تشغيل خادم بريد على VPS: ما يتطلبه فعلاً

تثبّت Postfix على خادم VPS جديد في عشر دقائق، وترسل رسالة اختبار إلى Gmail، فلا تصل. في سجل البريد تجد أحد سطرين: «Connection timed out» على المنفذ 25، أي أن مزوّدك يحجب الإرسال الصادر، أو رفضاً بالرمز 550-5.7.25 لأن عنوان IP لا يحمل سجلاً عكسياً. هذه أول حقيقة في تشغيل خادم بريد بنفسك: البرنامج أسهل جزء، والصعب أن تقنع خوادم الاستلام بأنك مرسل موثوق، ثم أن تبقى كذلك كل يوم. في هذا الدليل ما يتطلبه ذلك فعلاً، بالترتيب الذي ستحتاجه فيه.

01قبل أي تثبيت: ثلاثة شروط بيد مزوّدك

ثلاثة أشياء لا يصلحها أي إعداد على خادمك، لأنها بيد من يملك عنوان IP. افحصها في يومك الأول، قبل أن تستثمر ساعة واحدة في الإعداد:

• المنفذ 25 الصادر: كثير من مزوّدي VPS يحجبونه افتراضياً على الحسابات الجديدة للحد من البريد المزعج. بعضهم يفتحه بطلب بعد التحقق من هويتك، وبعضهم لا يفتحه أبداً. اسأل مزوّدك قبل الشراء، فبدونه لا يسلّم خادمك رسالة واحدة إلى خادم آخر.
• السجل العكسي: سجل PTR يربط عنوان IP باسم، ويضبطه مالك نطاق العناوين، أي مزوّدك، من لوحة التحكم أو بتذكرة دعم. يجب أن يعيد اسم خادم بريدك تحديداً، لا اسماً عاماً يولّده المزوّد.
• سمعة العنوان: ربما استُخدم العنوان الذي حصلت عليه قبلك في إرسال بريد مزعج فدخل قوائم الحظر مثل Spamhaus. والعنوان النظيف الجديد بلا سمعة أصلاً، فتعامله خوادم الاستلام بحذر في أسابيعه الأولى.

# هل يخرج الاتصال على المنفذ 25؟ «succeeded» تعني نعم، وانتهاء المهلة يعني أنه محجوبnc -vz -w 5 gmail-smtp-in.l.google.com 25# سجل PTR لعنوان خادمك: يجب أن يعيد اسم خادم البريدdig -x 203.0.113.25 +short# والاتجاه الأمامي: يجب أن يعيد الاسم العنوانَ نفسهdig +short A mail.barq-bahrain.com# هل العنوان مدرج لدى Spamhaus؟ لا ناتج يعني غير مدرج (أجزاء العنوان معكوسة)dig +short 25.113.0.203.zen.spamhaus.org

02الحزمة البرمجية وحجم الخادم

خادم البريد الكامل أربعة أدوار، ولكل دور برنامج مجرّب في بيئات الإنتاج:

• Postfix: وكيل نقل البريد: يستقبل الرسائل على المنفذ 25، ويستقبل رسائل مستخدميك على منفذي الإرسال 587 و465، ويسلّمها إلى خوادم العالم.
• Dovecot: يحفظ صناديق البريد ويقدّمها لبرامج المستخدمين عبر IMAP على المنفذ 993، ويتحقق من كلمات المرور نيابة عن Postfix.
• Rspamd: يفحص الوارد ويصنّف البريد المزعج، ويوقّع الصادر بمفتاح نطاقك، ويحفظ إحصاءاته في Redis.
• ClamAV: اختياري، يفحص المرفقات بحثاً عن البرمجيات الخبيثة، ويستهلك وحده نحو 1 إلى 1.5 غيغابايت من الذاكرة.

