Installation per Docker® Compose, Windows®-Dienst (ohne Docker®), Linux®, NAS, Proxmox® & allen Hostern

# === Linux (Debian / Ubuntu / RHEL) & macOS - Interaktiver Installer & Updater (v1.3.1) ===
curl -fsSL https://nextxch.com/install.sh | sudo bash

# Späteres Update auf neue Release-Version mit einem Befehl:
curl -fsSL https://nextxch.com/install.sh | sudo bash -s -- --update

# === Windows Server (2019 / 2022 / 2025) - Lädt .msi, prüft SHA-256 & startet den Assistenten ===
irm https://nextxch.com/install.ps1 | iex

1. Variante A: Kompakter Einzelcontainer-Stack (SQLite WAL + Zstandard): Ideal bis mehrere tausend Postfächer auf einem VPS, Root-Server oder NAS. Benötigt keinen externen Datenbank-Container und nur ~40 MB RAM im Leerlauf.
2. Variante B: Enterprise-Produktions-Stack (PostgreSQL® 18 + S3 WORM + OpenTelemetry): Horizontale Skalierung, GoBD-konformer S3 Object Lock und zentrales OpenTelemetry-Tracing & Logging.

# === VARIANTE A: Kompakter Einzelcontainer-Stack (docker-compose.yml) ===
services:
  nextxch:
    image: nextxch/server:1.3.1
    container_name: nextxch
    hostname: mail.firma.de
    restart: unless-stopped
    ports:
      - "25:25"       # ESMTP-Eingang (MX)
      - "465:465"     # SMTPS-Einlieferung (Implicit TLS)
      - "587:587"     # SMTP-Einlieferung (STARTTLS)
      - "143:143"     # IMAP4rev2 (STARTTLS)
      - "993:993"     # IMAPS (Implicit TLS)
      - "4190:4190"   # ManageSieve (Filter & Abwesenheit)
      - "80:80"       # Let's Encrypt HTTP-01 & Autoconfig
      - "443:443"     # Admin-Cockpit, Webmail PWA, JMAP, CalDAV/CardDAV, Mobile Push (WBXML) & REST API
    environment:
      Urls: "http://0.0.0.0:80;https://0.0.0.0:443"
      Bootstrap__DefaultDomain: "firma.de"
      Bootstrap__AdminEmail: "admin@firma.de"
      Bootstrap__AdminPassword: "BitteSofortAendern!2026"
      Storage__Provider: "Sqlite"
      Storage__DataDirectory: "/var/lib/nextxch"
      Storage__BlobBackend: "FileSystem"
      Storage__Compression: "Zstd"
      Smtp__ServerHostName: "mail.firma.de"
      Imap__ServerHostName: "mail.firma.de"
      OpenTelemetry__Enabled: "true"
      OpenTelemetry__ServiceName: "nextxch"
    volumes:
      - ./nextxch-data:/var/lib/nextxch

# Starten (oder automatischer lokaler Image-Build via install.sh --mode docker):
# docker compose up -d && docker compose logs -f nextxch

# === VARIANTE B: Enterprise-Stack mit PostgreSQL 18, S3 Object Lock & OpenTelemetry ===
services:
  nextxch:
    image: nextxch/server:1.3.1
    restart: unless-stopped
    depends_on: [postgres, otel-collector]
    ports: ["25:25", "465:465", "587:587", "993:993", "4190:4190", "80:80", "443:443"]
    environment:
      Urls: "http://0.0.0.0:80;https://0.0.0.0:443"
      Storage__Provider: "Postgres"
      Storage__PostgresConnectionString: "Host=postgres;Database=nextxch;Username=nextxch;Password=${PG_PASSWORD}"
      Storage__BlobBackend: "Hybrid"
      Storage__Compression: "Zstd"
      Storage__S3Endpoint: "https://s3.eu-central-1.ionoscloud.com"
      Storage__S3Bucket: "firma-gobd-mail-archive"
      OpenTelemetry__Enabled: "true"
      OpenTelemetry__ServiceName: "nextxch-Prod"
      OpenTelemetry__OtlpEndpoint: "http://otel-collector:4317"
    volumes:
      - nextxch-nvme-cache:/var/lib/nextxch

  postgres:
    image: postgres:18-alpine
    restart: unless-stopped
    environment:
      POSTGRES_DB: nextxch
      POSTGRES_USER: nextxch
      POSTGRES_PASSWORD: "${PG_PASSWORD}"
    volumes:
      - pg-data:/var/lib/postgresql

  otel-collector:
    image: otel/opentelemetry-collector-contrib:0.112.0
    restart: unless-stopped
    ports: ["127.0.0.1:4317:4317"]

volumes:
  nextxch-nvme-cache:
  pg-data:

