Руководство пользователя

Это руководство — путь от установки до ежедневной работы, с картинками. Все экраны сняты на v23 на демонстрационном стенде: организация ООО «Вектор», почтовые домены corp.ru и spb.corp.ru, шлюз Hope MSG Gateway на границе сети и старый Exchange exch01.corp.ru, с которого переезжают пользователи. Подробности по отдельным темам — в соседних документах: Руководство администратора, Развёртывание, Связка Mail и MSG, Памятка пользователя веб‑почты, Кластеризация.

1. Что такое Hope Mail Server

Hope Mail Server — корпоративный почтовый сервер и сервер совместной работы, замена Microsoft Exchange. Он хранит ящики пользователей, принимает и отправляет почту, раздаёт её по IMAP, POP3 и ActiveSync, держит календари, контакты и задачи (CalDAV/CardDAV) и даёт пользователям веб‑почту. Учётные записи берутся из каталога — HopeDC, Active Directory или LDAP — либо создаются в самом сервере.

Работу с Интернетом Hope Mail отдаёт сопутствующему продукту Hope MSG Gateway. Шлюз стоит на границе сети, принимает почту на порту 25, проверяет её (антиспам, антивирус, SPF/DKIM/DMARC, списки) и передаёт чистые письма в Hope Mail. Исходящие письма Hope Mail тоже отдаёт шлюзу: он подписывает их DKIM и доставляет получателям.

2. Установка

2.1. Что нужно

Из комплекта поставки нужны два файла: пакет hope-mail-server_v23.gz и установщик install_mail.sh.

2.2. Установка на сервер

Скопируйте оба файла на сервер и запустите установщик от root, указав пакет:

scp hope-mail-server_v23.gz install_mail.sh admin@10.0.0.20:/tmp/
ssh admin@10.0.0.20
sudo bash /tmp/install_mail.sh /tmp/hope-mail-server_v23.gz

Установщик распаковывает пакет, проверяет системные библиотеки, создаёт пользователя службы и каталог данных /var/lib/hope-mail, сохраняет прежнюю версию (если она была), проверяет, что порты свободны, ставит службу systemd и открывает порты в файрволе. В конце он печатает адреса панели и веб‑почты.

== бинарник: /tmp/hope-mail-server ==
/tmp/hope-mail-server: ELF 64-bit LSB pie executable, x86-64
== пользователь и каталог данных ==
== бэкап старой версии (если есть) + установка ==
  лицензионное соглашение: /usr/local/share/doc/hope-mail-server/EULA.txt
== проверка: не заняты ли порты службы другими процессами ==
  порты свободны
== systemd-юнит (API=8443, веб-почта=8444, SMTP=25) ==
== файрвол ==
== обновления из панели: root-овый применятель ==
  применение обновлений: active (watch /var/lib/hope-mail/updates/apply.request)
== старт ==
== слушающие порты ==
LISTEN 0 1024  0.0.0.0:8443  0.0.0.0:*
LISTEN 0 1024  0.0.0.0:25    0.0.0.0:*
== журнал службы ==
🔏 Целостность сборки: подпись верна
📥 Входящий SMTP-сервер слушает порт 25
🔒 Админка + API: https://0.0.0.0:8443  (встроенная статика)
  Админка:   https://<IP сервера>:8443/   (вход: admin  /  ***  — три звёздочки, смените пароль сразу)
  Веб-почта: https://<IP сервера>:8444/

Вывод установщика (сокращён). Жёлтым — пароль первого входа.

2.3. Что появилось на сервере

Проверить, что служба жива: systemctl status hope-mail-server и hope-mail-server --version — команда печатает hope-mail-server 23. Журнал — journalctl -u hope-mail-server -n 50. Подробнее — Развёртывание.

3. Первый вход в панель

Откройте в браузере https://<сервер>:8443/. Сертификат по умолчанию самоподписанный, браузер покажет предупреждение — подтвердите переход (настоящий сертификат ставится в разделе 9.6).

