邮件服务器选购与搭建方案

结论： 99% 的中小企业不该自建邮件服务器——用腾讯企业邮、阿里云邮、Microsoft 365 这类企业邮局，或用 Amazon SES、SendGrid 这类 SMTP 中继（Relay）服务，成本更低、送达率更高。只有在"邮件量极大（日均万封以上）、有强制数据本地化要求、或需要完全自主控制"时才考虑自建 Postfix + Dovecot，且必须解决 IP 声誉预热与 25 端口限制这两个现实问题。

网上有大量"半小时搭建邮件服务器"的教程，跟着做完能发出邮件，然后第二天发现邮件全进了对方的垃圾箱。这不是教程错了，而是搭建只是整个邮件系统的 20%，剩下 80% 是 IP 声誉、域名认证、退信处理和持续运维。

本篇不重复命令实操（搭建细节见《服务器怎么搭建邮件服务器》），而是解决更前置的问题：你到底该选哪种方案？选了之后要满足哪些硬性条件才能真正发出去？

三条技术路线怎么选？

结论：先分清你的邮件是"人对人沟通"还是"系统对外发送"，这两件事的最优方案完全不同。

成本对比（2026 年区间参考，以服务商官网实时报价为准）：

• 10 人小团队办公邮箱：企业邮局免费版或每人每年 60~200 元，年成本 0~2000 元；自建至少要一台云服务器（年 3000~6000 元）+ 搭建与维护工时，明显不划算。
• 日均 5000 封系统通知：中继服务按量计费，年成本大致在 1 万~3 万元；自建同等量级需要 2~4 个独立 IP 做轮转与预热，服务器加 IP 加运维，年成本 3 万~6 万元，且送达率未必更好。
• 日均 10 万封营销邮件：自建的边际成本开始占优，但需要专职投递团队维护 IP 声誉、处理投诉与退订，人力成本必须计入。

25 端口：自建前必须确认的现实约束

结论：绝大多数云服务器的 25 端口出站默认被封禁，而且很多服务商明确不予解封——这是自建邮件服务器最大的拦路虎。

25 端口是 SMTP 的服务器间中继端口。为了防止垃圾邮件，云厂商普遍采取以下策略：

• 国内主流云厂商：默认封禁 25 出站端口，部分支持工单申请解封（往往需要企业认证与承诺函），也有部分明确不支持解封。
• AWS / Azure / GCP：默认限制或封禁 25 端口，AWS 可通过工单申请移除限制，Azure 与 GCP 则更倾向于引导用户使用自家邮件服务。
• 部分海外独立服务器商：默认开放 25 端口，但同一 IP 段可能已被滥用，IP 声誉先天不佳。

因此自建前必须先验证端口是否可用：

# 安装测试工具
sudo apt install -y telnet netcat-openbsd dnsutils

# 1) 测试到外部邮件服务器的 25 端口是否能连通
nc -vz smtp.gmail.com 25 ; echo "exit=$?"
nc -vz mx1.qq.com 25     ; echo "exit=$?"

# 如果连接超时，说明 25 出站被封（或被上游防火墙拦截）
# 2) 测试 587 提交端口（需认证，通常开放）
nc -vz smtp.gmail.com 587 ; echo "exit=$?"

如果 25 端口不通，可选路径只有两条：

1. 申请解封：联系服务商提交材料（企业资质、用途说明、反垃圾承诺）。通过率因厂商而异，且不保证长期稳定。
2. 改用中继（Smarthost）：自建的 Postfix 不直接对外发信，而是把邮件交给 587/465 端口的中继服务商代为投递。这是最稳妥的做法——保留自建的收信能力，把发信交给专业服务商。

Postfix 配置中继的写法：

# /etc/postfix/main.cf —— 使用外部 SMTP 中继发信
relayhost = [smtp.relay.example.com]:587
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
smtp_tls_security_level = encrypt
smtp_tls_CAfile = /etc/ssl/certs/ca-certificates.crt

