E-posta Sunucusu (Mail Server) Kurulumu

Kendi mail sunucusunu kurmak, veri bağımsızlığı, gizlilik ve esnek ölçeklendirme sağlamak isteyen teknik karar vericiler ve kurumlar için kritik bir altyapı adımıdır. E-posta Sunucusu (Mail Server) Kurulumu; SMTP sunucu yapılandırması, IMAP ve POP3 protokolleri ile DNS MX kayıtları gibi standart süreçleri tam hakimiyetle yönetmeyi gerektirir. Bu rehberde, kurumsal e-posta altyapınızı dış bağımlılıklardan arındırarak sıfırdan güvenli şekilde inşa etmenin teknik yöntemlerini ele alacağız. SPF, DKIM ve DMARC ayarları ile e-posta teslimiyet oranı (Email Deliverability) performansını artırmanın ve siber tehditleri engellemenin yollarını keşfedeceksiniz.

Kendi E-posta Sunucunuzu Kurmanın Stratejik Önemi ve Avantajları

1.1. Bulut Tabanlı E-posta Servislerine Alternatif Yaklaşım

Kurumsal iletişimde yaygın olarak kullanılan bulut tabanlı e-posta sağlayıcıları (SaaS), kullanıcı başına lisanslama modeliyle çalışır. İşletme ölçeklendikçe ve personel sayısı arttıkça bu abonelik maliyetleri bütçe üzerinde ciddi bir yük oluşturur. Kendi mail sunucusunu kurmak, bu tür tekrarlayan ve doğrusal artan operasyonel giderleri ortadan kaldıran alternatif bir mimari sunar.

Bulut sağlayıcılarının sunduğu standart paketler genellikle belirli kota limitleri, sınırlı API entegrasyon hakları ve katı e-posta gönderim kısıtlamaları ile birlikte gelir. Örneğin, pazarlama departmanlarının veya işlem e-postaları (transactional emails) gönderen yazılım sistemlerinin günlük gönderim limitlerine takılması yaygın bir sorundur. Özel bir sunucu altyapısı tercih edildiğinde, bu sunucu üzerindeki donanımsal kaynaklar (CPU, RAM, depolama alanı) ve ağ bant genişliği doğrudan kurumun kontrolünde olur. Böylece gönderim limitleri, posta kutusu boyutları ve arşivleme politikaları üçüncü taraf bir şirketin dayatmalarına bağlı kalmadan, tamamen iş ihtiyaçlarına göre özelleştirilebilir.

1.2. Maliyet, Gizlilik ve Kontrol Avantajları

Gizlilik ve veri egemenliği, modern iş dünyasında yasal uyumluluk süreçlerinin temel taşını oluşturmaktadır. Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ve Türkiye'deki Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca, e-posta içeriklerinde yer alan müşteri ve çalışan verilerinin güvenli bir şekilde depolanması gerekir. Üçüncü taraf çok uluslu bulut sağlayıcıları kullanıldığında, hassas verilerin yurt dışındaki sunucularda veya paylaşımlı veri merkezlerinde hangi koşullarda işlendiğini denetlemek oldukça zordur.

Kendi fiziksel donanımınızda veya yerel bir veri merkezindeki sanal sunucunuzda (VPS) barındırdığınız e-posta altyapısı, verilerin coğrafi sınırlarını kesin olarak belirlemenize olanak tanır. Sunucu üzerindeki disklerin tamamı LUKS (Linux Unified Key Setup) gibi sistemlerle donanım seviyesinde şifrelenebilir. Ayrıca posta veritabanı doğrudan SQL veya Maildir formatında kendi kontrolünüzdeki izole disk bölümlerinde tutulduğundan, yetkisiz üçüncü tarafların veya yabancı devlet kurumlarının yasal talepler aracılığıyla verilerinize erişmesi engellenmiş olur. Finansal açıdan bakıldığında, 500 kullanıcılı bir organizasyonun yıllık SaaS e-posta maliyeti binlerce doları bulurken, iyi yapılandırılmış tek bir sunucu ve yedeklilik mimarisiyle bu maliyet neredeyse onda birine indirilebilir.

