AR
ابدأوا مجانًا
الفصل 01 البدء الإدارة: #pNetwork

بنية النظام، وإعادة التحميل الفورية دون إعادة تشغيل، ومصفوفة المنافذ

يوحّد nextxch بروتوكولات ESMTP وIMAP4rev2 وPOP3 وJMAP وCalDAV/CardDAV وWBXML Mobile Push وManageSieve وWebmail PWA وأرشفة GoBD WORM في عملية أصلية واحدة (نحو 40 MB RSS في وضع الخمول). وتُطبَّق جميع إعدادات لوحة الإدارة (/admin/) تقريبًا دون إعادة تشغيل الخدمة، وتنتشر عبر عقد العنقود تلقائيًا.

نصيحة تشغيلية وملاحظة حول البنية

افتحوا المنافذ المطلوبة فقط في جدار الحماية المحيطي. تحتاج عمليات النشر الحديثة المعتمدة على TLS فقط إلى المنافذ الأساسية الخمسة (25 و443 و465 و587 و993) لا غير. أبقوا المنفذ 143 معطّلًا ما لم تكن هناك أجهزة داخلية قديمة لا تستطيع استخدام TLS الضمني على المنفذ 993.

إعداد سريع لجدار الحماية المحيطي (UFW & Windows PowerShell)

يفتح منافذ TCP الواردة الخمسة المطلوبة (25، 443، 465، 587، 993) بالإضافة إلى المنفذ 80 لـ Let's Encrypt HTTP-01.

المرجع / الإعداد 
# Linux (UFW)
sudo ufw allow 25,80,443,465,587,993/tcp

# Windows Server (PowerShell als Administrator)
New-NetFirewallRule -DisplayName "nextxch Core Ports" `
  -Direction Inbound -Protocol TCP -LocalPort 25,80,443,465,587,993 -Action Allow

الإعدادات والقيم الافتراضية وأفضل الممارسات

الإعداد / الموقع الوصف القيمة الافتراضية أفضل ممارسة للإنتاج
ServerHostName (#pNetwork) اسم FQDN العام المُعلَن في تحيات ESMTP 220 وEHLO/HELO الصادرة واستجابات Autodiscover وتشخيصات TLS. يسري خلال 0 ms دون إعادة تشغيل. mail.<DefaultDomain> استخدموا دائمًا اسم FQDN مخصصًا للمضيف مثل mail.company.com يطابق سجل Reverse-DNS ‏(PTR) العام لعنوانَي IPv4/IPv6 لديكم بنسبة 1:1.
TCP 25 (ESMTP MX Inbound & Outbound) استقبال MX الوارد وتسليم MX الصادر بين الخوادم مع STARTTLS انتهازي/إلزامي وRFC 3030 CHUNKING/BDAT. Aktiv (Pflicht) / Enabled اسمحوا بمنفذ TCP 25 للاتجاهين الوارد والصادر (تحققوا من رفع مزود الإنترنت للحظر عن المنفذ 25). مصادقة AUTH بنص غير مشفر على المنفذ 25 معطّلة افتراضيًا؛ أبقوها معطّلة.
TCP 443 (HTTPS: Webmail, Admin, Push, DAV) يقدّم Webmail PWA (/mail/) ولوحة الإدارة (/admin/) وJMAP وCalDAV/CardDAV (/dav/) وMobile Push (/Microsoft-Server-ActiveSync) وSend API. Aktiv (Pflicht) / Enabled قدّموا الخدمة مباشرة عبر Kestrel مع Let's Encrypt مدمج، أو خلف بوابة SSL من نوع HAProxy/Nginx/pfSense مع X-Forwarded-For / PROXY protocol.
TCP 465 (SMTPS) & TCP 587 (Submission) إرسال البريد المصادَق عليه من العملاء لبرامج MUA المكتبية والمحمولة والماسحات الضوئية والأجهزة متعددة الوظائف (465 مع TLS ضمني وفق RFC 8314، و587 مع STARTTLS). Beide aktiv / Both enabled فضّلوا المنفذ 465 (TLS ضمني من البايت 0 وفق RFC 8314) للعملاء الحديثة مع إبقاء المنفذ 587 مفتوحًا لماسحات STARTTLS وأنظمة ERP.
TCP 993 (IMAPS) & TCP 143 (IMAP) وصول إلى صناديق البريد عبر IMAP4rev2 مع دفع IDLE في أقل من 5 ms ومزامنة ثنائية الاتجاه لـ Apple Notes (993 TLS ضمني، و143 STARTTLS صريح). 993 aktiv, 143 optional أبقوا المنفذ 993 مفتوحًا؛ وأغلقوا المنفذ 143 على الواجهات العامة كلما أمكن حتى لا يحاول العملاء أبدًا إجراء اتصالات غير مشفرة.
TCP 995 (POP3S) & TCP 110 (POP3) POP3 وفق RFC 1939 مع STLS وSASL (PLAIN وLOGIN) وUIDL ثابت وTOP للعملاء القدامى (995 TLS ضمني، 110 STLS). معطّل افتراضيًا؛ ويبقى IMAP البروتوكول الموصى به. Aus (Standard) / Off by default فعّلوه في الإدارة > الشبكة (بطاقة "POP3") دون إعادة تشغيل، على المستوى العام ولكل نطاق أو مستخدم. وعند الحاجة افتحوا المنفذ 995؛ والمنفذ 110 اختياري.
TCP 80 (ACME HTTP-01) & TCP 4190 (Sieve) يجيب المنفذ 80 على تحديات HTTP-01 الآلية من Let's Encrypt؛ ويوفر المنفذ 4190 تحرير عوامل تصفية ManageSieve بعد المصادقة (Thunderbird/Roundcube). Optional / Optional افتحوا المنفذ 80 إذا كان nextxch يعالج تحدي HTTP-01 من Let's Encrypt مباشرةً؛ ولا تكشفوا المنفذ 4190 إلا إذا كان المستخدمون يديرون نصوص Sieve من عملاء سطح المكتب.