简介Foxmail Server For Windows v2.0 公测版面向需要在 Windows 环境下搭建邮件服务的个人与小型团队提供 SMTP、POP3、LDAP 与 MIME 支持可通过 Foxmail、Outlook 等客户端或全中文 Web 界面收发和处理邮件管理员亦能借助 Web 页面完成日常维护。压缩包共 2 个文件主要为 exe 安装程序与 htm 说明网页整体约 7.9MB便于快速部署试用。已有 286 人学习或下载。该版本采用多线程、异步 Socket、缓存与快速队列机制强调邮件快速收发、准确投递和大附件内网传输单机可支持一万用户、每日处理八十万封本地邮件。需要注意的是此包为公测试用版产品号 ST-TEST、用户数 8仅供测试不提供注册、技术支持与升级服务。读者可据此了解早期国产邮件服务器的功能结构、部署方式与性能设计适合做兼容性测试、学习和方案参考。1. 一套能塞进 Windows 服务列表的邮件服务器先解决内网发信这件事内网系统要发告警邮件接公网邮箱会被限流、被退信出问题连日志都拿不到做联调时又不敢真往客户邮箱里灌测试数据。这时候一台自己能管的邮件服务器就成了刚需。这份 v2.0 公测版安装包把 SMTP、POP3、IMAP 三个服务端打包成一个 Windows 下可直接运行的服务器软件解压、注册服务、开账号半小时内就能让一封测试邮件从应用端发到客户端收件箱。它适合三类人要给内网应用搭一条稳定发信通道的后端开发者、要在课堂上演示完整收发链路的教学场景、以及小型团队想省掉公网邮箱年费又不想上 Linux 的运维。不适合拿它对外提供公共邮箱注册后面对垃圾邮件和中继的处理会把边界讲清楚。2. 拆开安装包看目录五个目录对应五类故障拿到一个.rar的 Windows 服务端最忌讳的就是直接双击里面的 exe。公测版这类包往往没有安装向导或者向导只做了一半真正的配置全在解压出来的目录里。先把目录按职责归类后面出任何问题你都能第一时间定位到该翻哪个文件夹。2.1 按「可执行 / 配置 / 队列 / 存储 / 日志」五类归位解压后大概率是这么几类目录名字不一定和我写的一模一样按职责对号入座就行。目录职责常见命名里面放什么出事时的典型表现可执行Bin/Program服务端主程序、管理控制台、命令行工具服务起不来、控制台连不上配置Conf/Config域名、账号、策略的持久化文件改完重启失效、账号莫名丢失队列Spool/Queue待投递邮件、临时文件、失败件邮件卡住、磁盘暴涨存储Store/Mailbox每个账号的正文与索引能登录但看不到历史邮件日志Log/TraceSMTP/POP3 会话记录、投递记录排障完全没有证据Bin里的东西一般有两三个一个是带-service参数能被服务管理器拉起的主程序一个是图形化的管理控制台可能还有一个命令行建号工具。管理控制台不要当成长期在线的组件它连的是服务端进程控制台关掉不影响收信这一点和很多人的直觉相反。Conf是整个部署里最值钱的目录。公测版常见的做法是把域名、账号、策略分别存成几个纯文本文件而不是塞进数据库。好处是你diff一下就知道谁改了配置坏处是并发写没有锁控制台和手工编辑同时进行很容易把文件写坏。我的习惯是先停服务再改文件改完用控制台的「重载配置」而不是「重启服务」这样能立刻看出解析有没有报错。Spool和Store要分清楚前者是「还没投递成功的」后者是「已经落盘的」。很多人备份只备份了Store结果迁移过去之后队列里几百封正在重试的邮件全丢了这个亏我吃过一次。Log目录建议单独挂一块盘或者至少限制大小SMTP 会话日志在高并发下一天涨几个 G 是常事。2.2 为什么它必须注册成 Windows 服务而不是双击运行双击 exe 也能起来但你只要注销当前用户进程就跟着会话一起被杀掉了。Windows 的交互式会话Session 1 及以后在用户登出时会销毁而服务运行在 Session 0不受登录状态影响。这是邮件服务器必须做成服务的第一层原因。第二层原因是启动顺序。机器重启之后如果邮件服务没有设成自动启动应用侧的定时任务可能在服务还没起来的时候就开始发信然后拿到一堆连接拒绝。第三层是失败恢复Windows 服务管理器可以配置「第一次失败重启、第二次失败重启、之后每天重置计数」双击运行的进程崩了就是崩了没人管。注册服务用sc.exe就够了注意等号后面必须有一个空格这是很多人第一次写就翻车的地方。# 注册为自动启动服务binPath 里的 -service 参数是让主程序以服务模式运行 sc.exe create MailSrv binPath C:\MailServer\Bin\MailSrv.exe -service start auto DisplayName Mail Server v2.0 # 补一个描述方便以后在服务列表里认出它 sc.exe description MailSrv SMTP/POP3/IMAP 服务端内网测试环境 # 失败恢复崩溃后 60 秒重启每天重置一次失败计数 sc.exe failure MailSrv reset 86400 actions restart/60000/restart/60000/restart/60000参数说明binPath后面整串是一个字符串路径有空格必须整体加引号start auto是开机自启demand是手动failure的三个动作按「第一次/第二次/后续」顺序生效restart/60000表示等 60 秒再拉起。配完之后用sc.exe qc MailSrv复核一遍别信自己手打的命令。还有一个容易忽略的点服务的登录账户。默认是 LocalSystem权限最大能读写任何目录测试环境图省事可以这么用。但如果改成 NetworkService就必须确认它对Conf、Spool、Store三个目录有修改权限否则会出现「控制台里加账号成功、重启后账号没了」这种玄学问题——写文件失败了但界面没报错。2.3 端口与协议25、110、143 谁先占谁这套服务端监听的核心端口就那么几个装机前先搞清楚占用关系能省掉一半的排障时间。协议默认端口加密端口用途高发冲突对象SMTP25465服务器之间投递、客户端提交系统自带的 SMTP 虚拟服务器、其他 MTASubmission587-认证后提交推荐给客户端用少见POP3110995把邮件拉到本地其他邮件服务、部分备份软件IMAP143993多端同步、只拉头少见25 是最容易撞的。Windows 上好几种角色都会悄悄起一个 SMTP 监听装完邮件服务发现「服务启动三秒后自动停止」日志里一个10048就是端口被占了。