1. Empfohlen: Offizieller Windows®-.msi-Assistent (v1.3.1): Fragt bei der Erstinstallation interaktiv Domain, MX-Hostname, Admin-Zugang, SQLite WAL vs. Microsoft® SQL Server® (2019–2025 / Express / Azure® SQL) vs. PostgreSQL® 18, Let's Encrypt ACME, Windows®-Firewall und optionalen Lizenzschlüssel ab. Beim erneuten Ausführen einer neueren .msi-Version aktualisiert der Assistent den laufenden Windows®-Dienst vollautomatisch unter Erhalt deiner appsettings.Production.json und Postfachdaten.
2. Unbeaufsichtigte Installation für Ansible, GPO & Microsoft® Intune: Alle Parameter lassen sich auch ohne Benutzeroberfläche per msiexec.exe /qn übergeben.

# Variante A: Einzeiler in PowerShell (prüft SHA-256, lädt .msi & startet den Assistenten)
irm https://nextxch.com/install.ps1 | iex

# Variante B: Unbeaufsichtigte Installation / Dienst-Aktualisierung per msiexec.exe
curl.exe -fLO https://nextxch.com/downloads/Nextxch-Setup-win-x64.msi
msiexec.exe /i Nextxch-Setup-win-x64.msi /qn `
  DEFAULT_DOMAIN="firma.de" `
  MAIL_HOSTNAME="mail.firma.de" `
  ADMIN_EMAIL="admin@firma.de" `
  ADMIN_PASSWORD="BitteSofortAendern!2026" `
  STORAGE_PROVIDER="Sqlite" `
  DATA_DIR="C:\ProgramData\nextxch"

1. Unprivilegierter Systembenutzer: Kein Root-Prozess nötig dank CAP_NET_BIND_SERVICE.
2. systemd-Dienst aktivieren: Unterstützt systemd-Bereitschaftsmeldung und sauberes Herunterfahren.

# Schnellweg für Debian 12 / Ubuntu 24.04 LTS:
curl -fLO https://nextxch.com/downloads/nextxch_1.3.1_amd64.deb
sudo dpkg -i nextxch_1.3.1_amd64.deb

# Alternativ für RHEL / Rocky / AlmaLinux via .tar.gz + systemd:
sudo useradd -r -s /usr/sbin/nologin -d /var/lib/nextxch nextxch
sudo mkdir -p /opt/nextxch /var/lib/nextxch
curl -fsSL https://nextxch.com/downloads/nextxch-linux-x64.tar.gz | sudo tar -xz -C /opt/nextxch
sudo chown -R nextxch:nextxch /var/lib/nextxch
sudo cp /opt/nextxch/nextxch.service /etc/systemd/system/
sudo systemctl enable --now nextxch

1. Nativ auf Apple® Silicon: Ideal für Mac mini® / Mac Studio® Server im Büro sowie lokale Tests auf dem MacBook Pro®.
2. Als Hintergrunddienst via launchd starten: Startet beim Systemstart automatisch ohne angemeldeten Benutzer.

sudo mkdir -p /usr/local/nextxch /usr/local/var/nextxch/logs
curl -fsSL https://nextxch.com/downloads/nextxch-osx-arm64.tar.gz | sudo tar -xz -C /usr/local/nextxch
sudo xattr -dr com.apple.quarantine /usr/local/nextxch
sudo bash /usr/local/nextxch/install-macos.sh

# Alternativ per OrbStack / Docker Desktop auf macOS:
docker run -d --name nextxch -p 2525:25 -p 2993:993 -p 8080:80 \
  -v ~/nextxch-data:/data \
  nextxch/server:1.3.1

1. 100 % PostgreSQL® 18 Koordinationsschicht (ohne Redis/Kafka): Alle Knoten koordinieren IMAP-IDLE- und JMAP-SSE-Echtzeit-Benachrichtigungen in unter 2 ms über PostgreSQL® LISTEN/NOTIFY, kurzlebige WebAuthn/Rate-Limit-Zustände über UNLOGGED-Tabellen und ACME-TLS-Erneuerungen per pg_try_advisory_lock.
2. HAProxy PROXY Protocol v1/v2 & Zustandslose Sitzungen: Erhält echte Client-IPs hinter L4-Load-Balancern für präzise SPF/DMARC/CIDR-Prüfungen; kryptografisch signierte Sitzungen erlauben unterbrechungsfreie Rolling-Upgrades.
3. Cluster-fähige Ed25519-Lizenzierung: Ein Lizenzschlüssel gilt für unbegrenzt viele Pods und synchronisiert sich bei Aktivierung in /admin/ automatisch über den gesamten Cluster.

