自建邮件服务器 VPS —— 25 端口、PTR、免 KYC

在免 KYC 的 VPS 上运行 Mailcow 或 Postfix：25 端口默认开放、rDNS 可自行修改，SPF/DKIM/DMARC 全由你掌控。支持加密货币付款，Core 年付每月仅 $4.80 起。

在这里，开放 25 端口是政策，而不是需要申请的许可

自建邮件服务器有一个反直觉的事实：端口恰恰是最简单的部分。大多数主机商默认封锁出站 25 端口，因为他们的地址段多年前被垃圾邮件发送者毁掉了，解封变成了一场谈判：提工单、写业务说明、等待审批。而在本站的 VPS 和独立服务器产品线上，这道封锁从未存在——服务器之间的 SMTP 按政策直接开放，无需提交任何申请，因为根本没有需要解除的东西。

其机制平淡得近乎扫兴。按照 SMTP 规范，邮件传输代理（MTA）之间通过 25 端口通信，而你的服务器出厂就能做到这一点：从十二个位置中任选其一，装好系统，MTA 安装完成的瞬间即可对外投递。反向记录可直接在客户面板中修改，无需工单，因此握手中的“身份”一半也由你自己设定——完整要求见 免 KYC VPS 要求指南。

真正出问题的地方在于预期，而非基础设施。从大型云厂商转来的用户出于习惯提交解封工单，当客服回复“没有东西可解封”时反而一头雾水。另一个相反的错误是以为端口开放就等于邮件能送达——开放端口只意味着你的服务器“可以说话”；有没有人愿意听，则取决于反向解析记录、认证记录以及下文各节要讲到的信誉习惯。

这项政策覆盖整个产品目录，其重要性远超表面。同样的开放端口适用于雷克雅未克和新加坡，适用于最小的套餐，也适用于独立服务器裸金属——裸金属产品线也包括在内——而且独立服务器档位还附带 IPMI，当凌晨三点的防火墙实验搞砸时，你可以通过带外方式看着 MTA 启动。每个档位都内置 DDoS 防护，因此邮件链路享有与目录中其他产品相同的基线。不管选哪个旗帜（地区），邮件本身毫无差别；变的只是周边法律环境。

所以说，开放的出站能力只是入场券，这里的结算流程也把它当作入场券对待。真正决定邮件能否送达的，全都是你自己掌控的配置，而第一项恰恰是大多数指南让你跳过的：反向解析记录——下一节会说明为什么它被排在操作顺序的最前面。

在第一封邮件发出之前，先设好反向解析记录

大多数指南都搞错了顺序：先测试连通性，再配置身份——这会让你付出数周的信誉代价。收件方在解析邮件正文之前，先给你的服务器在握手中讲的故事打分：它宣告的主机名、该主机名解析到的前向记录、以及把你的 IP 映射回去的反向记录。这个故事必须从第一封邮件起就保持一致。

其机制是一个三角形。你选定一个邮件主机名，比如 mail.example.com，为它建一条指向你 VPS 的 A 记录，再把该 IP 的反向记录设回同一个主机名——面板正是为此按地址提供 rDNS 编辑功能的。然后 MTA 在 HELO 中宣告同样的名字；现代客户端以 EHLO 开场，命名纪律完全相同。这个三角形的经典故障模式收录在 DNS 运维笔记中，而反向解析名不匹配是其中最古老的一条。

常见翻车点：有人设了前向记录，却漏掉反向记录，邮件带着仍指向服务商默认地址池的反向记录发出——这在每个大型收件方那里都是即时的评分惩罚。第二个坑是中途改名：在预热开始之后更换邮件主机名，会重置收件方正在学习的身份，效果几乎等同于从一个被污染的地址重新开始。

在真实邮件流动之前，用最朴素的方法验证。在服务器本机上，对自己的 IP 做正向和反向解析，把两个结果都与 MTA 配置的主机名比对；三者应当逐字符一致。这是一个两分钟的检查，却能避免 postfix 部署中最常见的自伤事故，而且只有在新增地址或迁移服务器时才需要重做。

身份三角形就绪：前向、反向、宣告名，三者一致。这是握手中的静态部分——动态部分是收件方随时间积累的对你的记忆，任何面板设置都造不出这种记忆。它以周为单位慢慢积累，这正是“捷径贩子”总能找到买家的原因；下一节要讲的就是为什么他们的产品根本不存在。