查占用的命令比图形化工具快得多# 一次性看四个端口谁在监听OwningProcess 是 PID Get-NetTCPConnection -LocalPort 25,110,143,587 -ErrorAction SilentlyContinue | Select-Object LocalAddress,LocalPort,State,OwningProcess # 拿 PID 反查进程名和路径 Get-Process -Id 上一步的PID | Select-Object Id,ProcessName,Path参数说明-LocalPort可以接数组一次查多个-ErrorAction SilentlyContinue是为了端口没人监听时不刷一屏红字。IPv6 双栈监听时LocalAddress会显示::有些人只看了0.0.0.0就以为端口是空闲的结果一启动就冲突。提示如果这台机器以后要接公网25 端口出站大概率会被上游封掉客户端提交统一走 587服务器间投递再单独谈第四节会讲中继怎么配。3. 跑通第一封信从端口预占到客户端登录的完整动作装完不等于能用。这一节按真实顺序走一遍环境检查、最小配置、手工发一封信、客户端收下来。走完这一遍后面所有问题都能用同样的路径复现。3.1 装之前先做四项环境检查跳过检查直接装的十有八九会在半小时后卡在某个莫名其妙的地方。四项检查分别是主机名与解析、端口占用、防火墙、磁盘与目录权限。# 1) 主机名必须是能在内网解析的名字不要用 localhost 或 IP 当 HELO 名 hostname ipconfig /all | findstr /i IPv4 主机名 # 2) 端口占用同上确认 25/110/143/587 干净 Get-NetTCPConnection -LocalPort 25,110,143,587 -ErrorAction SilentlyContinue | Select-Object LocalAddress,LocalPort,State,OwningProcess # 3) 只对内网网段放行别一上来就 Any New-NetFirewallRule -DisplayName MailSMTP-In -Direction Inbound -Protocol TCP -LocalPort 25,587 -RemoteAddress 10.0.0.0/8 -Action Allow New-NetFirewallRule -DisplayName MailPOPIMAP-In -Direction Inbound -Protocol TCP -LocalPort 110,143 -RemoteAddress 10.0.0.0/8 -Action Allow # 4) 确认服务账户对三个数据目录有写权限 icacls C:\MailServer\Conf icacls C:\MailServer\Store参数说明-RemoteAddress 10.0.0.0/8限定内网来源测试阶段不要图省事写Any否则一台配置有问题的机器几小时内就会被扫成开放中继。icacls输出里看有没有(M)或(F)只有(RX)就说明写不进去。主机名那一步特别值得多说一句。很多人在测试机上把机器名设成WIN-TEST01这种带下划线的默认名结果 SMTP 会话里的 HELO 域名被对方直接判定为非法退信理由是「域名格式不正确」。主机名要能被 A 记录解析形如mail.lab.local这是后面 DNS 那一节的前提。3.2 最小配置集域名、账号、邮箱三级模型这类 Windows 邮件服务端的配置模型基本都是三级先有一个域domain域下面挂账号account账号下面才是邮箱mailbox。漏掉任何一级客户端都会报「认证失败」或「用户不存在」而这两种报错在日志里长得几乎一样很容易查错方向。配置层级关键字段示例说明服务hostnamemail.lab.local会话里 HELO 用的名字需可解析服务max_message_size20480单封信上限单位 KB域namelab.local收件人后面的部分域postmasterpostmasterlab.local退信和告警的落点必须真实存在域catch_all同上收到不存在的收件人时兜底测试期很有用账号usertest01lab.local完整地址不是用户名账号quota_mb512超配额后 POP3 会直接报错配置文件大致长这样字段名以包内实际为准含义对应即可[server] hostname mail.lab.local smtp_port 25 submission_port 587 pop3_port 110 imap_port 143 max_message_size 20480 ; 单封信 20MB 上限 queue_retry 3 ; 投递失败重试次数 queue_expire_hours 48 ; 超过 48 小时直接退信 [domain] name lab.local postmaster postmasterlab.local catch_all postmasterlab.local [account] user test01lab.local password ******** quota_mb 512配置完先别急着开客户端用管理控制台的「测试域」功能跑一次自检它会检查域是否存在、postmaster 能不能解析、存储目录能不能写。这一步能挡掉后面 60% 的低级故障。改完配置记得点重载而不是直接重启重载失败会留在日志里重启失败你就只剩一个起不来的服务。3.3 用 swaks 手工走一遍 SMTP 会话图形化客户端会把所有细节藏起来第一次联调必须手工发一封。没有 swaks 的话telnet也能用但 swaks 一行就能指定发件人、收件人、主题、超时更适合反复试。# 最小可用的一次投递-f 发件人-t 收件人--server 目标地址 swaks --to test01lab.local \ --from applab.local \ --server 10.0.0.21:25 \ --header Subject: 联调测试 001 \ --body hello from app server \ --timeout 10 # 需要认证的 587 端口加上账号密码 swaks --to test01lab.local \ --from applab.local \ --server 10.0.0.21:587 \ --auth LOGIN \ --auth-user applab.local \ --auth-password ****** \ --header Subject: 认证投递测试参数说明--timeout 10很重要默认超时很长端口被防火墙 drop 的时候你会干等--auth LOGIN是最常见的认证方式服务端如果只开了 PLAIN 就换成 PLAIN密码里有特殊字符必须用单引号包住。