Het instellen van een e-mailserver voor je eigen domein begint bij DNS, niet bij software. MX-records geven aan waar e-mail voor het domein wordt bezorgd, SPF somt de servers op die namens het domein mogen sturen, DKIM voegt een handtekening toe die ontvangers kunnen verifiëren, DMARC bepaalt wat er gebeurt met e-mail die die checks faalt, en het verzendende IP-adres moet een bijpassende reverse DNS (PTR)-naam hebben. Portward leest je records, geeft aan wat ontbreekt en bereidt elke wijziging voor als een diff dat je accepteert. Ontvangers beoordelen de reputatie van het IP-adres, dus Portward kan niet beloven dat e-mail de inbox bereikt. Gebruik deze workflow voor normale e-mail van je eigen domein op een server die je bezit. Houd het werk klein: één record, één diff, één test.
Maak een map aan voor het domein, kopieer je zonebestand en eventuele e-mailconfiguratie erheen, en open die map als werkmap in Portward. Bestandsbewerkingen werken binnen die map, dus kopieer wat je wilt dat de agent leest, en bewaar een kopie van het zonebestand vóór de eerste wijziging voor het geval je terug moet.
Kies Plan only of Ask first en beschrijf het doel, bijvoorbeeld: lijst de MX-, SPF-, DKIM- en DMARC-records in dit zonebestand op en geef aan wat ontbreekt. De agent antwoordt met een kaart voor elke toolaanroep, en in Plan only-modus verandert hij niets terwijl hij aangeeft wat ontbreekt.
Lees de kaart voor elke wijziging. Het edit_file-hulpmiddel toont het nieuwe record naast het oude, en in Ask first-modus verandert er niets totdat je accepteert. Wijs af wat je niet begrijpt en vraag de agent het uit te leggen voordat je het opnieuw probeert.
Pas de records toe bij je DNS-aanbieder, wacht tot ze zijn verspreid, voer dan je eigen lookup-opdracht uit met Shell en vergelijk de uitvoer met je zonebestand. Noteer elk resultaat in een logboekbestand in de werkmap, met de datum, het record dat je hebt gewijzigd en wat de lookup opleverde.
zone-copy.txtloadedMX zone-copy.txt1 matchv=spf1 zone-copy.txt1 match_dmarc zone-copy.txt0 matchesnotes/mail-check.txtsaved# checklist for my own VPS and its mail domain
step 1: update the system
step 2: create a normal user
step 3: log in with SSH keys
verify 1: key login works before password login is off
step 4: allow only the ports I need in the firewall
step 5: set the time zone and time sync
step 6: add MX, SPF, DKIM and DMARC records
verify 2: the sending IP has a matching PTR name
step 7: make a backup
verify 3: a test restore worksDeze eenvoudige checklist dekt een VPS en het e-maildomein erop. Elke verify-rij noemt een resultaat dat je kunt controleren voordat je verdergaat, zoals inloggen met sleutels, firewallregels of een bijpassende PTR-naam. Pas de rijen aan voor je eigen server, vraag de agent dan om ze één voor één af te werken en rapporteer het echte resultaat van elk. Voeg rijen toe voor je eigen diensten en verwijder de rijen die niet op je server van toepassing zijn.
De agent opent de kopie van je zonebestand met read_file en gebruikt grep om de MX-, SPF-, DKIM- en DMARC-regels te lijsten, en rapporteert in één kaart wat ontbreekt. In Plan only-modus schrijft hij deze lijst als een plan en verandert hij niets, wat de veiligste manier is om te beginnen op een domein dat al e-mail ontvangt. Als je een e-mailserver thuis wilt hosten, zoek dan eerst uit of je een reverse DNS-naam voor het verzendende IP-adres beheert, omdat ontvangers de IP-reputatie beoordelen. Je leest de lijst en beslist welk record je eerst toevoegt. De agent werkt op een kopie, dus het originele bestand blijft onaangetast. Sla de lijst met ontbrekende records op in een notitiebestand, zodat de volgende sessie begint vanuit feiten in plaats van geheugen.
SPF somt de servers op die namens het domein mogen sturen, en DKIM voegt een handtekening toe die ontvangers kunnen verifiëren. De agent gebruikt edit_file om de SPF-regel toe te voegen aan je zonebestandskopie en toont deze als een diff, en web_search vindt de officiële documentatie van je e-mailsoftware wanneer je de exacte syntaxis nodig hebt. De DKIM-publieke sleutel komt van je e-mailsoftware, dus plak hem zelf en laat de agent hem plaatsen. In Ask first-modus pauzeert de agent voor elke wijziging, en vergelijk je de nieuwe regel met de oude voordat je accepteert. Voeg één record tegelijk toe en pas het toe bij je DNS-aanbieder voordat je het volgende doet, zodat een fout terug te voeren is op één enkele wijziging.
Het MX-record noemt de host die e-mail voor het domein ontvangt, en de PTR-naam behoort tot het IP-adres waarvandaan je verstuurt. De agent voegt de MX-regel toe met edit_file en behoudt de door jou gekozen prioriteit, en schrijft vervolgens een korte notitie met write_file die de hostnaam opsomt die je wilt gebruiken als reverse DNS-naam. Vraag je aanbieder om deze in te stellen waar het IP-adres wordt beheerd. Hoeveel hardening een nieuwe VPS nodig heeft, hangt af van de diensten die je draait, en een e-maildienst voegt meer poorten toe waar je over na moet denken, dus lijst ze op voordat je er een opent. Schrijf de exacte hostnaam die je e-mailsoftware gebruikt, en laat de agent deze vergelijken met de MX-regel en de PTR-notitie, zodat de namen overeenkomen.
Voer je eigen lookup-opdracht uit met Shell en laat de agent de uitvoer vergelijken met het zonebestand, één record tegelijk. Voordat e-mail live gaat, beoordeel je de basisveiligheidsinstellingen van de VPS: inloggen met sleutels, een firewall met alleen de poorten die je nodig hebt en een geteste back-up. Stuur vervolgens een testbericht van je domein naar een adres dat je bezit en lees de headers voor SPF- en DKIM-resultaten. De agent toont elk resultaat op een kaart, en je noteert de uitkomst in je logboekbestand. Een geslaagde test belooft niet dat de e-mail bij elke inbox aankomt. Als een check faalt, plak je de headerregels in de chat, vraag je welk record de ontvanger niet kon matchen en wijzig je één record tegelijk, en voer je de lookup-opdracht opnieuw uit.