新 IP 没有信誉，而诚实的人卖不了信誉给你

购买预热好的地址，就是购买别人的历史，而讨债公司从不出售优质债权。一个全新的 IPv4 在整个互联网上没有任何信誉——不差，也不好，纯粹未知——没有任何服务商能帮你跳过收件方花数周了解你发送内容的过程。预热地址市场之所以存在，正因为买家总抱有相反的幻想。

预热背后的机制是：大型收件方分别给你的域名和 IP 打分，这把双刃剑各有含义。域名信誉会跟着你迁移到新地址，所以老域名的恢复速度比它的新机器理应得到的更快；干净域名落在被污染的地址上，爬出坑的速度也快于反过来。预热，就是给两个分数足够的时间收敛到你的邮件的真实水平。

常见翻车点：发送量。你配置好了一切，发给自己账号的测试邮件完美落地，第一周的感觉就像拿到了导入完整邮件列表的许可证。退信率爬过几个百分点，域名评分读到这个比率，原本需要数周的爬坡被一个心急的下午清零归零。这里刻意保持枯燥的纪律是：向真正会打开邮件的收件人低量发送，每周缓慢增量，退信率控制在几个百分点以内。

盯着队列，而不是收件箱。mailq 和 postqueue -p 显示 MTA 持有什么、为什么持有，而 Postfix 文档在开篇几页就讲这两者，正是因为延迟投递是健康服务器的常态而非异常。伴随 4xx 回复增长的延迟，是收件方在请求耐心；5xx 拒绝，则是收件方在回答一个你本不该现在提出的问题。

所以说，信誉是一本只能由时间书写的账本，针对它兜售的每一条捷径，其价格都是失败时让你损失的那几周。下一节的记录才是你真正能控制的部分——三个承诺，以机器可读的形式告诉收件方，谁有权代表你的域名发言。

SPF、DKIM 和 DMARC 是三个不同的承诺

邮件认证中反直觉的一点是：三条记录全配错，得分反而低于配对两条。收件方评的不是“有没有”，而是“对齐”——已存在的记录是否真正一致地回答了“谁代表 From 字段里可见的域名发言”。一堆半成品的承诺，读起来就像一个不了解自己邮件的域名。

这三条记录各作出一种承诺。v=spf1 列出被允许为该域名发信的地址，依据 SPF 规范；DKIM 为每封邮件附加签名，收件方对照已发布的公钥验证，依据 DKIM 规范；而 DMARC 把两者绑定到可见的 From 域名，并告诉收件方不一致时该怎么做——p=quarantine 进入隔离区，p=reject 直接拒收，同时向 rua= 地址发送汇总报告，让你看到外部世界看到的画面。

常见翻车点：被你遗忘的合法中继。以你的域名发信的计费 SaaS、邮件营销工具或监控系统，没有出现在任何承诺里，而 DMARC 会一丝不苟地执行你对它们的处置。把列表邮件放到子域发送，可以让组织域名的对齐保持干净，同时子域积累自己的信誉。第二个经典错误是反向的 DKIM 轮换——旧 selector 的密钥被删时，用它签名的邮件还在路上，于是变更后数小时内邮件在途中验证失败，报告里塞满莫名其妙的失败记录。

轮换有正确的顺序：把新的 selector._domainkey 记录与旧记录并行发布，切换签名，然后等队列排空、报告归于平静后再删除旧密钥。让密钥真正轮换起来——两年没换过的 DKIM 密钥，离“成为别人冒充你签名的身份”只差一次备份泄露。

三个承诺，一个对齐的故事，外加一个轮换习惯。认证决定收件方相信你什么；而队列决定当收件方犹豫时，一封邮件的实际命运——这套管道自有其机制，正是下一节的主题。

队列机制：延迟投递、退避，以及如何读 mailq

值得尽早养成的反直觉习惯，是对队列保持镇定：健康服务器的延迟队列永远不会是零，因为延迟是正常运转，不是故障。暂时无法落地的邮件会被保留并按退避策略重试，而不是直接退回；真正损害自己送达率的运维，往往是那些对着延迟恐慌、而不是读懂延迟的人。

其机制就是一组目录，并无神秘之处。Postfix 在 /var/spool/postfix/ 下区分 incoming、active 和 deferred 队列；临时性的 4xx 回复让邮件以递增的退避间隔重新入队，永久性的 5xx 回复把邮件退回发件人，maximal_queue_lifetime 则限定延迟邮件在最终退回前继续尝试的天数。检查工具都是内置的：postqueue -p 列出积压，postcat -q 打开任意一条排队邮件阅读，postsuper -r 让某条邮件立即重试。

