VDS Üzerinde Mail Sunucusu Kurmadan Önce Bilmeniz Gerekenler

Kendi mail sunucusunuzu bir VDS üzerinde çalıştırmak; tam kontrol, sınırsız hesap ve verinin sizde kalması gibi cazip avantajlar sunar. Ancak e-posta, kurulumu kolay ama doğru işletmesi zor servislerin başında gelir. Postfix'i kurmak bir saat sürer; e-postalarınızın spam klasörüne değil gelen kutusuna ulaşmasını sağlamak ise ters DNS, IP itibarı, doğrulama kayıtları ve sürekli izleme gerektirir. Bu yazıda kuruluma başlamadan önce bilmeniz gereken her şeyi ve hangi durumda hazır bir kurumsal e-posta hizmetinin daha doğru seçim olduğunu anlatıyoruz.

Bir Mail Sunucusu Hangi Bileşenlerden Oluşur?

"Mail sunucusu" tek bir yazılım değil, birlikte çalışan bir servisler bütünüdür:

Bu bileşenleri tek tek kurmak yerine Mailcow, iRedMail veya Mail-in-a-Box gibi hazır, açık kaynak paketler de kullanılabilir. Bu paketler kurulumu kolaylaştırır ama aşağıda anlatılan teslim edilebilirlik sorumluluklarını ortadan kaldırmaz.

Kullanılan Portlar ve Port 25 Politikaları

Mail sunucusu birden fazla porttan hizmet verir. Güvenlik duvarında yalnızca gerçekten kullandıklarınızı açın:

• 25 (SMTP): Sunucular arası e-posta aktarımı. Gelen e-posta için mutlaka açık olmalı; giden e-posta da bu porttan diğer sunuculara bağlanır.
• 587 (Submission): E-posta istemcilerinin kimlik doğrulamalı gönderimi (STARTTLS).
• 465 (SMTPS): Doğrudan TLS ile kimlik doğrulamalı gönderim.
• 993 (IMAPS): TLS ile IMAP erişimi.
• 995 (POP3S): TLS ile POP3 erişimi.
• 143 ve 110: Şifrelenmemiş IMAP ve POP3; mümkünse kapalı tutun.

Portların dışarıdan erişilebilir olup olmadığını port kontrol aracımızla test edebilirsiniz.

Giden port 25 kısıtlamaları

İlk sürprizlerden biri genellikle burada yaşanır. Birçok bulut ve sunucu sağlayıcısı, spam gönderimini önlemek amacıyla yeni hesaplarda giden port 25 bağlantılarını varsayılan olarak kısıtlar veya talep üzerine açar. Kısıtlama varsa sunucunuz e-posta alabilir ama diğer sunuculara e-posta teslim edemez; giden kuyruk "Connection timed out" hatalarıyla dolar.

Kurulumdan önce sağlayıcınıza port 25 politikasını sorun. Giden bağlantıyı sunucunuzdan şu şekilde test edebilirsiniz:

nc -vz -w 5 gmail-smtp-in.l.google.com 25

Bağlantı kuruluyorsa giden SMTP açıktır. Zaman aşımı alıyorsanız kısıtlama veya güvenlik duvarı kuralı söz konusudur. Port 25'in kalıcı olarak kapalı olduğu ortamlarda giden e-postayı kimlik doğrulamalı bir SMTP aktarma (relay/smarthost) servisi üzerinden göndermek bir seçenektir.

Ters DNS (PTR) ve Hostname Uyumu

Alıcı sunucuların ilk kontrollerinden biri, bağlanan IP adresinin ters DNS kaydıdır. Gmail ve Outlook gibi büyük sağlayıcılar PTR kaydı olmayan veya genel görünümlü (ör. IP adresinden türetilmiş) bir PTR'a sahip IP'lerden gelen e-postaları reddedebilir ya da spama atabilir.

Doğru yapılandırma üç parçanın uyumudur:

1. Sunucunun hostname'i: mail.example.com
2. Bu adın A kaydı sunucu IP'sine çözülür: mail.example.com → 203.0.113.20
3. IP'nin PTR kaydı aynı adı döndürür: 203.0.113.20 → mail.example.com

Bu karşılıklı eşleşmeye FCrDNS (Forward-Confirmed reverse DNS) denir. Ayrıca Postfix'in SMTP oturumunda kendini tanıttığı HELO/EHLO adı da bu hostname olmalıdır:

# /etc/postfix/main.cf
myhostname = mail.example.com
smtpd_banner = $myhostname ESMTP

Kontrol için:

dig +short -x 203.0.113.20
dig +short mail.example.com A

PTR kaydı alan adı panelinizden değil, IP adresinin sahibi olan sağlayıcıdan ayarlanır. Ayrıntılar için Reverse DNS (PTR) kaydı nedir yazımıza bakabilirsiniz.

