Postfix + Dovecot + Maildrop + MailScanner + ClamAV + SpamAssassin 企業級郵件系統構建全紀錄 (上)

構建功能完整、安全可靠、反垃圾反病毒的企業級郵件系統是 Linux 運維的經典課題。本文記錄基於 CentOS/RedHat 從零部署 Postfix (MTA) + Dovecot (IMAP/POP3/LDA) + Maildrop (MDA/過濾) + MailScanner (郵件掃描框架) + ClamAV (病毒掃描) + SpamAssassin (垃圾郵件過濾) 的完整前置準備、主機名/DNS/AMP 環境構建過程，為後續核心組件配置奠定基礎。

前置準備：三大基石

1. 主機名規範化 (關鍵：影響 Postfix HELO、SSL 證書、SPF/DKIM)

# 設置 FQDN 主機名
hostname mail.corp.example.com

# 寫入網絡配置持久化
cat > /etc/sysconfig/network <<'EOF'
NETWORKING=yes
HOSTNAME=mail.corp.example.com
EOF

# 驗證
hostname
uname -n
# 兩者輸出必須一致且為 FQDN

2. DNS 域名解析 (內網測試環境自建 BIND 9.8)

郵件系統極度依賴 DNS：A 記錄、MX 記錄、PTR 反向解析、SPF TXT 記錄、DKIM TXT 記錄、DMARC TXT 記錄。測試環境自建權威 DNS：

# 編譯安裝 BIND 9.8
wget https://downloads.isc.org/isc/bind9/9.8.0/bind-9.8.0.tar.gz
tar xzf bind-9.8.0.tar.gz && cd bind-9.8.0
./configure --prefix=/usr/local/bind --enable-threads
make && make install

# 生成 rndc 密鑰與配置
/usr/local/bind/sbin/rndc-confgen > /usr/local/bind/etc/rndc.conf
tail -10 /usr/local/bind/etc/rndc.conf | head -9 | sed 's/# //' > /usr/local/bind/etc/named.conf

# 根區文件
dig @a.root-servers.net . ns > /usr/local/bind/etc/named.root

# 區域配置 (mail.corp.example.com)
cat > /usr/local/bind/etc/named.conf <<'EOF'
key "rndc-key" {
    algorithm hmac-md5;
    secret "generated-secret==";
};
controls {
    inet 127.0.0.1 port 953 allow { 127.0.0.1; } keys { "rndc-key"; };
};
options {
    directory "/usr/local/bind";
    pid-file "var/named.pid";
    forwarders { 202.106.0.20; };  # 上級遞歸服務器
};
zone "." IN { type hint; file "etc/named.root"; };
zone "localhost" IN { type master; file "etc/named.local"; };
zone "0.0.127.in-addr.arpa" IN { type master; file "etc/named.localarpa"; };
zone "corp.example.com" IN { type master; file "etc/named.corp"; };
zone "32.168.192.in-addr.arpa" IN { type master; file "etc/named.corp.rev"; };
EOF

# 正向區域文件 etc/named.corp
cat > /usr/local/bind/etc/named.corp <<'EOF'
$TTL 86400
@ IN SOA corp.example.com. root.corp.example.com. (
    2023100101 ; Serial
    3H ; Refresh
    15M ; Retry
    1W ; Expire
    1D ) ; Minimum
IN NS ns.corp.example.com.
IN MX 10 mail.corp.example.com.
ns IN A 192.168.50.170
@ IN A 192.168.50.170
mail IN A 192.168.50.170
EOF

# 反向區域文件 etc/named.corp.rev
cat > /usr/local/bind/etc/named.corp.rev <<'EOF'
$TTL 86400
@ IN SOA corp.example.com. root.corp.example.com. ( 2023100101 3H 15M 1W 1D )
IN NS corp.example.com.
170 IN PTR mail.corp.example.com.
170 IN PTR ns.corp.example.com.
EOF

# 啟動 named
/usr/local/bind/sbin/named -u named

# 驗證
nslookup mail.corp.example.com
dig mail.corp.example.com MX
dig -x 192.168.50.170

3. AMP 環境 (Apache + MySQL + PHP) —— 為後續 Webmail (Roundcube)、管理界面、監控圖表預留

# 使用系統倉庫安裝 (穩定優先)
yum install -y httpd httpd-devel mysql-server mysql-devel php php-mysql php-mbstring php-gd php-xml php-pear php-devel

# PHP 圖像處理依賴 (編譯 GD 所需)
yum install -y libpng-devel libjpeg-devel freetype-devel zlib-devel libxml2-devel gd-devel

# 啟動服務
service httpd start; chkconfig httpd on
service mysqld start; chkconfig mysqld on

# MySQL 安全初始化
mysql_secure_installation
# 設定 root 密碼、移除匿名用戶、禁止遠程 root 登入、移除 test 庫

# PHP 驗證
php -m | grep -E 'gd|mysql|mbstring|xml'
# 建立測試頁
echo '' > /var/www/html/phpinfo.php
curl https://localhost/phpinfo.php | grep -i gd

下一步預告：核心組件部署順序

1. Postfix：MTA 核心，配置 main.cf/master.cf、虛擬域/用戶映射、TLS、SASL 認證、郵件隊列調優。
2. Dovecot：IMAP/POP3/LDA，配置 dovecot.conf、Maildir 格式、認證機制、Sieve 過濾、配額。
3. Maildrop：MDA，配置 .mailfilter 規則、整合 SpamAssassin/ClamAV 掃描結果標記。
4. ClamAV：病毒掃描引擎，freshclam 定時更新病毒庫、clamd 守護進程、整合郵件管道。
5. SpamAssassin：垃圾郵件評分，sa-update 規則更新、spamd 守護進程、貝葉斯學習、白/黑名單。
6. MailScanner：統一掃描框架，串聯 ClamAV + SpamAssassin、隔離區管理、報告生成、Postfix 雙隊列模式 (hold/incoming)。
7. 整合測試：swaks 發信測試、郵件頭分析、病毒/垃圾樣本驗證、日誌審計、性能壓測。

關鍵設計決策

總結

企業級郵件系統的基石在於 主機名 FQDN 化、DNS 完整解析 (含 PTR/SPF/DKIM/DMARC)、AMP 環境就緒。本文完成了這三大前置工程，為後續 Postfix/Dovecot/MailScanner 核心組件的有序部署鋪平道路。下一篇將深入 Postfix 主配置、虛擬用戶映射、TLS/SASL 加密認證與隊列調優實戰。