NGINX配置邮件代理服务器

本文将说明如何将NGINX Plus或NGINX开源配置为邮件服务器或外部邮件服务的代理。

介绍

NGINX可以将IMAP，POP3和SMTP协议代理到承载邮件帐户的上游邮件服务器之一，因此可以用作电子邮件客户端的单个端点。这可能带来许多好处，例如：

轻松扩展邮件服务器的数量
根据不同的规则选择邮件服务器，例如，根据客户的IP地址选择最近的服务器
在邮件服务器之间分配负载

先决条件

NGINX Plus（已包含代理电子邮件流量所必需的Mail模块）或NGINX开源使用--with-mail用于电子邮件代理功能的--with-mail_ssl_module参数和用于SSL / TLS支持的参数编译了Mail模块：
```
$ ./configure --with-mail --with-mail_ssl_module --with-openssl = [ DIR ] /openssl-1.1.1
```
IMAP，POP3和/或SMTP邮件服务器或外部邮件服务

配置SMTP / IMAP / POP3邮件代理服务器

在NGINX配置文件中：

创建一个顶级mail上下文（在与http上下文相同的级别上定义）：
```
邮件 { ＃... 
}
```

使用server_name指令指定邮件服务器的名称：

邮件 { server_name  mail.example.com ; ＃... 
}

使用auth_http指令指定HTTP认证服务器。身份验证服务器将对电子邮件客户端进行身份验证，选择上游服务器进行电子邮件处理，并报告错误。请参阅为邮件代理设置身份验证。
```
邮件 { server_name  mail.example.com ; auth_http    本地主机：9000 /cgi-bin/nginxauth.cgi ; ＃... 
}
```

或者，通过指定proxy_pass_error_message指令来指定是否从认证服务器通知用户错误。当邮箱内存不足时，这可能很方便：

邮件 { server_name  mail.example.com ; auth_http    本地主机：9000 /cgi-bin/nginxauth.cgi ;proxy_pass_error_message  在；＃... 
}

使用这些server块配置每个SMTP，IMAP或POP3服务器。对于每个服务器，请指定：
- 与带有指令的指定协议相对应的端口号listen
- 带有指令的协议protocol（如果未指定，将从指令中指定的端口自动检测到listen）
- 允许的身份验证方法有imap_auth，pop3_auth和smtp_auth指令：
```
服务器 { 收听    25 ; 协议  smtp ; smtp_auth  登录 普通 cram-md5 ;
} 服务器 { 监听    110 ; 协议  pop3 ; pop3_auth  普通 apop  cram-md5 ;
}服务器 { 监听   143 ; 协议 imap ;
}
```

设置邮件代理的身份验证

来自客户端的每个POP3 / IMAP / SMTP请求都将首先在外部HTTP身份验证服务器上或通过身份验证脚本进行身份验证。Nginx邮件服务器代理必须具有验证服务器。您可以根据基于HTTP协议的NGINX身份验证协议自行创建服务器。

如果身份验证成功，则身份验证服务器将选择上游服务器并重定向请求。在这种情况下，来自服务器的响应将包含以下几行：

HTTP / 1.0 200 OK
身份验证状态：确定
Auth-Server：<主机> ＃将用于邮件处理的上游服务器的服务器名称或IP地址
Auth-Port：<port> ＃上游服务器的端口

如果身份验证失败，则身份验证服务器将返回错误消息。在这种情况下，来自服务器的响应将包含以下几行：

HTTP / 1.0 200 OK
身份验证状态：<消息> ＃返回到客户端的错误消息，例如“无效的登录名或密码”身份
验证等待：<number> ＃直到连接关闭为止剩余的身份验证尝试次数

请注意，在两种情况下，响应都将包含HTTP / 1.0 200 OK，这可能会造成混淆。

从该验证服务器请求和响应的更多示例，请参阅ngx_mail_auth_http_module在NGINX参考文档。

为邮件代理设置SSL / TLS

使用SSL / TLS上的POP3 / SMTP / IMAP，请确保在客户端和邮件服务器之间传递的数据受到保护。

为邮件代理启用SSL / TLS：

通过在命令行中键入命令，然后在输出中查找该行，确保已为NGINX配置了SSL / TLS支持。nginx -Vwith --mail_ssl_module
```
$ nginx -V
配置参数：... with--mail_ssl_module
```
确保已获取服务器证书和私钥，并将它们放在服务器上。可以从可信证书颁发机构（CA）获得证书，也可以使用SSL库（例如OpenSSL）生成证书。
使用ssl指令为邮件代理启用SSL / TLS 。如果在mail上下文中指定了伪指令，则将为所有邮件代理服务器启用SSL / TLS。您还可以使用以下starttls指令启用STLS和STARTTLS ：
```
ssl  on ;
```
要么
```
STARTTLS  上;
```
添加SSL证书：使用ssl_certificate指令指定证书的路径（必须采用PEM格式），并在指令中指定私钥的路径ssl_certificate_key：
```
邮件 { ＃... ssl_certificate      /etc/ssl/certs/server.crt ; ssl_certificate_key  /etc/ssl/certs/server.key ;
}
```
您可以通过ssl_protocols和ssl_ciphers指令仅使用SSL / TLS的强版本和密码，也可以设置自己喜欢的协议和密码：
```
邮件 { ＃... ssl_protocols  TLSv1  TLSv1.1  TLSv1.2 ; ssl_ciphers    HIGH：！aNULL：！MD5 ;
}
```

为邮件代理优化SSL / TLS

这些提示将帮助您使NGINX邮件代理更快，更安全：

通过将worker_processes指令设置为与mail上下文相同的级别，设置工作进程的数量等于处理器的数量：
```
worker_processes  自动;
邮件 { ＃... 
}
```

使用以下ssl_session_cache指令启用共享会话缓存并禁用内置会话缓存：

worker_processes  自动;邮件 { ＃... ssl_session_cache  shared：SSL：10m ; ＃... 
}

（可选）您可以5使用以下ssl_session_timeout指令来延长会话生存时间（默认情况下为分钟）：

worker_processes  自动;邮件 { ＃... ssl_session_cache    shared：SSL：10m ; ssl_session_timeout  10m ; ＃... 
}

完整的例子

worker_processes  自动;邮件 { server_name  mail.example.com ; auth_http    本地主机：9000 /cgi-bin/nginxauth.cgi ;proxy_pass_error_message  在；ssl                  on ; ssl_certificate      /etc/ssl/certs/server.crt ; ssl_certificate_key  /etc/ssl/certs/server.key ; ssl_protocols        TLSv1  TLSv1.1  TLSv1.2 ; ssl_ciphers          HIGH：！aNULL：！MD5 ; ssl_session_cache    shared：SSL：10m ; ssl_session_timeout  10m ;服务器 { 收听     25 ; 协议   smtp ; smtp_auth   登录 普通 cram-md5 ; }服务器 { 监听    110 ; 协议  pop3 ; pop3_auth  普通 apop  cram-md5 ;
}服务器 { 监听   143 ; 协议 imap ; }
}

在此示例中，有三个电子邮件代理服务器：SMTP，POP3和IMAP。每个服务器都配置有SSL和STARTTLS支持。SSL会话参数将被缓存。

代理服务器使用HTTP身份验证服务器-其配置超出了本文的范围。来自服务器的所有错误消息将返回给客户端。