swaks 会打印完整的会话过程包括服务器的每一行响应这比看日志直观得多。会话里的关键响应码记住几个就够排障了响应码含义排障方向220服务就绪正常250命令成功正常354开始传正文正常421服务不可用或连接数超限看并发限制、看是否被拉黑450 / 451临时失败稍后重试队列会堆积查下游550拒收用户不存在或策略拒绝查账号是否存在、查中继开关554被判定为垃圾或拒绝中继查 SPF、查是否开放中继550是最常见的但它有两种完全不同的含义一种是收件人真的不存在另一种是服务端认为你在滥用。区别在响应文本里User unknown和Relay access denied是两码事前者去查账号后者去查中继白名单。3.4 客户端接入POP3 和 IMAP 的参数差异发得出去不代表收得回来。客户端接入时 POP3 和 IMAP 的差别不只是端口行为也不一样。维度POP3110/995IMAP143/993同步方式下载到本地默认下载后服务器删除双向同步服务器保留多端使用不适合容易互相覆盖适合手机和电脑看到一致流量每次都拉全量可只拉邮件头正文按需排障关键点配额满了会直接-ERR索引损坏会导致「能登录但列表空」测试期我一般先用 POP3 验证链路通不通因为它简单一封就是一封确认没问题再切 IMAP因为 IMAP 的索引文件一旦损坏表现是客户端能登录、文件夹也有但列表永远是空的很容易误判成服务端没收到信。这时候去Store目录看对应账号下的文件数和大小如果文件在而列表空就是索引的事删索引让它重建即可。4. 出得去也进得来DNS 三件套、中继与防滥用开关内网自己发自己配完账号就通了。但只要收件人在外网问题立刻变成三个对方怎么找到我、凭什么信我、我怎么把信送出去。这一节按这三件事拆。4.1 MX、A、SPF 三件套的配置逻辑三条记录各管一件事缺一条就有一类故障。记录作用示例值缺了会怎样A把邮件服务器主机名解析成 IPmail.lab.local → 10.0.0.21客户端连不上HELO 校验失败MX告诉别人这个域的邮件投给谁lab.local MX 10 mail.lab.local外部邮件根本找不到你SPF声明哪些 IP 有权代表这个域发信vspf1 ip4:203.0.113.10 -all你的信大概率进垃圾箱PTRIP 反查到主机名10.0.0.21 → mail.lab.local大厂邮箱直接拒收或降权验证命令很直接# 查 MX 是否指向你期望的主机 dig short MX lab.local # 查 A 记录是否和实际 IP 一致 dig short A mail.lab.local # 查 SPF 文本注意 TXT 可能有多个只取以 vspf1 开头的 dig short TXT lab.local # 反查 PTR这一条自己改不了要找 IP 的提供方设置 dig short -x 203.0.113.10参数说明short只输出结果不输出报文头适合脚本里用-x是反向查询参数是 IP 而不是域名。SPF 里的-all表示「不在列表里的一律失败」测试阶段如果还没定死出口 IP可以先写~all软失败避免把自己人全拦掉。注意PTR 记录只能由 IP 段的提供方设置自己在内网 DNS 里加没用。这一条是所有「信发出去了但进垃圾箱」问题里权重最高的比正文写得好不好重要得多。4.2 没有公网出口时用中继转发绝大多数内网环境根本没有 25 端口的出站权限硬配只会看到队列一直重试。正确做法是配中继本地服务器收下邮件认证后转交给一台能出网的邮件网关。[relay] enabled true host smtp.relay.internal port 587 auth true username relayuser password ******** rewrite_from true ; 把内网发件人改写成中继允许的地址 starttls true参数说明rewrite_from是关键开关很多中继服务只允许你用认证账号对应的发件人内网应用用applab.local发出去会被 550 拒掉打开改写后统一变成中继认可的身份。starttls在 587 端口上基本都是必须的服务端证书是自签的话还要在客户端侧配信任否则握手直接失败。配完中继一定要做一次「定向测试」先给内网账号发一封确认本地投递正常再给外网地址发一封确认中继链路正常。这两件事分开测否则出了问题不知道是本地投递坏了还是中继坏了。4.3 防中继滥用的开关组合开放中继是这类小体量邮件服务端最容易踩的坑。一旦被人扫到几小时内就会变成发垃圾邮件的跳板然后你的 IP 进黑名单正常业务也跟着完蛋。上线前必须做一次自测# 用未认证会话尝试向一个外部域投递 # 期望结果550 / 553 拒绝而不是 250 接受 swaks --to someoneexample.com \ --from alab.local \ --server 10.0.0.21:25 \ --timeout 10如果这条命令返回 250 并且对方真收到了说明你的服务器是开放中继立刻回去改配置。需要打开的开关大致是这些配置项建议值作用require_auth_for_relaytrue未认证会话一律不许发往外部域allow_relay_networks10.0.0.0/8只给内网应用服务器免认证白名单max_rcpt_per_message50单封信收件人上限防批量投递rate_limit_per_ip100/h单 IP 每小时发信量防脚本刷greyliston首次投递延迟几分钟能挡掉相当一部分机器发信白名单这一项要克制。我见过为了图方便直接写0.0.0.0/0的等于把认证彻底关掉前面所有配置全白做。灰度上线时先把白名单设成具体几台应用服务器的 IP稳定运行一周后再考虑放宽。5. 避坑与排查五条血泪记录每条都有现象和后悔药下面五条是这类 Windows 邮件服务端最常撞的每条按「现象 → 原因 → 解决」写。不保证覆盖全部但覆盖了能让你少熬两个晚上。5.1 服务启动三秒后自动停止日志只有一个 10048现象net start MailSrv之后立刻提示服务已停止事件查看器里能看到WSAEADDRINUSE错误码 10048。 原因25 端口被别的进程占了。最常见的不是别的邮件软件而是 Windows 自带的 SMTP 相关组件或者某个安全软件的邮件防护模块在 25 上挂了个代理监听。也有人是自己之前装过一版没卸干净老进程还在后台跑。 解决按 2.3 的命令找到 PID 反查进程能停就停不能停就让邮件服务换端口把 SMTP 挪到 2525客户端统一走 587。