# Offizielles Helm v3 Chart installieren (gepinnter Release-Tag 1.3.1, skaliert per HPA auf 3 bis 12 Pods)
helm upgrade --install nextxch ./deploy/helm/nextxch -n nextxch --create-namespace \
  --set image.repository=nextxch/server \
  --set image.tag=1.3.1 \
  --set replicaCount=3 \
  --set cluster.enabled=true \
  --set cluster.enableProxyProtocol=true \
  --set storage.provider=Postgres \
  --set storage.blobBackend=S3 \
  --set service.externalTrafficPolicy=Local

# Oder direkt per Kustomize-Manifesten (/health/live & /health/ready + PDB + Anti-Affinity):
kubectl apply -k ./deploy/kubernetes/

# Alternativ: Rootless Podman (RHEL 9 / Fedora / AlmaLinux ohne Docker-Daemon)
podman run -d --name nextxch --restart=always \
  -p 25:25 -p 465:465 -p 587:587 -p 993:993 -p 4190:4190 -p 8443:443 \
  -v /var/lib/nextxch:/data:Z \
  nextxch/server:1.3.1

1. LXC-Container erstellen: Debian®-12-Vorlage wählen, 2 vCPU, 1024 MB RAM (nextxch benötigt im Leerlauf nur ~40 MB) und ZFS/NVMe-Dataset als Mountpoint /var/lib/nextxch einbinden.
2. Direkt per .deb / systemd: Im LXC-Container empfiehlt sich die direkte Paketinstallation ohne verschachtelten Docker®-Daemon für minimale Latenz und saubere Proxmox®-Backups (PBS).
3. Proxmox®-Firewall: Eingehend TCP 25, 465, 587, 993, 4190, 80, 443 freigeben.

# Auf dem Proxmox-Host (erstellt schlanken Debian-LXC CT 210 & installiert nativ):
pct create 210 local:vztmpl/debian-12-standard_12.7-1_amd64.tar.zst \
  --hostname mail --cores 2 --memory 1024 --net0 name=eth0,bridge=vmbr0,ip=dhcp \
  --storage local-zfs --rootfs local-zfs:32 --unprivileged 1 --start 1
pct exec 210 -- bash -c "curl -fsSL https://nextxch.com/install.sh | bash -s -- --mode native -y"

1. 64-Bit-System & NVMe statt SD-Karte: Raspberry Pi® OS Lite (64-Bit) verwenden und Datenverzeichnis auf eine USB-3-SSD oder ein M.2-NVMe-Modul legen (schützt vor SD-Verschleiß).
2. Heimanschluss-Tipp (Smarthost): Bei dynamischer Privatkunden-IP ein authentifiziertes Versand-Relay (z. B. ALL-INKL, Strato, Hetzner oder Amazon® SES) unter Smtp__OutboundSmartHost eintragen.

# Nativ per ARM64-.deb-Paket oder Container (v1.3.1) auf Raspberry Pi 4 / 5:
curl -fLO https://nextxch.com/downloads/nextxch_1.3.1_arm64.deb
sudo dpkg -i nextxch_1.3.1_arm64.deb

1. Ordner in File Station erstellen: Lege den freigegebenen Ordner /volume1/docker/nextxch an (Tipp: Daten-Prüfsumme in Btrfs aktivieren).
2. Portkonflikt vermeiden: Darauf achten, dass Synology® MailPlus gestoppt ist, damit Ports 25, 465, 587 und 993 frei sind.
3. Container Manager öffnen: Unter Projekt -> Erstellen den Pfad /volume1/docker/nextxch wählen und folgende Konfiguration (Version 1.3.1) verwenden:

services:
  nextxch:
    image: nextxch/server:1.3.1
    container_name: nextxch
    restart: unless-stopped
    ports:
      - "25:25"
      - "465:465"
      - "587:587"
      - "993:993"
      - "4190:4190"
      - "8443:443"
    volumes:
      - /volume1/docker/nextxch:/data
    environment:
      Storage__Provider: "Sqlite"
      Storage__Compression: "Zstd"

