Почтовый сервер Postfix на сервере: частые ошибки и решения

MAATRIX

Почтовый сервер Postfix на сервере ломается предсказуемо: письма уходят в спам, сервер отказывается пересылать почту, порт 25 закрыт провайдером, DKIM не проходит проверку, IP оказался в чёрном списке. Ниже — разбор этих частых проблем с готовыми решениями. Для каждой сначала решение, потом причина — почта требовательна, и большинство ошибок связаны с репутацией и DNS, а не с самим Postfix. Разберёмся по порядку, чтобы письма стабильно доходили до «Входящих».

Письма уходят в спам

Самая частая и болезненная проблема. Postfix работает, письма отправляются, но получатели находят их в папке «Спам» или не видят вовсе. Причин обычно несколько, и проверять надо все. Первое и главное — PTR-запись (обратный DNS). Если IP сервера не сопоставлен с именем через PTR, крупные почтовики (Gmail, Outlook) режут письма почти гарантированно. PTR настраивается у провайдера сервера, проверьте его командой:

dig -x ВАШ_IP +short

Ответ должен вернуть имя вашего почтового сервера. Второе — SPF, DKIM и DMARC: без этих трёх DNS-записей письма считаются подозрительными. Третье — репутация IP: свежий или «грязный» IP вызывает недоверие. Отправьте тестовое письмо на сервис оценки (mail-tester) — он покажет по пунктам, что именно не так, и это самый быстрый способ диагностики. Исправляйте по его отчёту.

Relay access denied

Ошибка 554 5.7.1 Relay access denied при попытке отправить письмо означает, что Postfix отказывается пересылать почту для этого адресата. Это правильное поведение защиты от open relay, но иногда оно мешает легитимной отправке. Разберитесь, кто и куда шлёт. Если письмо отправляет ваше приложение с того же сервера, убедитесь, что localhost в mynetworks:

mynetworks = 127.0.0.0/8 [::1]/128

Если письмо шлёт внешний клиент, он должен авторизоваться через SASL — просто подключиться к серверу недостаточно, и это защищает вас от превращения в open relay. Проверьте smtpd_relay_restrictions в конфиге: там должно быть permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination. Ни в коем случае не «чините» эту ошибку, добавляя весь интернет в mynetworks — это откроет релей, и ваш IP за часы окажется в чёрных списках спамеров.

Порт 25 заблокирован

Письма не уходят вообще, в логе таймауты при подключении к внешним серверам на порт 25. Частая причина, о которой забывают: многие провайдеры и облака блокируют исходящий порт 25 по умолчанию для борьбы со спамом. Проверьте доступность порта с сервера:

telnet gmail-smtp-in.l.google.com 25

Если соединение не устанавливается, порт 25 закрыт. Решение зависит от провайдера: у одних порт открывают по запросу в поддержку после подтверждения легитимности задачи, у других он открыт сразу. Это стоит выяснить до аренды сервера под почту. Отправлять исходящую почту через порт 587 (submission) на чужой релей — обходной путь, но для собственного отправляющего сервера нужен именно открытый 25 для прямой доставки. Выбирайте провайдера, который даёт открытый порт 25 под почтовые задачи.

DKIM не проходит проверку

Письмо доходит, но проверка показывает dkim=fail или dkim=none. Подпись либо не ставится, либо не сходится с опубликованным ключом. Проверьте по шагам. Первое — работает ли служба подписи (обычно opendkim) и подключена ли она к Postfix через milter:

sudo systemctl status opendkim

Второе — совпадает ли публичный ключ в DNS с тем, что использует сервер. Частая ошибка при публикации ключа в DNS — лишние пробелы, перенос строки или неверный селектор. TXT-запись DKIM должна точно соответствовать сгенерированному ключу. Проверьте селектор: имя записи в DNS (селектор._domainkey.вашдомен.ru) должно совпадать с селектором в конфиге opendkim. Третье — если запись только что добавлена, дайте DNS время на распространение. После правок отправьте тестовое письмо на сервис проверки, который покажет статус DKIM явно.

IP попал в чёрный список

Письма стали массово отклоняться, в логе отказы со ссылками на блэклисты (DNSBL). Ваш IP попал в чёрный список — из-за прошлой истории адреса, взлома, случайного open relay или скомпрометированного скрипта, рассылавшего спам. Сначала проверьте, в каких списках вы есть, через онлайн-сервисы проверки блэклистов по IP.

Если попадание из-за вашей ошибки (был open relay, взломанный аккаунт), сначала устраните причину: закройте релей, смените пароли, найдите источник спама — иначе разделегирование бессмысленно. Затем подайте заявку на исключение (delisting) в каждом списке; у большинства есть форма, и при устранённой причине исключают довольно быстро. Если же IP «грязный» с самого начала, достался с плохой историей, честнее запросить у провайдера чистый адрес или сменить сервер. Именно поэтому качество IP при выборе хостинга для почты критично.

Очередь писем растёт и не отправляется

Письма копятся в очереди Postfix и не уходят. Посмотрите очередь и причины задержки:

mailq
sudo postqueue -p

Каждая запись показывает адресата и причину задержки. Частые причины: удалённый сервер временно недоступен (Postfix повторит сам), письма отклоняются из-за репутации (см. разделы выше про спам и блэклисты), или локальная проблема с DNS-резолвингом на сервере. Если очередь растёт из-за отказов по репутации — решайте корневую проблему доставляемости, а не саму очередь. Удалить зависшие письма можно через postsuper, но сначала поймите, почему они не уходят. Полезно приучиться читать почтовый лог /var/log/mail.log — именно там Postfix пишет судьбу каждого письма: принято, отправлено, отложено, отклонено с конкретной причиной от удалённого сервера. Строка отказа обычно содержит код и текст, по которым сразу видно, репутационная это проблема, ошибка конфигурации или временная недоступность адресата. Привычка смотреть в лог при первых признаках проблем экономит часы гадания и превращает диагностику почты из шаманства в спокойную работу по фактам.

Почта — самая требовательная к настройке и репутации служба, и фундамент успеха закладывается выбором сервера: чистый IP и корректный PTR. В MAATRIX можно арендовать VPS под почтовый сервер с чистым IP и настройкой PTR в России, США или Великобритании и оплатить картой РФ, по СБП, криптой или токеном MAAT — иностранная карта не требуется.

Частые вопросы