Шаг 1. Вход

Учётная запись — admin, пароль — *** (три звёздочки). Язык панели переключается кнопками RU / EN.

Шаг 2. Лицензионное соглашение

При первом входе панель показывает лицензионное соглашение. Прочитайте его, отметьте согласие и нажмите «Принимаю». Факт принятия (учётная запись, время, адрес) записывается в журнал.

Шаг 3. Смените пароль администратора

Сервер не заставляет менять начальный пароль, поэтому сделайте это сразу: Настройки сервера → Учётные записи, нажмите на admin, введите новый пароль и сохраните. Там же лучше завести вторую учётную запись администратора на случай потери первой (раздел 9.3).

4. Как устроена панель

Слева — меню разделов, сверху — к какому ядру подключена панель, список «Начало работы», справка, тема оформления (светлая, тёмная, как в системе), язык и выход. Первая страница — Дашборд: сколько доменов, ящиков и писем, занятое место, состояние кластера, портов и фоновых процессов.

«Начало работы». Кнопка вверху открывает список первичной настройки. Каждый пункт проверяется по реальному состоянию сервера и отмечается сам, когда сделан; кнопка «Перейти» ведёт в нужный раздел. Счётчик 3/8 показывает, сколько пунктов выполнено.

Подсказки по разделам показываются один раз. Отключить их совсем или показать заново можно в нижней части списка «Начало работы».

5. Порядок первичной настройки

Ниже — порядок, в котором удобнее всего настраивать новый сервер. Каждый шаг — отдельный подраздел.

1. Каталог учётных записей — подключите HopeDC или Active Directory, чтобы пользователи входили паролем домена (5.1).
2. Почтовые домены — создайте домены организации (5.2).
3. Ящики, группы, алиасы — заведите или синхронизируйте ящики, создайте рассылки и дополнительные адреса (5.3–5.5).
4. Шлюз MSG — свяжите сервер со шлюзом для входящей и исходящей почты и жалоб на спам (раздел 7).
5. Коннектор исходящей почты — отправка внешних писем через шлюз (7.3).
6. TLS‑сертификат — сертификат УЦ на имя сервера для почтовых программ и браузера (9.6).
7. Безопасность — 2FA администраторов, белый список адресов панели (9.1, 9.5).
8. Резервное копирование — расписание копий настроек и ящиков (9.9).
9. Переезд с Exchange — если почта сейчас в Exchange (раздел 6).

5.1. Каталог учётных записей

Службы каталогов → Создать коннектор. Рекомендуемый вариант — HopeDC: пользователи входят в почту своим доменным паролем во всех протоколах (IMAP, SMTP 587, ActiveSync, веб‑почта), а ящики создаются автоматически по атрибуту mail. Для действующего Active Directory выберите MS Active Directory, для FreeIPA и других LDAP‑каталогов — LDAP / FreeIPA.

Кнопка «Проверить связь» проверяет API и LDAPS до сохранения. Подробности о режиме перехода с AD — Руководство администратора, раздел 4а.

5.2. Почтовые домены

Почтовые домены → Добавить домен. Мастер из двух шагов. На первом выберите, откуда брать учётные записи для ящиков домена: локально, из HopeDC, из Active Directory или из FreeIPA/LDAP.

На втором — имя домена, описание и признак «Домен активен». «Изолировать хранилище писем» кладёт тела писем домена в отдельную папку хранилища — это удобно, если домены принадлежат разным организациям.

Нажатие на домен открывает его рабочую область: слева разделы домена (контроль хождения почты, ящики, группы, алиасы, очередь, политики, интеграция с каталогом, переход с Exchange, базы, резервное копирование, корзина, журнал), справа — содержимое. Закрывается она кнопкой «Закрыть панель».

5.3. Почтовые ящики

Для доменов с каталогом ящики создаются сами — при первом входе пользователя и при синхронизации. Для локального домена: домен → Почтовые ящики → Создать ящик. На вкладке «Учётная запись» — адрес, пароль и ФИО, на вкладке «Хранилище» — квота, база данных и признак «Ящик активен».

