那天夜里 2 点，我在机房群里被“客户发票邮件投递失败”的告警拉醒。财务连续三次给对方发送 PDF 发票，Gmail 和 Outlook 都回了 550/5.7.1 的拒收；QQ 邮箱则直接丢进了垃圾箱。我们的业务跑在香港单机房（方便跨境访问），出网干净 IP、一线带宽都不差，可现实就是——企业邮件发不出去或进垃圾箱。

我决定把这台专门负责企业邮件的服务器从底层到策略全面梳理一遍：从 DNS、反向解析、TLS、Postfix、OpenDKIM、SPF、DMARC 到节流与信誉养护，目标只有一个：稳定进收件箱。

1. 现场环境与目标

1.1 硬件与网络参数（真实可落地）

这类规格并不奢侈，但要求 IP 声誉干净、支持设置 PTR（rDNS），25/465/587 端口可用。

1.2 目标

退信率显著下降，Gmail/Outlook/QQ/163 等主流收件箱可稳定进入收件箱；

标准化 SPF + DKIM + DMARC；

TLS 到位（MTA-STS 可选），HELO/FCrDNS 合规；

节流与信誉养护（限速、灰度放量、退信自动分析）；

完整上线检查矩阵与排障手册。

2. 域名与 DNS 设计

以 example.com 为例（请换成你的业务域名）。

2.1 必备记录清单

要点

• Cloudflare 之类的 DNS MX/A 一定是“灰色云朵（DNS only）”，不要用代理（橙色云），否则 SMTP 直连失败。
• PTR（rDNS）一定和 A/HELO 一致：mail.example.com。这是大厂最看重的基本面之一。

3. 系统初始化（Debian 11）

# 基础更新
apt update && apt -y upgrade

# 基本工具
apt -y install vim htop curl wget net-tools dnsutils lsof

# 时区/时间同步
timedatectl set-timezone Asia/Hong_Kong
apt -y install chrony && systemctl enable --now chrony

# 主机名与 hosts
hostnamectl set-hostname mail.example.com
cat >/etc/hosts <<'EOF'
127.0.0.1   localhost
203.0.113.10 mail.example.com mail
EOF

# 防火墙（可选 ufw）
apt -y install ufw
ufw allow 22,25,465,587,993/tcp
ufw enable

4. 安装 Postfix + OpenDKIM + SPF 组件

apt -y install postfix postfix-pcre postfix-policyd-spf-python \
               opendkim opendkim-tools \
               dovecot-imapd dovecot-lmtpd \
               certbot

说明：

• postfix-policyd-spf-python 作为 SPF 校验（收信侧）与策略组件；发信 SPF 由 DNS 记录决定。
• OpenDKIM 负责 DKIM 签名。
• Dovecot 用作 IMAP 与 SASL 认证后端（提交端口 587/465）。
• certbot 获取 TLS 证书，统一用于 SMTP/IMAP。

5. TLS 证书（Let’s Encrypt）

# 申请证书（需确保 mail.example.com 指向本机）
certbot certonly --standalone -d mail.example.com --register-unsafely-without-email --agree-tos

# 证书路径（默认）
# /etc/letsencrypt/live/mail.example.com/fullchain.pem
# /etc/letsencrypt/live/mail.example.com/privkey.pem

自动续期已经由 certbot 定时任务处理。续期后需要 Postfix/Dovecot reload。

6. Postfix 核心配置

6.1 /etc/postfix/main.cf（关键字段）

myhostname = mail.example.com
mydomain = example.com
myorigin = $mydomain
inet_interfaces = all
inet_protocols = ipv4
mydestination = $myhostname, localhost.$mydomain, localhost
relay_domains =
mynetworks = 127.0.0.0/8 [::1]/128

# TLS
smtpd_tls_cert_file = /etc/letsencrypt/live/mail.example.com/fullchain.pem
smtpd_tls_key_file  = /etc/letsencrypt/live/mail.example.com/privkey.pem
smtpd_tls_security_level = may
smtpd_tls_auth_only = yes
smtp_tls_security_level = may
smtp_tls_loglevel = 1
smtp_tls_CAfile = /etc/ssl/certs/ca-certificates.crt