入站有自己的边检。postscreen 在 SMTP 会话开始前就对连接打分，低成本地甩掉僵尸客户端；被接受的邮件经 LMTP 进入 Dovecot 投递，由 Sieve 规则按收件人归档。每个环节都可观察，而每个环节也都是盲目配置时错误路由可以藏身的地方。

常见翻车点：每十分钟强制清空队列的运维什么也教会不了收件方——延迟重试按接收方自己的时间表过期；而为了“整洁”删除延迟队列条目，会销毁送达率工单所需的证据。如果队列连续数天单调增长，那意味着下游故障——认证、存储或过滤——而不是网络的“心情”。发布强制 TLS 策略——按 RFC 8461 的 MTA-STS 加上按 RFC 8460 的报告——可以加固队列所服务的同一路径。

队列可观察、生命周期有界、退避机制了然于心：只要你直视它，这套管道是清晰可读的。传输与身份都解决之后，剩下的就是架构决策——装哪套技术栈、用多少硬件——而这是一个关于故障模式的问题，不是功能清单的问题。

一体化还是组件拼装：选择你修得动的那种故障

网上的技术栈争论都是功能争论，所以永远吵不完。真正的问题是：凌晨三点的故障里，你想能凭记忆修好哪一种。一体化套件作为整体故障、作为整体恢复；手工拼装的栈则一次坏一个部件，让你能精准更换那个部件。没有谁对谁错，只有谁更适合你。

打包路线是 Mailcow 或 Mail-in-a-Box——SMTP、IMAP、网页邮箱和管理界面作为一个整体部署，对个人或家庭域名来说，这确实是从空 VPS 到可用邮件最快的路径。组件路线是 Postfix 负责 SMTP，Dovecot 负责 IMAP 和投递，Rspamd 负责过滤：前期决策更多，但每个组件都可以在不碰其他组件的前提下单独更换。

常见翻车点：套件的升级路径——一次改动 mailstore 格式的 Mailcow 大版本更新是整机级事件，所以在执行前务必做一次真正的备份。组件路线的经典疏漏是装好了 Postfix 和 Dovecot 却忘了过滤器，然后纳闷垃圾邮件文件夹怎么变成了生活方式。还有两边通用的坑：把网站和邮件放在同一个 IP 上，意味着网址会继承邮件地址挣来的一切。

IP 分离有明码标价的解法。订购一台 Core，年付每月 $4.80（原价 $6.00/月）专职邮件角色，再加每月 $3.50 的额外 IPv4 给网站，两套信誉从此互不相干——rDNS 仍可按地址单独修改，每个地址讲自己真实的故事。对一个既要发账单又要挂商店的域名来说，这 $3.50 是本页最便宜的保险。

技术栈和地址规划定了之后，容量是最后一个架构决策，而数字比直觉更可靠。下一节会解释为什么磁盘——人人最先看的那个规格——对邮件来说几乎从来不是关键约束，以及为什么一个看起来超配的档位通常并不超配。

磁盘从来不是瓶颈；信誉才是

人们给邮件服务器配容量的方式跟配 Web 服务器一样——先看 CPU，再看磁盘，从不看信誉——而这个直觉把每一项都颠倒了。个人或小域名的邮件负载连现代核心都热不起来；邮件存储重度依赖 fsync，这让 NVMe 变得重要，而容量基本无关紧要。真正限制邮件的是买不到的资源：前几节讲过的信誉。如果你在为邮件权衡 VPS 与裸金属，VPS 与独立服务器对比指南会先解决负载问题。

升级硬件的理由是余量，不是必需。Titan 年付每月 $19.20（原价 $24.00/月）——8 vCPU 的 EPYC、32 GB DDR5 ECC 内存和 320 GB NVMe——可以毫无压力地承载个人或小域名的邮件负载，而 ECC 对一个要运行多年的邮件存储尤为重要：maildir 里一次静默的位翻转，是你在恢复时而不是写入时才发现的损坏。如果你想彻底不再惦记这台机器，把域名放到年付 $19.20 的 Titan 上，让余量同时消化增长和好奇心。

常见翻车点：欲望的混居。邮件和 Web 应用同机，Web 应用又和数据库同机，数据库有个烂索引，转眼间 Dovecot 就在一个与邮件毫无关系的查询后面饿死了 I/O。邮箱对延迟的敏感是用户能直接感知的——打开一个文件夹不应该排在别人的仪表盘后面。把角色分到不同机器上，退而求其次至少分开地址。