5.4. Группы рассылки

Группы рассылки → Создать группу. Статическая группа — участники выбираются вручную. Динамическая — участники подбираются по правилу (например, все ящики домена) и меняются сами. Письмо на адрес группы получает каждый участник.

5.5. Алиасы

Алиас — дополнительный адрес, письма на который попадают в выбранный ящик: info@corp.ru → Петрова, accounting@corp.ru → бухгалтерия.

5.6. Политики домена

домен → Политики домена: приём внешней почты для домена, ящик‑ловушка для писем на несуществующие адреса (catch‑all), лимит размера письма, квота по умолчанию, перенос старых писем в корзину и очистка корзины, обязательная 2FA для веб‑почты домена и выгрузка ящиков в mbox.

6. Переезд с Microsoft Exchange

Hope Mail переносит ящики из Exchange 2013, 2016 и 2019 через EWS и даёт двум серверам работать вместе, пока пользователи переезжают. Переезд идёт партиями: содержимое копируется заранее, затем пользователь переключается — и с этой минуты его почта доставляется в Hope Mail. Почта тех, кто ещё не переключён, продолжает ходить через Exchange. Письма не теряются ни в одну сторону, а любого пользователя можно вернуть.

6.1. Что переносится

Не переносятся: архивный ящик (In‑Place Archive), общедоступные папки, правила и делегирование, журнал и заметки, вложения у событий и задач. Письма крупнее лимита (по умолчанию 50 МБ) пропускаются и показываются в счётчике «пропущено». Полный список — Руководство администратора, раздел 4б.

6.2. Подготовка Exchange и сервера

1. Учётные записи пользователей. Ящики в Hope Mail должны существовать до переноса. Лучший путь — домен с источником HopeDC (раздел 5.1): ящики создаются по атрибуту mail, а пользователи входят тем же паролем домена, что и в Windows. Для локального домена создайте ящики вручную или мастером миграции (9.4).
2. Сервисная учётка с правом олицетворения, например CORP\svc_hope. Один раз в Exchange Management Shell:

New-ManagementRoleAssignment -Name "HopeMail-Impersonation" -Role ApplicationImpersonation -User "CORP\svc_hope"

3. EWS доступен с сервера Hope Mail: https://exch01.corp.ru/EWS/Exchange.asmx (порт 443).
4. SMTP Exchange (порт 25) принимает почту от Hope Mail — для этого достаточно стандартного коннектора приёма «Default Frontend».
5. Домен маршрутизации — служебное имя, по которому Exchange будет отдавать в Hope Mail почту уже переключённых пользователей, например hope.corp.ru. Публиковать его в DNS и заводить в Hope Mail как домен не нужно.

6.3. Настройки подключения

Откройте Почтовые домены → corp.ru → Переход с Exchange → Настройки. Пока подключение не настроено, вкладка открывается на настройках сама.

1. Введите Адрес EWS, способ входа (NTLM — как в Exchange по умолчанию; Basic — если на каталоге EWS включён только он), сервисную учётку и пароль.
2. Нажмите «Получить и закрепить». Hope Mail прочитает сертификат Exchange и сохранит его отпечаток SHA‑256 — так работает и самоподписанный сертификат, и выданный внутренним УЦ. Сверьте отпечаток с сертификатом в консоли Exchange.
3. Укажите SMTP Exchange — куда пересылать почту ещё не переключённых пользователей — и шифрование. «STARTTLS без проверки сертификата» подходит для внутреннего Exchange с самоподписанным сертификатом.
4. Впишите ящик для проверки и нажмите «Сохранить и проверить». Зелёные строки означают: вход в EWS и олицетворение работают (видно число писем, событий, контактов и задач), правила ящика доступны, SMTP Exchange отвечает.

Ниже на той же вкладке — как пойдёт почта во время переезда.