# /etc/postfix/sasl_passwd
# [smtp.relay.example.com]:587  username:password
sudo postmap /etc/postfix/sasl_passwd
sudo chmod 600 /etc/postfix/sasl_passwd /etc/postfix/sasl_passwd.db
sudo systemctl reload postfix

SPF、DKIM、DMARC、PTR：四项必做配置

结论：缺任何一项，邮件进垃圾箱的概率都会显著上升；四项齐全是进入主流邮箱收件箱的最低门槛。

DNS 记录的典型写法：

; SPF：只允许本域 MX 与指定中继发送，其他一律软失败
example.com.    TXT "v=spf1 mx include:spf.relay.example.com -all"

; DMARC：先观察（p=none）收报告，稳定后过渡到 quarantine/reject
_dmarc.example.com.  TXT "v=DMARC1; p=quarantine; pct=100; rua=mailto:dmarc@example.com; adkim=s; aspf=s"

; DKIM 公钥由 opendkim-genkey 生成，发布如下
default._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBA..."

验证命令（配置完必须逐项检查）：

# 查看域名的 MX、SPF、DMARC 记录
dig +short MX example.com
dig +short TXT example.com | grep spf1
dig +short TXT _dmarc.example.com

# 查看 DKIM 公钥（selector 换成自己的）
dig +short TXT default._domainkey.example.com

# 反向解析：PTR 必须指向你的发信域名
dig +short -x <你的发信IP>
host <你的发信IP>

# 用 swaks 做真实投递测试，看对方如何判定
sudo apt install -y swaks
swaks --to test@example.net --from postmaster@example.com \
      --server 127.0.0.1 --port 25

生成 DKIM 密钥对（自建场景）：

sudo apt install -y opendkim opendkim-tools
sudo mkdir -p /etc/opendkim/keys/example.com
sudo opendkim-genkey -D /etc/opendkim/keys/example.com -d example.com -s default
sudo chown -R opendkim:opendkim /etc/opendkim/keys
# 生成的 default.txt 内容即为需要发布到 DNS 的 TXT 记录
cat /etc/opendkim/keys/example.com/default.txt

IP 声誉：自建邮件的真正门槛

结论：新 IP 没有历史发送记录，必须按节奏"预热（Warm-up）"4~8 周，否则一次性群发会直接进黑名单。

IP 声誉是收件方根据某 IP 的历史行为（投诉率、退信率、垃圾命中率、发送量稳定性）给出的信任评分。新 IP 从零开始，主流邮箱对其容忍度很低。

预热节奏参考（单个专属 IP）：

关键纪律：

• 绝不购买邮件列表。 purchased list 的投诉率和陷阱地址（Spam Trap）比例极高，一次就可能毁掉 IP 声誉。
• 必须支持一键退订，并在邮件头加入 List-Unsubscribe，Gmail 与 Outlook 已将其作为硬性要求。
• 退信（Bounce）必须处理：连续向无效地址发信会被判定为"散发"，硬退信率超过 5% 就有被列入黑名单的风险。
• 多 IP 分流：量大时按用途拆分 IP（事务邮件与营销邮件分开），避免营销投诉连累验证码邮件。

黑名单自查：

# 用 dig 查询常见 DNSBL（返回值非空即被列入）
IP=<你的发信IP>
REV=$(echo $IP | awk -F. '{print $4"."$3"."$2"."$1}')
for bl in zen.spamhaus.org bl.spamcop.net dnsbl.sorbs.net b.barracudacentral.org; do
  echo -n "$bl -> "; dig +short $REV.$bl | tr '\n' ' '; echo
done