# SASL（交给 Dovecot）
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth
smtpd_sasl_auth_enable = yes
smtpd_sasl_security_options = noanonymous
broken_sasl_auth_clients = yes

# 提交端口的策略更宽松，25 端口更严格
smtpd_helo_required = yes
smtpd_helo_restrictions =
    permit_mynetworks,
    reject_invalid_helo_hostname,
    reject_non_fqdn_helo_hostname

smtpd_recipient_restrictions =
    permit_mynetworks,
    permit_sasl_authenticated,
    reject_unauth_destination,
    reject_non_fqdn_sender,
    reject_unknown_sender_domain,
    reject_non_fqdn_recipient,
    reject_unknown_recipient_domain

# SPF 检查（收信侧）
policyd-spf_time_limit = 3600
smtpd_recipient_restrictions =
    check_policy_service unix:private/policyd-spf,
    ${smtpd_recipient_restrictions}

# DKIM（Milter）
milter_default_action = accept
milter_protocol = 6
smtpd_milters = unix:/opendkim/opendkim.sock
non_smtpd_milters = unix:/opendkim/opendkim.sock

# 速率与连接（温和节流，逐步放量）
anvil_rate_time_unit = 60s
smtpd_client_connection_count_limit = 20
smtpd_client_message_rate_limit = 200

# 队列与日志
maximal_queue_lifetime = 3d
bounce_queue_lifetime = 1d
header_size_limit = 51200

6.2 /etc/postfix/master.cf（启用 587/465、SPF policy）

submission inet n       -       y       -       -       smtpd
  -o syslog_name=postfix/submission
  -o smtpd_tls_security_level=encrypt
  -o smtpd_sasl_auth_enable=yes
  -o milter_macro_daemon_name=ORIGINATING
  -o smtpd_client_message_rate_limit=100
  -o smtpd_recipient_restrictions=permit_mynetworks,permit_sasl_authenticated,reject

smtps     inet n       -       y       -       -       smtpd
  -o syslog_name=postfix/smtps
  -o smtpd_tls_wrappermode=yes
  -o smtpd_sasl_auth_enable=yes
  -o milter_macro_daemon_name=ORIGINATING
  -o smtpd_recipient_restrictions=permit_mynetworks,permit_sasl_authenticated,reject

policyd-spf unix  -       n       n       -       0       spawn
  user=policyd-spf argv=/usr/bin/policyd-spf

7. Dovecot（IMAP 与 SASL 后端）

7.1 启用 Maildir 与本地系统用户（小团队最快落地）

# 创建已有用户的 Maildir（示例：alice、bob）
for u in alice bob; do
  useradd -m -s /bin/bash "$u" || true
  su - "$u" -c 'maildirmake.dovecot ~/Maildir'
done

7.2 /etc/dovecot/dovecot.conf

listen = *
protocols = imap lmtp

ssl = required
ssl_cert = </etc/letsencrypt/live/mail.example.com/fullchain.pem
ssl_key  = </etc/letsencrypt/live/mail.example.com/privkey.pem

auth_mechanisms = plain login
!include_try conf.d/*.conf

7.3 /etc/dovecot/conf.d/10-mail.conf

mail_location = maildir:~/Maildir

7.4 /etc/dovecot/conf.d/10-auth.conf

disable_plaintext_auth = yes
auth_mechanisms = plain login
!include auth-system.conf.ext

7.5 启动服务

systemctl enable --now dovecot
systemctl enable --now postfix

如果你需要“虚拟用户/多域/大规模”，建议后续切到 vmail 虚拟投递，并改用 Dovecot 的 passdb/userdb（SQL/LDAP）。本文先跑通、再扩展。

8. OpenDKIM 配置与密钥

8.1 目录与权限

mkdir -p /etc/opendkim/keys/example.com
chown -R opendkim:opendkim /etc/opendkim
chmod -R go-rwx /etc/opendkim/keys