1.3. Kurulum Öncesi Bilinmesi Gereken Teknik Zorluklar

E-posta sunucusu yönetmek, yüksek düzeyde teknik sorumluluk ve sürekli izleme disiplini gerektirir. Bu altyapıyı kurmak yalnızca paket yükleme işlemlerinden ibaret değildir. Sunucunun 24 saat kesintisiz çalışması, işletim sistemi yamalarının düzenli olarak uygulanması ve olası donanımsal veya ağsal kesintilere karşı felaket kurtarma (disaster recovery) planlarının hazır bulundurulması gerekir.

En büyük operasyonel zorluklardan biri, IP adresinin itibar yönetimidir. Eğer sunucunuzdan dışarıya spam veya zararlı yazılım içeren e-postalar gönderilirse, IP adresiniz Spamhaus, Barracuda veya Spamcop gibi global kara listelere (RBL - Real-time Blackhole List) girebilir. IP'nin kara listeye girmesi, gönderdiğiniz kurumsal e-postaların Gmail, Outlook ve Yahoo gibi büyük sağlayıcılar tarafından anında reddedilmesine yol açar. Bu durumun önüne geçmek için sürekli log analizi yapmak, giden e-posta kuyruğunu (mail queue) denetlemek ve SPF, DKIM, DMARC gibi güvenlik protokollerini kusursuz bir biçimde sürdürmek zorunludur.

Kurulum Öncesi Hazırlıklar ve Ağ Gereksinimleri

2.1. Sabit (Static) IP Adresi ve Sağlayıcı Kısıtlamaları

Bir e-posta sunucusunun dış dünya ile kesintisiz ve güvenli bir şekilde iletişim kurabilmesi için statik (sabit) bir IPv4 ve varsa IPv6 adresine sahip olması şarttır. Dinamik IP adresleri, her yeniden bağlantıda değiştiği ve genellikle ev/ofis internet aboneliklerine atandığı için, diğer e-posta sunucuları tarafından güvenilir kabul edilmez ve doğrudan bloklanır.

Hizmet aldığınız bulut sağlayıcısı veya veri merkezinde IP adresinin atanmasının ardından, Port 25'in (SMTP portu) giden (egress) yönünde açık olduğundan emin olmalısınız. AWS, Google Cloud Platform, Microsoft Azure, Hetzner veya DigitalOcean gibi popüler sağlayıcılar, spam gönderimini engellemek amacıyla yeni oluşturulan hesaplarda ve sunucularda Port 25'i varsayılan olarak engeller. Bu engeli kaldırmak için sağlayıcınızın destek paneli üzerinden kurumsal kimliğinizi ve kullanım amacınızı belirten bir talep (ticket) oluşturmanız gerekir. Sağlayıcı engeli kaldırmadığı takdirde, e-posta gönderimi gerçekleştiremezsiniz. Alternatif olarak, gönderim işlemlerini onaylı bir SMTP aktarıcı (SMTP relay / smart host) servisi üzerinden tünellemek zorunda kalırsınız.

2.2. Alan Adı (Domain) ve Sunucu Konfigürasyonu

E-posta sunucunuzun üzerinde çalışacağı alan adının (domain) DNS yönetim paneline tam erişiminizin olması gerekir. Sunucunuzun sistemi üzerinde tanımlanacak olan ana makine adının (hostname) mutlaka bir Tam Nitelikli Alan Adı (FQDN - Fully Qualified Domain Name) biçiminde yapılandırılması şarttır. Örneğin, kurumsal alan adınız @@CODE0@@ ise, e-posta sunucunuzun hostname değeri @@CODE1@@ olmalıdır.

Sistem kurulumuna geçmeden önce sunucu işletim sistemi içerisindeki yerel host dosyalarının ve sistem yapılandırmasının bu FQDN ile uyumlu hale getirilmesi gerekir. Linux tabanlı bir sistemde @@CODE0@@ dosyasına sadece makine adı olan @@CODE1@@ yazılırken, /etc/hosts dosyasında IP adresinizin karşısına FQDN yazılmalıdır:

127.0.0.1   localhost
192.0.2.55  mail.company.com mail

Bu eşleşme, SMTP el sıkışması (HELO/EHLO) esnasında sunucunuzun kendisini karşı tarafa doğru tanıtmasını sağlar. Bu eşleşmedeki tutarsızlıklar, alıcı sunucunun bağlantıyı güvenlik gerekçesiyle daha ilk saniyede kesmesine yol açar.

