Docker-Mailserver 邮件服务器在 Traefik 代理下的配置问题解析

问题背景

在使用 Docker-Mailserver 项目搭建邮件服务器时，许多用户选择通过 Traefik 反向代理来管理邮件服务的网络流量。近期有用户反馈在 Traefik v3 环境下出现了邮件接收问题，表现为 SMTP 连接超时和 POSTGREET 错误。

核心问题分析

当用户尝试通过 Traefik v3 代理访问 Docker-Mailserver 的 SMTP 服务时，遇到了以下典型症状：

1. 客户端工具（如 swaks）能够建立 TCP 连接，但在发送 HELO 命令后出现 30 秒超时
2. 服务器日志显示 POSTGREET 错误，表明客户端在 SMTP 问候阶段发送了不符合预期的命令
3. 最终连接被服务器主动断开

根本原因

经过技术分析，这个问题主要源于 Traefik 代理配置与 SMTP 协议特性的不匹配：

1. STARTTLS 与隐式 TLS 混淆：SMTP 协议支持两种 TLS 加密方式，需要明确区分
2. 代理协议版本不兼容：Proxy Protocol v2 的配置需要前后端一致
3. Traefik 路由规则不当：特别是 TLS 设置与 SMTP 协议阶段不匹配

解决方案

1. 明确区分端口用途

SMTP 服务需要区分几个关键端口：

• 25 端口：用于明文 SMTP 或 STARTTLS
• 465 端口：用于隐式 TLS (SMTPS)
• 587 端口：提交端口（通常需要认证）

2. 正确的 Traefik 配置示例

对于 SMTP 25 端口（STARTTLS）：

- "traefik.tcp.routers.smtp.rule=HostSNI(`*`)"
- "traefik.tcp.routers.smtp.entrypoints=smtp"
- "traefik.tcp.routers.smtp.service=smtp"
- "traefik.tcp.services.smtp.loadbalancer.server.port=25"
- "traefik.tcp.services.smtp.loadbalancer.proxyProtocol.version=2"
- "traefik.tcp.routers.smtp.tls=false"  # 关键配置

对于 SMTPS 465 端口（隐式 TLS）：

- "traefik.tcp.routers.smtps.rule=HostSNI(`*`)"
- "traefik.tcp.routers.smtps.entrypoints=smtps"
- "traefik.tcp.routers.smtps.service=smtps"
- "traefik.tcp.services.smtps.loadbalancer.server.port=465"
- "traefik.tcp.services.smtps.loadbalancer.proxyProtocol.version=2"
- "traefik.tcp.routers.smtps.tls=true"  # 关键配置

3. Postfix 主配置调整

确保 Postfix 的 master.cf 文件中相关服务配置正确，特别是：

• smtp/inet 服务应启用 postscreen
• submission/inet 服务应配置为启用 SASL 认证
• smtps/inet 服务应配置为隐式 TLS

最佳实践建议

1. 协议阶段清晰划分：严格区分 STARTTLS 和隐式 TLS 的配置
2. 逐步验证：先验证基础 SMTP 功能，再逐步添加 TLS 和代理协议
3. 日志监控：密切关注 Postfix 和 Traefik 的日志输出
4. 版本兼容性：注意 Docker-Mailserver 与 Traefik 版本的匹配性

总结

Docker-Mailserver 与 Traefik 的集成需要特别注意 SMTP 协议的特性和代理配置的细节。通过正确区分协议阶段、合理配置代理参数，并确保前后端设置一致，可以构建稳定可靠的邮件服务架构。对于遇到类似问题的用户，建议按照上述方案逐步检查和调整配置。