企业邮箱与证书配置腾讯云香港服务器域名整合部署教程

1.

购买与准备腾讯云香港主机（CVM）与弹性公网IP（EIP）

步骤小分段：
- 登录腾讯云控制台，选择产品 > 云服务器 CVM，区域选择“香港（ap-hongkong）”，按需选机型并创建实例。
- 在控制台绑定或申请弹性公网 IP（EIP），建议保留独立 EIP 用于邮件服务，便于设置 PTR 反向解析。
- 在安全组中放通端口：TCP 25/465/587（SMTP/SMTPS/Submission）、80/443（HTTP/HTTPS）、143/993（IMAP/IMAPS）、110/995（POP3/POP3S）。如有 outbound 25 封锁，提交工单申请放通。

2.

域名与 DNS 管理（推荐使用腾讯云 DNSPod）

步骤小分段：
- 在域名服务商或腾讯云 DNSPod 添加域名并接管 DNS。
- 新增 A 记录：mail.example.com -> EIP；新增 MX 记录：优先级 10，指向 mail.example.com。
- 新增 SPF TXT：@ TXT "v=spf1 mx ip4:你的.EIP -all"；为 DKIM 与 DMARC 预留 TXT 记录名与值（稍后生成并填写）。

3.

服务器系统与必要软件安装（以 Ubuntu 为例）

步骤小分段：
- SSH 登录 CVM：ssh root@EIP。
- 更新并安装：apt update && apt upgrade -y；apt install postfix dovecot-core dovecot-imapd opendkim opendkim-tools sasl2-bin certbot nginx -y。
- 关闭系统防火墙或按需求配置 ufw/iptables，确保前述端口放通。

4.

配置 Postfix 基本参数

步骤小分段：
- 编辑 /etc/postfix/main.cf，设置关键项：myhostname = mail.example.com；mydomain = example.com；inet_interfaces = all；home_mailbox = Maildir/；smtpd_use_tls = yes。
- TLS 路径稍后指向 /etc/letsencrypt/live/mail.example.com/fullchain.pem 和 privkey.pem。
- 配置 SASL 验证：smtpd_sasl_type = dovecot；smtpd_sasl_path = private/auth；smtpd_sasl_auth_enable = yes；smtpd_recipient_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination。

5.

配置 Dovecot 邮箱与 SASL

步骤小分段：
- 编辑 /etc/dovecot/dovecot.conf 和 /etc/dovecot/conf.d/10-mail.conf：mail_location = maildir:~/Maildir。
- 在 /etc/dovecot/conf.d/10-auth.conf 中启用 auth_mechanisms = plain login，并配置 unix_listener /var/spool/postfix/private/auth。
- 在 /etc/dovecot/conf.d/10-ssl.conf 指定 ssl = required，ssl_cert =

6.

配置 DKIM（OpenDKIM）并生成密钥

步骤小分段：
- 生成密钥：mkdir -p /etc/opendkim/keys/example.com；cd /etc/opendkim/keys/example.com；opendkim-genkey -s mail -d example.com，会产出 mail.private 与 mail.txt。
- 编辑 /etc/opendkim/KeyTable, SigningTable, TrustedHosts，将密钥路径与域名加入。
- 将 mail.txt 中的 TXT 值复制到 DNS：selector 名称为 mail._domainkey.example.com，值为生成的公钥。

7.

申请 SSL 证书（两种方式：Certbot 或 腾讯云证书管理）

步骤小分段：
- Certbot 方法（推荐用于单机）：certbot certonly --standalone -d mail.example.com，证书位于 /etc/letsencrypt/live/mail.example.com/。
- 腾讯云证书管理：控制台 > SSL 证书 > 申请免费证书，选择域名验证（DNS 或 文件验证），验证通过后下载或直接绑定到 CLB/自建服务器。
- 配置 Nginx 或 Postfix/Dovecot 指向证书路径，重启服务。

8.

绑定证书到服务并启用强制 TLS

步骤小分段：
- Postfix 中设置：smtpd_tls_cert_file=/etc/letsencrypt/live/mail.example.com/fullchain.pem；smtpd_tls_key_file=/etc/letsencrypt/live/mail.example.com/privkey.pem；smtpd_tls_security_level=may（或 encrypt）。
- Dovecot 已在前述配置中指向证书，确保权限正确（root:root，600）。
- Nginx 如用于 Webmail（Roundcube），在 server 配置中使用 listen 443 ssl 并指向相同证书。

9.

设置 SPF、DMARC、测试与邮件送达优化

步骤小分段：
- SPF：@ TXT "v=spf1 mx ip4:你的.EIP -all"；确保仅授权可信发信源。
- DMARC：_dmarc TXT "v=DMARC1; p=quarantine; rua=mailto:postmaster@example.com; ruf=mailto:postmaster@example.com; pct=100"。
- 测试：dig MX example.com；telnet mail.example.com 25；openssl s_client -connect mail.example.com:587 -starttls smtp；用外部邮箱收发测试并检查头部是否有 DKIM 签名与 SPF 通过。

10.

自动续签与维护

步骤小分段：
- Certbot 自动续签：crontab -e 添加 0 3 * * * certbot renew --post-hook "systemctl reload nginx postfix dovecot"。
- 定期检查队列：postqueue -p；查看日志 /var/log/mail.log 与 /var/log/mail.err，修复退信原因（DNS、PTR、黑名单）。
- 若使用腾讯云 CLB/CDN，需在控制台将 SSL 证书绑定到对应服务并确保转发 Preserve Host。

11.

常见故障排查简要步骤

步骤小分段：
- 无法连接：检查安全组、操作系统防火墙与端口监听（ss -tunlp）。
- 邮件被拒绝：检查 MX 指向是否正确、SPF/DKIM 是否生效、是否被第三方黑名单列入。
- 端口 25 被封：在腾讯云控制台提交工单申请豁免或使用第三方 SMTP 中继服务。

12.

问：在腾讯云香港部署企业邮箱最常见的限制是什么？

答：常见限制包括出站 25 端口默认被限制（需工单申请放通）、未配置 PTR（反向解析）会影响投递信誉、域名未做 SPF/DKIM/DMARC 易被拦截。解决方法是绑定独立 EIP 并提交控制台申请设置 PTR，完整配置 DNS 记录并通过第三方检测工具验证。

13.

问：我可以用腾讯云免费证书替代 Let’s Encrypt 吗？

答：可以。腾讯云提供免费 DV 证书并支持在控制台绑定到 CLB、CDN 或下载到自建服务器使用。选择哪种取决于你是否希望控制台统一管理证书与负载均衡，如果单机使用 Certbot 自动续签也很方便。

14.

问：如何验证 DKIM/SPF/DMARC 是否配置正确？

答：使用 dig 或在线工具（如 MXToolbox、Mail-Tester）检查 TXT 记录；发送测试邮件到第三方邮箱并查看邮件头部的 Authentication-Results 条目（应显示 spf=pass dkim=pass dmarc=pass）。若有异常，逐条排查 DNS 生效、selector 名称与公钥是否一致。

来源：企业邮箱与证书配置腾讯云香港服务器域名整合部署教程