份验证，例如，保护各自域名的声誉，并干净利落地分离邮件签名。
使用 Postfix 实现集群和负载平衡
对于扩展设置，我会将邮件流量分配到多个服务器上。每个节点都能通过以下工具获得定制配置 rsync 或 笨蛋.负载平衡器可以分散传输负载，降低故障风险。
我将 MX 记录的 DNS 故障转移与主动集群监控相结合。邮件队列由本地监控，日志则通过 rsyslog 集中管理。这种结构可以通过以下方式实现 主机名过滤器 即使有 3 个以上的并行实例，也能精确计算。
要实现完全的高可用性，我建议使用 Prometheus Exporter for Postfix 进行自动监控。
特别是在分布式系统中 同步邮箱数据 重要的一点。如果除了 Postfix 鸽舍 (对于 IMAP 和 POP3），应明确指定 maildir 或 mbox 文件的位置，以及在出现故障时如何同步这些文件。一个常用的程序是实时复制，例如通过 同步 与 dovecot 一起使用。这意味着即使节点出现故障，数据库也能始终保持一致。对于只处理外发邮件的外部 SMTP 中继，建议使用以下机制 代理服务器 或 保持存活 将流量分配给活动节点。
整合多个数据中心的用户可以使用 地理冗余 确保即使在区域网络出现问题的情况下，也能保证邮件的接收和发送。实现这一点的先决条件是一个同构的 Postfix 环境，其中具有相同的 main.cf 和 master.cf-文件。然后，DNS 条目应指向附近的位置，以最大限度地减少延迟和缓冲全局故障情况。
自动化、日志和通知
免维护邮件服务器的基础是自动化。我用脚本管理新用户和别名，这些脚本直接 后映射 或输入数据库表。这可避免在拥有数百个域的服务器上出现人工错误。
我将队列警告等状态邮件直接转发给管理员或监控服务。我使用 邮件q 并通过 logrotate.d以保持 Postfix 日志的清晰和持久。重要邮件最终会进入已定义的 catchall 收件箱，供人工检查。
整合 监测工具例如，Prometheus 工具可以让您更轻松地持续记录最重要的关键数据，如发送的电子邮件数量、交付时间或错误率。通过报警定义，一旦超过某些阈值，就可以通过 Slack、电子邮件或短信通知您。这对于在垃圾邮件数量突然增加或出现技术故障时立即做出反应尤为重要。
另一个要点是 故障诊断 通过有意义的日志。过滤器，如 grep 或以下工具 pflogsumm来快速识别可疑活动。如果想深入调试，可以通过以下方式临时更改日志级别 postconf -e "debug_peer_level=2" 但必须注意不要让不必要的信息充斥系统。成功解决问题后，应重置调试输出，以保持日志文件的精简。
避免错误来源并有效纠正错误
我定期测试 邮件循环 通过不同的域名给自己发送邮件。如果发送多次，通常是由于 我的目的地-配置或 DNS 中。
如果出现 TLS 错误，我会立即检查 后缀检查 并查看证书的文件授权。特别是 privkey.pem 无法读取 "postfix"。我设置了 编译 和 postfix reload以纠正错误。
认证问题主要出现在 /etc/postfix/sasl_passwd 找到。我注意文件的格式、权限，以及文件中是否带有 后映射 已正确转换。
同样重要的是 DNS 和反向 DNS 条目 已检查。如果 PTR 条目没有正确指向邮件服务器的主机名规范，许多提供商会将电子邮件标记为潜在的垃圾邮件。错误的反向 DNS 也会对 DKIM 和 DMARC 的运行产生负面影响。同样值得注意的是 邮件q 或 postqueue -p 定期查看队列中是否有异常大量的邮件堆积。这表明出现了发送问题，大多数情况下是由于 DNS 设置错误、路由错误或垃圾邮件过滤器配置错误造成的。
如果尽管设置正确，但邮件最终还是进入了收件人的垃圾邮件文件夹，您应该在 拦截列表 检查。特殊工具，如 mxtoolbox.com (作为一项独立服务，而不是文章中的新链接）提供有关 IP 地址是否在 RBL 上的信息。定期检查有助于维护邮件服务器的声誉。
WordPress 和主机与 Postfix 集成
许多主机托管商都依赖于在后台使用 Postfix 的自动邮件服务。我建议 webhoster.de 自动集成 Let's Encrypt 证书，并可轻松控制重定向。
特别是在多站点设置中，Postfix 可通过安全中继使用，从而最大限度地减少服务器负载。通过应用程序接口和可配置的界面工具进行连接，使操作更加简便。
您可以在文章中了解更多信息 Postfix 的完美前向保密功能.
