Приватный почтовый сервер на VPS без KYC

Электронная почта — это долгоживущий сервис, слушающий порт 25: другие серверы подключаются к вам. Это исключает всё, что находится за NAT, всё с общим или занесённым в чёрные списки IP и всё, где нельзя задать обратный DNS. Вам нужен настоящий VPS со статическим, чистым, выделенным IPv4 и полным контролем над DNS. Именно таков сервер CryptoVpsHost.

Правильно подберите характеристики сервера

Почтовый стек не требователен к процессору, но чувствителен к памяти и дисковому вводу-выводу, как только вы добавляете спам-фильтрацию и индексацию. Rspamd и полнотекстовый поиск Dovecot «съедают» оперативную память; спул maildir требует быстрого NVMe.

• S1 (2 vCPU / 4 ГБ / 80 ГБ), от $5/мес — подойдёт для личного домена на одного пользователя при урезанном Rspamd. Станет тесно, когда вырастет объём почты.
• S2 Pro (4 vCPU / 16 ГБ / 320 ГБ), от $15/мес — рекомендуемая база. Хватает места для Postfix + Dovecot + Rspamd + Redis + небольшого ClamAV, а ещё остаётся запас на несколько сотен ящиков и поисковые индексы IMAP. Именно это мы советуем почти всем.
• S3 Power (8 vCPU / 32 ГБ / 640 ГБ), от $30/мес — для почты с большим трафиком или с несколькими клиентами на одном сервере (multi-tenant), когда вы запускаете ClamAV, крупные индексы FTS и тяжёлую фильтрацию.

Все тарифы включают ядра AMD EPYC, память DDR5, NVMe Gen5 и IPv6 /64. Если вы вообще не хотите делить гипервизор с другими, тот же стек работает и на выделенном сервере R1 (Ryzen 9 7950X, 64 ГБ ECC) — для жёсткой изоляции. Закажите S2 — и, как правило, примерно через 47 секунд сервер уже в сети.

Именно здесь умирает большинство попыток поднять собственную почту. Отправить письмо легко — вся игра в том, чтобы его приняли. Принимающие серверы (Gmail, Outlook, корпоративные шлюзы) оценивают вас по горстке жёстких сигналов. Ошибётесь в них — и письма будут тихо оседать в спаме.

1. Чистый выделенный IP — не обсуждается

Если месяц назад ваш IP использовал спамер, вы унаследуете его репутацию, и никакими настройками это не исправить. CryptoVpsHost выдаёт чистые IP-адреса, а не повторно выданные блоки с историей злоупотреблений. Прежде чем что-либо строить, проверьте свой IP по основным DNSBL (Spamhaus ZEN, Barracuda, SpamCop). Если адрес числится в списках уже при выдаче, откройте тикет в панели — мы заменим его.

2. rDNS / PTR — требование, которое не выполняет большинство хостеров

PTR-запись сопоставляет ваш IP с именем хоста (например, 198.51.100.10 → mail.yourdomain.com), и она должна совпадать с вашим именем в HELO/EHLO и иметь парную прямую A-запись (FCrDNS). Gmail и Outlook отклоняют письма с IP без PTR-записи или с типовой PTR-записью провайдера либо отправляют их в спам. Задать её самостоятельно нельзя — это может сделать только владелец IP. Мы настраиваем rDNS по вашему запросу из панели. Одна эта возможность — причина размещать почту здесь, а не на бюджетном VPS, где тикеты по PTR игнорируют.

3. SPF, DKIM, DMARC — триада DNS-записей

Это TXT-записи в зоне вашего домена:

; SPF — authorize this server to send for the domain
yourdomain.com.   TXT  "v=spf1 mx a:mail.yourdomain.com -all"

; DKIM — public key; private key signs outbound mail (set up by opendkim/rspamd)
default._domainkey.yourdomain.com.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkq..."

; DMARC — start at p=none to monitor, tighten to quarantine/reject later
_dmarc.yourdomain.com.  TXT  "v=DMARC1; p=none; rua=mailto:[email protected]; adkim=s; aspf=s"

Когда убедитесь, что письма отправляет только этот сервер, переходите на SPF с -all (жёсткий отказ). Подписывайте DKIM каждое исходящее письмо. Начните DMARC с p=none, чтобы читать агрегированные отчёты, затем перейдите на p=quarantine и, наконец, на p=reject.

4. Прогрев — то, что нельзя сократить

У нового IP и нового домена нет истории отправки. Не запускайте массовую рассылку в первый же день. В первые 1–2 недели отправляйте небольшие объёмы тем получателям, которые читают ваши письма и отвечают на них, и наращивайте нагрузку постепенно. Подключите Google Postmaster Tools и Microsoft SNDS, чтобы следить за репутацией. Закладывайте примерно неделю, прежде чем доставляемость станет стабильной.

Классический почтовый стек для Linux — это Postfix (SMTP: отправка и приём почты) плюс Dovecot (IMAP/POP3: ваш клиент читает почту), а также Rspamd для спам-фильтрации и подписи DKIM. Вот как это выглядит на Debian 13 (один из наших готовых образов).

