架設郵件伺服器不求人

 
很多朋友常問我現在郵件伺服器推薦哪一套好，筆者首推 EVO Mail Server

EVO Mail Server 這套強大的MAIL SERVER是由台灣鴻潮科技所發展的，雖是付費的版本，可是價格並不會高，推薦的主要原因就是因為它的功能十分亮眼，是國人自行研發產品中唯一做到GROUPWARE軟體等級的郵件伺服器。

透過 CardDAV 達成共享通訊錄
非常多夥伴們架設郵件伺服器的時候，都會發現一個很奇怪的問題，那就是為什麼沒有一個機制能夠讓郵件帳戶也能夠同步通訊錄功能？
其實，相關的機制早已存在，譬如說微軟 Exchange 的 Active Sync 協定，搭配 Outlook 就能夠達到通訊錄的同步機能．

A. 公司企業中的 Collaboration Services 意指?
郵件伺服器郵件伺服器之外，公司企業中，同事相互分享資訊以達成共同的目標。透過 Collaboration Services 提供的服務，同事們能更有效率的利用資源完成工作。Collboration Services 中，包含「電子郵件」、「即時通訊」、「文件管理及分享」、「網頁內容分享」、「專案管理及分享」等等分門別類的應用軟體各司其職。
B. 個人及團隊的「行事曆」和「工作計畫」如何有效率地分享？

Mail server架設 DIY，可能嗎? 電腦和網路從二三十年前開始發展至今，電子郵件一直扮演舉足輕重的角色。剛開始電子郵件伺服器軟硬體的價格天價之高，只有大學實驗室或大公司才玩得起，且每個電子郵件系統之間相容性差。但是機構之間資訊交換的即時性及迫切性造就了「再貴也必須採購」的概念。後來的 Webmail 在方便了許多中小型企業及個人用戶之際卻無法滿足擁有自家網域名稱的需求。從郵件網域名稱的角度看過去，好像很多公司或個人都是 Hotmail 的子公司或員工一樣。近十年來，電腦軟硬體發展快速，價格因其普及化不再遙不可及。，加上網際網路上的各類網路協定不斷進化構成相容度極高的跨平台環境。各類平價的伺服器軟體如雨後春筍一般蓬勃發展。
我們現在廢話不多說，回到主題；教您如何從兩手空空開始來完成郵件伺服器架設的課題。下面的教程是以循序漸進的方式，跟著做就不會錯了。

 

在電子郵件會用到的憑證分為三種，一種是 SSL 憑證、一種是數位簽章的憑證、。一種是用戶端 TLS 憑證。平平都是憑證，差別在哪裡？

1. SSL 憑證 -

安裝於郵件伺服器上面，適用於伺服器與用戶端之間的連線。郵件伺服器藉著有效的 SSL 憑證才能向用戶端證明自己的身份並做加密連線。

2. 數位簽章 -

安裝於用戶端的郵件軟體內，用於寄信端和收信端往返電子郵件之內。範例：

Ⅰ. A 寄信給 B 時，寄出的信件中有 A 的數位簽章證明 A 是 A；A 發出屬於 A 的憑證供 B 在回信時對信件加密之用。
Ⅱ. B 回信給 A 時，寄出的信件中有屬於 B 的數位簽章證明 B 是 B； B 發出屬於 B 的憑證供 A 在日後回信時對信件加密之用；B 會用 A 發出的憑證（A 的憑證會被自動匯入 B 的郵件軟體中）對回信內容作加密的動作
Ⅲ. A 在收到 B 的回覆時，A 必須使用自己的私密金鑰開啟被加密的郵件；同時 B 的憑證會被自動匯入 A 的郵件軟體中供 A 日後寫信給 B 時加密之用。

3 用戶端 TLS 憑證 -

安裝於用戶端的郵件軟體內或 USB Key 硬體上，適用於用戶端向郵件伺服器證明自己身分的時候，如同輸入密碼一般。用戶端先從郵件伺服器端得到一個憑證檔案 (.p12)，安裝在郵件軟體或 USB Key 上之後並在郵件軟體上做好設定，在登入郵件伺服器時，會自動做身份認證交涉。

