第 01 章入门管理：#pNetwork

系统架构、零重启热重载与端口矩阵

nextxch 将 ESMTP、IMAP4rev2、POP3、JMAP、CalDAV/CardDAV、WBXML 移动推送、ManageSieve、Webmail PWA 和 GoBD WORM 归档统一在单个原生进程中（空闲 RSS 约 40 MB）。管理控制台（/admin/）中几乎所有设置都无需重启服务即可生效，并自动同步到各集群节点。

运维提示与架构说明

在边界防火墙上只开放必需的端口。现代纯 TLS 部署只需 5 个核心端口（25、443、465、587、993）。除非旧式内部设备无法在端口 993 上使用隐式 TLS，否则请保持端口 143 禁用。

边界防火墙快速设置（UFW & Windows PowerShell）

开放 5 个必需的入站 TCP 端口（25、443、465、587、993），另加用于 Let's Encrypt HTTP-01 的端口 80。

参考 / 配置

# Linux (UFW)
sudo ufw allow 25,80,443,465,587,993/tcp

# Windows Server (PowerShell als Administrator)
New-NetFirewallRule -DisplayName "nextxch Core Ports" `
  -Direction Inbound -Protocol TCP -LocalPort 25,80,443,465,587,993 -Action Allow

设置、默认值与最佳实践

设置 / 位置	说明	默认值	生产环境最佳实践
`ServerHostName (#pNetwork)`	在 ESMTP 220 问候语、出站 EHLO/HELO、Autodiscover 响应和 TLS 诊断中通告的公网 FQDN。0 ms 内生效，无需重启。	`mail.<DefaultDomain>`	请始终使用专用的主机 FQDN（例如 mail.company.com），并使其与公网 IPv4/IPv6 反向 DNS (PTR) 记录 1:1 一致。
`TCP 25 (ESMTP MX Inbound & Outbound)`	服务器到服务器的入站 MX 接收和出站 MX 投递，支持机会性/强制 STARTTLS 以及 RFC 3030 CHUNKING/BDAT。	`Aktiv (Pflicht) / Enabled`	同时允许入站和出站 TCP 25（请确认 ISP 已解封端口 25）。端口 25 上的明文 AUTH 默认禁用，请保持禁用。
`TCP 443 (HTTPS: Webmail, Admin, Push, DAV)`	提供 Webmail PWA (/mail/)、管理控制台 (/admin/)、JMAP、CalDAV/CardDAV (/dav/)、移动推送 (/Microsoft-Server-ActiveSync) 和 Send API。	`Aktiv (Pflicht) / Enabled`	通过 Kestrel 直接提供服务并内置 Let's Encrypt，或部署在 HAProxy/Nginx/pfSense SSL 网关之后，支持 X-Forwarded-For / PROXY 协议。
`TCP 465 (SMTPS) & TCP 587 (Submission)`	面向桌面/移动 MUA、扫描仪和多功能一体机的经身份验证的客户端邮件提交（465 按 RFC 8314 使用隐式 TLS，587 使用 STARTTLS）。	`Beide aktiv / Both enabled`	对现代客户端优先使用端口 465（按 RFC 8314 从第 0 个字节开始的隐式 TLS），同时保持端口 587 开放，供 STARTTLS 扫描器和 ERP 系统使用。
`TCP 993 (IMAPS) & TCP 143 (IMAP)`	IMAP4rev2 邮箱访问，IDLE 推送低于 5 ms，并支持与 Apple Notes 双向同步（993 隐式 TLS，143 显式 STARTTLS）。	`993 aktiv, 143 optional`	保持端口 993 开放；尽可能在公网接口上关闭端口 143，使客户端永远不会尝试未加密连接。
`TCP 995 (POP3S) & TCP 110 (POP3)`	符合 RFC 1939 的 POP3，支持 STLS、SASL (PLAIN, LOGIN)、稳定的 UIDL 和 TOP，适用于旧式客户端（995 隐式 TLS，110 STLS）。默认关闭；IMAP 仍是推荐的协议。	`Aus (Standard) / Off by default`	在“管理 > 网络”（"POP3" 卡片）中启用，无需重启，可全局启用，也可按域或用户启用。如有需要，请开放端口 995；端口 110 为可选。
`TCP 80 (ACME HTTP-01) & TCP 4190 (Sieve)`	端口 80 响应自动化的 Let's Encrypt HTTP-01 质询；端口 4190 提供经过认证的 ManageSieve 过滤器编辑（Thunderbird/Roundcube）。	`Optional / Optional`	如果 nextxch 直接处理 Let's Encrypt HTTP-01，请开放端口 80；仅当用户需要从桌面客户端管理 Sieve 脚本时才开放端口 4190。