Откройте нужные порты

Входящие: 25 (SMTP от других серверов), 465 (SMTPS, отправка), 587 (отправка, STARTTLS), 993 (IMAPS), 995 (POP3S). Исходящий порт 25 в CryptoVpsHost по умолчанию открыт — убедитесь в этом, прежде чем строить сервер.

apt update && apt install -y postfix dovecot-imapd dovecot-pop3d rspamd redis-server
# TLS: get a real cert (Let's Encrypt)
apt install -y certbot
certbot certonly --standalone -d mail.yourdomain.com

Подключите подпись DKIM через Rspamd

# /etc/rspamd/local.d/dkim_signing.conf
domain {
  yourdomain.com {
    path = "/var/lib/rspamd/dkim/yourdomain.key";
    selector = "default";
  }
}
# generate the keypair, publish the .txt as your DKIM DNS record
rspamadm dkim_keygen -s default -b 2048 -d yourdomain.com \
  -k /var/lib/rspamd/dkim/yourdomain.key

Затяните настройки TLS

Включите принудительный TLS для отправки (submission) и потребуйте его для IMAP. В Postfix задайте smtpd_tls_security_level = may для входящих (оппортунистическое шифрование — принимать почту от старых серверов всё равно нужно), а для исходящих — smtp_tls_security_level = dane или may. Опубликуйте политику MTA-STS и запись TLSA (DANE), чтобы отправители знали: с вами нужно шифровать трафик.

Шифрование диска на уровне ОС

По умолчанию почта лежит на диске открытым текстом. Для приватного почтового сервера разворачивайте систему на томе, зашифрованном LUKS, или хотя бы зашифруйте спул maildir. В сочетании с тем, что root-пароль вашего VPS мы храним зашифрованным (AES-256), это делает почтовый ящик нечитаемым без ваших ключей. Схему с разблокировкой по SSH описывает руководство по полному шифрованию диска.

Если собирать всё это вручную вам не хочется, разверните готовый комплект (Mailcow, Mailu или Mail-in-a-Box) на том же S2 — правила для DNS и rDNS те же.

Самостоятельный хостинг означает, что правовую почву, на которой лежит ваша почта, выбираете вы. В CryptoVpsHost это осознанное решение из четырёх регионов с одинаковым оборудованием в каждом.

• Рейкьявик, Исландия (REK) — нет закона об обязательном хранении данных, действует правовая база IMMI в защиту свободы прессы, используется возобновляемая геотермальная энергия. Выбор по умолчанию для журналистов и защиты источников.
• Цюрих, Швейцария (ZRH) — надёжная конституционная защита приватности по закону о защите данных FADP, страна вне соглашения об обмене разведданными 14 Eyes, а статья 271 уголовного кодекса ограничивает содействие иностранным органам власти на швейцарской территории. Самая прочная правовая защита, цена чуть выше.
• Бухарест, Румыния (OTP) — член ЕС с отличной связностью, исторически устойчив к чрезмерно широкому давлению с требованиями об удалении контента, самые низкие цены.
• Париж, Франция (PAR) — ЕС, GDPR, мощный пиринг и второй по дешевизне регион (входной тариф за $5 такой же, как в Бухаресте); хорошая задержка до европейских получателей.

Помимо флага значимы ещё две вещи. Во-первых, операционная компания находится в Сент-Китс и Невис: мы действуем только по надлежащим образом вручённому обязательному к исполнению судебному постановлению, вынесенному компетентным судом этой юрисдикции, и заранее уведомляем вас. Упреждающего мониторинга вашей почты мы не ведём. Во-вторых, мы публикуем ежемесячную «канарейку» (warrant canary) на /canary — если она перестанет обновляться, вы поймёте, что пора действовать. Единственная жёсткая граница — CSAM (материалы с сексуальным насилием над детьми); законная частная переписка — именно то, для чего создана эта инфраструктура. Более подробное обоснование читайте в обзоре офшорного хостинга и на странице юрисдикции Исландии.

Нам важнее, чтобы у вас всё получилось, чем чтобы вы ушли разочарованным, поэтому вот версия без прикрас. Собственный почтовый сервер — самый хлопотный в обслуживании сервис из всех, что большинству людей когда-либо приходилось запускать. Работа не заканчивается настройкой:

• Постоянное управление репутацией. Одна взломанная учётная запись, рассылающая спам, или одна неправильно настроенная пересылка — и вы в чёрном списке. Придётся периодически проверять DNSBL и добиваться исключения из списков.
• Обновления безопасности. Публичный SMTP-сервер постоянно прощупывают. Держите Postfix/Dovecot обновлёнными, fail2ban — запущенным, а аутентификацию при отправке — с ограничением частоты попыток.
• Резервные копии. Почту не воссоздать. Делайте снимки maildir и ключей DKIM за пределами сервера, в зашифрованном виде.
• Дрейф доставляемости. Gmail и Outlook меняют свои правила. То, что в прошлом году попадало во «Входящие», в этом может уходить в спам; вам придётся подстраиваться.

Размещать почту самостоятельно стоит, если вы цените контроль и приватность выше удобства, уверенно чувствуете себя в командной строке Linux и готовы заниматься обслуживанием. Скорее всего, не стоит, если вам с первого дня нужна гарантированная доставка во «Входящие» для рассылки, критичной для бизнеса, или вы не можете выделять на это несколько часов в месяц. Разумный компромисс: принимайте почту и отправляйте личные письма со своего сервера, а массовые и транзакционные письма при необходимости пропускайте через платный релей.

Если вы решились, всё просто: закажите S2 в Рейкьявике или Цюрихе, оплатите в Monero (XMR) (баланс пополнится примерно за 30 секунд), запросите rDNS в панели — и стройте. Более широкую картину приватного хостинга смотрите в нашем сценарии запуска Tor-ретранслятора и в руководстве по настройке VPS без KYC.