按规模分级的推荐方案

结论：跟着规模走，不要超前设计，也不要用错工具。

• 5~50 人企业办公：直接用企业邮局（腾讯企业邮、阿里云邮、Microsoft 365、Google Workspace）。每人每年几十到几百元，含反垃圾、反病毒、移动端同步、归档。自己搭是纯粹的浪费。
• 有网站需要发通知邮件：网站后台用 SMTP 中继（587 端口 + 认证）发验证码和订单通知。用邮局账号或专业中继服务，日发信量在几百封以内几乎零成本。
• 日均 1000~10000 封营销/通知：用专业中继服务，配专属 IP 并做预热，重点做退订与退信处理。
• 日均万封以上、或有数据不出内网的强合规要求：才考虑自建。架构建议：多台 Postfix 做发信集群 + Dovecot 收信 + rspamd 反垃圾 + 独立数据库存账户 + 独立 IP 池与发信调度系统，配备专职人员盯黑名单与退信。
• 混合方案（推荐给多数自建需求）：自建收信（Dovecot + 反垃圾）+ 中继发信。既保留数据自主权，又绕开 25 端口与 IP 声誉难题。

常见误区 / 排错提示

• 误区一：以为搭完就能发。 不配 SPF/DKIM/DMARC/PTR 的自建邮件服务器，发出去的邮件大概率进垃圾箱，且无法通过申诉快速恢复。
• 误区二：用动态 IP 或家用宽带建邮件服务器。 绝大多数家用和动态 IP 段已被列入黑名单，且没有 PTR，基本不可能送达。
• 误区三：一封邮件群发上万地址。 新域名新 IP 这样做几乎必然被标记为垃圾源。必须预热、分批、个性化。
• 误区四：忽略退信队列。 Postfix 队列堆积大量退信会成为负担，也会让外部认为你在散发。用 postqueue -p 定期检查，postsuper -d ALL deferred 清理死队列。
• 排错提示：邮件发不出去。 按序检查：postqueue -p 看队列状态 → tail -f /var/log/mail.log 看具体错误 → 25 端口是否通 → 中继认证是否正确 → SPF/DKIM 是否发布生效 → 目标 IP 是否在黑名单。

常见问题（FAQ）

小公司自建邮件服务器值得吗？

不值得。10 人规模自建的年成本（服务器 + IP + 工时）通常在 5000 元以上，且送达率不如成熟企业邮局。企业邮局每人每年几十到几百元，还自带反垃圾、反病毒、邮件归档与移动端支持，性价比远超自建。

为什么我的邮件总是进垃圾箱？

最常见的原因是四项认证缺失（SPF、DKIM、DMARC、PTR），其次是 IP 声誉差（新 IP 未预热、曾在黑名单、共享 IP 被邻居连累），再次是内容问题（大量外链、促销词堆砌、图片占比过高、无退订入口）。建议逐项排查并先小批量测试。

云服务器 25 端口被封怎么办？

两条路：一是向服务商提交工单申请解封（需企业资质与反垃圾承诺，通过率不保证）；二是改用中继发信——Postfix 配置 relayhost 指向 587 端口的专业 SMTP 服务，邮件由中继代为投递。后者更稳定，也是生产环境的通行做法。

企业邮局和中继服务可以同时用吗？

可以，而且这是推荐架构。员工日常沟通走企业邮局（域名 A），系统自动发送的通知与营销邮件走中继服务（子域名或独立发信域名）。两者用不同的 SPF include 记录区分，互不干扰。

新域名发邮件要预热多久？

单个专属 IP 通常需要 4~8 周才能稳定承载较大发送量。第 1 周每天控制在 200 封以内且只发给高活跃用户，之后按周递增，全程监控退信率（< 3%）与投诉率（< 0.1%）。使用共享 IP 的中继服务则基本不需要自己预热。

邮件服务器需要备案吗？

服务器在中国大陆且提供对外服务通常需要 ICP 备案；邮件服务本身还需关注发信域名的解析合规。放在境外节点（香港、美国等）可免大陆备案，但要评估到目标收件方的网络质量以及 IP 声誉。具体合规要求以服务商与监管规定为准。