 

以上，SSL 憑證和數位簽章都是必須由受信任的憑證簽署單位 (Trusted CA)，例如： Verysign, Comodo等等，簽發才有公信力。若是由使用者自的作業系統或郵件伺服器本身簽發的憑證對身份證明沒有作用；用戶端 TLS 憑證則是由 EVO 郵件伺服器內部發出。這些都設定好時，郵件伺服器，用戶端，收信端在資訊傳輸之間都受到保護。

安裝及設定順序呢？

1. 郵件伺服器架設完成時就為郵件伺服器申請 SSL 憑證；
2. 使用者郵件帳戶建置後，發出 TLS 憑證給該用戶端，日後登入時，可使用 TLS 憑證登入，多加一層資安保障。
3. 使用者在與網路上其他人做信件來往時，可相互的做數位簽章的交換，藉此也能做到信件的加密。

郵件伺服器推薦方面，我覺得EVO mail server軟體算是不錯，因為在憑證這一塊做得非常簡單。安裝完之後，郵件伺服器設定的地方點幾下，若不熟捻也能原廠也能透過遠端協助免費幫忙安裝。

很多人都知道垃圾郵件的標題總是變化多端的，簡單的字串比對並不足以作完整的郵件過濾。

在Thunderbird的帳號設定當中，其中伺服器設定的部分，若使用IMAP的帳號時，您可能會發現一個有趣的選項"以TLS憑證登入"。究竟這個認證方式是什麼意思，又有什麼優勢呢？
要說明這項功能，首先我們要了解用戶端憑證認證機制與常見的幾種認證方式：
用戶端憑證認證
在二十一世紀的現在，人們可透過網際網路完成很多以前只能自己親自跑一趟的事情，例如：上銀行理財、轉帳、購物、繳水電瓦斯費、繳稅、老闆發薪水、學生排隊註冊選課等等。雖然生活著實方便許多，但是我們知道誰是幕後功臣嗎？答案是：完備的線上用戶端認證機制成就了線上的交易。否則，對方憑著什麼來相信「我們」是「我們」呢？
一般來說，常用的認證方式分三大類：
1. 只有被授權者或使用者本人才知道的密碼字串，例如：dwo1yK83t2zC。複雜度越高雖然越難記住但是安全度越高。
2. 只有被授權者或使用者本人才使用的電子憑證，例如：用戶端的 TLS 憑證(TLS client certificate)。由伺服器所發出的使用者專屬憑證檔案，可儲存在應用程式裡、作業系統中、USB 硬體容器。只要伺服器及應用程式支援，費用相對的低。
3. 只有被授權者或使用者本人才擁有的私人特徵，例如：指紋，視網膜，聲紋。將上述的特徵透過掃瞄並以數位方式儲存方便未來身份驗證之用。價格不斐。
在Thunderbird中，目前可以支援1與2兩種認證方式，但是同時間，您使用的郵件伺服器也要能夠相對上支援這些認證方式，否則它就無用武之地。（若您對此種認證方式有興趣，可參考我司產品EVO Mail Server）
一般來說，用戶端憑證認證機制當中使用的TLS憑證是由CA(Certificate Authority)伺服器管理：CA (Certificate Authority) 發出符合 PKCS#12 格式的憑證。此憑證可放置於符合 PKCS#11 規範的容器中，例如： USB Key、Smartcard、Windows Certificate STORE、Security Token 等等。
在Thunderbird當中，它與Firefox共用相同的憑證管理員
您可在工具－選項－進階－憑證當中可以叫出，進行匯入PKCS#12的動作。
當您將自CA伺服器取得的憑證匯入了Thunderbird憑證管理員之後，就可在＂您的憑證＂區塊看到這個憑證並且準備使用"以TLS憑證"登入郵件伺服器。
若郵件伺服器端與Thunderbird兩端皆準備妥當，在Thunderbird進行連線收信時，就會彈出選擇憑證的對話框，此時選擇正確的憑證，就可以順利登入郵件伺服器。
幕後揭密
究竟，Thunderbird是如何與郵件伺服器進行TLS client certificate用戶端憑證認證呢？其實它是透過一組所謂的AUTH EXTERNAL指令，這組指令指示以外部因子的方式來做認證，而目前唯一市場上可行的外部因子就是TLS certificate。
在Thunderbird開發團隊與一些業界人士的討論串當中，我們可發現，有一些人對於EXTERNAL是否應該由TLS certificate來代表，存在著相當的爭議，但不論如何，Thunderbird最終還是採納了此種認證方式。
TLS certificate認證的優勢
密碼再怎麼說就是幾個字，嘴巴大就可告訴別人，憑證再怎麼說也是一個數據，最少也要用拷貝的才能傳給別人，流通性上就有差異，但只有TLS憑證可以做到無法拷貝，使用TLS憑證時最好將它與Private key一起置入USB key，例如：Aladdin 的 eToken PRO 或是 SafeNet iKey 2032。將憑證檔案匯入 USB key 的優點是 憑證檔案內的私密金鑰一經匯入皆不得匯出。
如此一來，您就建立了一隻無法複製的郵件信箱Security token，也只有擁有這支密鑰的人才能登入郵件帳號了。
Thunderbird的憑證管理員可以支援使用USB Security Token存取憑證，但要注意的是，必須先灌廠商提供的驅動程式並正確載入其模組才能使用。

