自建邮件服务的长期维护：升级、备份与迁移的顺序

反向解析 PTR 必须与 HELO 域名一致，否则大厂直接判垃圾

把升级、备份、迁移这三件事流程化，才敢长期用。

先说结论

升级前先备份，备份后先演练恢复；不能回滚的升级不做。

• 固定版本，改动前记录当前版本号
• 升级前：备份数据 + 备份配置
• 升级后：验证核心功能，不只看进程
• 迁移：先迁数据，再迁流量
• 回滚方案写在纸上，别只存在脑子里

升级策略

DKIM 用 2048 位密钥时，DNS TXT 要分段，否则超 255 字符被截断。

备份的三层

三层分别是：数据备份、配置备份、以及「能重建这台机器」的文档。缺第三层，前两层迟早用不上。

这个服务的几个维护事实

和它自身机制相关的几条：

• SPF 记录只允许 10 次 DNS 查询，超过就直接 permerror
• DKIM 用 2048 位密钥时，DNS TXT 要分段，否则超 255 字符被截断
• DMARC 从 p=none 开始收报告，直接上 p=reject 会把自己的转发邮件拒掉
• 新 IP 没有信誉，日发 200 封就可能被标记，预热通常要 2-4 周

迁移的步骤

新 IP 没有信誉，日发 200 封就可能被标记，预热通常要 2-4 周。

• 新机器按文档重建环境，验证空跑
• 同步数据，做一次一致性校验（条数、校验和）
• 切换前用 hosts 指向新机器验证
• 切换 DNS 或反代，保留旧机器一周
• 观察日志与错误率，再决定是否下线旧机

维护日历

每月：看磁盘与日志；每季：升级 + 备份校验；每半年：恢复演练一次；每年：清理不再需要的服务。

还有几处容易忽略的

都是小地方，但出问题时往往就卡在这里。

• 家宽和多数云主机的 25 端口默认封禁，发信要走 587 中继
• 反向解析 PTR 必须与 HELO 域名一致，否则大厂直接判垃圾
• 只配了 A 记录就发信，Gmail 一律进垃圾箱
• DMARC 直接设 p=reject，自己域名的转发邮件全被拒
• 用动态家宽 IP 发信，PTR 改不了，退信率超过三成

长期维护的秘诀很土：每次只改一件事，改完就验证。