如果是安全软件挂钩把邮件服务的可执行文件加进排除列表。千万别用「重启大法」糊过去端口冲突重启一百次还是冲突。5.2 信发出去了对方说没收到或者直接进了垃圾箱现象本地日志显示250 queued队列也清空了但对方邮箱里找不到或者躺在垃圾邮件文件夹。 原因按概率排一是没有 PTR 反解二是 SPF 记录缺失或和实际出口 IP 对不上三是 HELO 名用了内网机器名甚至 IP。公测版这类服务端通常没有内置 DKIM 签名能力所以在「身份可信」这件事上天然吃亏只能靠前面三条补齐。 解决先dig -x确认反解再dig TXT确认 SPF最后回头看 SMTP 日志里的 HELO 行是不是 FQDN。三条都对了还是进垃圾箱那就是内容或发送量的问题——短时间内给同一个域发几十封、正文全是链接和图片都会被降权。业务侧加快递制别让一个账号包打天下。5.3 中文附件名变乱码正文变成一大坨 base64现象客户端收到的邮件主题正常但附件名是?GB2312?B?...?这种原始编码串或者正文整段是看不懂的字符。 原因编码声明和实际字节不一致。发信端按 UTF-8 编码服务端按本地代码页GBK处理或者反过来附件名没有按 RFC 2231 做分段编码长中文名一定会断在中间。 解决先统一客户端的发信编码为 UTF-8 Base64再换一个客户端交叉验证——如果 A 客户端乱码、B 客户端正常问题就在发信端而不在服务端。附件名的处理上短中文名用 encoded-word 一般能过超过一定长度必须走 RFC 2231 的filename*UTF-8写法这条在公测版上不一定实现完整测试阶段建议附件名用英文加数字。5.4 重启之后账号「消失」了现象控制台里明明加过账号服务重启后登录报认证失败回去看账号列表是空的。 原因两种可能。一是控制台加账号时只写进了内存或临时文件没有真正落盘到Conf下的账号文件界面上看着有重启就没了。二是落盘失败了但错误被吞掉——典型场景是服务账户改成了 NetworkService而Conf目录的 ACL 只给了 Administrator 写权限。 解决加完账号后立刻去看Conf下账号文件的修改时间时间没变就是没写进去再用icacls检查服务账户权限。养成一个习惯改完配置先点「保存并重载」然后用另一个账号登录验证一遍别等重启后才发现问题。5.5 队列目录涨到几十个 G收发全停现象Spool/queue下文件数疯涨客户端发信超时服务端 CPU 不高但磁盘 IO 打满。 原因下游某个域不可达或者一直返回 4xx重试没有上限邮件在队列里越堆越多同时没有配queue_expire_hours失败件永远不清。还有一种情况是某个应用在死循环发信每封都投递失败。 解决先把队列目录整体复制一份出来再动手别直接删然后看日志里出现最多的 4xx 是哪个域把那个域单独拉黑或者走中继。配置侧补上queue_retry、queue_expire_hours和单账号发信速率限制三个一起加才有效——只加重试次数不加上限等于把爆炸时间往后推了几个小时。6. 上线前的自检一个脚本把发信、收信、账号三件事一次验完手工用 swaks 发一封只能证明「这一刻链路是通的」。真正上线前我一般会跑一遍批量自检拿一份账号清单逐个发信、逐个收信、比对封数。哪一步断了输出里能直接看到是哪个账号、卡在发信还是收信。import csv, smtplib, poplib, time from email.mime.text import MIMEText from email.header import Header HOST 10.0.0.21 SMTP_PORT, POP3_PORT 25, 110 SENDER, PASSWORD probelab.local, ****** def send(to): 发一封纯文本自检信UTF-8 Base64 编码避免中文乱码干扰判断 msg MIMEText(自检邮件收到即代表链路正常, plain, utf-8) msg[Subject] Header(自检 time.strftime(%H%M%S), utf-8) msg[From], msg[To] SENDER, to with smtplib.SMTP(HOST, SMTP_PORT, timeout10) as s: s.ehlo(probe.lab.local) # HELO 名必须是可反解的 FQDN别用 IP s.login(SENDER, PASSWORD) # 服务端未开认证可去掉这行 s.sendmail(SENDER, [to], msg.as_string()) def fetch(user, pwd): 只取邮件封数不下正文速度快且不会改服务器上的已读状态 p poplib.POP3(HOST, POP3_PORT, timeout10) p.user(user) p.pass_(pwd) count, _ p.stat() p.quit() return count with open(accounts.csv, newline, encodingutf-8) as f: for row in csv.DictReader(f): # 表头需含 email / password 两列 try: send(row[email]) print(row[email], 收件箱封数:, fetch(row[email], row[password])) except Exception as e: print(FAIL, row[email], repr(e)) # 失败不中断继续跑下一个参数说明timeout10必加端口被防火墙 drop 时默认超时会让你以为脚本卡死ehlo()里的名字要和 DNS 里的 A 记录一致写 IP 会被对方降权p.stat()返回的第二个值是邮箱字节数排障时顺手打出来能判断是不是只有空邮件。accounts.csv一张表就够两列email,password跑完把FAIL开头的行单独拉出来就是一份待修清单。这套脚本我一般会在三个时间点各跑一次刚装完、改完 DNS 和中继之后、正式切流量之前。第二次跑最关键因为 DNS 生效有延迟手工测容易测到缓存里的旧记录脚本连续跑三轮能看出结果是不是稳定收敛。血泪经验是第一次部署时我图快只手工发了一封给 postmaster 就宣布上线结果第二天应用侧的告警邮件全堆在队列里——原因是那台应用服务器不在中继白名单网段里。从那以后我每次上线前都强制走一遍这个脚本并且账号清单里一定带上应用侧的真实发件账号而不是只用我自己建的测试号。希望帮到你。本文还有配套的精品资源点击获取