2.3. İşletim Sistemi Seçimi (Linux Dağıtımları)

E-posta sunucuları için en kararlı, güvenli ve yaygın kullanılan işletim sistemleri Linux dağıtımlarıdır. Kurumsal ortamlarda genellikle Debian GNU/Linux (özellikle kararlı dal olan Debian 12 Bookworm) veya Ubuntu Server LTS (Ubuntu 24.04 veya 22.04 LTS) tercih edilir. Bu dağıtımlar, hem paket depolarında yer alan güncel e-posta sunucusu yazılımlarının kararlılığı hem de geniş topluluk desteği sayesinde yönetim süreçlerini kolaylaştırır.

RHEL tabanlı alternatifler olan Rocky Linux veya AlmaLinux da kararlı bir altyapı sunar, ancak yapılandırma dosyalarının yolları ve paket yönetim araçları (dnf/yum) Debian tabanlı sistemlerden farklılık gösterir. Sunucu donanımı tarafında ise işlemci ve RAM gereksinimleri, sunucu üzerinde çalışacak ek güvenlik yazılımlarına bağlıdır. Sadece temel Postfix ve Dovecot servisleri için 1 vCPU ve 1 GB RAM yeterliyken; Rspamd, ClamAV (antivirüs) ve veritabanı tabanlı filtreleme mekanizmaları devreye girdiğinde, işletim sisteminin bellek yetersizliğinden (OOM - Out of Memory) kilitlenmemesi için en az 2 vCPU ve 4 GB RAM barındıran bir konfigürasyon tercih edilmelidir.

Hayati DNS Kayıtlarının Yapılandırılması

3.1. MX (Mail Exchange) Kayıtları Nasıl Tanımlanır?

DNS MX kayıtları, alan adınıza gönderilen e-postaların internet üzerinde hangi sunucuya yönlendirileceğini belirten yön tabelalarıdır. MX kaydı olmadan dış dünyadaki hiçbir e-posta sunucusu, alan adınıza ait bir e-posta adresine ([email protected]) nasıl ulaşacağını bilemez.

Alan adınızın DNS yönetim panelinde (Cloudflare, GoDaddy, Namecheap vb.) tanımlayacağınız MX kaydı, doğrudan sunucunuzun FQDN adresini işaret etmelidir. Bu kaydı girerken bir öncelik (priority) değeri belirtmeniz istenir. Öncelik değeri sayısal olarak ne kadar düşükse, e-posta sunucuları öncelikle o adrese teslimat yapmaya çalışır. Tek sunuculu kurulumlarda genellikle tek bir MX kaydı tanımlanır ve öncelik değeri 10 olarak atanır:

3.2. Reverse DNS (PTR) ve A Kaydı Eşleşmesi

E-posta teslim edilebilirliğinin (deliverability) ve sunucu itibarının en kritik unsurlarından biri Reverse DNS (rDNS - Ters DNS) kaydı olan PTR kaydıdır. Normal şartlarda bir DNS A kaydı, bir alan adını IP adresine çözer. PTR kaydı ise tam tersine, IP adresini bir alan adına (FQDN) çözümler.

Alıcı e-posta sunucuları (örneğin Yahoo veya Outlook), kendilerine bağlanan gönderici IP adresinin rDNS kaydını sorgular. Eğer IP adresinin PTR kaydı yoksa veya PTR kaydından dönen değer ile sunucunun SMTP HELO/EHLO aşamasında beyan ettiği hostname (mail.company.com) birebir eşleşmiyorsa, gelen e-posta doğrudan reddedilir veya en iyi ihtimalle "Junk/Spam" klasörüne atılır. PTR kaydı DNS panelinden değil, IP adresini kiraladığınız veri merkezi veya bulut sağlayıcısının yönetim konsolundan (Reverse DNS bölümünden) tanımlanmalıdır:

• A Kaydı: @@CODE0@@ ➔ @@CODE1@@

• PTR Kaydı: @@CODE0@@ ➔ @@CODE1@@

3.3. E-posta Güvenliği İçin SPF Kaydı Oluşturma

Sender Policy Framework (SPF), alan adınız adına hangi IP adreslerinin e-posta göndermeye yetkili olduğunu ilan eden bir TXT kaydıdır. Bu sayede, kötü niyetli kişilerin alan adınızı taklit ederek (email spoofing) sahte e-postalar göndermesi büyük ölçüde engellenir.