6.4. Скрипт для Exchange: блок «Один раз»

На вкладке «Пользователи» кнопка «Скрипт» формирует скрипт PowerShell для выбранных (или всех переключённых) пользователей. Блок «1. Один раз» создаёт в Exchange коннектор отправки «Hope Mail (переезд)» для домена маршрутизации и разрешает автопересылку в него. Он нужен при любом способе переадресации — без него Exchange не знает, куда отправлять почту домена маршрутизации. Выполните его в Exchange Management Shell один раз до первого переключения; повторный запуск безопасен.

6.5. Перенос и переключение

Вкладка «Пользователи»: сверху счётчики, ниже — таблица ящиков домена с состоянием в Exchange или Hope Mail.

1. Перенести. Отметьте первую партию и нажмите «Перенести». Копирование идёт в фоне, таблица обновляется каждые три секунды: текущая папка, число элементов, ошибки. Объёмные ящики переносите за день‑два до переключения.

2. Переключить. Отметьте перенесённых и нажмите «Переключить». Hope Mail догружает новое, отмечает пользователя переключённым, ставит правило EWS в его ящике Exchange и ещё раз догружает то, что пришло за время переключения. Статус меняется на В Hope Mail.
3. Почтовые программы. Пользователи подключают Outlook, Thunderbird и телефоны к Hope Mail (раздел 10) и входят тем же паролем домена.
4. Догрузить. Кнопка у пользователя докачивает только новое — перенесённые элементы запоминаются.

Если у ящика есть пропущенные элементы, их причина видна под строкой «Ошибки»:

Вернуть. Если что‑то пошло не так, «Вернуть» откатывает пользователя на Exchange: правило EWS снимается, почта снова идёт в Exchange. Перенесённое в Hope Mail остаётся.

6.6. Завершение переезда

Когда переключены все, под таблицей появляется «Завершить переезд»: сосуществование выключается, почта домена больше не пересылается в Exchange. Если кто‑то не переключён, Hope Mail предупредит и предложит «Завершить принудительно». После этого переведите MX домена на шлюз (если ещё не сделано) и выводите Exchange из эксплуатации. Для перехода с AD на HopeDC — порядок в Руководстве администратора, раздел 4а.

7. Защита входящей почты

Hope Mail не стоит в Интернете сам. Почту из Интернета принимает Hope MSG Gateway: он отсекает спам, вирусы и подделки ещё на границе. В Hope Mail остаётся последняя линия — папка «Спам», личные блокировки пользователей, список блокировки организации и жалобы, которые уходят обратно на шлюз.

7.1. Подключение шлюза

1. На шлюзе создайте ключ интеграции: Карантин писем → Жалобы пользователей → «Новый ключ».
2. В Hope Mail: Настройки сервера → Шлюз MSG. Включите «Использовать внешний шлюз MSG», введите адрес API шлюза (https://10.0.0.2:6443) и ключ, нажмите «Получить и закрепить» для отпечатка сертификата шлюза и отметьте «Передавать жалобы на спам на шлюз».
3. Сохраните и нажмите «Проверить соединение»: «Шлюз доступен», версия шлюза, имя и порог жалоб.

Ключ нужен только для жалоб и проверки связи. Сама почта ходит по SMTP: входящая — по маршруту Relay на шлюзе, исходящая — через коннектор (7.3). Полная схема — Связка Mail и MSG.

7.2. Входящая почта через шлюз

• MX домена указывает на внешний адрес шлюза (MX corp.ru → mail.corp.ru).
• На шлюзе маршрут Relay для каждого домена ведёт на Hope Mail, порт 25.
• Порт 25 Hope Mail открывайте в файрволе только для шлюза: Hope Mail принимает почту для своих доменов от любого отправителя, проверки делает шлюз.
• Если шлюз пометил письмо как спам, Hope Mail кладёт его в папку «Спам» пользователя.

