Debian邮件服务器怎么加密

在 Debian 上搭建加密邮件服务器，通常是指 SMTP / IMAP / POP3 的传输加密（TLS/SSL），以及用户认证加密。下面按最常见、最实用的方案一步步说明。

一、整体思路（推荐方案）

✅ 邮件服务组合（经典）

• Postfix：SMTP（发信）
• Dovecot：IMAP / POP3（收信）
• Let’s Encrypt：免费 TLS 证书
• 防火墙 + Fail2ban：安全加固

✅ 加密目标

• SMTP 加密（25 / 465 / 587）
• IMAP / POP3 加密（143 / 993 / 110 / 995）
• 禁止明文认证
• 证书自动续期

二、准备条件

1️⃣ 域名与 DNS

假设你有：

mail.example.com

DNS 设置：

A     mail.example.com  → 服务器IP
MX    example.com       → mail.example.com

2️⃣ 安装基础软件

sudo apt update
sudo apt install postfix dovecot-core dovecot-imapd dovecot-pop3d \
                 certbot ufw fail2ban

三、申请 TLS 证书（关键）

1️⃣ 获取 Let’s Encrypt 证书

sudo certbot certonly --standalone -d mail.example.com

证书路径：

/etc/letsencrypt/live/mail.example.com/
    fullchain.pem
    privkey.pem

⚠️ 确保 465 / 80 / 443 端口未被占用

四、Postfix 加密配置（SMTP）

1️⃣ 主配置 /etc/postfix/main.cf

# TLS 证书
smtpd_tls_cert_file = /etc/letsencrypt/live/mail.example.com/fullchain.pem
smtpd_tls_key_file = /etc/letsencrypt/live/mail.example.com/privkey.pem

# 启用 TLS
smtpd_use_tls = yes
smtpd_tls_auth_only = yes

# 强制加密（推荐）
smtpd_tls_security_level = encrypt

# 端口
smtpd_tls_loglevel = 1
smtpd_tls_received_header = yes

# 认证
smtpd_sasl_auth_enable = yes
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth
smtpd_sasl_security_options = noanonymous

2️⃣ 提交端口（587）

编辑 /etc/postfix/master.cf：

submission inet n - y - - smtpd
  -o smtpd_tls_security_level=encrypt
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_relay_restrictions=permit_sasl_authenticated,reject

五、Dovecot 加密配置（IMAP / POP3）

1️⃣ /etc/dovecot/conf.d/10-ssl.conf

ssl = required
ssl_cert = </etc/letsencrypt/live/mail.example.com/fullchain.pem
ssl_key = </etc/letsencrypt/live/mail.example.com/privkey.pem

2️⃣ IMAP / POP3 端口

编辑 /etc/dovecot/conf.d/10-master.conf：

service imap-login {
  inet_listener imap {
    port = 143
  }
  inet_listener imaps {
    port = 993
    ssl = yes
  }
}

service pop3-login {
  inet_listener pop3 {
    port = 110
  }
  inet_listener pop3s {
    port = 995
    ssl = yes
  }
}

✅ 建议只开放 993 / 995

3️⃣ SASL 认证（Postfix 用）

service auth {
  unix_listener /var/spool/postfix/private/auth {
    mode = 0660
    user = postfix
    group = postfix
  }
}

六、禁止明文认证

Dovecot

disable_plaintext_auth = yes

七、防火墙配置

sudo ufw allow 25
sudo ufw allow 465
sudo ufw allow 587
sudo ufw allow 993
sudo ufw allow 995
sudo ufw enable

八、证书自动续期（非常重要）

sudo systemctl enable certbot.timer

续期后重载服务：

sudo postfix reload
sudo systemctl reload dovecot

九、测试加密是否成功

1️⃣ SMTP TLS

openssl s_client -connect mail.example.com:465

2️⃣ IMAP SSL

openssl s_client -connect mail.example.com:993

3️⃣ 邮件客户端

• 收信：IMAP 993 SSL/TLS
• 发信：SMTP 465 SSL/TLS
• 禁用 STARTTLS（可选）

十、常见错误

十一、进阶（可选）

✅ DKIM / SPF / DMARC（防垃圾邮件）
✅ Postfix + Dovecot + MariaDB（虚拟用户）
✅ 邮件加密（S/MIME / PGP）
✅ Webmail（Roundcube）

十二、我可以继续帮你

你可以直接告诉我：

• ✅ 是 个人邮箱 还是 企业邮箱
• ✅ 用的是 云服务器 / 内网 / 本地 Debian
• ✅ 是否需要 Webmail
• ✅ 是否已配置过一部分

我可以给你一个 完整可复制的配置文件包，或直接帮你排错。