简介Foxmail Server For Windows v2.0 公测版面向需要在 Windows 环境下搭建邮件服务的个人与小型团队提供 SMTP、POP3、LDAP 与 MIME 支持可通过 Foxmail、Outlook 等客户端或全中文 Web 界面收发和处理邮件管理员亦能借助 Web 页面完成日常维护。压缩包共 2 个文件主要为 exe 安装程序与 htm 说明网页整体约 7.9MB便于快速部署试用。已有 286 人学习或下载。该版本采用多线程、异步 Socket、缓存与快速队列机制强调邮件快速收发、准确投递和大附件内网传输单机可支持一万用户、每日处理八十万封本地邮件。需要注意的是此包为公测试用版产品号 ST-TEST、用户数 8仅供测试不提供注册、技术支持与升级服务。读者可据此了解早期国产邮件服务器的功能结构、部署方式与性能设计适合做兼容性测试、学习和方案参考。1. 一套能塞进 Windows 服务列表的邮件服务器先解决内网发信这件事内网系统要发告警邮件接公网邮箱会被限流、被退信出问题连日志都拿不到做联调时又不敢真往客户邮箱里灌测试数据。这时候一台自己能管的邮件服务器就成了刚需。这份 v2.0 公测版安装包把 SMTP、POP3、IMAP 三个服务端打包成一个 Windows 下可直接运行的服务器软件解压、注册服务、开账号半小时内就能让一封测试邮件从应用端发到客户端收件箱。它适合三类人要给内网应用搭一条稳定发信通道的后端开发者、要在课堂上演示完整收发链路的教学场景、以及小型团队想省掉公网邮箱年费又不想上 Linux 的运维。不适合拿它对外提供公共邮箱注册后面对垃圾邮件和中继的处理会把边界讲清楚。2. 拆开安装包看目录五个目录对应五类故障拿到一个.rar的 Windows 服务端最忌讳的就是直接双击里面的 exe。公测版这类包往往没有安装向导或者向导只做了一半真正的配置全在解压出来的目录里。先把目录按职责归类后面出任何问题你都能第一时间定位到该翻哪个文件夹。2.1 按「可执行 / 配置 / 队列 / 存储 / 日志」五类归位解压后大概率是这么几类目录名字不一定和我写的一模一样按职责对号入座就行。目录职责常见命名里面放什么出事时的典型表现可执行Bin/Program服务端主程序、管理控制台、命令行工具服务起不来、控制台连不上配置Conf/Config域名、账号、策略的持久化文件改完重启失效、账号莫名丢失队列Spool/Queue待投递邮件、临时文件、失败件邮件卡住、磁盘暴涨存储Store/Mailbox每个账号的正文与索引能登录但看不到历史邮件日志Log/TraceSMTP/POP3 会话记录、投递记录排障完全没有证据Bin里的东西一般有两三个一个是带-service参数能被服务管理器拉起的主程序一个是图形化的管理控制台可能还有一个命令行建号工具。管理控制台不要当成长期在线的组件它连的是服务端进程控制台关掉不影响收信这一点和很多人的直觉相反。Conf是整个部署里最值钱的目录。公测版常见的做法是把域名、账号、策略分别存成几个纯文本文件而不是塞进数据库。好处是你diff一下就知道谁改了配置坏处是并发写没有锁控制台和手工编辑同时进行很容易把文件写坏。我的习惯是先停服务再改文件改完用控制台的「重载配置」而不是「重启服务」这样能立刻看出解析有没有报错。Spool和Store要分清楚前者是「还没投递成功的」后者是「已经落盘的」。很多人备份只备份了Store结果迁移过去之后队列里几百封正在重试的邮件全丢了这个亏我吃过一次。Log目录建议单独挂一块盘或者至少限制大小SMTP 会话日志在高并发下一天涨几个 G 是常事。2.2 为什么它必须注册成 Windows 服务而不是双击运行双击 exe 也能起来但你只要注销当前用户进程就跟着会话一起被杀掉了。Windows 的交互式会话Session 1 及以后在用户登出时会销毁而服务运行在 Session 0不受登录状态影响。这是邮件服务器必须做成服务的第一层原因。第二层原因是启动顺序。机器重启之后如果邮件服务没有设成自动启动应用侧的定时任务可能在服务还没起来的时候就开始发信然后拿到一堆连接拒绝。第三层是失败恢复Windows 服务管理器可以配置「第一次失败重启、第二次失败重启、之后每天重置计数」双击运行的进程崩了就是崩了没人管。注册服务用sc.exe就够了注意等号后面必须有一个空格这是很多人第一次写就翻车的地方。# 注册为自动启动服务binPath 里的 -service 参数是让主程序以服务模式运行 sc.exe create MailSrv binPath C:\MailServer\Bin\MailSrv.exe -service start auto DisplayName Mail Server v2.0 # 补一个描述方便以后在服务列表里认出它 sc.exe description MailSrv SMTP/POP3/IMAP 服务端内网测试环境 # 失败恢复崩溃后 60 秒重启每天重置一次失败计数 sc.exe failure MailSrv reset 86400 actions restart/60000/restart/60000/restart/60000参数说明binPath后面整串是一个字符串路径有空格必须整体加引号start auto是开机自启demand是手动failure的三个动作按「第一次/第二次/后续」顺序生效restart/60000表示等 60 秒再拉起。配完之后用sc.exe qc MailSrv复核一遍别信自己手打的命令。还有一个容易忽略的点服务的登录账户。默认是 LocalSystem权限最大能读写任何目录测试环境图省事可以这么用。但如果改成 NetworkService就必须确认它对Conf、Spool、Store三个目录有修改权限否则会出现「控制台里加账号成功、重启后账号没了」这种玄学问题——写文件失败了但界面没报错。2.3 端口与协议25、110、143 谁先占谁这套服务端监听的核心端口就那么几个装机前先搞清楚占用关系能省掉一半的排障时间。协议默认端口加密端口用途高发冲突对象SMTP25465服务器之间投递、客户端提交系统自带的 SMTP 虚拟服务器、其他 MTASubmission587-认证后提交推荐给客户端用少见POP3110995把邮件拉到本地其他邮件服务、部分备份软件IMAP143993多端同步、只拉头少见25 是最容易撞的。Windows 上好几种角色都会悄悄起一个 SMTP 监听装完邮件服务发现「服务启动三秒后自动停止」日志里一个10048就是端口被占了。