7.3. Исходящая почта через шлюз

Коннекторы SMTP → Новый коннектор: адресные пространства *, способ доставки «Через Hope MSG Gateway», хост шлюза и порт 25. На шлюзе адрес Hope Mail должен быть в доверенных сетях Relay — иначе шлюз сочтёт письма наружу попыткой открытого релея.

7.4. Жалобы на спам

Пользователь жалуется кнопкой «Это спам» в веб‑почте или переносом письма в папку «Спам» из Outlook, Thunderbird или с телефона. Сразу происходят три вещи:

1. письмо уходит в «Спам»;
2. отправитель блокируется лично для этого пользователя — следующие его письма сразу попадают в «Спам»;
3. жалоба уходит на шлюз и учитывается в его пороге вместе с жалобами других сотрудников.

Администратор видит жалобы в разделе Жалобы на спам: одна строка на отправителя и сколько сотрудников на него пожаловалось. Когда пожаловались трое (порог меняется), отправитель блокируется для всей организации автоматически. Кнопки строки: «Заблокировать» сразу, «Не спам» — снять жалобы, скачать пример письма, удалить.

7.5. Что ещё защищает почту на сервере

• Политики и Правила (9.2) — правила для всего сервера, например запрет исполняемых вложений.
• Двухфакторный вход в веб‑почту для домена — Политики домена (5.6); почтовые программы при этом входят паролями приложений.
• Блокировка перебора: для доменов на HopeDC пять неверных паролей за 15 минут закрывают вход в ящик на 15 минут, событие пишется в журнал домена.
• TLS на всех клиентских протоколах (9.6) и белые списки адресов для панели и API (9.5).

8. Работа с доменом

8.1. Контроль хождения почты

Поиск письма по отправителю, получателю, теме и периоду: принято ли, кому доставлено, куда переслано, на чём остановилось. Первое место, куда смотреть на вопрос «письмо не дошло».

8.2. Журнал событий домена

Все операции в домене: доставки, пересылки во внешние домены и в Exchange, создание ящиков, входы, изменения политик, этапы переезда. Фильтры по типу (PUSH, PULL, ADMIN) и поиск.

8.3. Резервное копирование ящиков

Выгрузка выбранного ящика или одной папки в .mbox (открывается в Thunderbird и других программах) или в .tar — точный снимок со структурой папок. Внизу — расписание автоматической выгрузки всех ящиков домена.

8.4. Прочие разделы домена

9. Разделы панели

9.1. Безопасность: двухфакторный вход

Включите для своей учётной записи вход с одноразовым кодом (Google Authenticator, Яндекс Ключ, Aegis и другие): «Начать настройку», отсканируйте QR‑код, введите код. Ниже — политика: обязательная 2FA для глобальных администраторов, для ролей и для администраторов отдельных доменов.

9.2. Политики и правила

Правила почтового потока для всего сервера: условие (отправитель, получатель, тема, вложение) и действие. Из коробки есть «Блокировка исполняемых файлов» (.exe, .bat, .sh). После правки нажмите «Применить конфигурацию».

9.3. Учётные записи и роли

Учётные записи — кто входит в панель. Три вида: локальный администратор, администратор домена (видит только свои домены) и пользователь из каталога (входит паролем домена). Ролей можно выбрать несколько — права суммируются. «Требовать смену пароля при входе» заставит сменить выданный пароль.

Роли и права — набор прав для каждой роли (просмотр, изменение по разделам). Встроены «Super Admin» и «Администратор домена»; свои роли создаются кнопкой «Создать роль».

9.4. Мастер миграции

Импорт пользователей и почты из Exchange/Active Directory, RuPost, CommuniGate и любых IMAP‑серверов за четыре шага: источник, объекты, настройки, запуск. Для переезда с Exchange с сосуществованием используйте вкладку домена «Переход с Exchange» (раздел 6) — она переносит и календари, и контакты и умеет переключать пользователей по одному. Мастер удобен для разового импорта из IMAP‑серверов.

