अध्याय 01
शुरुआत करें
एडमिन:
#pNetwork
सिस्टम आर्किटेक्चर, ज़ीरो-रीस्टार्ट हॉट-रीलोड & पोर्ट मैट्रिक्स
nextxch, ESMTP, IMAP4rev2, POP3, JMAP, CalDAV/CardDAV, WBXML Mobile Push, ManageSieve, Webmail PWA और GoBD WORM आर्काइविंग को एक ही नेटिव प्रक्रिया (~40 MB idle RSS) में एकीकृत करता है। एडमिन कॉकपिट (/admin/) की लगभग सभी सेटिंग्स बिना सेवा पुनः आरंभ किए लागू होती हैं और क्लस्टर नोड में स्वचालित रूप से फैल जाती हैं।
संचालन सुझाव और आर्किटेक्चर नोट
अपने परिधि फ़ायरवॉल पर केवल आवश्यक पोर्ट खोलें। आधुनिक केवल-TLS परिनियोजनों को सिर्फ़ 5 मुख्य पोर्ट (25, 443, 465, 587, 993) चाहिए। पोर्ट 143 को तब तक बंद रखें जब तक पुराने आंतरिक उपकरण पोर्ट 993 पर implicit TLS का उपयोग न कर सकें।
पेरिमीटर फ़ायरवॉल त्वरित सेटअप (UFW & Windows PowerShell)
5 आवश्यक इनबाउंड TCP पोर्ट (25, 443, 465, 587, 993) और Let's Encrypt HTTP-01 के लिए पोर्ट 80 खोलता है।
# Linux (UFW)
sudo ufw allow 25,80,443,465,587,993/tcp
# Windows Server (PowerShell als Administrator)
New-NetFirewallRule -DisplayName "nextxch Core Ports" `
-Direction Inbound -Protocol TCP -LocalPort 25,80,443,465,587,993 -Action Allowसेटिंग्स, डिफ़ॉल्ट मान और बेस्ट प्रैक्टिस
| सेटिंग / स्थान | विवरण | डिफ़ॉल्ट मान | उत्पादन बेस्ट प्रैक्टिस |
|---|---|---|---|
ServerHostName (#pNetwork) |
ESMTP 220 अभिवादन, आउटबाउंड EHLO/HELO, Autodiscover प्रतिक्रियाओं और TLS डायग्नोस्टिक्स में घोषित सार्वजनिक FQDN। बिना रीस्टार्ट के 0 ms में लागू होता है। | mail.<DefaultDomain> |
हमेशा mail.company.com जैसे समर्पित होस्ट FQDN का उपयोग करें, जो आपके सार्वजनिक IPv4/IPv6 Reverse DNS (PTR) रिकॉर्ड से 1:1 मेल खाता हो। |
TCP 25 (ESMTP MX Inbound & Outbound) |
अवसरवादी/लागू STARTTLS और RFC 3030 CHUNKING/BDAT के साथ सर्वर-से-सर्वर इनबाउंड MX प्राप्ति और आउटबाउंड MX डिलीवरी। | Aktiv (Pflicht) / Enabled |
इनबाउंड और आउटबाउंड दोनों TCP 25 की अनुमति दें (जाँचें कि ISP ने पोर्ट 25 अनब्लॉक किया है)। पोर्ट 25 पर प्लेनटेक्स्ट AUTH डिफ़ॉल्ट रूप से अक्षम है; इसे अक्षम ही रखें। |
TCP 443 (HTTPS: Webmail, Admin, Push, DAV) |
Webmail PWA (/mail/), एडमिन कॉकपिट (/admin/), JMAP, CalDAV/CardDAV (/dav/), मोबाइल पुश (/Microsoft-Server-ActiveSync) और Send API प्रदान करता है। | Aktiv (Pflicht) / Enabled |
बिल्ट-इन Let's Encrypt के साथ सीधे Kestrel के माध्यम से या X-Forwarded-For / PROXY protocol के साथ HAProxy/Nginx/pfSense SSL गेटवे के पीछे से सर्व करें। |
TCP 465 (SMTPS) & TCP 587 (Submission) |
डेस्कटॉप/मोबाइल MUA, स्कैनर और MFP के लिए प्रमाणित क्लाइंट मेल सबमिशन (RFC 8314 के अनुसार 465 implicit TLS, 587 STARTTLS)। | Beide aktiv / Both enabled |
आधुनिक क्लाइंट के लिए पोर्ट 465 (RFC 8314 के अनुसार बाइट 0 से implicit TLS) को प्राथमिकता दें, जबकि STARTTLS स्कैनर और ERP सिस्टम के लिए पोर्ट 587 खुला रखें। |
TCP 993 (IMAPS) & TCP 143 (IMAP) |
5 ms से कम IDLE पुश और द्विदिश Apple Notes सिंक के साथ IMAP4rev2 मेलबॉक्स एक्सेस (993 implicit TLS, 143 explicit STARTTLS)। | 993 aktiv, 143 optional |
पोर्ट 993 खुला रखें; जहाँ भी संभव हो, सार्वजनिक इंटरफ़ेस पर पोर्ट 143 बंद करें, ताकि क्लाइंट कभी भी अनएन्क्रिप्टेड कनेक्शन का प्रयास न करें। |
TCP 995 (POP3S) & TCP 110 (POP3) |
STLS, SASL (PLAIN, LOGIN), स्थिर UIDL और लीगेसी क्लाइंट के लिए TOP के साथ RFC 1939 के अनुसार POP3 (995 implicit TLS, 110 STLS)। डिफ़ॉल्ट रूप से बंद; IMAP अनुशंसित प्रोटोकॉल बना रहता है। | Aus (Standard) / Off by default |
Admin > Network ("POP3" कार्ड) में बिना रीस्टार्ट के, वैश्विक रूप से और प्रति डोमेन या उपयोगकर्ता सक्षम करें। आवश्यकता हो तो पोर्ट 995 खोलें; पोर्ट 110 वैकल्पिक है। |
TCP 80 (ACME HTTP-01) & TCP 4190 (Sieve) |
पोर्ट 80 स्वचालित Let's Encrypt HTTP-01 चुनौतियों का उत्तर देता है; पोर्ट 4190 प्रमाणित ManageSieve फ़िल्टर संपादन (Thunderbird/Roundcube) प्रदान करता है। | Optional / Optional |
यदि nextxch, Let's Encrypt HTTP-01 को सीधे संभालता है, तो पोर्ट 80 खोलें; पोर्ट 4190 केवल तभी खोलें जब उपयोगकर्ता डेस्कटॉप क्लाइंट से Sieve स्क्रिप्ट प्रबंधित करते हों। |