Как настроить DNS-записи для почтового сервера

Правильная настройка DNS — ключ к корректной работе почтового сервера, доставке писем и защите от спама. Какие записи нужны домену и верно ли они опубликованы, показывает окно «Почтовые DNS»: откройте его у домена в разделе «Сайты и домены». Ниже разобрано, для чего нужна каждая запись и как её создать.

На этапе установки модуля почтового сервера в панели BeAdmin потребуется указать домен, который будет использоваться для настройки почтовой службы. После установки его всегда можно изменить, но для начальной конфигурации он необходим. В этой статье в качестве примера будет использоваться домен example.com и IP-адрес сервера 192.0.2.10.

Записи A, MX, SPF, DKIM и DMARC рекомендуется создавать у регистратора домена или вашего хостинг-провайдера. Их DNS-серверы, как правило, отказоустойчивы и обеспечивают стабильную работу ваших сервисов. PTR-запись устроена иначе: она относится к IP-адресу сервера, а не к домену, поэтому создаётся только у хостинг-провайдера сервера, то есть у компании, у которой вы арендуете сервер. У регистратора домена её создать нельзя.

A-запись (Address Record)

Указывает IP-адрес почтового сервера.

mail.example.com.    IN    A    192.0.2.10

Предполагается, что ваш сайт расположен на том же сервере. Если A-запись для основного домена ещё не создана — добавьте её:

example.com.    IN    A    192.0.2.10

💡 Совет

Имя mail.example.com будет использоваться в MX-записи. Оно должно указывать на реальный IP-адрес.

MX-запись (Mail Exchange)

Определяет, какой сервер отвечает за приём почты.

example.com.    IN    MX    10    mail.example.com.

Число 10 — это приоритет. MX-запись должна указывать на поддомен с корректной A-записью.

SPF-запись (Sender Policy Framework)

Помогает предотвратить подделку отправителя писем.

example.com.    IN    TXT    "v=spf1 ip4:192.0.2.10 -all"

Тег -all означает, что разрешена отправка писем только с указанного IP-адреса.

DKIM-запись (DomainKeys Identified Mail)

Позволяет удостовериться, что письмо не было подделано и действительно отправлено от имени вашего домена. Запись содержит публичный ключ.

default._domainkey.example.com.    IN    TXT    "v=DKIM1; k=rsa; p=MIIBIjANBg..."

Приватный ключ хранится на сервере и используется для подписи писем.

DMARC-запись

Определяет, как обрабатывать письма, не прошедшие проверку SPF или DKIM.

_dmarc.example.com.    IN    TXT    "v=DMARC1; p=reject; rua=mailto:admin@example.com"

Ключ p=reject указывает отклонять сообщения, не прошедшие проверку.

PTR-запись (Reverse DNS)

Обратная DNS-запись связывает IP-адрес с доменным именем, то есть работает в обратную сторону по сравнению с A-записью. Принимающие почтовые серверы проверяют её, чтобы убедиться, что письмо пришло с настоящего почтового сервера. Без PTR-записи письма попадают в спам или отклоняются.

Почтовый сервер отправляет письма по IPv4, поэтому PTR-запись нужна для IPv4-адреса сервера. Создают её у хостинг-провайдера сервера, а не у регистратора домена: запись относится к IP-адресу, а управляет им тот, кто выдал адрес. Обычно эта настройка называется «Reverse DNS», «rDNS» или «PTR» и находится в настройках сервера или IP-адреса в панели хостинг-провайдера. Если её там нет, попросите создать запись в поддержке.

⚠️ Отправка по IPv6 не поддерживается

Почтовый сервер отправляет письма только по IPv4, а принимает и по IPv4, и по IPv6. Причина в том, что крупные почтовые сервисы, например Gmail, отклоняют письма с IPv6-адреса без PTR-записи, а PTR-запись для IPv6-адреса многие хостинг-провайдеры создавать не позволяют.

Если у сервера нет публичного IPv4-адреса, письма отправляться не будут, а приём продолжит работать. Панель предупредит об этом при установке модуля, а в разделе «Почта» покажет предупреждение «Письма не отправляются». Подключите IPv4-адрес у хостинг-провайдера.

В PTR-записи укажите адрес почтового сервера:

10.2.0.192.in-addr.arpa.    IN    PTR    mail.example.com.

Имя из PTR-записи должно, в свою очередь, указывать на тот же IP-адрес: для mail.example.com нужна A-запись на 192.0.2.10. Такая пара — PTR от адреса к имени и A от имени обратно к адресу — называется forward-confirmed reverse DNS (FCrDNS), и принимающие серверы проверяют именно её.

Имя, которым почтовый сервер представляется при отправке писем (HELO), берётся из PTR-записи автоматически, поэтому подбирать его под PTR не нужно. Своё имя можно задать в настройках модуля, но нужно это редко.

Статус PTR-записи в панели

Панель проверяет PTR-запись IPv4-адреса сервера и показывает результат в окне «Почтовые DNS»: откройте его у домена в разделе «Сайты и домены». У PTR-записи бывают такие статусы:

• «Настроена» — PTR-запись есть, и имя из неё указывает на IPv4-адрес сервера. Ничего менять не нужно.
• «Нет записи» — PTR-записи нет. Задайте её у хостинг-провайдера сервера.
• «Не ведёт на IP» — PTR-запись есть, но имя из неё не указывает на IPv4-адрес сервера. Добавьте для этого имени A-запись с IP-адресом сервера или смените PTR-запись у хостинг-провайдера.
• «Не проверена» — проверить запись не удалось, например потому, что DNS не ответил: повторите проверку позже. Тот же статус у сервера за NAT: панель определяет только его внутренний адрес и не может проверить PTR-запись публичного. В этом случае проверьте запись у хостинг-провайдера.

После изменения PTR-записи нажмите «Проверить DNS»: результат проверки хранится недолго, а новая запись появляется в DNS не сразу.

Пример конфигурации

Допустим:

• Домен: example.com
• Хост: mail.example.com
• IP-адрес: 192.0.2.10

Тогда список DNS-записей выглядеть приблизительно следующим образом:

mail.example.com.               IN A     192.0.2.10
example.com.                    IN MX 10 mail.example.com.
example.com.                    IN TXT   "v=spf1 ip4:192.0.2.10 -all"
_dmarc.example.com.             IN TXT   "v=DMARC1; p=reject; rua=mailto:admin@example.com"
default._domainkey.example.com. IN TXT   "v=DKIM1; k=rsa; p=MIIBIjANBg..."

PTR-запись в этот список не входит: её создают у хостинг-провайдера сервера, а не в DNS домена. Она выглядит так:

10.2.0.192.in-addr.arpa.        IN PTR   mail.example.com.

Полезные советы

• Проверяйте DNS записи на сайте: https://mxtoolbox.com
• Тестируйте доставку писем: https://mail-tester.com
• Убедитесь, что PTR и A-записи согласованы: имя из PTR должно указывать на IP-адрес сервера. В окне «Почтовые DNS» у такой PTR-записи будет статус «Настроена». Подгонять под них HELO не нужно: оно берётся из PTR автоматически
• Проверьте, что у сервера есть публичный IPv4-адрес: без него письма не отправляются
• Обновляйте DKIM-ключи при смене сервера или пересоздании конфигурации