SPF kaydı oluştururken, sadece kendi sunucunuzun IP adresini ve varsa kullandığınız diğer meşru servisleri (örneğin CRM sistemleri) belirtmelisiniz. SPF kaydının yapısı şu şekildedir:

v=spf1 ip4:192.0.2.55 -all

Burada kullanılan parametrelerin anlamları şunlardır:

• v=spf1: Bu kaydın SPF sürüm 1 standardında olduğunu belirtir.

• ip4:192.0.2.55: Bu IP adresinden gönderilen e-postaların yasal olduğunu onaylar.

• @@CODE0@@ (Fail): Belirtilen IP adresi dışındaki hiçbir kaynaktan gelen e-postanın kabul edilmemesi gerektiğini kesin bir dille alıcı sunucuya bildirir. Yumuşak bir geçiş için başlangıçta @@CODE1@@ (SoftFail) kullanılabilir, ancak nihai hedef tam güvenlik için -all kuralını uygulamaktır.

3.4. E-posta İmzalama İçin DKIM Yapılandırması

DomainKeys Identified Mail (DKIM), giden e-postaların gövdesine ve başlıklarına (headers) kriptografik bir imza ekleme yöntemidir. Sunucu tarafında oluşturulan bir özel anahtar (private key) ile e-posta imzalanır; bu imzanın doğruluğunu kontrol etmek için kullanılacak genel anahtar (public key) ise DNS üzerinde bir TXT kaydı olarak yayınlanır.

Alıcı sunucu, gelen e-postadaki imzayı alır, alan adınızın DNS'inden DKIM genel anahtarını sorgular ve matematiksel olarak eşleştirme yapar. Eşleşme başarılı ise e-postanın yolda hiçbir şekilde değiştirilmediği (man-in-the-middle saldırısına uğramadığı) ve gerçekten sizin sunucunuzdan çıktığı kanıtlanmış olur. Tipik bir DKIM DNS kaydı bir "selector" (seçici) yardımıyla tanımlanır:

Host: default._domainkey.company.com
Tip: TXT
Değer: v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA0...[Kamu_Anahtarı_Metni]

3.5. Politika Belirleme İçin DMARC Kaydı

Domain-based Message Authentication, Reporting, and Conformance (DMARC), SPF ve DKIM yapılandırmalarını bir şemsiye altında toplayan ve alıcı sunucuya bu doğrulamaların başarısız olması durumunda ne yapması gerektiğini söyleyen bir politika mekanizmasıdır. Ayrıca, alan adınızı taklit etmeye çalışan şüpheli kaynaklar hakkında size düzenli XML raporları (rua/ruf) gönderilmesini sağlar.

DMARC kaydı, DNS üzerinde _dmarc alt alan adında bir TXT kaydı olarak açılır. Örnek bir DMARC politikası şu şekildedir:

Host: _dmarc.company.com
Tip: TXT
Değer: v=DMARC1; p=quarantine; pct=100; rua=mailto:[email protected]

Bu kayıttaki parametreler şu işlevleri görür:

• p=quarantine: SPF veya DKIM doğrulamasından geçemeyen e-postaları doğrudan reddetme (reject), ancak karantinaya/spam klasörüne (quarantine) yönlendir.

• pct=100: Bu politikanın giden e-postaların %100'üne uygulanacağını belirtir.

• rua=mailto:...: Günlük doğrulama raporlarının hangi e-posta adresine gönderileceğini tanımlar.

Adım Adım E-posta Sunucusu Kurulumu

4.1. Postfix ile SMTP Sunucu Kurulumu ve Gönderim Ayarları

Postfix, Linux ekosistemindeki en güvenilir, yüksek performanslı ve yapılandırılması kolay SMTP (Simple Mail Transfer Protocol) sunucu yazılımlarından biridir. Görevi, e-postaların dış dünyaya gönderilmesini ve dışarıdan gelen e-postaların kabul edilmesini sağlamaktır.

Debian veya Ubuntu tabanlı bir sunucuda Postfix kurulumuna başlamak için aşağıdaki komutlar terminalde çalıştırılır:

sudo apt update
sudo apt install postfix -y

Kurulum esnasında karşınıza çıkan mavi ekranda "Mail Server Configuration" tipi olarak Internet Site seçilmeli ve ardından "System mail name" kısmına FQDN adresiniz olan @@CODE0@@ girilmelidir. Kurulum tamamlandıktan sonra ana yapılandırma dosyası olan @@CODE1@@ dosyası düzenlenmelidir. Güvenli bir SMTP sunucu yapılandırması için dosyada şu satırlar yer almalıdır:

