Ubuntu邮件服务器防火墙规则

Ubuntu 邮件服务器防火墙规则速查

一 端口与方向总览

• 下表列出邮件常用端口、方向、用途与加密建议，便于一次性规划防火墙策略。

• 说明：邮件服务器通常还需允许相关服务的回包流量（由状态防火墙自动处理）；若使用 IPv6，请同步放行对应协议族的规则。

二 使用 UFW 的一键规则

• 基础放行（仅开放明文/STARTTLS常用端口，适合入门或受控网络）

  sudo ufw allow 25/tcp
  sudo ufw allow 143/tcp
  sudo ufw allow 587/tcp
  sudo ufw allow 22/tcp
  sudo ufw allow out 53,53/udp
  sudo ufw enable
  sudo ufw status verbose
  

• 启用加密端口（IMAPS/POP3S，推荐对外提供加密访问）

  sudo ufw allow 993/tcp
  sudo ufw allow 995/tcp
  

• 如需兼容旧客户端或特定场景，再开放 SMTPS

  sudo ufw allow 465/tcp
  

• 重要提示：在启用 UFW 之前务必先放行 SSH(22/TCP)，否则可能被立即断开连接。完成后用 sudo ufw status verbose 核对规则。

三 云厂商安全组与回程流量

• 除系统防火墙外，还需在云服务商控制台放行相同端口的入站规则（如 25/587/465/143/993/110/995），否则公网流量会被拦截。
• 建议仅对可信来源开放 25/TCP（例如仅允许自家出口/中继），并限制管理端口 22/TCP 的来源网段。
• 出站方向通常需放行 25/TCP（对外投递）、53/UDP/TCP（DNS）、以及客户端与服务器间通信所需端口，避免邮件投递与检索失败。

四 验证与排错

• 本机连通性测试

  telnet mail.example.com 25    # EHLO 测试
  telnet mail.example.com 143   # IMAP 测试
  telnet mail.example.com 110   # POP3 测试
  

• 加密端口可用 openssl s_client -connect mail.example.com:993 -quiet 验证 TLS 握手。
• 查看防火墙状态与规则编号

  sudo ufw status verbose
  sudo ufw status numbered
  

• 删除规则（按编号或按规则）

  sudo ufw delete 3
  sudo ufw delete allow 25/tcp
  

• 日志与常见问题：检查 /var/log/mail.log（Postfix）与 /var/log/mail.err；若端口不通，优先核对云安全组与 UFW 是否一致放行，再检查服务是否监听对应端口（ss -tlnp | grep -E ':(25|143|993|110|995|587|465)'）。