香港服务器自建SMTP邮件服务器：Postfix + Dovecot + DKIM完整部署避坑指南

用 SendGrid 每月发 5 万封邮件要 $14.95，Mailgun 超出免费额度后按量计费。企业事务邮件（订单确认、密码重置、营销邮件）量大时，自建邮件服务器的成本优势明显。但自建邮件服务器有一个最大的坑：配置不当导致邮件进垃圾箱，甚至被拒收。本文覆盖从服务搭建到反垃圾邮件认证的完整流程。

一、自建 vs 第三方 SMTP 服务选型

推荐策略：事务邮件（订单确认、通知）用自建服务器，营销邮件（EDM）用 SendGrid/Mailgun，避免营销邮件拖累事务邮件到达率。

二、前置条件检查

<code"># 1. 确认服务器 IP 未被列入黑名单
# 访问以下网站检查 IP 声誉：
# https://mxtoolbox.com/blacklists.aspx
# https://www.spamhaus.org/lookup/

# 2. 确认 25 端口未被封锁（部分 VPS 服务商默认封 25 端口）
telnet smtp.gmail.com 25   # 如果超时，说明出站 25 被封，需联系服务商开放

# 或者使用 587（Submission）端口规避此问题
# 自建服务器监听 25，向外发送使用 587

# 3. 确认有 PTR（rDNS）记录
# IP 的反向 DNS 必须解析到邮件服务器域名
# 在 IDC 控制面板中设置，或联系服务商配置
host 服务器IP   # 应该返回 mail.yourdomain.com

三、安装 Postfix + Dovecot

<code"># 安装软件包
apt update && apt install -y postfix dovecot-core dovecot-imapd \
  opendkim opendkim-tools mailutils

# 安装时 Postfix 配置类型选择：
# Internet Site（直接收发互联网邮件）
# System mail name: mail.yourdomain.com

四、Postfix 核心配置（main.cf）

<code"># /etc/postfix/main.cf

# 域名配置
myhostname = mail.yourdomain.com
mydomain = yourdomain.com
myorigin = $mydomain
mydestination = $myhostname, localhost.$mydomain, localhost, $mydomain

# 网络
inet_interfaces = all
inet_protocols = ipv4    # 只用 IPv4（避免 IPv6 IP 声誉问题）
mynetworks = 127.0.0.0/8

# 邮箱路径
home_mailbox = Maildir/
mailbox_size_limit = 0

# TLS（必须开启，现代邮件服务器要求）
smtpd_tls_cert_file = /etc/letsencrypt/live/mail.yourdomain.com/fullchain.pem
smtpd_tls_key_file  = /etc/letsencrypt/live/mail.yourdomain.com/privkey.pem
smtpd_tls_security_level = may
smtp_tls_security_level  = may
smtpd_tls_protocols = !SSLv2, !SSLv3, !TLSv1, !TLSv1.1

# SASL 认证（客户端登录）
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth
smtpd_sasl_auth_enable = yes
smtpd_sasl_security_options = noanonymous

# 反垃圾邮件基础限制
smtpd_recipient_restrictions =
    permit_sasl_authenticated,
    permit_mynetworks,
    reject_unauth_destination

# 邮件大小限制（25MB）
message_size_limit = 26214400

# DKIM 签名（通过 milter 接口）
milter_protocol = 6
milter_default_action = accept
smtpd_milters = inet:localhost:8891
non_smtpd_milters = inet:localhost:8891

五、Dovecot IMAP 配置（接收邮件）

<code"># /etc/dovecot/conf.d/10-auth.conf
disable_plaintext_auth = yes
auth_mechanisms = plain login

# /etc/dovecot/conf.d/10-mail.conf
mail_location = maildir:~/Maildir

# /etc/dovecot/conf.d/10-ssl.conf
ssl = required
ssl_cert = </etc/letsencrypt/live/mail.yourdomain.com/fullchain.pem
ssl_key  = </etc/letsencrypt/live/mail.yourdomain.com/privkey.pem