备份纪律为容量规划画上句号：邮件存储是机器上唯一无法从代码仓库或流水线重建的数据集，所以它配得上真正的备份计划，包括演练过的恢复。邮件 VPS 上的其他一切都是可复现的配置；maildir 才是资产。为 I/O 和备份做容量，余量一次买够，把省下的注意力花在队列上。

所以说，容量规划很像信誉：事后买不到，事前做对很便宜。最后一个架构问题是行为层面的——你往列表里喂什么——而这是唯一带法律锋芒的问题，下一节就在这里划线。

只发合法邮件：AUP 划下的那条线

毁掉一个干净 IP 最快的方式不是配错记录，而是发给从未请求过的人。AUP（可接受使用政策）明令禁止垃圾邮件——不是灰色地带，不是数量问题，而是滥用案例——而一经核实的滥用报告会移交机房所在司法辖区，按对待客户服务器的任何其他投诉一样处理。

其机制在于类别，而非态度。禁止清单很短且点名——垃圾邮件名列其中——而一切合法用途无需许可即可运行：个人邮件、域名邮件、事务性邮件、发给自愿订阅者的列表邮件。RFC 2142 几十年前就标准化了联系邮箱，在你的发信域名上运行一个真实的 abuse@ 地址既是良好实践，也是在问题还小、还能悄悄修复时最快得知问题的途径。

常见翻车点：租来的列表。冷启动营销和购买的列表按定义就是垃圾邮件——收件人没有请求——任何预热计划、认证栈或全新 IP 都救不了指向它的地址。真正规模化的营销应交给为自愿订阅而生的 ESP（邮件服务商）：它们的存在正因为规模化送达是一门“同意”的学科，而同意是可验证的——这恰恰是一台把地址租给你的 VPS 无法替你验证的东西。

恢复路径和规则本身同样重要。如果某条邮件流开始招来报告——哪怕是发给陈旧列表的合法邮件也会——正确的顺序是：暂停该邮件流，修复同意问题，让队列冷却；信誉会沿着与全新地址相同的数周曲线重建，只是起点在中途。无视报告则会让问题复利：同一行为的第二份报告落在比第一份更冷漠的收件方手里，第三份更冷。

所以那条线就是“同意”，而每一家公开运营的主机都以同样的方式执行它。剩下的就是组装——从空机器到温暖、通过认证的发件人的完整构建流程——收尾一节会从头到尾跑一遍，不再引入任何新规则。

邮件服务器：按这个顺序搭建

按这个顺序执行，就什么都不必返工。选机房看的是法律，而不是延迟——司法辖区优先指南对邮件和任何其他用途一样成立：瑞士或冰岛适合非欧盟姿态，阿姆斯特丹适合紧邻对等交换节点，而邮件本身十二个位置任选皆可，因为投递跟着信誉走，而信誉不看纬度。订购机器、装好系统，如果你为角色分离加了额外 IPv4，把两个地址都记下来。

第二，先身份、后连通：选定邮件主机名，建一条指向机器的 A 记录，在面板里把反向记录设为同一个名字，并配置 MTA 宣告它——就是前面的那个三角形，在发送任何东西之前用一次正反向解析验证。这也是确认面板显示的反向记录符合预期的时机，因为在你改掉之前，收件方看到的一直是默认地址池的名字。

第三，技术栈与承诺：安装你选定的套件或组件，发布严格限定实际发信方的 v=spf1，用全新的 selector 配好 DKIM，挂上 p=quarantine 的 DMARC 观察报告，等报告显示对齐符合预期后再收紧到 p=reject。收紧得太早，是把自己的合法中继挡在门外最常见的原因。

第四，数周的功课：向会打开邮件的收件人低量预热，退信率压在几个百分点以内，盯 mailq 而不是收件箱，并按日程轮换 DKIM 密钥而不是等事故发生。25 端口在任何一步都不需要你做任何事——它在机器存在之前就是开放的，而且无论你是否准备好，它都会一直开放。

这就是全部流程：按法律选机房，按三角形定身份，按记录立承诺，按耐心控量。本页描述的每一种故障，都是这四级台阶被跳过或顺序颠倒的结果，而每一步第一次就做对，都比在一千个收件人已经投票之后再修补便宜得多。