SPF, DKIM ve DMARC Zorunludur

Kendi sunucunuzdan e-posta gönderiyorsanız doğrulama kayıtları artık seçenek değil gerekliliktir. Büyük e-posta sağlayıcıları kimlik doğrulaması olmayan e-postalara karşı giderek daha katı davranmaktadır. En azından şunlar hazır olmalıdır:

• Sunucu IP'nizi içeren tek bir SPF kaydı
• 2048 bit anahtarla DKIM imzalama ve DNS'te yayınlanmış açık anahtar
• İzleme modunda başlayıp kademeli olarak sıkılaştırılan bir DMARC politikası

Kayıtların söz dizimi ve kurulum sırası için SPF, DKIM ve DMARC rehberimizi izleyebilir, sonucu e-posta doğrulama aracımızla kontrol edebilirsiniz.

IP İtibarı ve Kara Listeler

Alıcı sunucular, e-postayı gönderen IP adresinin geçmişine bakar. Yeni tahsis edilmiş bir IP'nin henüz bir itibarı yoktur; daha önce spam göndermiş bir IP'nin ise kötü bir geçmişi olabilir.

Kurulumdan önce IP'yi kontrol edin

Mail sunucusu kuracağınız IP'nin yaygın DNS tabanlı kara listelerde (DNSBL) olup olmadığını önceden kontrol edin. Blacklist kontrol aracımız IP'nizi birçok listede tek seferde sorgular. Listede çıkan bir IP ile başlamak, ilk günden teslim sorunları yaşamanız anlamına gelir; listenin kaldırma (delisting) prosedürünü izlemeniz gerekir.

IP ısıtma (warm-up)

Yeni bir IP'den bir anda binlerce e-posta göndermek şüphe uyandırır. Gönderim hacmini günler ve haftalar içinde kademeli olarak artırın. İlk dönemde etkileşimi yüksek, alıcıların beklediği e-postalarla başlamak itibarın sağlıklı oluşmasına yardım eder.

İtibarı koruyan alışkanlıklar

• Açık röle (open relay) olmadığınızı doğrulayın; kimlik doğrulaması olmadan dışarıya e-posta aktarmayın.
• Zayıf parolalı hesaplar ele geçirilip spam gönderiminde kullanılabilir; güçlü parola ve hız sınırı uygulayın.
• Web sitelerindeki iletişim formlarının bot tarafından istismar edilmesini CAPTCHA ve hız sınırıyla önleyin.
• Toplu bülten gönderimini işlem e-postalarından (sipariş, şifre sıfırlama) ayırın.
• Geri dönen (bounce) adresleri listeden temizleyin.

Güvenlik ve Sürekli Bakım

Mail sunucusu internetin en çok taranan servislerinden biridir. Kurulumdan dakikalar sonra SMTP ve IMAP portlarına kaba kuvvet denemeleri başlar. Temel önlemler şunlardır:

• Fail2ban ile Postfix ve Dovecot kimlik doğrulama hatalarını izleyip saldırgan IP'leri engelleyin. Ayrıntılar için Fail2ban rehberimize bakabilirsiniz.
• Tüm istemci bağlantılarında TLS zorunlu kılın ve geçerli bir sertifika kullanın.
• İşletim sistemi ve mail yazılımlarını düzenli güncelleyin.
• Posta kutularını düzenli yedekleyin ve geri yüklemeyi test edin.
• Kuyruğu ve günlükleri izleyin; ani kuyruk büyümesi genellikle ele geçirilmiş bir hesabın işaretidir.

# Postfix kuyruğunu görüntüleme
mailq
# Teslim hatalarını günlükte arama (Ubuntu/Debian)
sudo grep -E "status=(deferred|bounced)" /var/log/mail.log | tail -n 20

AlmaLinux'ta günlük dosyası /var/log/maillog'dur.

Kaynak ihtiyacı

Yalnızca Postfix ve Dovecot'tan oluşan sade bir kurulum az kaynakla çalışır. Ancak spam filtresi, antivirüs ve webmail eklendiğinde bellek ihtiyacı belirgin şekilde artar; ClamAV virüs imza veritabanını belleğe yüklediği için tek başına yüksek RAM tüketebilir. Tam özellikli bir paket kullanacaksanız seçtiğiniz paketin resmi minimum gereksinimlerini kontrol edin ve bellekte pay bırakın. Disk tarafında posta kutularının büyüme hızını ve yedekleme alanını hesaba katın.

