Capitolo 01 Primi passi Admin: #pNetwork

Architettura di sistema, hot reload senza riavvio & matrice delle porte

nextxch unifica ESMTP, IMAP4rev2, POP3, JMAP, CalDAV/CardDAV, WBXML Mobile Push, ManageSieve, Webmail PWA e archiviazione GoBD WORM in un unico processo nativo (~40 MB di RSS a riposo). Quasi tutte le impostazioni dell'Admin Cockpit (/admin/) si applicano senza riavvio del servizio e si propagano automaticamente ai nodi del cluster.

Suggerimento operativo & nota sull'architettura

Esporre sul firewall perimetrale solo le porte necessarie. Le installazioni moderne solo TLS richiedono appena le 5 porte principali (25, 443, 465, 587, 993). Mantenere disattivata la porta 143, a meno che appliance interne legacy non possano usare TLS implicito sulla porta 993.

Configurazione rapida del firewall perimetrale (UFW & Windows PowerShell)

Apre le 5 porte TCP in entrata obbligatorie (25, 443, 465, 587, 993) più la porta 80 per Let's Encrypt HTTP-01.

Riferimento / configurazione

# Linux (UFW)
sudo ufw allow 25,80,443,465,587,993/tcp

# Windows Server (PowerShell als Administrator)
New-NetFirewallRule -DisplayName "nextxch Core Ports" `
  -Direction Inbound -Protocol TCP -LocalPort 25,80,443,465,587,993 -Action Allow

Impostazioni, valori predefiniti e best practice

Impostazione / posizione	Descrizione	Valore predefinito	Best practice per la produzione
`ServerHostName (#pNetwork)`	FQDN pubblico annunciato nei saluti ESMTP 220, in EHLO/HELO in uscita, nelle risposte Autodiscover e nella diagnostica TLS. Si applica in 0 ms senza riavvio.	`mail.<DefaultDomain>`	Utilizzare sempre un FQDN host dedicato come mail.company.com, corrispondente 1:1 al record reverse DNS (PTR) IPv4/IPv6 pubblico.
`TCP 25 (ESMTP MX Inbound & Outbound)`	Ricezione MX in entrata server-to-server e recapito MX in uscita con STARTTLS opportunistico/obbligatorio e RFC 3030 CHUNKING/BDAT.	`Aktiv (Pflicht) / Enabled`	Consentire TCP 25 sia in entrata sia in uscita (verificare lo sblocco della porta 25 da parte dell'ISP). AUTH in chiaro sulla porta 25 è disattivato per impostazione predefinita; mantenerlo disattivato.
`TCP 443 (HTTPS: Webmail, Admin, Push, DAV)`	Serve la Webmail PWA (/mail/), l'Admin Cockpit (/admin/), JMAP, CalDAV/CardDAV (/dav/), Mobile Push (/Microsoft-Server-ActiveSync) e la Send API.	`Aktiv (Pflicht) / Enabled`	Servizio diretto tramite Kestrel con Let's Encrypt integrato oppure dietro un gateway SSL HAProxy/Nginx/pfSense con X-Forwarded-For / protocollo PROXY.
`TCP 465 (SMTPS) & TCP 587 (Submission)`	Invio autenticato della posta dai client per MUA desktop/mobile, scanner e multifunzione (465 TLS implicito secondo RFC 8314, 587 STARTTLS).	`Beide aktiv / Both enabled`	Preferire la porta 465 (TLS implicito dal byte 0 secondo RFC 8314) per i client moderni, mantenendo aperta la porta 587 per scanner STARTTLS e sistemi ERP.
`TCP 993 (IMAPS) & TCP 143 (IMAP)`	Accesso alle caselle di posta IMAP4rev2 con push IDLE sotto i 5 ms e sincronizzazione bidirezionale di Apple Notes (993 TLS implicito, 143 STARTTLS esplicito).	`993 aktiv, 143 optional`	Mantenere aperta la porta 993; chiudere la porta 143 sulle interfacce pubbliche ogni volta che è possibile, così i client non tentano mai connessioni non crittografate.
`TCP 995 (POP3S) & TCP 110 (POP3)`	POP3 secondo RFC 1939 con STLS, SASL (PLAIN, LOGIN), UIDL stabile e TOP per client legacy (995 TLS implicito, 110 STLS). Disattivato per impostazione predefinita; IMAP resta il protocollo consigliato.	`Aus (Standard) / Off by default`	Attivare in Admin > Rete (scheda "POP3") senza riavvio, a livello globale e per dominio o utente. Se necessario, aprire la porta 995; la porta 110 è facoltativa.
`TCP 80 (ACME HTTP-01) & TCP 4190 (Sieve)`	La porta 80 risponde alle challenge HTTP-01 automatiche di Let's Encrypt; la porta 4190 consente la modifica autenticata dei filtri ManageSieve (Thunderbird/Roundcube).	`Optional / Optional`	Aprire la porta 80 se nextxch gestisce direttamente Let's Encrypt HTTP-01; esporre la porta 4190 solo se gli utenti gestiscono gli script Sieve da client desktop.