Postfix ve Dovecot ile Linux Mail Sunucusu Kurulumu

Kendi mail sunucunuzu Postfix ve Dovecot ile kurmak, e-posta trafiğinizin tamamını üçüncü bir servise devretmeden yönetmenin en olgun yolu. Postfix, postayı sunucular arasında taşıyan taraf; Dovecot ise bu postayı kullanıcının posta kutusuna teslim eden taraf. İkisi farklı bir işi üstlenir ve birlikte kurulduklarında eksiksiz bir e-posta altyapısı ortaya çıkar.

Mail sunuculuğu web sunucusu kurmaktan farklı bir titizlik gerektirir. Yanlış yapılandırılmış bir SMTP sunucusu birkaç saat içinde herkesin kullanabildiği açık bir röleye dönüşebilir; bu durumda sunucunuzun IP adresi kara listeye girer. Bu yüzden her ayarı neden yaptığınızı bilerek ilerlemek gerekir.

MTA, MDA, MUA: Kim Ne Yapar

Bir e-postanın gönderenden alıcıya ulaşana kadar geçtiği yolda üç ayrı bileşen görev alır; bunları birbirine karıştırmak yapılandırma hatalarının en sık nedenidir. MTA (Mail Transfer Agent), postayı bir sunucudan diğerine SMTP protokolüyle taşır ve bu kurulumda Postfix bu görevi üstlenir. MDA (Mail Delivery Agent), gelen postayı doğru kullanıcının posta kutusuna yazar; bu işi de Dovecot yapabilir.

MUA (Mail User Agent), kullanıcının postayı okuduğu ve yazdığı programdır: Thunderbird, Outlook ya da bir webmail arayüzü. Sunucu tarafında MUA bulunmaz, yalnızca IMAP veya POP3 üzerinden bağlanan bir istemci vardır.

Bu ayrım netleştiğinde Postfix'in tek başına neden yetmediği de ortaya çıkar. Postfix postayı taşır ama kullanıcının posta kutusunu açıp mesajları listelemesini sağlamaz; bunun için IMAP veya POP3 konuşan ayrı bir sunucu gerekir.

Postfix ve Dovecot Yapılandırmasının Temeli

Postfix'in tüm davranışı /etc/postfix/main.cf dosyasından yönetilir. Kurulumun hemen ardından domain adını, hostname'i ve hangi ağların bu sunucu üzerinden posta gönderebileceğini tanımlamak gerekir.

myhostname = mail.ornekalanadi.com
mydomain = ornekalanadi.com
myorigin = $mydomain
inet_interfaces = all
mydestination = $myhostname, localhost.$mydomain, localhost, $mydomain
mynetworks = 127.0.0.0/8, [::1]/128
home_mailbox = Maildir/

Kritik satır mynetworks. Bu değeri gevşek bırakırsanız sunucunuz herkesin kullanabildiği açık bir röleye dönüşür ve saatler içinde spam kaynağı olarak kara listeye girer. Buraya yalnızca güvendiğiniz ağları ve kimlik doğrulamalı istemcileri yazın.

Kimlik doğrulaması için smtpd_sasl_auth_enable = yes ayarıyla Dovecot'un SASL mekanizması Postfix'e bağlanır. Dovecot tarafında posta kutusu erişimi ve format seçimi /etc/dovecot/conf.d/ altındaki dosyalarda tanımlanır:

mail_location = maildir:~/Maildir
protocols = imap pop3 lmtp
mail_privileged_group = mail

mail_location satırı postanın Maildir formatında saklandığını belirtir. Maildir her mesajı ayrı bir dosyada tutar, tek bir mbox dosyasında biriktirmez; bu sayede eşzamanlı erişimde kilitlenme yaşanmaz ve bozuk dosya riski düşer. IMAP postayı sunucuda tutup senkronize ederken POP3 postayı indirip yerelde saklar; telefon ile masaüstünün senkron kalması beklendiği için çoğu kurulumda IMAP tercih edilir.

DNS Kayıtları: MX, SPF, DKIM, DMARC

Sunucu ne kadar doğru kurulursa kurulsun, DNS tarafı eksik kaldığında gönderdiğiniz postalar spam klasörüne düşer ya da hiç teslim edilmez. Bu noktada dört kayıt türü belirleyicidir.

MX kaydı, alan adınıza gelen postanın hangi sunucuya yönlendirileceğini bildirir. SPF, bu alan adı adına hangi sunucuların e-posta gönderebileceğini listeler. DKIM, giden postayı dijital imzayla doğrular. DMARC ise SPF ve DKIM doğrulaması başarısız olduğunda alıcı sunucunun ne yapacağını tanımlar.

; MX kaydı
ornekalanadi.com.    IN MX  10 mail.ornekalanadi.com.

; SPF kaydı (TXT)
ornekalanadi.com.    IN TXT "v=spf1 mx a:mail.ornekalanadi.com -all"

; DMARC kaydı (TXT, _dmarc alt alanında)
_dmarc.ornekalanadi.com. IN TXT "v=DMARC1; p=quarantine; rua=mailto:[email protected]"

DKIM kaydı farklı çalışır: opendkim gibi bir araçla bir anahtar çifti üretilir, özel anahtar Postfix'e bağlanır, açık anahtar ise selector._domainkey.ornekalanadi.com biçiminde bir TXT kaydı olarak DNS'e eklenir. Bu üç kayıt eksiksiz olmadan Gmail ve Outlook gibi büyük sağlayıcılar postalarınızı güvenilmez sayar.

