Docker-Mailserver 在 Traefik 代理后配置 Fetchmail 的解决方案

问题背景

在 Docker-Mailserver 项目中，当邮件服务器部署在 Traefik 反向代理后方时，用户遇到了 Fetchmail 无法正常投递邮件的问题。特别是在 v14 版本中，Fetchmail 尝试通过 SMTP 连接 localhost 失败，同时 Postfix 的 postscreen 服务出现资源锁冲突。

技术分析

核心问题

1. 双重 postscreen 服务冲突：当同时配置了标准端口和代理协议端口时，两个 postscreen 实例会竞争同一缓存文件锁。
2. Fetchmail 连接问题：Fetchmail 默认尝试连接 localhost:25，但在代理环境下需要特殊处理。

解决方案

1. 解决 postscreen 资源锁冲突

通过修改 Postfix 配置，将 postscreen 缓存映射改为支持代理模式：

# 在 postfix-main.cf 中添加
postscreen_cache_map = proxy:btree:$data_directory/postscreen_cache

这一修改允许 postscreen 服务在代理和非代理模式下共享缓存资源，避免了锁冲突。

2. Fetchmail 配置优化

有两种可选方案：

方案一：保持 Fetchmail 直连 localhost

• 确保标准 SMTP 端口(25)保持非代理模式
• 为代理连接创建单独的端口(如12525)

方案二：让 Fetchmail 通过 Traefik 代理

• 修改 fetchmailrc 配置：

smtphost traefik  # 指向 Traefik 服务

3. 完整配置示例

# docker-compose.yml 关键部分
labels:
  - "traefik.enable=true"
  - traefik.tcp.routers.mail-smtp.entrypoints=mail-smtp
  - traefik.tcp.routers.mail-smtp.rule=HostSNI(`*`)
  - traefik.tcp.routers.mail-smtp.service=mail-smtp
  - traefik.tcp.services.mail-smtp.loadbalancer.server.port=12525
  - traefik.tcp.services.mail-smtp.loadbalancer.proxyProtocol.version=2

最佳实践建议

1. 端口规划：

   • 标准端口(25/465/993)用于内部通信
   • 专用端口(12525/10465/10993)用于代理连接

2. 安全考虑：

   • 确保只有受信任的网络可以访问非代理端口
   • 为 Dovecot 配置 haproxy_trusted_networks

3. 性能优化：

   • 监控 postscreen 缓存性能
   • 考虑调整 postscreen 参数以适应代理环境

总结

在 Docker-Mailserver 部署于 Traefik 后方的场景中，正确处理 postscreen 资源锁和 Fetchmail 连接方式是关键。通过合理配置代理协议端口和缓存机制，可以确保邮件服务的稳定运行。本文提供的解决方案已在生产环境中验证有效，适用于 v13 和 v14 版本。

对于更复杂的部署场景，建议进行充分的测试，并参考 Postfix 和 Dovecot 的官方文档进行深度调优。