Mail-in-a-Box (MAIB) — автоматизований інсталятор поштового стеку. Він розгортає та об’єднує: Postfix (SMTP), Dovecot (IMAP/POP3), авторитетний DNS і рекурсивний резолвер (unbound), Nginx, Fail2ban, Roundcube, адмін-панель зі статус-перевірками, Let’s Encrypt, політики SPF/DKIM/DMARC, резервні копії (локально/S3/SSH) і Nextcloud (CalDAV/CardDAV, ActiveSync).

Підготовка сервера

Базова підготовка ОС

Виконайте послідовність команд. Це оновить систему, встановить часовий пояс.

sudo apt-get update && sudo apt-get -y upgrade
sudo timedatectl set-timezone Europe/Kyiv
# опціонально — завчасно задати hostname, MIAB візьме його як PRIMARY_HOSTNAME
sudo hostnamectl set-hostname YOUR_HOSTNAME

Мережева безпека та порти

Відкрийте лише необхідні порти для роботи пошти, веб-інтерфейсу та DNS. Після застосування правил перевірте їх дію ззовні.

sudo ufw allow 25,53,80,110,143,443,465,587,993,995,4190/tcp
sudo ufw allow 53/udp
sudo ufw reload
sudo ufw status numbered

# спершу дозволяємо вже встановлені з’єднання
sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
# далі відкриваємо потрібні TCP-порти
sudo iptables -A INPUT -p tcp -m multiport --dports 25,80,110,143,443,465,587,993,995,4190,53 -j ACCEPT
# і UDP для DNS
sudo iptables -A INPUT -p udp --dport 53 -j ACCEPT
# за потреби збережіть правила (наприклад, через netfilter-persistent)

Підготовка DNS у реєстратора

Оберіть один зі сценаріїв делегації. Від цього залежить подальша конфігурація та експлуатація сервісу.

Сценарій A. MIAB як авторитетний DNS (рекомендується для простоти):

Створіть A/AAAA для піддомену box.YOUR_DOMAIN на PUBLIC_IP/PUBLIC_IPV6, призначте піддомену такі NS:

• ns1.box.YOUR_DOMAIN

• ns2.box.YOUR_DOMAIN

Якщо реєстратор вимагає, додайте glue-записи для ns1 і ns2.

Сценарій B. Зовнішній DNS:

Після встановлення перенесіть усі записи, які MIAB запропонує, у панель DNS вашого поточного реєстратора.

Встановлення Mail-in-a-Box

Запустіть інсталяційний скрипт. Він перевірить сумісність ОС, завантажить актуальну версію та виконає розгортання.

curl -s https://mailinabox.email/setup.sh | sudo bash

Ключові відповіді інсталятора

Укажіть значення параметрів. Від них залежать випуск сертифікатів, коректність DNS і поштова репутація.

• PRIMARY_HOSTNAME: box.YOUR_DOMAIN

• PUBLIC_IP / PUBLIC_IPV6: залиште автовизначення, якщо коректно
• ADMIN_EMAIL: admin@YOUR_DOMAIN

• Пароль для адміністративної панелі: надійний, збережіть у менеджері паролів

Перший вхід і перевірка статусів

Доступ до адмін-панелі

Відкрийте адресу панелі й авторизуйтеся під обліковим записом адміністратора, створеним на етапі встановлення.

https://box.YOUR_DOMAIN/admin

Статус-чеки

В адміністративній панелі відкрийте розділ System, далі вкладку Status Checks. Послідовно усуньте всі попередження до зеленого статусу.

• За використання зовнішнього DNS перенесіть записи A/AAAA, MX, TXT (SPF/DKIM/DMARC), CAA, SRV до вашого реєстратора.
• Перевірте доступність портів ззовні, коректність A/AAAA для box.YOUR_DOMAIN і наявність PTR.
• Якщо порти 80/443 були закриті під час встановлення, перевипустіть сертифікати після відкриття портів.