# /etc/dovecot/conf.d/10-master.conf（Postfix SASL 认证接口）
service auth {
  unix_listener /var/spool/postfix/private/auth {
    mode = 0660
    user = postfix
    group = postfix
  }
}

systemctl restart postfix dovecot

六、DNS 反垃圾邮件记录配置（最关键）

<code"># 在 DNS 服务商添加以下记录（缺一不可）

# 1. MX 记录（接收邮件的服务器）
# 类型: MX  主机: @  值: mail.yourdomain.com  优先级: 10

# 2. A 记录（邮件服务器的 IP）
# 类型: A  主机: mail  值: 服务器IP

# 3. SPF 记录（声明哪些 IP 有权发送此域名的邮件）
# 类型: TXT  主机: @
# 值: "v=spf1 mx a ip4:服务器IP -all"
# -all 表示严格：不在列表中的来源视为伪造

# 4. PTR 记录（rDNS，在 IDC 控制面板设置）
# 服务器IP → mail.yourdomain.com
# 极其重要！很多邮件服务器拒绝没有 PTR 的发件 IP

DKIM 配置（邮件签名防伪造）

<code"># 生成 DKIM 密钥对
mkdir -p /etc/opendkim/keys/yourdomain.com
opendkim-genkey -s mail -d yourdomain.com \
  -D /etc/opendkim/keys/yourdomain.com
chown -R opendkim:opendkim /etc/opendkim/keys

# 查看公钥（需要添加到 DNS）
cat /etc/opendkim/keys/yourdomain.com/mail.txt
# 输出类似：
# mail._domainkey IN TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3..."

# 在 DNS 中添加 DKIM TXT 记录：
# 类型: TXT
# 主机: mail._domainkey
# 值: 复制上面 p= 之后的完整内容

<code"># /etc/opendkim.conf
Domain          yourdomain.com
KeyFile         /etc/opendkim/keys/yourdomain.com/mail.private
Selector        mail
Socket          inet:8891@localhost
UserID          opendkim

# /etc/opendkim/signing.table
*@yourdomain.com    mail._domainkey.yourdomain.com

# /etc/opendkim/key.table
mail._domainkey.yourdomain.com    yourdomain.com:mail:/etc/opendkim/keys/yourdomain.com/mail.private

systemctl restart opendkim

DMARC 记录（策略声明）

<code"># 在 DNS 添加 DMARC TXT 记录：
# 类型: TXT
# 主机: _dmarc
# 值: "v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@yourdomain.com; pct=100"
# p=quarantine：SPF/DKIM 验证失败的邮件放入垃圾箱
# p=reject：直接拒绝（严格模式，建议先用 quarantine 观察）

七、发送测试邮件并验证

<code"># 发送测试邮件
echo "Test email from HK server" | mail -s "Test Subject" recipient@gmail.com

# 检查邮件队列
mailq

# 查看发送日志
tail -f /var/log/mail.log

# 在线验证 DKIM/SPF/DMARC：
# 发送邮件到 check-auth@verifier.port25.com
# 会自动回复详细的验证报告

# 验证结果示例（全部通过）：
# DKIM check:          pass
# SPF check:           pass
# DMARC check:         pass
# SpamAssassin check:  ham (score: -2.5)

八、Python 通过自建 SMTP 发送邮件

<code">import smtplib
from email.mime.multipart import MIMEMultipart
from email.mime.text import MIMEText

def send_email(to: str, subject: str, html_body: str):
    msg = MIMEMultipart('alternative')
    msg['Subject'] = subject
    msg['From'] = 'noreply@yourdomain.com'
    msg['To'] = to

    msg.attach(MIMEText(html_body, 'html', 'utf-8'))

    with smtplib.SMTP('localhost', 25) as server:
        server.ehlo()
        # 本地发送无需认证
        server.sendmail('noreply@yourdomain.com', to, msg.as_string())

    print(f"邮件已发送到 {to}")

# 或者通过 587 端口（需要认证）
with smtplib.SMTP('mail.yourdomain.com', 587) as server:
    server.starttls()
    server.login('user@yourdomain.com', 'password')
    server.sendmail(from_addr, to_addr, msg.as_string())

九、总结

自建邮件服务器成功的关键不在服务器配置，而在 DNS 记录：PTR（rDNS）、SPF、DKIM、DMARC 四项缺一不可。香港服务器的国际 IP 声誉通常优于大陆 IP，是自建邮件服务器的良好基础。建议新 IP 先做「IP 热身」——每天发少量邮件（100→500→1000→5000），逐步建立 IP 声誉，避免一开始大量发送被标记为垃圾邮件。