Своя почта для нескольких доменов на одном VPS
Как выбирали площадку, обо что споткнулись и что получилось
Сентябрь 2026 · разбор на ~20 минут
Коротко о результате
Один VPS обслуживает почту нескольких доменов: приём, отправка, IMAP, фильтрация спама, подпись писем. Развёртывание — одна команда, проверка состояния — вторая.
Письма уходят в Gmail и Яндекс во «Входящие», а не в спам. DMARC-отчёты приходят и читаются.
Считать это бесплатной заменой корпоративной почте не стоит: стоимость переезжает из подписки в час администратора. Смысл появляется, когда домены свои, ящиков десятки, а данные должны остаться на своём сервере.
Из чего состоит
Почтовый сервер — это не одна программа, а несколько служб, каждая со своей ролью. Разделение удобно тем, что любую часть можно заменить, не переписывая остальные.
| Компонент | Роль | Порты |
|---|---|---|
| Postfix | Приём и отправка писем, маршрутизация между доменами | 25, 465, 587 |
| Dovecot | Хранение ящиков, доступ по IMAP, сортировка правилами Sieve | 993 |
| Rspamd | Фильтрация спама, подпись DKIM, проверка SPF и DMARC на входе | локально |
| PostgreSQL | Список доменов, ящиков, псевдонимов и паролей | локально |
| Certbot | Сертификаты на все почтовые имена и их продление | 80 |
Где это живёт: выбор площадки
Главное решается до установки: разрешит ли площадка исходящий порт 25 и даст ли собственную PTR-запись. Без первого письма не уйдут вовсе, без второго их не примут крупные почтовые службы.
Второй по важности вопрос — репутация адреса. IP из пула, с которого до вас рассылали спам, лечится только переездом, поэтому проверять адрес по чёрным спискам нужно сразу после выдачи, а не после первой жалобы.
Данные из официальных FAQ, проверено в сентябре 2026. Уточняйте перед оплатой.
| Тип площадки | Порт 25 | PTR | Чего ждать |
|---|---|---|---|
| VPS-хостинг общего профиля | Закрыт, открывают по заявке | Есть в панели | Просят описать назначение рассылки, дальше без ограничений |
| Крупное облако | Закрыт, часто наглухо | Есть | Отправку предлагают через собственный сервис рассылок |
| Выделенный сервер | Открыт | Своя подсеть | Больше свободы и больше администрирования |
| Дешёвый VPS по акции | Как повезёт | Иногда нет | Адрес из «грязного» пула, письма в спаме с первого дня |
Свой MX или релей
Если порт 25 закрыт или адрес с плохой историей, отправку отдают релею: свой сервер принимает письмо от клиента и передаёт его наружу через сторонний узел с готовой репутацией. Приём при этом остаётся своим.
Мы выбрали свой MX и оставили релей как запасной путь: переключение — одна строка в конфигурации Postfix.
relayhost = [smtp.relay.example]:587 smtp_sasl_auth_enable = yes smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd smtp_sasl_security_options = noanonymous smtp_tls_security_level = encrypt
Данные из официальных FAQ, проверено в сентябре 2026. Уточняйте перед оплатой.
| Способ отправки | Репутация | Лимиты | Кому подходит |
|---|---|---|---|
| Свой MX напрямую | Своя, набирается месяцами | Только чужие | Чистый адрес, открытый порт 25, есть кому следить |
| Релей провайдера | Общая с соседями | Есть, обычно суточные | Порт 25 закрыт, писем немного |
| Сервис рассылок | Хорошая, с доставкой и отчётами | Тариф за письма | Уведомления из приложений, а не переписка людей |
Что спросить у провайдера
Шесть вопросов в поддержку до оплаты закрывают почти все сюрпризы. Ответы приходят за час, а переезд с неподходящей площадки занимает неделю.
1. Открыт ли исходящий порт 25 и на каких условиях.
2. Можно ли задать PTR-запись самостоятельно.
3. Не числится ли выданный адрес в чёрных списках.
4. Есть ли IPv6 и обязательно ли его использовать.
5. Как делаются снимки диска и куда они складываются.
6. Что происходит при жалобе на спам: предупреждение или отключение.
DNS: SPF, DKIM, DMARC, MTA-STS
Три записи отвечают на три вопроса принимающей стороны: кому разрешено отправлять от имени домена, не менялось ли письмо в пути и что делать, если проверки не прошли. Четвёртая, MTA-STS, требует шифрования соединения.
Начинать стоит с p=none: отчёты уже приходят, но письма ещё не отбрасываются. Через пару недель, когда в отчётах не осталось неожиданных отправителей, политика ужесточается.
example.ru. MX 10 mail.example.ru. example.ru. TXT "v=spf1 mx -all" dkim._domainkey TXT "v=DKIM1; k=rsa; p=MIIBIjANBg..." _dmarc TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.ru" _mta-sts TXT "v=STSv1; id=20260901" mail.example.ru. A 203.0.113.10
Сертификаты
Сертификат нужен на то имя, которое клиенты видят в настройках — обычно одно mail.домен на все ящики домена. Продление автоматическое, но Postfix и Dovecot нужно перезапускать после него, иначе они продолжат отдавать старый сертификат до следующей перезагрузки.
Обо что споткнулись: забытый хук перезапуска обнаружился через три месяца, когда сертификат истёк и клиенты перестали подключаться. Теперь это проверяется одной из сорока проверок состояния.
Клиенты и автонастройка
Просить пользователя вписать имена серверов и номера портов — надёжный способ получить десять обращений в поддержку. Решается файлом автонастройки на веб-сервере домена: почтовые клиенты забирают параметры сами, человек вводит только адрес и пароль.
Приложения на телефонах подключаются по IMAP и SMTP без отдельной настройки. Веб-интерфейс мы не ставили: почта открывается в обычном клиенте, и это устроило всех.
Переезд без потери писем
Порядок такой: поднять новый сервер, перенести содержимое ящиков, проверить отправку и приём на тестовом домене и только потом переключить MX. Старый сервер остаётся принимать письма ещё несколько дней, пока DNS обновляется у всех.
Перенос повторяется без вреда: второй запуск догоняет письма, пришедшие за время первого.
imapsync \ --host1 old.example.ru --user1 user@example.ru --password1 "***" \ --host2 mail.example.ru --user2 user@example.ru --password2 "***" \ --ssl1 --ssl2 --automap --delete2duplicates
Безопасность
Почтовый сервер перебирают пароли с первого дня — это видно в журналах через несколько часов после запуска. Помогают три вещи: блокировка адресов после серии неудачных попыток, отказ от аутентификации без шифрования и длинные пароли ящиков, выдаваемые генератором, а не пользователем.
Отдельно проверяется, что сервер не стал открытым релеем: отправка разрешена только после аутентификации, и это есть в списке проверок. Взломанный ящик, рассылающий спам, лишает репутации весь домен за сутки.
Резервные копии снимаются с ящиков и базы, лежат вне сервера и раз в квартал восстанавливаются на чистую машину.
Копия, которую никогда не разворачивали, копией не считается.
Итоги
Своя почта — это не сложно настроить, а нужно поддерживать: следить за сертификатами, репутацией, копиями и обновлениями. Установка занимает вечер, эксплуатация — постоянные полчаса в месяц и один разбор в квартал.
Брать это стоит, когда домены свои, требования к данным жёсткие, а администратор всё равно есть. Если ящиков пять и админа нет, аренда честно дешевле.
Развёртывание и проверки мы собрали в открытый репозиторий: одна команда поднимает стек, вторая прогоняет сорок проверок и показывает, что именно не в порядке.