# يسألك Postfix عن نوع الإعداد: اختر Internet Site واكتب اسم نطاقكsudo apt updatesudo apt install -y postfix dovecot-imapd dovecot-lmtpd rspamd redis-server certbot# مرّر البريد عبر Rspamd (يستمع على 11332 افتراضياً)sudo postconf -e "smtpd_milters = inet:127.0.0.1:11332"sudo postconf -e "non_smtpd_milters = inet:127.0.0.1:11332"sudo postconf -e "milter_default_action = accept"sudo systemctl reload postfix# افتح منافذ البريد وحدها، و80 إن أصدرت الشهادة بـ certbot على الخادم نفسهsudo ufw allow 25,465,587,993/tcpsudo ufw allow 80/tcp

بعدها فعّل خدمتي submission وsubmissions في ملف master.cf، واشترط فيهما المصادقة والتشفير، واربط Postfix بـ Dovecot للمصادقة والتسليم عبر LMTP. وإن لم ترد ربط هذه الأجزاء يدوياً، فحزم متكاملة مثل Mailcow على Docker أو Mail-in-a-Box أو iRedMail تثبّتها معاً بإعدادات معقولة. توفّر عليك أياماً من الإعداد، لكنها لا تعفيك من المنفذ 25 وPTR والسمعة، ولا من التحديث والمراقبة.

أما القرص فيحدده حجم الصناديق لا البرامج: 25 صندوقاً بحصة 5 غيغابايت تعني 125 غيغابايت، فأضف هامشاً بنحو 20% للفهارس والسجلات والنمو، ووسّع مساحة NVMe حين تقترب منه.

03هوية الخادم: اسم واحد في ثلاثة أماكن

خوادم الاستلام تتحقق من أن خادمك يعرّف نفسه باسم ثابت ومتسق. اختر اسماً مثل mail.barq-bahrain.com واجعله يظهر في ثلاثة أماكن متطابقة: سجل A يشير من الاسم إلى العنوان، وسجل PTR يعيد العنوان إلى الاسم، وتحية HELO التي يبدأ بها Postfix كل اتصال. هذا التطابق يُسمى Forward-Confirmed reverse DNS، وغيابه وحده يكفي ليرفض Gmail رسائلك.

وانتبه إلى IPv6. إن كان لخادمك عنوان IPv6، فسيفضّله Postfix مع الخوادم التي تدعمه مثل Gmail، وGmail يشترط PTR لكل عنوان يرسل منه. فإما أن تضبط PTR لعنوان IPv6 وتضيفه إلى SPF، وإما أن تقصر Postfix على IPv4 ولا تنشر سجل AAAA لاسم خادم البريد حتى تجهّزه. وإلا رأيت رفضاً متقطعاً يبدو عشوائياً: يمر ما خرج عبر IPv4، ويُرفض ما خرج عبر IPv6.

# الاسم الذي يعلنه Postfix في HELO، ويجب أن يطابق PTRsudo postconf -e "myhostname = mail.barq-bahrain.com"# أرسل عبر IPv4 وحده حتى تضبط PTR لعنوان IPv6sudo postconf -e "inet_protocols = ipv4"sudo systemctl restart postfix

04المصادقة: SPF وDKIM وDMARC

هذه السجلات الثلاثة تجيب خوادم الاستلام عن سؤال واحد: هل جاءت هذه الرسالة من صاحب النطاق فعلاً؟ SPF يعلن العناوين المخوّلة بالإرسال، وDKIM يوقّع كل رسالة بمفتاح خاص على خادمك، وDMARC يشترط أن يتوافق أحدهما مع النطاق الظاهر في حقل From، ويحدد مصير الرسالة إن لم يتوافق. هذه سجلات نطاق بخادم بريد واحد:

اجعل SPF ينتهي بـ ~all أثناء الاختبار، ثم بـ -all حين تتأكد أن خادمك هو المرسل الوحيد. ولا تنشر أكثر من سجل SPF واحد للنطاق، فوجود سجلين يُفشل التحقق كله. أما مفتاح DKIM فيولّده Rspamd ويطبع لك سجله جاهزاً:

# مفتاح RSA بطول 2048 بت، بمحدِّد يحمل السنة ليسهل تدويره لاحقاًsudo mkdir -p /var/lib/rspamd/dkimsudo rspamadm dkim_keygen -d barq-bahrain.com -s s2026 -b 2048 -k /var/lib/rspamd/dkim/barq-bahrain.com.s2026.keysudo chown -R _rspamd:_rspamd /var/lib/rspamd/dkim# أخبر Rspamd أين المفتاح وما المحدِّد، ثم أعد تحميلهsudo tee /etc/rspamd/local.d/dkim_signing.conf >/dev/null <<"EOF"path = "/var/lib/rspamd/dkim/$domain.$selector.key";selector = "s2026";EOFsudo systemctl reload rspamd

