Связка Hope Mail Server и Hope MSG Gateway

Как настроить совместную работу почтового сервера и почтового шлюза: путь писем в обе стороны, передачу жалоб на спам и проверку. Документ одинаковый в комплектах документации обоих продуктов.

1. Кто за что отвечает

Связь настраивается в трёх местах, и они не зависят друг от друга:

1. Входящая почта (Интернет → шлюз → Mail) — маршрут Relay на шлюзе.
2. Исходящая почта (Mail → шлюз → Интернет) — доверенная сеть на шлюзе и коннектор SMTP в Mail.
3. Жалобы на спам (Mail → шлюз) — ключ интеграции. Он нужен только для жалоб и кнопки «Проверить соединение»; почта по нему не ходит.

Ниже в примерах: домен hopedc.ru, шлюз — внутренний адрес 10.77.3.237, Mail — 10.77.3.20. Подставьте свои.

2. Сетевые доступы

Порт 25 Mail стоит открыть только для шлюза: Mail принимает почту для своих доменов от любого отправителя, и проверки на спам делает шлюз.

3. Входящая почта: Интернет → шлюз → Mail

В админке шлюза: «Правила фильтрации» → «Relay (Маршруты)» → вкладка «SMTP Коннекторы» → «Добавить маршрут».

Кнопка «Проверить соединение и TLS» проверяет связь без отправки письма.

Пока маршрутов нет, шлюз не принимает почту ни для одного домена. Панель предупреждает: «Маршруты не настроены. Шлюз будет сбрасывать все письма!». При действии «Silent Drop» отправитель получает «250 Ok», а письмо пропадает. Сначала настройте маршруты, потом переключайте MX.

Что ещё нужно:

• MX домена указывает на внешний адрес шлюза. Например: MX @ → mail.hopedc.ru. (приоритет 10) и A mail → <внешний IP шлюза>.
• Письма, которые антиспам шлюза пометил (X-Spam-Flag: YES), Mail кладёт пользователю в папку «Спам».

4. Исходящая почта: Mail → шлюз → Интернет

4.1. На шлюзе: разрешить Mail отправлять наружу

«Правила фильтрации» → «Relay (Маршруты)» → вкладка «Доверенные сети (Relay IPs)» → «Добавить доверенный IP»: 10.77.3.20 (или подсеть серверов Mail в формате CIDR).

Без этого шлюз примет от Mail только письма для своих доменов. Письма на внешние адреса он посчитает попыткой открытого релея и поступит по настройке «Действие при попытке Open‑Relay»: отклонит (554), оборвёт соединение или молча сбросит («Silent Drop»). С доверенного адреса шлюз принимает письма на любые домены: подписывает DKIM (если для домена отправителя создан ключ), ставит в очередь и доставляет по MX. Для доверенных адресов не применяются лимиты подключений, PTR и DNSBL.

4.2. В Mail: отправлять наружу через шлюз

«Коннекторы SMTP» → «Новый коннектор».

STARTTLS на шлюзе: «Настройки MSG» → «Сетевой доступ» → «Входящий STARTTLS (приём почты шлюзом)» → «Предлагать STARTTLS» и выбрать сертификат.

Как Mail проверяет сертификат шлюза:

• Mail проверяет только то, что канал зашифрован, а сам сертификат шлюза не проверяет. Поэтому подойдёт и самоподписанный: защита от прослушивания есть, от подмены сервера — нет.
• Если выбран STARTTLS, а шлюз его не предлагает, письма не уходят: в очереди будет ошибка «Не удалось передать в Hope MSG Gateway… по starttls». Открытым текстом Mail сам не отправит.

Кнопка «Отправить тест» в коннекторе отправляет тестовое письмо.

4.3. DNS для отправки

Настраивается на шлюзе: «Правила фильтрации» → «SPF, DKIM, DMARC» → «Отправка».

1. Внешнее имя (FQDN) и внешний IP шлюза.
2. Записи A и PTR для внешнего IP (PTR заказывается у провайдера, выдавшего IP).
3. SPF домена с IP шлюза.
4. Ключ DKIM домена и его запись TXT.
5. DMARC.

Кнопки «Проверить» сверяют опубликованные записи. Почта уходит в Интернет с адреса шлюза, поэтому в SPF и PTR указывается именно он, а не Mail.

5. Жалобы на спам: ключ интеграции

Когда пользователь Mail нажимает «Это спам» или переносит письмо в «Спам», жалоба уходит на шлюз. Там она учитывается в общем пороге вместе с жалобами других серверов. Когда порог достигнут, шлюз блокирует отправителя ещё на входе, для всей организации.

5.1. На шлюзе: создать ключ

1. «Карантин писем» → вкладка «Жалобы пользователей» → блок «Жалобы от Hope Mail Server» → «Создать ключ» (если ключ уже был — «Новый ключ»).
2. Скопируйте ключ: он начинается с msgk_ и показывается один раз. Шлюз хранит только его хэш. Если ключ потерян, создайте новый: прежний перестанет действовать.
3. «Отозвать» отключает приём жалоб по ключу.

5.2. В Mail: подключить шлюз

«Настройки сервера» → «Шлюз MSG».

Нажмите «Сохранить», затем «Проверить соединение» — должно появиться «Шлюз доступен».

Особенности передачи: - жалобы на письма с адресов собственных доменов на шлюз не передаются; - если шлюз недоступен, Mail повторяет передачу до 3 суток; - состояние передачи видно в Mail в разделе «Жалобы на спам»: у каждой жалобы есть статус, вверху страницы — очередь и последняя ошибка.

6. Проверка связки

1. Входящая. Отправьте письмо на ящик Mail с внешнего адреса (например, с Gmail). На шлюзе оно видно в «Трафике шлюза» (журнал), в Mail — во «Входящих» пользователя.
2. Исходящая. Отправьте письмо из веб‑почты Mail на внешний адрес. В Mail оно уходит из «Очереди почты», на шлюзе появляется в «Очереди доставки» и уходит получателю. В заголовках полученного письма — DKIM-Signature вашего домена и spf=pass.
3. Жалобы. Пометьте письмо как спам в веб‑почте Mail. На шлюзе: «Карантин писем» → «Жалобы пользователей». У жалобщика стоит отметка источника — Hope Mail Server.
4. «Начало работы». В Mail выполнен пункт «Исходящая почта», на шлюзе — «Куда передавать почту».

7. Частые ошибки