1. Docker®-CE & Portainer CE installieren: In ADM App Central zuerst Docker®-CE und Portainer CE mit einem Klick installieren.
2. Persistenter Ordner: Im ADM-Dateiexplorer /volume1/Docker/nextxch erstellen.
3. Stack bereitstellen: In Portainer das Compose-File mit Volume /volume1/Docker/nextxch:/data starten und in ADM Firewall die Mail-Ports freigeben.

mkdir -p /volume1/Docker/nextxch
docker run -d --name nextxch --restart unless-stopped \
  -p 25:25 -p 465:465 -p 587:587 -p 993:993 -p 8443:443 \
  -v /volume1/Docker/nextxch:/data \
  nextxch/server:1.3.1

1. NVMe-Speicherpool nutzen: Auf UGREEN-DXP-Modellen empfiehlt sich ein Ordner auf dem M.2-NVMe-Volume (z. B. /volume1/docker/nextxch) für schnelle OCR- und Volltextsuche.
2. UGOS Pro Docker®-App: Docker® öffnen -> Projekt -> Erstellen -> Compose-Konfiguration einfügen. Webmail, CalDAV/CardDAV & Admin sind direkt unter https://NAS-IP:8443 erreichbar.

# UGOS Pro -> Docker -> Projekt -> Compose-Konfiguration:
services:
  nextxch:
    image: nextxch/server:1.3.1
    restart: always
    ports: ["25:25", "465:465", "587:587", "993:993", "4190:4190", "8443:443"]
    volumes:
      - ./data:/data

1. Docker® Manager installieren: Im TOS App Center den offiziellen Docker® Manager aktivieren und das Verzeichnis /Volume1/docker/nextxch anlegen.
2. Projekt bereitstellen: Im Docker® Manager unter Projekte -> Hinzufügen die YAML-Konfiguration (nextxch/server:1.3.1) einfügen. TOS 6 unterstützt x86_64 und ARM64.

volumes:
  - /Volume1/docker/nextxch:/data
# Admin-Cockpit nach Start: https://TERRAMASTER-IP:8443/admin/

1. Appdata auf Cache-NVMe legen: Verwende /mnt/cache/appdata/nextxch, damit die Array-Festplatten im Ruhezustand bleiben können und SQLite/Indizes mit voller NVMe-Geschwindigkeit laufen.
2. Eigene LAN-IP über Netzwerktyp Custom: br0 (Empfohlen): Weise dem Container unter Network Type -> Custom: br0 eine feste LAN-IP (z. B. 192.168.178.25) zu. So stehen die Standardports 25, 80, 443, 465, 587 und 993 ohne Portkonflikt mit der Unraid-Oberfläche bereit.

# Unraid Terminal oder Docker Compose Manager Plugin:
docker run -d --name nextxch --net=br0 --ip=192.168.178.25 --restart=unless-stopped \
  -v /mnt/cache/appdata/nextxch:/data \
  -e ASPNETCORE_URLS="http://0.0.0.0:80;https://0.0.0.0:443" \
  -e Bootstrap__DefaultDomain="firma.de" \
  nextxch/server:1.3.1

1. Reverse-DNS (PTR) im SCP setzen: Im netcup Server Control Panel (SCP) den Server wählen -> Netzwerk -> sowohl für die IPv4-Adresse als auch für die genutzte IPv6-Adresse (z. B. ::1 aus dem /64-Netz) als rDNS exakt mail.deinedomain.de eintragen.
2. DNS im CCP pflegen: Im Customer Control Panel (CCP) -> Domains -> DNS-Einstellungen A, AAAA, MX (Priorität 10 auf mail), SPF und den im nextxch-Cockpit erzeugten DKIM-Schlüssel hinterlegen.
3. Installation: Debian® 12 oder Windows Server® im SCP installieren und per Einzeiler-Skript oder Windows®-.msi-Assistenten starten.