ابدأ DMARC بالسياسة p=none مع عنوان rua، فتصلك تقارير إجمالية يومية من كبار مزوّدي البريد. اقرأها أسبوعين أو ثلاثة لتعرف كل جهة ترسل باسم نطاقك، كنماذج موقعك أو نظام الفواتير، ثم انتقل إلى p=quarantine ثم p=reject. في هذه المرحلة الأخيرة فقط يصير انتحال نطاقك مرفوضاً فعلاً.

ما يشترطه Gmail وYahoo منذ 2024

• كل مرسل: مصادقة بـ SPF أو DKIM، وسجل PTR صالح، ونسبة شكاوى من البريد المزعج دون 0.3%. ويشترط Gmail أيضاً أن يصله البريد عبر TLS.
• من يرسل نحو 5,000 رسالة يومياً أو أكثر: SPF وDKIM معاً، وسجل DMARC ولو بالسياسة p=none، وتوافق نطاق From مع أحدهما، وإلغاء اشتراك بنقرة واحدة في الرسائل التسويقية.
• Microsoft: طبّقت شروطاً مشابهة في 2025 على من يرسل بكميات كبيرة إلى عناوين Outlook.com.

05التشفير أثناء النقل: TLS وMTA-STS

بين خوادم البريد يبدأ الاتصال نصاً مكشوفاً على المنفذ 25، ثم يرقّيه أمر STARTTLS إلى اتصال مشفر إن دعمه الطرفان. هذا تشفير انتهازي: إن اعترض مهاجم الاتصال وحذف عرض STARTTLS، أكمل الخادم المرسل بلا تشفير. لذلك تحتاج أمرين: شهادة صالحة لاسم خادمك، وسياسة MTA-STS تطلب من المرسلين ألا يسلّموك بريدك إلا عبر TLS بشهادة صحيحة.

احصل على الشهادة من Let’s Encrypt بأداة certbot واجعل تجديدها آلياً، فأعمار الشهادات العامة تقصر: 200 يوم حداً أقصى منذ 15/3/2026، و100 يوم من 15/3/2027. وفي Postfix وDovecot اجعل TLS 1.2 حداً أدنى. والبديل الأقوى من MTA-STS هو DANE بسجلات TLSA، لكنه يتطلب منطقة موقّعة بـ DNSSEC.

# 1) سجل TXT يعلن وجود السياسة، وغيّر id كلما عدّلتها_mta-sts.barq-bahrain.com.  TXT  "v=STSv1; id=20261005"# 2) ملف السياسة، يُخدَّم عبر HTTPS بشهادة صالحة على العنوان:# https://mta-sts.barq-bahrain.com/.well-known/mta-sts.txtversion: STSv1mode: testingmx: mail.barq-bahrain.commax_age: 604800# 3) تقارير فشل TLS تصلك يومياً_smtp._tls.barq-bahrain.com.  TXT  "v=TLSRPTv1; rua=mailto:[email protected]"

06الاختبار والمراقبة والنسخ الاحتياطي

قبل أن تعلن العناوين لفريقك، اختبر من جهاز خارج الخادم:

# سجلات النطاق كما يراها العالمdig +short MX barq-bahrain.comdig +short TXT barq-bahrain.comdig +short TXT s2026._domainkey.barq-bahrain.comdig +short TXT _dmarc.barq-bahrain.com# TLS على منفذ الإرسال: الإصدار والشهادةopenssl s_client -starttls smtp -connect mail.barq-bahrain.com:587 -servername mail.barq-bahrain.com -brief </dev/null# رسالة اختبار بمصادقة وSTARTTLS، ويسألك swaks عن كلمة المرورswaks --to [email protected] --from [email protected] --server mail.barq-bahrain.com --port 587 --tls --auth LOGIN --auth-user [email protected]