查占用的命令比图形化工具快得多# 一次性看四个端口谁在监听OwningProcess 是 PID Get-NetTCPConnection -LocalPort 25,110,143,587 -ErrorAction SilentlyContinue | Select-Object LocalAddress,LocalPort,State,OwningProcess # 拿 PID 反查进程名和路径 Get-Process -Id 上一步的PID | Select-Object Id,ProcessName,Path参数说明-LocalPort可以接数组一次查多个-ErrorAction SilentlyContinue是为了端口没人监听时不刷一屏红字。IPv6 双栈监听时LocalAddress会显示::有些人只看了0.0.0.0就以为端口是空闲的结果一启动就冲突。提示如果这台机器以后要接公网25 端口出站大概率会被上游封掉客户端提交统一走 587服务器间投递再单独谈第四节会讲中继怎么配。3. 跑通第一封信从端口预占到客户端登录的完整动作装完不等于能用。这一节按真实顺序走一遍环境检查、最小配置、手工发一封信、客户端收下来。走完这一遍后面所有问题都能用同样的路径复现。3.1 装之前先做四项环境检查跳过检查直接装的十有八九会在半小时后卡在某个莫名其妙的地方。四项检查分别是主机名与解析、端口占用、防火墙、磁盘与目录权限。# 1) 主机名必须是能在内网解析的名字不要用 localhost 或 IP 当 HELO 名 hostname ipconfig /all | findstr /i IPv4 主机名 # 2) 端口占用同上确认 25/110/143/587 干净 Get-NetTCPConnection -LocalPort 25,110,143,587 -ErrorAction SilentlyContinue | Select-Object LocalAddress,LocalPort,State,OwningProcess # 3) 只对内网网段放行别一上来就 Any New-NetFirewallRule -DisplayName MailSMTP-In -Direction Inbound -Protocol TCP -LocalPort 25,587 -RemoteAddress 10.0.0.0/8 -Action Allow New-NetFirewallRule -DisplayName MailPOPIMAP-In -Direction Inbound -Protocol TCP -LocalPort 110,143 -RemoteAddress 10.0.0.0/8 -Action Allow # 4) 确认服务账户对三个数据目录有写权限 icacls C:\MailServer\Conf icacls C:\MailServer\Store参数说明-RemoteAddress 10.0.0.0/8限定内网来源测试阶段不要图省事写Any否则一台配置有问题的机器几小时内就会被扫成开放中继。icacls输出里看有没有(M)或(F)只有(RX)就说明写不进去。主机名那一步特别值得多说一句。很多人在测试机上把机器名设成WIN-TEST01这种带下划线的默认名结果 SMTP 会话里的 HELO 域名被对方直接判定为非法退信理由是「域名格式不正确」。主机名要能被 A 记录解析形如mail.lab.local这是后面 DNS 那一节的前提。3.2 最小配置集域名、账号、邮箱三级模型这类 Windows 邮件服务端的配置模型基本都是三级先有一个域domain域下面挂账号account账号下面才是邮箱mailbox。漏掉任何一级客户端都会报「认证失败」或「用户不存在」而这两种报错在日志里长得几乎一样很容易查错方向。配置层级关键字段示例说明服务hostnamemail.lab.local会话里 HELO 用的名字需可解析服务max_message_size20480单封信上限单位 KB域namelab.local收件人后面的部分域postmasterpostmasterlab.local退信和告警的落点必须真实存在域catch_all同上收到不存在的收件人时兜底测试期很有用账号usertest01lab.local完整地址不是用户名账号quota_mb512超配额后 POP3 会直接报错配置文件大致长这样字段名以包内实际为准含义对应即可[server] hostname mail.lab.local smtp_port 25 submission_port 587 pop3_port 110 imap_port 143 max_message_size 20480 ; 单封信 20MB 上限 queue_retry 3 ; 投递失败重试次数 queue_expire_hours 48 ; 超过 48 小时直接退信 [domain] name lab.local postmaster postmasterlab.local catch_all postmasterlab.local [account] user test01lab.local password ******** quota_mb 512配置完先别急着开客户端用管理控制台的「测试域」功能跑一次自检它会检查域是否存在、postmaster 能不能解析、存储目录能不能写。这一步能挡掉后面 60% 的低级故障。改完配置记得点重载而不是直接重启重载失败会留在日志里重启失败你就只剩一个起不来的服务。3.3 用 swaks 手工走一遍 SMTP 会话图形化客户端会把所有细节藏起来第一次联调必须手工发一封。没有 swaks 的话telnet也能用但 swaks 一行就能指定发件人、收件人、主题、超时更适合反复试。# 最小可用的一次投递-f 发件人-t 收件人--server 目标地址 swaks --to test01lab.local \ --from applab.local \ --server 10.0.0.21:25 \ --header Subject: 联调测试 001 \ --body hello from app server \ --timeout 10 # 需要认证的 587 端口加上账号密码 swaks --to test01lab.local \ --from applab.local \ --server 10.0.0.21:587 \ --auth LOGIN \ --auth-user applab.local \ --auth-password ****** \ --header Subject: 认证投递测试参数说明--timeout 10很重要默认超时很长端口被防火墙 drop 的时候你会干等--auth LOGIN是最常见的认证方式服务端如果只开了 PLAIN 就换成 PLAIN密码里有特殊字符必须用单引号包住。