TLS Şifreleme ve Sanal Kullanıcı Yönetimi

Şifresiz SMTP, kullanıcı adının ve şifrenin açık metin olarak ağda dolaşması anlamına gelir. Bu yüzden hem Postfix hem Dovecot tarafında TLS sertifikası tanımlamak, kurulumun isteğe bağlı değil ayrılmaz bir parçasıdır.

smtpd_tls_cert_file = /etc/letsencrypt/live/mail.ornekalanadi.com/fullchain.pem
smtpd_tls_key_file = /etc/letsencrypt/live/mail.ornekalanadi.com/privkey.pem
smtpd_tls_security_level = may
smtpd_tls_auth_only = yes

smtpd_tls_auth_only = yes satırı, kimlik doğrulama bilgisinin yalnızca şifreli bağlantı üzerinden gönderilmesine izin verir. Let's Encrypt ile ücretsiz sertifika almak artık standart pratik; certbot ile birkaç dakikada kurulur ve otomatik yenileme için bir cron job ekler. Dovecot tarafında da aynı sertifika dosyaları 10-ssl.conf içinde tanımlanır ve ssl = required ayarıyla düz metin bağlantılar tamamen reddedilir.

Kullanıcı yönetiminde de bir karar vermeniz gerekir. Küçük bir kurulumda her hesap için ayrı bir Linux sistem kullanıcısı açmak basit görünür, ama hesap sayısı arttıkça bu yöntem yönetilemez hale gelir:

• Sistem kullanıcıları: az sayıda hesap için basittir, ama her yeni adres için useradd komutu gerektirir
• Sanal kullanıcılar (MySQL/PostgreSQL veya dosya tabanlı): yüzlerce domain ve hesabı tek noktadan yönetir
• Her iki modelde de posta Maildir formatında, /var/mail/vhosts/ornekalanadi.com/kullanici/ gibi bir yol altında saklanır

Sanal kullanıcı modeline geçtiğinizde Postfix'in virtual_mailbox_domains ve virtual_mailbox_maps parametreleri devreye girer, Dovecot da kimlik doğrulama için aynı veritabanını okur. Bu ayrım, birden fazla domaini tek sunucuda barındırmak isteyenler için pratikte zorunlu hale gelir.

Spam ve Kötüye Kullanımdan Korunma

İnternete açık her SMTP sunucusu, kurulduğu andan itibaren tarama ve deneme saldırısı görür. Buna karşı birkaç katmanlı önlem birlikte çalışır.

Greylisting, tanımadığı bir gönderici sunucudan gelen postayı ilk denemede geçici olarak reddeder. Gerçek mail sunucuları RFC'ye uygun biçimde birkaç dakika sonra tekrar dener, spam botlarının çoğu bu tekrar denemeyi yapmaz ve vazgeçer. Bu basit yöntem tek başına önemli miktarda spam trafiğini eler.

Blacklist kontrolü, gelen bağlantının IP'sini Spamhaus gibi kara liste servislerine sorar ve bilinen kötüye kullanım kaynaklarından geleni SMTP aşamasında reddeder. İçerik filtreleme tarafında SpamAssassin gibi araçlar mesaj başlığını ve gövdesini puanlayarak eşik üzerindeki postaları spam klasörüne yönlendirir. fail2ban, tekrarlanan başarısız giriş denemelerini loglardan yakalayıp ilgili IP'yi belirli bir süre güvenlik duvarında engeller; bu, brute-force saldırılarına karşı ayrı bir katman sağlar.

Log İzleme ve Sorun Giderme

Mail sunucusu dışarıdan sessiz çalışıyor gibi görünür, ama asıl bilgi loglarda saklıdır. Postfix ve Dovecot olayları genelde /var/log/mail.log dosyasına yazılır; sistemd tabanlı dağıtımlarda journalctl -u postfix komutuyla da izlenebilir.

tail -f /var/log/mail.log
postqueue -p
postsuper -d ALL

postqueue -p komutu kuyrukta bekleyen postaları listeler; bir mesaj saatlerce kuyrukta kalıyorsa bunun nedeni genelde hedef sunucunun geçici olarak erişilemez olması ya da DNS çözümlemesindeki bir sorundur. postsuper -d ALL komutu kuyruğu tamamen temizler; test aşamasında biriken hatalı postaları silmek için kullanışlıdır, ama üretim ortamında dikkatli kullanılmalıdır.

Düzenli log takibi, sunucunuzun spam kaynağına dönüşüp dönüşmediğini erken fark etmenin tek yoludur. Giden kuyrukta aniden binlerce mesajın birikmesi, genelde bir hesabın şifresinin ele geçirildiğinin ilk işaretidir. Kendi altyapınızı işletmenin bedeli bu bakımı üstlenmenizdir; karşılığında sınırsız hesap sayısı, tam veri kontrolü ve üçüncü taraf servis kesintilerinden bağımsız bir e-posta sistemi elde edersiniz.

Postfix ve Dovecot'un resmî dokümantasyonu (postfix.org ve dovecot.org), iki tarafın da parametrelerini tek tek açıkladığı için yapılandırma sırasında en güvenilir referans kaynağı olarak kalır.

Yazan Celil Uyanikoglu

Bilgisayar mühendisiyim; 25 yılı aşkın süredir bilgi işlem sektörünün içindeyim. Bu blogu 2020'de, işimde her gün karşılaştığım sorunların çözümlerini bir yere yazmak için açtım: Linux, güvenlik, tarayıcılar, yapay zeka araçları. Yazdığım her rehberi önce kendi bilgisayarımda ya da sunucumda deniyorum; çalıştığını görmediğim adımı yayınlamam. Hatalı ya da eskimiş bir şey görürsen iletişim sayfasından yaz — düzeltirim.