8.2 生成密钥

opendkim-genkey -b 2048 -r -s s2025 -d example.com -D /etc/opendkim/keys/example.com
chown opendkim:opendkim /etc/opendkim/keys/example.com/s2025.private

8.3 /etc/opendkim.conf

Syslog                  yes
UMask                   002
Canonicalization        relaxed/simple
Mode                    sv
SubDomains              no
OversignHeaders         From
Socket                  local:/var/spool/postfix/opendkim/opendkim.sock
PidFile                 /run/opendkim/opendkim.pid
KeyTable                /etc/opendkim/KeyTable
SigningTable            /etc/opendkim/SigningTable
TrustedHosts            /etc/opendkim/TrustedHosts

8.4 关联表

/etc/opendkim/KeyTable

s2025._domainkey.example.com example.com:s2025:/etc/opendkim/keys/example.com/s2025.private

/etc/opendkim/SigningTable

*@example.com s2025._domainkey.example.com

/etc/opendkim/TrustedHosts

127.0.0.1
localhost
203.0.113.10

8.5 套接字权限（与 Postfix 通信）

mkdir -p /var/spool/postfix/opendkim
chown opendkim:postfix /var/spool/postfix/opendkim
usermod -aG opendkim postfix

8.6 重启

systemctl enable --now opendkim
systemctl restart opendkim postfix

8.7 发布 DKIM 公钥（DNS）

打开 /etc/opendkim/keys/example.com/s2025.txt，内容形如：

s2025._domainkey IN TXT ( "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..." )  ; ----- DKIM key s2025 for example.com

将 p= 后的大段公钥发布到 DNS（TXT 记录：s2025._domainkey.example.com）。

8.8 自检

opendkim-testkey -d example.com -s s2025 -vvv

9. SPF 与 DMARC 策略

SPF（初期）：v=spf1 ip4:203.0.113.10 ~all
观察通过率，稳定后可升级为 -all。

DMARC（观察期）：v=DMARC1; p=none; rua=mailto:dmarc@example.com; fo=1
一周稳定 → p=quarantine → 再到 p=reject。

HELO/Domains：EHLO mail.example.com，FCrDNS（A 与 PTR 对齐）必须成立。

10. 速率与信誉养护（从“别被拉黑”开始）

• 灰度放量：新 IP 第 1 周控制在 500 封/日，对 Gmail/Outlook 分批均衡；第 2 周逐步增加。
• 内容与一致性：发件域、From、DKIM 选择器保持稳定；营销/事务类拆分子域（如 notify.example.com）。
• 退信路由：构建 postqueue + 日志解析（/var/log/mail.log），按域名统计 4xx/5xx。
• 限速：smtpd_client_message_rate_limit、anvil_rate_time_unit 控制瞬时突发。
• 投诉/退订：事务类低，营销类务必内置退订链接（List-Unsubscribe 头）。
• DNSBL/灰名单：谨慎启用公共 RBL（误杀风险），建议先监控后小流量试用。
• TLS 政策：对部分对等方可在 smtp_tls_policy_maps 强制 secure。

11. 上线验证矩阵（我的真实打分表）

主要邮箱投递 A/B（示例周报）

注：以上数据为上线后的一周样例报表格式，你可据实填充。

12. 常见拒收与现场排障

12.1 典型退信代码

• 550 5.7.1：策略拒收（SPF/DKIM/DMARC/内容/信誉），先查 DKIM/SPF 与 rDNS。
• 421 4.7.0：对方临时节流，减速、重试、拉长队列寿命。
• 554 5.7.1：多为信誉或 IP 黑名单，先去查 RBL，再评估 IP 污染史。

12.2 必备命令丛

# 实发一封（可快速看对端响应）
swaks --to test@gmail.com --from alice@example.com \
      --server mail.example.com --auth LOGIN --auth-user alice \
      --data "Subject: hello\n\nping" --tls