# /etc/postfix/main.cf
myhostname = mail.company.com
mydomain = company.com
myorigin = $mydomain
inet_interfaces = all
inet_protocols = ipv4
mydestination = $myhostname, localhost.$mydomain, localhost

# Open Relay Olmayı Engelleme (Sadece Yerel Ağ ve Yetkililer)
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
relay_domains =

# Dovecot SASL Kimlik Doğrulama Entegrasyonu
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth
smtpd_sasl_auth_enable = yes
smtpd_recipient_restrictions = permit_sasl_authenticated, permit_mynetworks, reject_unauth_destination

Yapılandırma dosyasındaki mynetworks ayarında sadece lokal adreslerin (localhost) tanımlı olması kritiktir. Aksi takdirde sunucunuz bir "Open Relay" haline gelir, yani dünyadaki herkes sizin sunucunuz üzerinden kimlik doğrulaması yapmadan e-posta gönderebilir. Bu durum sunucunuzun birkaç saat içinde kara listelere girmesine yol açar.

4.2. Dovecot ile IMAP ve POP3 Alım Protokollerinin Yapılandırılması

Dovecot, gelen e-postaları sunucu üzerinde depolayan ve istemcilerin (Outlook, Thunderbird, mobil cihazlar vb.) bu e-postalara IMAP ve POP3 protokolleri ile güvenli bir şekilde erişmesini sağlayan açık kaynaklı bir sunucu yazılımıdır.

Dovecot paketlerini sisteme yüklemek için aşağıdaki komut çalıştırılır:

sudo apt install dovecot-imapd dovecot-pop3d -y

Kurulum sonrasında yapılması gereken ilk iş, e-postaların disk üzerinde nasıl depolanacağını seçmektir. Modern sistemlerde, her e-postanın ayrı bir dosya olarak kaydedildiği ve veritabanı bozulma riskini sıfıra indiren Maildir formatı tercih edilmektedir. /etc/dovecot/conf.d/10-mail.conf dosyası açılarak ilgili satır şu şekilde düzenlenir:

mail_location = maildir:~/Maildir

Ardından, şifresiz (plain-text) kimlik doğrulamalarını engellemek ve kullanıcıların yalnızca SSL/TLS üzerinden bağlanmasına izin vermek için /etc/dovecot/conf.d/10-auth.conf dosyası düzenlenir:

disable_plaintext_auth = yes
auth_mechanisms = plain login

Son olarak, Postfix ile Dovecot arasında kimlik doğrulama köprüsü kurmak amacıyla /etc/dovecot/conf.d/10-master.conf dosyasındaki ilgili servis bölümü şu şekilde yapılandırılır:

service auth {
  unix_listener /var/spool/postfix/private/auth {
    mode = 0660
    user = postfix
    group = postfix
  }
}

4.3. SSL/TLS Sertifikaları ile Şifreli Bağlantı Sağlama (Let's Encrypt)

E-posta trafiğinin ağ üzerinden havada yakalanıp (sniffing) okunmasını engellemek için tüm SMTP, IMAP ve POP3 trafiğinin end-to-end şifrelenmesi şarttır. Let's Encrypt, alan adınız için tamamen ücretsiz ve güvenilir SSL/TLS sertifikaları edinmenin en kolay yoludur.

Certbot aracını yükleyip sertifika almak için şu adımları izleyin:

sudo apt install certbot -y
sudo certbot certonly --standalone -d mail.company.com

Bu komut, sunucu üzerinde geçici bir web sunucusu çalıştırarak @@CODE0@@ adresi için SSL sertifikalarını @@CODE1@@ dizinine indirir. Elde edilen bu sertifikaları hem Postfix hem de Dovecot üzerinde tanımlamamız gerekir.