很多朋友們常問道:如何從OUTLOOK匯出郵件到TB..Windows Live Mail..Opera等等的問題。
其實在郵件軟體轉換的過程當中，一個出錯，造成整個備份匯出作業無法完成的情形是時有所聞！
筆者在這裡提供一個簡單的小技巧，可以幫助您在任何郵件軟體中轉換。
聽起來很神奇，其實這邊我們要利用的是IMAP這種郵件協議，IMAP與POP3不同的地方是我們可以把所有的郵件分門別類的放在郵件伺服器上面，在更換郵件軟體的時候只要打個帳號密戶與密碼，原本的郵件及資料夾就可以原封不動的又出現，因此我們只需要設置一個簡單的郵件伺服器設定，在OUTLOOK中新增這一個電子郵件地址，特別留意要新增IMAP的戶頭，接下來只要用拖放的方式將原本的郵件
拉到新的郵件帳戶當中，就完成郵箱的轉換，此時再開啟另一套郵件閱讀軟體，新增相同的IMAP帳戶，郵件就全部跑出來了。

mail server 備援 (郵件伺服器備援)指的是說一個企業網域擁有超過一台以上的郵件伺服器。
 
我們就以第一台與第二台來稱呼它們。
倘若第一台故障或是說被關機的時刻，第二台能夠做為備援的機制，去暫時代收寄往此企業網域的電子郵件訊息，這樣子的一個動作我們稱呼為 mail server 備份。

SPF主要的功能是讓收信端郵件伺服器根據來信中寄件者網域資料主動去向寄信端所屬的DNS伺服器核對其SPF紀錄。收信端郵件伺服器再依照比對結果做接收與否的決定。此項反垃圾信機制不受SMTP SERVER, IMAP SERVER, POP3 SERVER的限制都通用。
我們舉個例子：新聞或報紙上常有的詐騙事件提到某人打電話給你或寄存證信函聲稱是某某檢察官，進行金錢的詐取。中間的手段不外乎是用假以亂真的台詞或是公文信封信紙得到你的信任。在網路上，同樣的情形也一再上演：垃圾信源盜用別人的電子郵件帳號寄信以避免信被退回自己真正的郵件信箱中；詐騙集團盜用別人的電子郵件帳號避免自己行蹤敗露；電腦病毒或蠕蟲想刻意模糊自己的出處而隨機使用任一電子郵件帳號；帳號密碼盜賊裝扮成某人的好友來信竊取私人機密等等不勝枚舉。