在 WordPress 环境中，您还可以使用 "WP Mail SMTP "等插件来优化电子邮件功能。这些插件直接集成了 SMTP 设置、验证数据和 SSL/TLS 选项。这可确保联系表单或系统信息通过配置的 Postfix 服务器顺利安全地运行。特别是对于访问频率较高的网站，必须确保邮件不会进入垃圾邮件文件夹--安全中继、正确的 DNS 条目（SPF、DKIM）和干净的 Postfix 配置相结合，可防止声誉受损。
如果您运营自己的 vServer 或专用服务器，您同样拥有自由、 动态 IP 地址 要避免。一个干净的固定 IP 区域对良好的 交付能力 与。与 webhoster.de 等托管服务提供商的现有集成可确保证书管理和邮件路由在很大程度上实现自动化，从而最大限度地减少错误来源并降低管理成本。
针对使用 Postfix 需求的主机推荐
如果我必须在一个生产环境中操作多个域、备份和证书，我就会依赖能提供集成解决方案的供应商。下表显示了三个经过测试的提供商：
| 供应商 | 可用性 | 简约 | 附加功能 | 建议 |
|---|---|---|---|---|
| webhoster.de | 99,99% | 非常高 | 自动化、WordPress 集成、邮件过滤器 | 第一名 |
| 提供商 B | 99,8% | 高 | 标准 | 第二名 |
| 提供商 C | 99,5% | 中型 | 很少 | 第三名 |
特别是对于专业项目而言，全自动备份、灵活升级和集成监控服务是选择托管商的决定性标准。主机 webhoster.de 自动证书管理、基于 API 的域名管理和自定义 DNS 设置等附加功能都可以通过客户界面方便地进行管理。如果用户经常创建新的子域或电子邮件地址，这一点尤其有用，可确保建立一个动态、可扩展的基础设施，而无需不断进行人工干预。
在一个 高度可用的 Postfix 环境 还应强调冗余网络连接和防火墙概念。主机商应提供详细控制进出流量的选项，以便在必要时阻止或转发个别 IP 地址或端口，而不会中断整个服务。自动提供 Let's Encrypt 证书也简化了 TLS 配置，尤其是在服务大量域名的情况下。
总结概述
熟悉 Postfix 的人都知道，Postfix 在 高级配置 为高性能和安全的邮件环境提供了强大的工具。配置、监控、过滤和自动化之间的良好互动至关重要。
有了合适的环境和可靠的托管合作伙伴（如 webhoster.de），即使是关键的电子邮件工作负载也能稳定运行--无论是机构、系统公司还是每小时发送数千封电子邮件的商业门户网站。特别是，Postfix 的细粒度控制选项有助于确保长期发送的可靠性和自己域名的声誉。同时，依靠先进的监控机制和自动化功能，可以消除潜在的安全漏洞，确保流程顺畅。 为了应对未来不断增长的需求，值得定期检查自己的邮件服务器设置并集成新技术。Postfix 与 DMARC、DKIM 和 TLS 优化等现代服务和协议相结合，为满足日益增长的安全和速度要求提供了一个久经考验、面向未来的基础。