Kurulum Öncesi Kontrol Listesi

Yazılım kurulumuna geçmeden önce aşağıdaki maddelerin tamamını işaretleyebiliyorsanız sağlam bir zemindesiniz:

1. Sağlayıcınızın giden port 25 politikasını öğrendiniz ve bağlantıyı test ettiniz.
2. Sunucu IP'si kara listelerde görünmüyor.
3. Hostname belirlendi (ör. mail.example.com) ve A kaydı oluşturuldu.
4. IP'nin PTR kaydı bu hostname'e ayarlandı ve FCrDNS doğrulandı.
5. MX kaydının yeni sunucuyu göstereceği zaman planlandı; mevcut posta kutularının taşınma yöntemi belirlendi.
6. SPF, DKIM ve DMARC kayıtları hazırlandı.
7. Geçerli bir TLS sertifikası (ör. Let's Encrypt) için alan adı doğrulaması hazır.
8. Yedekleme hedefi ve izleme (kuyruk, disk, kara liste) için bir düzen kuruldu.

Bu listedeki maddelerin birkaçı belirsiz kalıyorsa, kurulumu ertelemek ve eksikleri tamamlamak sonradan itibar düzeltmekle uğraşmaktan çok daha kolaydır.

Kendi Sunucunuz mu, Kurumsal E-posta mı?

Kendi mail sunucunuzu işletmek mantıklıdır eğer ekibinizde bu işi takip edecek teknik bilgi varsa, özel entegrasyonlara ihtiyacınız varsa veya verinin tamamen kendi sunucunuzda kalmasını istiyorsanız. Bunun için özel IP adresli VDS sunucular sağlam bir temel sunar.

Öte yandan e-posta işiniz için kritikse ve mail yönetimine zaman ayıramıyorsanız, kurumsal e-posta hizmeti daha doğru tercihtir. Web sitenizi VDS'te çalıştırırken e-postayı ayrı bir hizmette tutmak, iki servisin birbirini etkilemesini de önler: sitenizdeki bir güvenlik açığı e-posta altyapınızı riske atmaz.

Sık Sorulan Sorular

Mail sunucusu kurdum, e-postalarım neden spama düşüyor?

En yaygın nedenler eksik PTR kaydı, hatalı veya eksik SPF/DKIM/DMARC, kara listedeki IP ve yeni IP'den yüksek hacimli gönderimdir. Bu sırayla kontrol edin.

Giden e-postalarım kuyrukta bekliyor, neden?

Giden port 25 sağlayıcı veya güvenlik duvarı tarafından kısıtlanmış olabilir. nc ile dış bir mail sunucusuna port 25 bağlantısını test edin; kısıtlama varsa sağlayıcınızla görüşün veya bir SMTP aktarma servisi kullanın.

PTR kaydını nereden ayarlarım?

PTR kaydı IP adresinin sahibi olan sağlayıcı tarafından tanımlanır. Destek talebiyle veya sağlayıcınızın panelinden istediğiniz ana makine adını belirtebilirsiniz.

Aynı VDS'te web sitesi ve mail sunucusu çalışabilir mi?

Teknik olarak evet; kontrol panelleri bunu varsayılan olarak yapar. Ancak yoğun siteler ve kritik e-posta için servisleri ayırmak hem performans hem güvenlik açısından daha sağlıklıdır.

IP'm kara listeye girerse ne yapmalıyım?

Önce nedeni bulun ve giderin: ele geçirilmiş hesap, istismar edilen form veya açık röle. Ardından ilgili listenin kaldırma prosedürünü izleyin. Nedeni gidermeden yapılan kaldırma talebi kısa sürede tekrar listelenmenizle sonuçlanır.

Mail sunucusu kurmak teknik olarak zor değildir; zor olan onu yıllarca güvenilir şekilde işletmektir. Port 25 politikası, PTR uyumu, doğrulama kayıtları ve IP itibarı baştan doğru kurgulanırsa VDS üzerinde sağlıklı bir e-posta altyapısı çalıştırabilirsiniz. Bu yükü üstlenmek istemiyorsanız e-postayı hazır bir hizmete bırakıp sunucunuzu asıl işinize ayırmak çoğu işletme için en verimli yoldur.