9.5. Сетевой доступ

Белые списки адресов для панели и для API и список портов служб. Включённый список пускает к панели только перечисленные адреса и подсети. Изменение вступает в силу после «Сохранить»; кнопка «Добавить мой адрес» не даст закрыть доступ самому себе. С самого сервера (127.0.0.1) доступ есть всегда.

9.6. TLS‑сертификат

Сертификат сервера для веб‑почты, панели и почтовых программ (STARTTLS на 587, IMAP, POP3, ActiveSync, CalDAV). После установки работает самоподписанный — программы предупреждают о нём. Загрузите сертификат УЦ и ключ в PEM или создайте внизу страницы запрос (CSR) для своего УЦ. Сертификат применяется сразу, без перезапуска.

9.7. База данных и кластер

База данных — журнал (WAL), хранилище тел писем (локальный диск, сетевая папка SMB/NFS или S3/MinIO), дедупликация, холодный уровень S3 и живой мониторинг тома. Кластер (HA) — несколько узлов с выбором лидера и кворумом; требует редакции Enterprise. Подробно — Кластеризация.

9.8. Адресная книга

Видимость корпоративной адресной книги (GAL): общая для всех доменов или только в рамках своего домена — для нескольких организаций на одном сервере.

9.9. Резервное копирование

Копия настроек сервера и лицензии (коннекторы, TLS, кластер, интеграции — без писем) или полный снимок (настройки, журнал, тела писем). Архивы лежат в каталоге хранения; расписание внизу. Почта отдельных ящиков — в резервном копировании домена (8.3).

9.10. Обновления

Номер выпуска — v23. Обновление ставится из онлайн‑источника (манифест поставщика) или из архива для закрытого контура: загрузите hope-mail-server_vNN.gz и нажмите «Установить». Сервер проверит подпись пакета, сохранит прежнюю версию и перезапустит службу; если новая версия не поднялась, вернёт прежнюю. В кластере доступно поочерёдное обновление узлов.

9.11. Лицензия

Без ключа сервер работает в редакции Free. Для Standard и Enterprise сформируйте запрос .req (в нём отпечаток сервера), отправьте поставщику и вставьте полученный ключ в «Активация ключа». На странице видны редакция, срок действия, лимиты и отметка «Подпись сборки вендора: верна».

9.12. SIEM, мониторинг, очередь

SIEM и Логи — журнал событий сервера с фильтрами и выгрузкой в CSV; на вкладке «Настройка SIEM» — отправка событий в MaxPatrol SIEM, KUMA, RuSIEM, Splunk, ELK по UDP или TCP в формате CEF, Syslog (RFC 5424) или JSON. Мониторинг — подсистемы и порты, очередь исходящей почты, диск, обслуживание хранилища (проверка и сборка мусора, компакция WAL). Очередь почты — исходящие письма с попытками, ошибками и кнопками «Повторить» и «Удалить».

10. Веб‑почта и почтовые программы

Пользователи открывают веб‑почту по адресу https://mail.corp.ru:8444/ (порт меняется в Сетевой доступ) и входят адресом и паролем — для домена с HopeDC это пароль домена. В веб‑почте — письма, календарь, контакты, правила и задачи; настройки двухфакторного входа и паролей приложений — в «Настройках».

Логин во всех программах — полный адрес. Если у пользователя включена 2FA, почтовые программы входят паролем приложения. Пошаговая настройка Outlook, Thunderbird и телефонов — Памятка пользователя.

11. Обслуживание и диагностика

11.1. Командная строка

hope-mail-server --version            # номер выпуска: hope-mail-server 23
hope-mail-server --integrity          # подпись сборки: signed_ok / unsigned / tampered
systemctl status hope-mail-server     # состояние службы
journalctl -u hope-mail-server -n 50  # журнал службы
journalctl -u hope-mail-update        # журнал установки обновлений

11.2. Если что‑то не так

Полный список ситуаций — Руководство администратора, раздел 13.