swaks 会打印完整的会话过程包括服务器的每一行响应这比看日志直观得多。会话里的关键响应码记住几个就够排障了响应码含义排障方向220服务就绪正常250命令成功正常354开始传正文正常421服务不可用或连接数超限看并发限制、看是否被拉黑450 / 451临时失败稍后重试队列会堆积查下游550拒收用户不存在或策略拒绝查账号是否存在、查中继开关554被判定为垃圾或拒绝中继查 SPF、查是否开放中继550是最常见的但它有两种完全不同的含义一种是收件人真的不存在另一种是服务端认为你在滥用。区别在响应文本里User unknown和Relay access denied是两码事前者去查账号后者去查中继白名单。3.4 客户端接入POP3 和 IMAP 的参数差异发得出去不代表收得回来。客户端接入时 POP3 和 IMAP 的差别不只是端口行为也不一样。维度POP3110/995IMAP143/993同步方式下载到本地默认下载后服务器删除双向同步服务器保留多端使用不适合容易互相覆盖适合手机和电脑看到一致流量每次都拉全量可只拉邮件头正文按需排障关键点配额满了会直接-ERR索引损坏会导致「能登录但列表空」测试期我一般先用 POP3 验证链路通不通因为它简单一封就是一封确认没问题再切 IMAP因为 IMAP 的索引文件一旦损坏表现是客户端能登录、文件夹也有但列表永远是空的很容易误判成服务端没收到信。这时候去Store目录看对应账号下的文件数和大小如果文件在而列表空就是索引的事删索引让它重建即可。4. 出得去也进得来DNS 三件套、中继与防滥用开关内网自己发自己配完账号就通了。但只要收件人在外网问题立刻变成三个对方怎么找到我、凭什么信我、我怎么把信送出去。这一节按这三件事拆。4.1 MX、A、SPF 三件套的配置逻辑三条记录各管一件事缺一条就有一类故障。记录作用示例值缺了会怎样A把邮件服务器主机名解析成 IPmail.lab.local → 10.0.0.21客户端连不上HELO 校验失败MX告诉别人这个域的邮件投给谁lab.local MX 10 mail.lab.local外部邮件根本找不到你SPF声明哪些 IP 有权代表这个域发信vspf1 ip4:203.0.113.10 -all你的信大概率进垃圾箱PTRIP 反查到主机名10.0.0.21 → mail.lab.local大厂邮箱直接拒收或降权验证命令很直接# 查 MX 是否指向你期望的主机 dig short MX lab.local # 查 A 记录是否和实际 IP 一致 dig short A mail.lab.local # 查 SPF 文本注意 TXT 可能有多个只取以 vspf1 开头的 dig short TXT lab.local # 反查 PTR这一条自己改不了要找 IP 的提供方设置 dig short -x 203.0.113.10参数说明short只输出结果不输出报文头适合脚本里用-x是反向查询参数是 IP 而不是域名。SPF 里的-all表示「不在列表里的一律失败」测试阶段如果还没定死出口 IP可以先写~all软失败避免把自己人全拦掉。注意PTR 记录只能由 IP 段的提供方设置自己在内网 DNS 里加没用。这一条是所有「信发出去了但进垃圾箱」问题里权重最高的比正文写得好不好重要得多。4.2 没有公网出口时用中继转发绝大多数内网环境根本没有 25 端口的出站权限硬配只会看到队列一直重试。正确做法是配中继本地服务器收下邮件认证后转交给一台能出网的邮件网关。[relay] enabled true host smtp.relay.internal port 587 auth true username relayuser password ******** rewrite_from true ; 把内网发件人改写成中继允许的地址 starttls true参数说明rewrite_from是关键开关很多中继服务只允许你用认证账号对应的发件人内网应用用applab.local发出去会被 550 拒掉打开改写后统一变成中继认可的身份。starttls在 587 端口上基本都是必须的服务端证书是自签的话还要在客户端侧配信任否则握手直接失败。配完中继一定要做一次「定向测试」先给内网账号发一封确认本地投递正常再给外网地址发一封确认中继链路正常。这两件事分开测否则出了问题不知道是本地投递坏了还是中继坏了。4.3 防中继滥用的开关组合开放中继是这类小体量邮件服务端最容易踩的坑。一旦被人扫到几小时内就会变成发垃圾邮件的跳板然后你的 IP 进黑名单正常业务也跟着完蛋。上线前必须做一次自测# 用未认证会话尝试向一个外部域投递 # 期望结果550 / 553 拒绝而不是 250 接受 swaks --to someoneexample.com \ --from alab.local \ --server 10.0.0.21:25 \ --timeout 10如果这条命令返回 250 并且对方真收到了说明你的服务器是开放中继立刻回去改配置。需要打开的开关大致是这些配置项建议值作用require_auth_for_relaytrue未认证会话一律不许发往外部域allow_relay_networks10.0.0.0/8只给内网应用服务器免认证白名单max_rcpt_per_message50单封信收件人上限防批量投递rate_limit_per_ip100/h单 IP 每小时发信量防脚本刷greyliston首次投递延迟几分钟能挡掉相当一部分机器发信白名单这一项要克制。我见过为了图方便直接写0.0.0.0/0的等于把认证彻底关掉前面所有配置全白做。灰度上线时先把白名单设成具体几台应用服务器的 IP稳定运行一周后再考虑放宽。5. 避坑与排查五条血泪记录每条都有现象和后悔药下面五条是这类 Windows 邮件服务端最常撞的每条按「现象 → 原因 → 解决」写。不保证覆盖全部但覆盖了能让你少熬两个晚上。5.1 服务启动三秒后自动停止日志只有一个 10048现象net start MailSrv之后立刻提示服务已停止事件查看器里能看到WSAEADDRINUSE错误码 10048。 原因25 端口被别的进程占了。最常见的不是别的邮件软件而是 Windows 自带的 SMTP 相关组件或者某个安全软件的邮件防护模块在 25 上挂了个代理监听。也有人是自己之前装过一版没卸干净老进程还在后台跑。 解决按 2.3 的命令找到 PID 反查进程能停就停不能停就让邮件服务换端口把 SMTP 挪到 2525客户端统一走 587。