LNMP环境下如何配置邮件服务

LNMP环境下配置邮件服务

在LNMP（Linux + Nginx + MySQL/MariaDB + PHP）这套经典组合里，邮件服务往往是被忽视的一环。其实，搞清邮件系统的基本逻辑后，配置它并没有想象中那么复杂。先说几个核心判断：Postfix和Dovecot的组合是当前最主流的方案，前者管发信，后者管收信，各司其职。

一、方案与组件选择

如果你只是在网站内跑跑发信功能，比如用户注册验证、密码找回这类场景，那么只部署Postfix就足够了。但要是希望用户能在客户端（比如Outlook、Thunderbird）里登录并管理邮件，那就得把Dovecot也请进来，提供IMAP或POP3服务。

还有一个常被忽略的点——可信度。你发出去的邮件如果直接被对方服务器扔进垃圾箱，那就白忙活了。所以，SPF、DKIM、DMARC这几个标准最好一并配齐，这属于“进阶必修课”，后面会专门讲到。

二、Debian/Ubuntu 快速部署步骤

依赖安装这一步没什么悬念，直接跑命令就好。以Debian为例：sudo apt update && sudo apt install postfix dovecot-core dovecot-imapd dovecot-lmtpd mailutils。Ubuntu用户把mailutils去掉即可。安装Postfix时，安装过程会弹出一个配置界面，记得选择“Internet Site”，然后填写你的系统邮件名，像mail.yourdomain.com这样的格式。

Postfix 核心配置（/etc/postfix/main.cf）

这份配置文件的几个关键参数值得仔细核对：

• myhostname = mail.yourdomain.com —— 你的邮件服务器主机名
• mydomain = yourdomain.com —— 你的域名
• myorigin = $mydomain —— 发件人地址中的域名
• inet_interfaces = all —— 监听所有网络接口
• inet_protocols = ipv4（或all）—— 根据你的网络环境选
• mydestination = $myhostname, localhost.$mydomain, $mydomain —— 收到哪些域的邮件由本机处理
• mynetworks = 127.0.0.0/8 [::1]/128 —— 信任的内网段
• home_mailbox = Maildir/ —— 使用Maildir格式存储邮件
• smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination —— 中继权限控制
• smtpd_sasl_auth_enable = yes —— 启用SASL认证
• smtpd_sasl_security_options = noanonymous —— 禁止匿名登录
• smtpd_recipient_restrictions = permit_mynetworks permit_sasl_authenticated reject_unauth_destination —— 收件人限制规则

这些配置项实际上是在定义你的邮件服务器“谁可以发、谁可以收、谁可以中转”。

Dovecot 配置要点

Dovecot的配置主要分布在几个文件里：

• /etc/dovecot/dovecot.conf：设置mail_location = maildir:~/Maildir，并声明protocols = imap pop3
• /etc/dovecot/conf.d/10-auth.conf：将disable_plaintext_auth设为no，认证机制保留plain login
• /etc/dovecot/conf.d/10-ssl.conf：开启ssl = yes，并指定证书路径——推荐用Let's Encrypt生成的免费证书
• 如果你打算用LMTP（本地邮件传输协议）做投递优化，可以在master.conf中配置LMTP监听端口

配置完成后，启动服务并设置开机自启：sudo systemctl start postfix && sudo systemctl enable postfix，Dovecot同理。

防火墙与端口放行

邮件服务涉及的端口比较多，别搞漏了：

• 25/tcp —— SMTP（MTA间通信）
• 587/tcp —— Submission（客户端提交邮件，带STARTTLS）
• 143/tcp —— IMAP（明文）
• 993/tcp —— IMAPS（加密）
• 110/tcp —— POP3（明文）
• 995/tcp —— POP3S（加密）

UFW用户直接sudo ufw allow 25/tcp, 143/tcp, 110/tcp, 587/tcp, 993/tcp, 995/tcp就能搞定。如果是firewalld，建议用服务名方式放行。

连通性测试

配完别急着用，先测一下：

• SMTP：telnet localhost 25或openssl s_client -connect localhost:587 -starttls smtp
• IMAP：openssl s_client -connect localhost:993

能顺利连接并且看到服务端返回的欢迎信息，说明服务基本跑起来了。

域名与DNS记录

这一步很多人会忽略，但恰恰是邮件系统能否正常工作的关键：

• 添加一条A记录：mail.yourdomain.com → 服务器IP
• 添加一条MX记录：yourdomain.com → 优先级10 mail.yourdomain.com
• 用dig MX yourdomain.com验证是否生效

还没完。为了不被当成垃圾邮件，后续还要补上SPF、DKIM、DMARC记录。

三、PHP 网站发信配置

LNMP环境的网站发信，说白了就是让PHP能调用系统邮件命令。检查一下php.ini里的sendmail_path是否指向/usr/sbin/sendmail -t -i。CLI和FPM的配置文件都要改，改完后别忘了重启PHP-FPM。

一个简单的测试脚本就能验证：

不过，生产环境更推荐用SMTP提交方式（端口587 + STARTTLS），配合专用的发信账号。PHP世界里，PHPMailer是一个很成熟的库，支持TLS、认证和日志追踪，比直接用mail()函数靠谱得多。

四、进阶与安全加固

基础功能跑通之后，就该琢磨怎么把它跑稳、跑安全。

端口策略

对外只开放25、587和加密端口（993/995）就够了。143和110这种明文端口要么彻底关闭，要么强制STARTTLS。没什么理由让用户用明文方式访问邮件服务。

身份认证与投递

Postfix的SASL认证通常和Dovecot配合实现，让客户端用真实的邮箱账号密码登录。Dovecot则负责提供IMAP/POP3服务以及LMTP投递通道，形成完整的收发链条。

反垃圾与合规

这三个记录必须补上：

• SPF：声明哪些IP有权代你发邮件
• DKIM：对邮件内容进行数字签名，防止伪造
• DMARC：告诉接收方如果SPF和DKIM校验失败后该怎么处理

如果觉得还不够，可以考虑加装SpamAssassin做内容过滤、ClamA V做病毒扫描、Fail2ban防止暴力破解——不过这就属于“锦上添花”了，基础配置完成后再说。

端口25的坑

需要提醒的是，不少云服务商默认封禁25端口出站。如果你的邮件发不出去，先检查一下是不是这层原因。实在不行，只靠587端口提交邮件也能应付大多数场景。

日常维护

关注几个地方：/var/log/mail.log是排错的宝藏；postqueue -p可以查邮件队列；TLS证书记得用certbot定期续期。邮件系统跑起来之后，定期审计一下用户账户和别名配置，也是个好习惯。