Docker-Mailserver 在 Traefik 代理后实现邮件收发的完整解决方案

背景介绍

在使用 Docker-Mailserver 作为邮件服务器时，很多用户会选择将其部署在 Traefik 反向代理之后。这种架构虽然提供了灵活性和安全性，但在处理邮件收发时却会遇到一些特殊的技术挑战。本文将深入分析这些问题的根源，并提供一套完整的解决方案。

核心问题分析

当 Docker-Mailserver 部署在 Traefik 代理后，主要面临两个关键问题：

1. PROXY 协议支持问题：Traefik 使用 PROXY 协议向后端传递客户端真实 IP 信息，而 Postfix 默认不识别这种协议格式。

2. 多端口服务冲突：当同时配置标准端口和代理端口时，Postfix 的 postscreen 服务会出现资源锁冲突，导致服务无法正常启动。

详细解决方案

1. 基础配置调整

首先需要在 docker-compose.yml 中正确配置 Traefik 的标签，确保流量正确转发：

labels:
  - "traefik.enable=true"
  - traefik.tcp.routers.mail-smtp.entrypoints=mail-smtp
  - traefik.tcp.routers.mail-smtp.rule=HostSNI(`*`)
  - traefik.tcp.routers.mail-smtp.service=mail-smtp
  - traefik.tcp.services.mail-smtp.loadbalancer.server.port=12525
  - traefik.tcp.services.mail-smtp.loadbalancer.proxyProtocol.version=2

2. Postfix 多端口配置

通过 user-patches.sh 脚本创建支持 PROXY 协议的额外端口：

#!/bin/bash

# 为 submissions 服务创建 10465 端口并启用 PROXY 协议
postconf -Mf submissions/inet | sed -e s/^submissions/10465/ -e 's/submissions/submissions-proxyprotocol/' >> /etc/postfix/master.cf
postconf -P 10465/inet/smtpd_upstream_proxy_protocol=haproxy

# 为 smtp 服务创建 12525 端口并启用 PROXY 协议
postconf -Mf smtp/inet | sed -e s/^smtp/12525/ >> /etc/postfix/master.cf
postconf -P 12525/inet/postscreen_upstream_proxy_protocol=haproxy 12525/inet/syslog_name=smtp-proxyprotocol

3. 解决 postscreen 锁冲突

在 postfix-main.cf 中添加以下配置，解决多个 postscreen 实例的资源锁冲突：

postscreen_cache_map = proxy:btree:$data_directory/postscreen_cache

4. Fetchmail 配置调整

对于需要通过 Fetchmail 收取外部邮件的场景，有两种可选方案：

方案一：直接连接到 Traefik 代理

set postmaster "[e-mail]"
poll "mail.example.net" with protocol IMAP
    user "username" with password "password"
    smtphost traefik  # 指向 Traefik 服务
    ssl

方案二：保持本地连接，但需确保 postscreen 配置正确

set postmaster "[e-mail]"
poll "mail.example.net" with protocol IMAP
    user "username" with password "password"
    smtphost localhost  # 直接连接本地 Postfix
    ssl

技术原理深入

1. PROXY 协议：这是一种在代理环境中传递原始客户端信息的协议，通过在 TCP 连接建立后立即发送一个包含原始信息的头部来实现。

2. postscreen 冲突：当同时运行多个 postscreen 实例时，它们会尝试独占访问同一个缓存文件。通过 proxy: 前缀的缓存映射配置，Postfix 能够识别并正确处理这种多实例场景。

3. 端口分流：通过创建专用代理端口，我们实现了外部流量（通过 Traefik）和内部流量的分离，确保每种连接都能得到正确处理。

最佳实践建议

1. 在生产环境中，建议定期检查 postscreen 服务的日志，确保没有异常情况。

2. 对于高流量场景，可以考虑调整 postscreen 的缓存设置以提高性能。

3. 保持 Docker-Mailserver 和 Traefik 的版本更新，以获取最新的安全补丁和功能改进。

4. 在配置变更后，建议进行全面的邮件收发测试，包括从外部发送邮件和通过 Fetchmail 收取邮件。

通过这套完整的解决方案，用户可以在 Traefik 代理后稳定运行 Docker-Mailserver，同时支持多种邮件收发场景，既保证了安全性，又确保了服务的可靠性。