افتح الرسالة في Gmail واختر «إظهار الرسالة الأصلية»: يجب أن ترى PASS أمام SPF وDKIM وDMARC. ثم راقب الخادم كل يوم في شهره الأول، وكل أسبوع بعد ذلك:

• طابور البريد: طابور ينمو يعني أن خوادم الاستلام تؤجّل رسائلك أو ترفضها. نبّه نفسك إن تجاوز بضع عشرات من الرسائل.
• السمعة: اقرأ تقارير DMARC، وسجّل نطاقك في Google Postmaster Tools لترى نسبة الشكاوى وسمعة عنوانك، وافحص قوائم الحظر كل أسبوع.
• التحديثات: فعّل التحديثات الأمنية التلقائية، فخادم بريد مكشوف على الإنترنت هدف دائم لمحاولات تخمين كلمات المرور.

# حجم الطابور: السطر الأخير يذكر عدد الرسائل المنتظرةpostqueue -p | tail -n 1# الرسائل المؤجلة والمرتدة في الساعة الأخيرة، وأسبابهاjournalctl -t postfix/smtp --since "1 hour ago" | grep -E "status=(deferred|bounced)"# أعد محاولة التسليم بعد إصلاح السببsudo postqueue -f

والنسخ الاحتياطي هنا أوسع من مجلد الرسائل: صناديق البريد، وإعدادات Postfix وDovecot وRspamd، ومفاتيح DKIM. المفتاح الضائع تعيد توليده وتنشر سجله من جديد، أما الرسائل الضائعة فلا تعود. انسخها كل ليلة إلى مكان خارج الخادم، وجرّب الاستعادة مرة كل شهر.

المشكلةالرسائل لا تغادر الخادم، والسجل يقول Connection timed out على المنفذ 25

الحلالمزوّد يحجب المنفذ 25 الصادر. اطلب فتحه، أو أرسل عبر مرحِّل SMTP موثوق على المنفذ 587 إن كان الحجب دائماً.

المشكلةGmail يرد بالرمز 550-5.7.25

الحلالعنوان بلا PTR، أو PTR لا يطابق سجل A. اطلب من مزوّدك ضبطه على اسم خادمك، وافحص عنوان IPv6 أيضاً.

المشكلةGmail يرد بالرمز 550-5.7.26 لأن المرسل غير موثّق

الحلSPF لا يشمل عنوانك أو توقيع DKIM لا يُضاف. افحص السجلين بـ dig، وتأكد أن البريد الصادر يمر عبر Rspamd.

المشكلةالمصادقة كلها PASS والرسائل تذهب إلى مجلد البريد المزعج

الحلالمشكلة في السمعة لا في الإعداد. ابدأ بكميات صغيرة لمراسلين يردّون عليك، وراقب Postmaster Tools وقوائم الحظر.

07متى تكون الخدمة المُدارة القرار الأصح؟

الخادم الذاتي منطقي في حالات محددة: بريد آلي من تطبيقاتك بكميات تعرفها، أو متطلبات تفرض بقاء الرسائل على خادم تديره، أو فريق تقني لديه وقت للمراقبة. أما صناديق الموظفين التي يتوقف عليها عمل الشركة، فاحسب الكلفة الحقيقية: ساعتان إلى أربع كل أسبوع للمراقبة والتحديث، وأسابيع لاستعادة السمعة إن دخل عنوانك قائمة حظر، وطابور يتراكم في عطلة لا يراه أحد.

فإن قررت أن تشغّل خادمك، فاسأل عن المنفذ 25 وPTR قبل الشراء، وانشر SPF وDKIM وDMARC قبل أول رسالة، وراقب الطابور والتقارير يومياً في الشهر الأول. وإن لم يكن لديك من يتولى ذلك، فالبريد الإلكتروني للأعمال من إليفانتي بالشراكة مع Acrux Mail، القادم قريباً، يعطيك عناوين على نطاقك دون أن تحمل سمعة عنوان IP على كتفك. ويمكنك الجمع بين الطريقين: صناديق الفريق على خدمة مُدارة، وبريد تطبيقاتك الآلي من خادمك.