Postfix için /etc/postfix/main.cf dosyasına şu SSL yönlendirmeleri eklenir:

smtpd_use_tls = yes
smtpd_tls_cert_file = /etc/letsencrypt/live/mail.company.com/fullchain.pem
smtpd_tls_key_file = /etc/letsencrypt/live/mail.company.com/privkey.pem
smtpd_tls_security_level = may

Dovecot tarafında ise /etc/dovecot/conf.d/10-ssl.conf dosyası şu şekilde güncellenir:

ssl = required
ssl_cert = </etc/letsencrypt/live/mail.company.com/fullchain.pem
ssl_key = </etc/letsencrypt/live/mail.company.com/privkey.pem

Her iki servisi de yeniden başlatarak ayarları etkinleştirin:

sudo systemctl restart postfix
sudo systemctl restart dovecot

Güvenlik, Anti-Spam ve Performans Optimizasyonu

5.1. Rspamd veya SpamAssassin ile Spam Filtreleme

Gelen kutunuzun istenmeyen reklamlar, oltalama (phishing) e-postaları ve virüslerle dolmasını önlemek için sunucunuza entegre bir spam filtresi eklemeniz gerekir. Tarihsel olarak SpamAssassin bu alanda standart olsa da, günümüzde modern mimarisi, düşük bellek tüketimi ve yüksek hızı sebebiyle C ve Lua dilleriyle yazılmış Rspamd tercih edilmektedir.

Rspamd, gelen e-postaları SPF/DKIM/DMARC uyumluluğu, kelime analizi, DNS blacklist sorguları ve yapay zeka tabanlı Bayes filtreleri dahil olmak üzere yüzlerce teste tabi tutar ve her e-postaya bir spam puanı verir. Kurulumu gerçekleştirmek için resmi repolardan yükleme yapılır ve Postfix ile haberleşmesi için bir "milter" (mail filter) olarak /etc/postfix/main.cf dosyasına eklenir:

# Postfix Rspamd Entegrasyonu
smtpd_milters = inet:127.0.0.1:11332
non_smtpd_milters = inet:127.0.0.1:11332
milter_default_action = accept

Rspamd, web arayüzü üzerinden de kolayca yönetilebilir. @@CODE0@@ komutuyla bir şifre oluşturduktan sonra, tarayıcınızdan sunucu IP'sinin @@CODE1@@ portuna bağlanarak hangi e-postaların neden spam olarak işaretlendiğini ve güncel istatistikleri canlı olarak izleyebilirsiniz.

5.2. Fail2ban ile Brute-Force Saldırılarına Karşı Koruma

E-posta sunucunuz internete açıldığı andan itibaren, siber saldırganların otomatik botları tarafından kullanıcı şifrelerini tahmin etmeye yönelik kaba kuvvet (brute-force) saldırılarına maruz kalacaktır. Bu durum hem sunucu işlemci kaynaklarını tüketir hem de zayıf şifreye sahip hesapların ele geçirilmesine yol açar.

Fail2ban, sistem günlüklerini (logs) gerçek zamanlı tarayarak belirli bir sürede (örneğin 5 dakika içinde) SMTP veya IMAP protokollerine üst üste hatalı giriş yapmaya çalışan IP adreslerini tespit eder ve bu IP'leri sunucu güvenlik duvarı (Firewall) seviyesinde geçici veya kalıcı olarak engeller. Fail2ban kurulumu ve yapılandırması:

sudo apt install fail2ban -y

/etc/fail2ban/jail.local dosyası oluşturulup içerisine Postfix ve Dovecot için özel koruma kuralları eklenir:

[postfix-sasl]
enabled = true
port = smtp,ssmtp,submission
filter = postfix-sasl
logpath = /var/log/mail.log
maxretry = 5
bantime = 86400

[dovecot]
enabled = true
port = pop3,pop3s,imap,imaps
filter = dovecot
logpath = /var/log/mail.log
maxretry = 5
bantime = 86400

Bu kurallar sayesinde, 5 kez hatalı şifre denemesi yapan bir saldırganın IP adresi otomatik olarak 24 saat boyunca engellenir.

5.3. Güvenlik Duvarı (Firewall) Kuralları

E-posta sunucusunun güvenliğini sağlamanın temel adımlarından biri, sadece ihtiyaç duyulan portları dış dünyaya açmak ve diğer tüm giriş kapılarını kapatmaktır. Linux üzerinde UFW (Uncomplicated Firewall) kullanarak bu kuralları kolayca yönetebiliriz.

E-posta trafiği ve sunucu yönetimi için açık olması gereken standart portlar şunlardır:

Bu kuralları UFW üzerinde uygulamak için sırasıyla şu komutlar çalıştırılır:

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp
sudo ufw allow 25/tcp
sudo ufw allow 465/tcp
sudo ufw allow 587/tcp
sudo ufw allow 993/tcp
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable

E-posta Teslimiyet Oranı (Deliverability) Testleri ve İzleme

6.1. MXToolbox ve Mail-tester ile Sunucu Testi Yapma

Kurulum bittikten ve tüm DNS kayıtları aktif edildikten sonra, sunucunun gönderdiği e-postaların kalitesini ve teslimat başarısını ölçmek gerekir. Bu işlem için en popüler iki araç MXToolbox ve Mail-tester platformlarıdır.