# 查看队列
postqueue -p
postsuper -d QUEUE_ID

# 追日志（投递链路）
tail -f /var/log/mail.log | grep -E 'postfix|opendkim'

# DNS 排查
dig +short A mail.example.com
dig +short PTR 10.113.0.203.in-addr.arpa
dig +short TXT example.com
dig +short TXT s2025._domainkey.example.com
dig +short TXT _dmarc.example.com

12.3 香港机房“特别坑”

PTR 修改权在机房/ISP：提交工单设置，且与 A/HELO 完全一致。

跨境时段丢包抖动：建议事务邮件与营销邮件拆流；必要时在大陆侧做 提交网关（只走 587 到 HK，再由 HK 发 25）。

Cloudflare 代理坑：MX/A 绝不能开代理。

13. 进阶优化（可逐步加）

DMARC 报表分析：用 rua 收集报表，识别异常来源与伪造流量。

MTA-STS：为 mta-sts.example.com 提供策略，提升中间人抗性。

ARC：转发/列表场景保留原签名可信链。

内容评分：与市场/产品对齐标题、退订、品牌一致性，减少“钓鱼相”。

监控：pflogsumm, goaccess（结合 rsyslog），Prometheus Node Exporter + 自定义投递指标。

14. 一次“从红到绿”的真实闭环

当晚我先从 PTR/HELO/FCrDNS 修到一致，又把 SPF 从 +all 这种“灾难配置”拉回 ip4:... ~all，启用 OpenDKIM 并用 Let’s Encrypt 上了 TLS。第二天，Gmail 的退信从 5% 掉到 <1%，Outlook 仍有 421 节流，但我用 smtpd_client_message_rate_limit 限了速，队列在 1 小时内清空。
一周后，DMARC 报表显示通过率稳定，我把策略从 p=none 调到 p=quarantine，营销域拆到了 notify.example.com。那晚再看监控面板，图表终于一片“绿色”。

附录 A｜一键化（可复制的最小可用命令序列）

# 0) 换成你的域名和 IP
DOMAIN=example.com
HOST=mail.${DOMAIN}
IP=203.0.113.10

# 1) 基础
apt update && apt -y upgrade
apt -y install postfix postfix-pcre postfix-policyd-spf-python \
               opendkim opendkim-tools dovecot-imapd dovecot-lmtpd certbot dnsutils

# 2) 证书
certbot certonly --standalone -d ${HOST} --register-unsafely-without-email --agree-tos

# 3) OpenDKIM
mkdir -p /etc/opendkim/keys/${DOMAIN}
opendkim-genkey -b 2048 -r -s s2025 -d ${DOMAIN} -D /etc/opendkim/keys/${DOMAIN}
chown -R opendkim:opendkim /etc/opendkim
usermod -aG opendkim postfix
mkdir -p /var/spool/postfix/opendkim && chown opendkim:postfix /var/spool/postfix/opendkim

# 4) 服务
systemctl enable --now opendkim dovecot postfix
systemctl restart opendkim postfix

记得：在 DNS 写好 A/MX/PTR/SPF/DKIM/DMARC；PTR 需机房工单设置。

附录 B｜生产配置清单（核对用）

•  A/MX/PTR/HELO 完全一致
•  SPF ~all 起步 → -all 收紧
•  DKIM 有效（opendkim-testkey 通过）
•  DMARC p=none 观察 → quarantine/reject
•  587/465 开放，smtpd_tls_auth_only = yes
•  提交端口与 25 端口分别策略化
•  退信周报/域别统计成形
•  限速与灰度放量生效
•  证书自动续期 + reload

把邮件这件“小事”当成工程来做

最终我们把“发不出去/进垃圾箱”的烂摊子，从 DNS 到内容到节流，一步步“工程化闭环”。事实证明：邮件投递不是玄学，只要把 基础合规（PTR/HELO/DKIM/SPF/DMARC/TLS） 做扎实，再加上 温和的放量与实时的退信反馈，企业邮件完全可以稳定地进收件箱。
第二周，财务打来电话：“这次对方回复很快，邮件一封就到了。”我看着整洁的 /var/log/mail.log，关上了那晚一直没合上的笔记本。