Неінтерактивне встановлення (автоматизація/CI)

Використовуйте змінні середовища. Це дозволить проводити розгортання за замовчуванням без діалогів.

export NONINTERACTIVE=1
export PUBLIC_IP=auto
export PUBLIC_IPV6=auto
export PRIMARY_HOSTNAME=box.YOUR_DOMAIN
# опціонально:
# export STORAGE_ROOT=/home/user-data
# export STORAGE_USER=user-data
curl -s https://mailinabox.email/setup.sh | sudo bash

Змінна NONINTERACTIVE=1 вмикає неінтерактивний режим; інші параметри буде взято із середовища або визначено автоматично.

Перевірка роботи та тестування

Базові перевірки з сервера

Виконайте команди для підтвердження стану служб і коректності DNS-записів. Це допоможе виявити проблеми до запуску в експлуатацію.

# версія дистрибутива
lsb_release -ds || cat /etc/os-release

# текстове меню MIAB (версія продукту в шапці)
sudo mailinabox

# стан ключових служб
systemctl --no-pager --type=service | egrep 'postfix|dovecot|nginx|fail2ban|nsd|unbound'

# перевірка TCP-портів пошти
nc -vz box.`YOUR_DOMAIN` 587
nc -vz box.`YOUR_DOMAIN` 993

# перевірка критичних DNS-записів
dig +short txt _dmarc.`YOUR_DOMAIN`
dig +short mx `YOUR_DOMAIN`

Очікуваний результат: усі основні служби в стані active (running), MX вказує на box.YOUR_DOMAIN, присутні коректні TXT-записи SPF/DKIM/DMARC.

Тест надсилання та приймання пошти

Проведіть наскрізний тест обміну повідомленнями, щоб упевнитися в коректній автентифікації та доставці.

• Відкрийте веб-пошту за адресою https://box.YOUR_DOMAIN/mail/.
• Надішліть лист на зовнішню скриньку та перевірте заголовки: очікується SPF=pass, DKIM=pass, DMARC=pass.
• Відповідайте із зовнішньої скриньки на свій домен і підтвердьте отримання у «Вхідних».

Додаткова конфігурація

Використання зовнішнього DNS

В адміністративній панелі відкрийте розділ System, далі вкладку External DNS. Увімкніть режим зовнішнього DNS і перенесіть записи A/AAAA, MX, TXT (SPF/DKIM/DMARC), CAA, SRV до поточного реєстратора. Врахуйте, що застосування змін може тривати до 24 годин через TTL.

Резервні копії в S3-сумісні сховища та по SSH

В адміністративній панелі відкрийте розділ «System», далі вкладку «Backups». Укажіть параметри провайдера і виконайте тест запису, а потім тест відновлення.

S3_ENDPOINT=<endpoint>
S3_BUCKET=<bucket>
S3_ACCESS_KEY=<access_key>
S3_SECRET_KEY=<secret_key>

Для SSH/SFTP укажіть хост, порт і шлях призначення згідно з вашою політикою резервного копіювання.

Політика DMARC і обробка звітів

Почніть із м’якої політики p=none, зберіть і проаналізуйте агреговані звіти, далі посилюйте до quarantine або reject для підвищення стійкості до підробки домену.

v=DMARC1; p=quarantine; sp=quarantine; rua=mailto:dmarc@EXAMPLE.COM; ruf=mailto:dmarc@EXAMPLE.COM; adkim=s; aspf=s; fo=1

Логування і Fail2ban

Виконайте перевірку активних «в’язниць» Fail2ban і перегляньте логи основних сервісів за поточний день. Це дозволить оперативно виявляти некоректні спроби автентифікації та мережеві аномалії.

sudo fail2ban-client status
sudo journalctl -u postfix -u dovecot -u nginx --since 'today'

Рекомендується інтегрувати зовнішній моніторинг і поштові фільтри адміністратора для оперативних сповіщень.

Діагностика та усунення несправностей

Нижче наведені часті симптоми з причинами, діями та точками входу для діагностики.

Корисні посилання та матеріали