Mail-tester web sitesine girdiğinizde size tek seferlik, rastgele bir e-posta adresi verilir. Yeni kurduğunuz mail sunucusu üzerinden bu adrese örnek bir içerik barındıran e-posta gönderirsiniz. Sistem, gönderdiğiniz e-postayı analiz ederek 10 üzerinden bir skor üretir. Bu raporda şunlar kontrol edilir:

1. SPF, DKIM ve DMARC Uyumu: İmzaların geçerliliği ve DNS doğrulaması.

2. RBL Kara Liste Durumu: Sunucu IP adresinin dünya çapındaki 200'den fazla kara listede olup olmadığı.

3. SpamAssassin/Rspamd Skoru: E-posta gövdesindeki kodlama hataları veya şüpheli kelimeler.

4. Kırık Bağlantılar ve HTML Hataları: E-posta şablonunda yer alan geçersiz linkler.

Hedefiniz, Mail-tester üzerinde 10/10 skorunu yakalamaktır. Eksiklerinizi buradaki rapor yönlendirmelerine bakarak hızlıca düzeltebilirsiniz.

6.2. Log Dosyalarını Takip Etme ve Hata Ayıklama (Troubleshooting)

E-posta gönderiminde veya alımında bir sorun yaşandığında, kulaktan dolma bilgilerle tahminde bulunmak yerine doğrudan sistem günlüklerine (logs) bakılmalıdır. Linux üzerinde e-posta trafiği ile ilgili tüm işlemler @@CODE0@@ (Debian/Ubuntu) veya @@CODE1@@ (RHEL) dosyasına yazılır.

E-posta kuyruğunu anlık olarak izlemek ve hataları yakalamak için şu terminal komutları kullanılır:

# Canlı mail log akışını izleme
sudo tail -f /var/log/mail.log

# Log dosyasında sadece belirli bir adrese ait hataları arama
sudo grep "[email protected]" /var/log/mail.log

En sık karşılaşılan hatalardan biri olan "Relay access denied" uyarısı, gönderici kullanıcının SMTP kimlik doğrulaması (SASL) yapmadan mail göndermeye çalıştığını veya sunucu ayarlarında mynetworks dışındaki bir IP adresinden istek yapıldığını gösterir. "Connection timed out" hatası ise genellikle alıcı sunucunun Port 25 üzerinden gelen istekleri güvenlik duvarıyla engellediğine veya sizin sunucunuzun dışarıya giden Port 25 trafiğinin servis sağlayıcı tarafından bloke edildiğine işaret eder.

Sürdürülebilir E-posta Yönetimi ve Operasyonel Tavsiyeler

7.1. Sürdürülebilir E-posta Yönetimi İçin En İyi Uygulamalar

Kendi e-posta sunucunuzu hayata geçirdikten sonra, sistemin uzun vadede sorunsuz çalışabilmesi için düzenli bakım süreçleri planlanmalıdır. Disk doluluk oranları en kritik izleme parametrelerinden biridir. Maildir dizinlerinde biriken e-postalar ve ekleri, zamanla disk alanını tamamen doldurabilir. Disk dolduğunda, mail kuyruğu kilitlenir ve sunucu yeni e-posta kabul etmeyi durdurur. Bu sebeple disk kullanımını ve kota aşım durumlarını günlük olarak denetleyen izleme araçları (Prometheus, Grafana veya basit cron script'leri) yapılandırılmalıdır.

Ayrıca, sunucu üzerinde barındırılan tüm posta kutularının ve /etc/ altındaki konfigürasyon dosyalarının otomatik yedekleme (backup) planlaması yapılmalıdır. Yedeklerin mutlaka sunucu dışında, farklı bir coğrafi veri merkezinde veya bulut depolama alanında (örneğin güvenli bir S3 uyumlu depolamada) saklanması gerekir. İşletim sistemi ve güvenlik paketlerinin (özellikle OpenSSL, Postfix ve Dovecot güncellemelerinin) en az haftada bir kez kontrol edilerek güncellenmesi, sıfır gün (zero-day) açıklarına karşı sunucunuzu korumanın en etkili yoludur.