如果是安全软件挂钩把邮件服务的可执行文件加进排除列表。千万别用「重启大法」糊过去端口冲突重启一百次还是冲突。5.2 信发出去了对方说没收到或者直接进了垃圾箱现象本地日志显示250 queued队列也清空了但对方邮箱里找不到或者躺在垃圾邮件文件夹。 原因按概率排一是没有 PTR 反解二是 SPF 记录缺失或和实际出口 IP 对不上三是 HELO 名用了内网机器名甚至 IP。公测版这类服务端通常没有内置 DKIM 签名能力所以在「身份可信」这件事上天然吃亏只能靠前面三条补齐。 解决先dig -x确认反解再dig TXT确认 SPF最后回头看 SMTP 日志里的 HELO 行是不是 FQDN。三条都对了还是进垃圾箱那就是内容或发送量的问题——短时间内给同一个域发几十封、正文全是链接和图片都会被降权。业务侧加快递制别让一个账号包打天下。5.3 中文附件名变乱码正文变成一大坨 base64现象客户端收到的邮件主题正常但附件名是?GB2312?B?...?这种原始编码串或者正文整段是看不懂的字符。 原因编码声明和实际字节不一致。发信端按 UTF-8 编码服务端按本地代码页GBK处理或者反过来附件名没有按 RFC 2231 做分段编码长中文名一定会断在中间。 解决先统一客户端的发信编码为 UTF-8 Base64再换一个客户端交叉验证——如果 A 客户端乱码、B 客户端正常问题就在发信端而不在服务端。附件名的处理上短中文名用 encoded-word 一般能过超过一定长度必须走 RFC 2231 的filename*UTF-8写法这条在公测版上不一定实现完整测试阶段建议附件名用英文加数字。5.4 重启之后账号「消失」了现象控制台里明明加过账号服务重启后登录报认证失败回去看账号列表是空的。 原因两种可能。一是控制台加账号时只写进了内存或临时文件没有真正落盘到Conf下的账号文件界面上看着有重启就没了。二是落盘失败了但错误被吞掉——典型场景是服务账户改成了 NetworkService而Conf目录的 ACL 只给了 Administrator 写权限。 解决加完账号后立刻去看Conf下账号文件的修改时间时间没变就是没写进去再用icacls检查服务账户权限。养成一个习惯改完配置先点「保存并重载」然后用另一个账号登录验证一遍别等重启后才发现问题。5.5 队列目录涨到几十个 G收发全停现象Spool/queue下文件数疯涨客户端发信超时服务端 CPU 不高但磁盘 IO 打满。 原因下游某个域不可达或者一直返回 4xx重试没有上限邮件在队列里越堆越多同时没有配queue_expire_hours失败件永远不清。还有一种情况是某个应用在死循环发信每封都投递失败。 解决先把队列目录整体复制一份出来再动手别直接删然后看日志里出现最多的 4xx 是哪个域把那个域单独拉黑或者走中继。配置侧补上queue_retry、queue_expire_hours和单账号发信速率限制三个一起加才有效——只加重试次数不加上限等于把爆炸时间往后推了几个小时。6. 上线前的自检一个脚本把发信、收信、账号三件事一次验完手工用 swaks 发一封只能证明「这一刻链路是通的」。真正上线前我一般会跑一遍批量自检拿一份账号清单逐个发信、逐个收信、比对封数。哪一步断了输出里能直接看到是哪个账号、卡在发信还是收信。import csv, smtplib, poplib, time from email.mime.text import MIMEText from email.header import Header HOST 10.0.0.21 SMTP_PORT, POP3_PORT 25, 110 SENDER, PASSWORD probelab.local, ****** def send(to): 发一封纯文本自检信UTF-8 Base64 编码避免中文乱码干扰判断 msg MIMEText(自检邮件收到即代表链路正常, plain, utf-8) msg[Subject] Header(自检 time.strftime(%H%M%S), utf-8) msg[From], msg[To] SENDER, to with smtplib.SMTP(HOST, SMTP_PORT, timeout10) as s: s.ehlo(probe.lab.local) # HELO 名必须是可反解的 FQDN别用 IP s.login(SENDER, PASSWORD) # 服务端未开认证可去掉这行 s.sendmail(SENDER, [to], msg.as_string()) def fetch(user, pwd): 只取邮件封数不下正文速度快且不会改服务器上的已读状态 p poplib.POP3(HOST, POP3_PORT, timeout10) p.user(user) p.pass_(pwd) count, _ p.stat() p.quit() return count with open(accounts.csv, newline, encodingutf-8) as f: for row in csv.DictReader(f): # 表头需含 email / password 两列 try: send(row[email]) print(row[email], 收件箱封数:, fetch(row[email], row[password])) except Exception as e: print(FAIL, row[email], repr(e)) # 失败不中断继续跑下一个参数说明timeout10必加端口被防火墙 drop 时默认超时会让你以为脚本卡死ehlo()里的名字要和 DNS 里的 A 记录一致写 IP 会被对方降权p.stat()返回的第二个值是邮箱字节数排障时顺手打出来能判断是不是只有空邮件。accounts.csv一张表就够两列email,password跑完把FAIL开头的行单独拉出来就是一份待修清单。这套脚本我一般会在三个时间点各跑一次刚装完、改完 DNS 和中继之后、正式切流量之前。第二次跑最关键因为 DNS 生效有延迟手工测容易测到缓存里的旧记录脚本连续跑三轮能看出结果是不是稳定收敛。血泪经验是第一次部署时我图快只手工发了一封给 postmaster 就宣布上线结果第二天应用侧的告警邮件全堆在队列里——原因是那台应用服务器不在中继白名单网段里。从那以后我每次上线前都强制走一遍这个脚本并且账号清单里一定带上应用侧的真实发件账号而不是只用我自己建的测试号。希望帮到你。本文还有配套的精品资源点击获取