1. Port-25-Freischaltung bei Neukunden: Bei neuen Hetzner-Cloud-Konten sind ausgehende Verbindungen auf Port 25/465 zunächst gesperrt. Nach der ersten beglichenen Rechnung im Cloud-Panel unter Limits -> Request change mit kurzer Begründung (Eigener Unternehmens-Mailserver) freischalten lassen.
2. IPv4- & IPv6-PTR setzen: In der Hetzner Cloud Console -> Server -> Networking -> Menü neben Primary IPv4 & IPv6 -> Edit Reverse DNS -> mail.deinedomain.de eintragen.
3. Preis-Leistungs-Tipp: Läuft besonders ressourcenschonend auf Hetzner CAX (ARM64) und CX-Instanzen inklusive Hetzner Object Storage für S3-Backups.

1. Externe IONOS-Firewall öffnen: Wichtig: IONOS blockiert Ports standardmäßig in der vorgeschalteten Cloud-Panel-Firewall. Unter Netzwerk -> Firewall-Richtlinien eingehend TCP 25, 80, 443, 465, 587, 993 und 4190 freigeben.
2. Reverse-DNS konfigurieren: Unter Netzwerk -> Öffentliche IP -> Reverse-DNS den Hostnamen mail.deinedomain.de hinterlegen (sobald der A-Eintrag auflöst).
3. GoBD-Archiv mit IONOS S3: IONOS S3 Object Storage in deutschen Rechenzentren (Frankfurt/Berlin) unterstützt nativ S3 Object Lock (COMPLIANCE) für nextxch.

1. Variante A (Domain bei ALL-INKL, nextxch auf eigenem VPS): Im KAS anmelden -> Tools -> DNS-Werkzeuge -> Domain bearbeiten: A/AAAA für mail anlegen, MX-Eintrag auf mail.deinedomain.de ändern und TXT-Einträge aus unserem DNS-Generator einfügen.
2. Variante B (nextxch im Büro / NAS mit ALL-INKL als Versand-Relay): Betreibst du nextxch lokal auf Windows Server®, Proxmox® oder Synology® ohne feste IP, trage deinen ALL-INKL-Server (z. B. w01abc.kasserver.com, Port 587, STARTTLS) als Smtp__OutboundSmartHost ein und ergänze include:_spf.kasserver.com im SPF.

1. PTR-Eintrag im VPS-Bereich: Im Hostinger hPanel -> VPS -> Einstellungen -> IP-Adressen -> PTR-Record exakt auf mail.deinedomain.de setzen.
2. Port 25 / Relay beachten: Prüfe im VPS-Panel, ob ausgehender Port 25 freigeschaltet ist; falls gedrosselt, entweder im hPanel entsperren oder ein authentifiziertes Relay auf Port 587 als OutboundSmartHost eintragen.
3. hPanel DNS-Verwaltung: Bestehende Standard-MX-Einträge entfernen und durch mail.deinedomain.de sowie die generierten SPF/DKIM/DMARC-Einträge ersetzen.

1. Ideal für Windows Server® ohne Docker®: Auf STRATO Windows®-V-Servern und Dedicated Servern installierst du nextxch in 60 Sekunden direkt mit unserem PowerShell®-Befehl als nativen Windows®-Dienst.
2. Reverse-DNS im STRATO Server-Login: Unter Mein Server -> Netzwerk / IP-Adressen für IPv4 und IPv6 den Reverse-DNS-Namen mail.deinedomain.de hinterlegen.
3. STRATO Domainverwaltung: Unter Domains -> Verwalten -> DNS-Einstellungen den MX-Eintrag auf Eigenen Mailserver (mail.deinedomain.de) umstellen sowie TXT-Einträge für SPF, DKIM und _dmarc pflegen.

1. Wichtige Reihenfolge für OVHcloud PTR: OVHcloud prüft beim Speichern des Reverse-DNS sofort, ob der Forward-Eintrag bereits existiert. Lege daher zuerst A und AAAA für mail.deinedomain.de an, warte 5 Minuten und setze dann im OVHcloud-Kundencenter unter Netzwerk -> Öffentliche IP-Adressen -> Reverse-DNS ändern den Wert mail.deinedomain.de.
2. Netzwerk-Firewall & S3 Object Lock: Falls die OVHcloud-Edge-Firewall aktiv ist, TCP 25, 465, 587, 993, 4190 und 443 erlauben. OVHcloud Object Storage (Limburg/Straßburg/Gravelines) eignet sich hervorragend als S3-WORM-Ziel für das GoBD-Archiv.