JA
無料で始める
第 01 章 はじめに 管理画面: #pNetwork

システム アーキテクチャ、再起動不要のホット リロード、ポート一覧

nextxch は ESMTP、IMAP4rev2、POP3、JMAP、CalDAV/CardDAV、WBXML モバイル プッシュ、ManageSieve、Webmail PWA、GoBD WORM アーカイブを 1 つのネイティブ プロセス (アイドル時 RSS 約 40 MB) に統合しています。管理コックピット (/admin/) のほぼすべての設定はサービスの再起動なしで反映され、クラスター ノード間に自動的に伝播されます。

運用のヒントとアーキテクチャに関する注記

境界ファイアウォールでは必要なポートだけを公開してください。最新の TLS 専用構成では 5 つのコア ポート (25、443、465、587、993) のみが必要です。レガシーな社内機器がポート 993 の暗黙的 TLS を使用できない場合を除き、ポート 143 は無効のままにしてください。

境界ファイアウォールのクイック セットアップ (UFW & Windows PowerShell)

必須の受信 TCP ポート 5 つ (25、443、465、587、993) に加え、Let's Encrypt HTTP-01 用のポート 80 を開放します。

リファレンス / 構成 
# Linux (UFW)
sudo ufw allow 25,80,443,465,587,993/tcp

# Windows Server (PowerShell als Administrator)
New-NetFirewallRule -DisplayName "nextxch Core Ports" `
  -Direction Inbound -Protocol TCP -LocalPort 25,80,443,465,587,993 -Action Allow

設定、既定値 & ベスト プラクティス

設定 / 場所 説明 既定値 本番環境のベスト プラクティス
ServerHostName (#pNetwork) ESMTP 220 グリーティング、送信時の EHLO/HELO、Autodiscover 応答、TLS 診断で通知される公開 FQDN です。再起動なしで 0 ms で反映されます。 mail.<DefaultDomain> パブリック IPv4/IPv6 の逆引き DNS (PTR) レコードと 1:1 で一致する、mail.company.com のような専用のホスト FQDN を必ず使用してください。
TCP 25 (ESMTP MX Inbound & Outbound) サーバー間の受信 MX 受付と送信 MX 配信。日和見的/強制 STARTTLS と RFC 3030 CHUNKING/BDAT に対応。 Aktiv (Pflicht) / Enabled TCP 25 の受信と送信の両方を許可してください (ISP によるポート 25 のブロック解除を確認)。ポート 25 での平文 AUTH は既定で無効です。無効のままにしてください。
TCP 443 (HTTPS: Webmail, Admin, Push, DAV) Webmail PWA (/mail/)、管理コックピット (/admin/)、JMAP、CalDAV/CardDAV (/dav/)、モバイル プッシュ (/Microsoft-Server-ActiveSync)、Send API を提供します。 Aktiv (Pflicht) / Enabled 組み込みの Let's Encrypt を使って Kestrel で直接配信するか、X-Forwarded-For / PROXY プロトコルを使って HAProxy/Nginx/pfSense SSL ゲートウェイの背後で運用します。
TCP 465 (SMTPS) & TCP 587 (Submission) デスクトップ/モバイルの MUA、スキャナー、複合機向けの認証付きクライアント メール送信 (465 は RFC 8314 に基づく暗黙的 TLS、587 は STARTTLS)。 Beide aktiv / Both enabled 最新のクライアントにはポート 465 (RFC 8314 に基づく、最初のバイトからの暗黙的 TLS) を優先し、STARTTLS スキャナーや ERP システム向けにポート 587 も開いたままにしてください。
TCP 993 (IMAPS) & TCP 143 (IMAP) 5 ms 未満の IDLE プッシュと Apple メモの双方向同期に対応した IMAP4rev2 メールボックス アクセス (993 は暗黙的 TLS、143 は明示的 STARTTLS)。 993 aktiv, 143 optional ポート 993 は開いたままにし、クライアントが暗号化されていない接続を試みないよう、可能な限りパブリック インターフェイスのポート 143 は閉じてください。
TCP 995 (POP3S) & TCP 110 (POP3) RFC 1939 準拠の POP3。レガシー クライアント向けに STLS、SASL (PLAIN、LOGIN)、安定した UIDL と TOP をサポートします (995 は暗黙的 TLS、110 は STLS)。既定ではオフで、推奨プロトコルは引き続き IMAP です。 Aus (Standard) / Off by default 管理画面 > ネットワーク ("POP3" カード) で、再起動なしでグローバルに、またはドメインやユーザーごとに有効にします。必要に応じてポート 995 を開きます。ポート 110 は任意です。
TCP 80 (ACME HTTP-01) & TCP 4190 (Sieve) ポート 80 は Let's Encrypt の自動 HTTP-01 チャレンジに応答し、ポート 4190 は認証付きの ManageSieve フィルター編集 (Thunderbird/Roundcube) を提供します。 Optional / Optional nextxch が Let's Encrypt の HTTP-01 を直接処理する場合はポート 80 を開放してください。ポート 4190 は、ユーザーがデスクトップ クライアントから Sieve スクリプトを管理する場合にのみ公開してください。