Как уйти от Яндекс.Почты на свой сервер: VPS или собственное железо

Яндекс.Почта для бизнеса — удобное стартовое решение. Но когда аккаунт блокируют без объяснений, а письма клиентов начинают пропадать, вопрос миграции становится не «если», а «когда».

Собственный почтовый сервер можно поставить на своё оборудование, в простейшем случае на старый компьютер в офисе, подключённый к интернету со статическим IP-адресом, или арендовать VPS. В этой статье упор на первый вариант: как подготовить железо и сеть, какая производительность нужна и как перейти без потери истории и репутации домена. VPS рассматриваем как альтернативу и запасной вариант.

Зачем уходить

Блокировка аккаунта. Корпоративный аккаунт может быть ограничен или заблокирован автоматически, а сроки и результат апелляции от вас не зависят.
Переписка у третьей стороны. Письма хранятся и обрабатываются на чужих серверах, а условия обработки определяет провайдер и может менять их в одностороннем порядке.
Зависимость от одного провайдера. Изменение тарифов, ограничения, сбои — ваш бизнес заложник чужих решений.
Ограничения тарифа. Число ящиков, объём и функции привязаны к тарифной сетке, а стоимость растёт вместе с командой.

Почему стоит рассмотреть собственное железо

Данные под физическим контролем. Диск стоит в вашем помещении, а не в дата-центре стороннего хостера.
Нет арендной платы. Старый компьютер уже оплачен: дальше только электричество и услуга статического IP.
Независимость от хостера. Вы не зависите от его условий, блокировок аккаунтов и смены тарифов. Остаётся только зависимость от интернет-провайдера.
Быстрый доступ из офиса. Почтовые клиенты сотрудников в офисе обращаются к серверу по локальной сети, а не через интернет.
Гибкость железа. Нужно больше места или памяти — добавляете диск или планку.
Вторая жизнь старой техники. Для почты не нужен современный процессор.

Цена этих преимуществ — ваша ответственность за питание, канал связи, физическую безопасность и резервные копии. Об этом ниже.

Свой сервер или VPS

Оба варианта — «свой сервер»: программы и данные находятся под вашим управлением. Различие в том, где физически работает машина и кто отвечает за питание и сеть.

	Свой компьютер в офисе	VPS у хостера
Что нужно	Компьютер, статический IP у провайдера, ИБП	Оплатить тариф
Статический IP	Услуга провайдера, обычно платная	Входит в тариф
Обратная запись (PTR)	Через поддержку провайдера, не все соглашаются	Настраивается в панели хостера
Питание и канал связи	Ваша ответственность: ИБП, один канал	Резервируются дата-центром
Порт 25	На домашних тарифах бывает закрыт провайдером	На новых аккаунтах бывает закрыт, нужно запросить
Репутация IP	Адрес «чистый», но диапазоны домашних абонентов часто в чёрных списках	Адрес мог достаться от прежнего арендатора с историей
Стоимость	Единовременная на железо (для уже имеющегося ПК — ноль), плюс оплата IP и электричество	Ежемесячная плата
Физический контроль над данными	Диск у вас	Диск у хостера
Замена и масштабирование	Замена или докупка железа	Быстрое, меняете тариф

Что выбрать

Свой сервер оправдан при трёх условиях: у вас есть статический «белый» IP с открытым портом 25 и возможностью настроить PTR, есть ИБП, а копии хранятся на другой площадке. Тогда мощности старого компьютера для почты небольшой команды хватает.
VPS подходит, если статического IP нет, провайдер закрывает порт 25 или в офисе нет подходящих условий для сервера.
Начать на своём железе, а потом при необходимости переехать на VPS (и наоборот) — нормальный путь. Если конфигурация описана файлами (Podman Quadlet, пример — в статье про Nextcloud), перенос сводится к копированию настроек и данных.
Гибрид: принимать почту на своём сервере, а отправлять через небольшой VPS-ретранслятор. Это снимает проблему репутации домашнего IP, но усложняет схему: адрес ретранслятора нужно указать в SPF и настроить для него PTR.
Репетиция. Даже если вы планируете VPS, отработать миграцию на старом ПК можно бесплатно.

Какая производительность нужна

Почта нетребовательна к процессору. Узкие места — оперативная память (антиспам и кэш) и диск (много мелких файлов и индексы). Цифры ниже — ориентиры для типового малого бизнеса. Точные значения зависят от потока писем, размера вложений и числа одновременно подключённых клиентов.

Память

Компонент	ОЗУ (ориентировочно)
Debian (система)	0,3–0,5 ГБ
Postfix + Dovecot	0,2–0,5 ГБ
Rspamd + Redis	0,3–0,7 ГБ
Roundcube + Nginx + PHP-FPM (если нужен веб-интерфейс)	0,2–0,5 ГБ
ClamAV (антивирус, по желанию)	1–2 ГБ

Всё свободное ОЗУ операционная система использует как кэш файлов: чем его больше, тем быстрее работают поиск и индексы.

Сводная таблица

Конфигурация	Ящиков	Процессор	ОЗУ	Диск
Минимальная: Postfix, Dovecot, Rspamd, Redis	до 10	1–2 ядра	2 ГБ	SSD
Стандартная: + веб-интерфейс Roundcube	до 20	2 ядра	4 ГБ	SSD
Расширенная: + антивирус, полнотекстовый поиск	до 50	2–4 ядра	8 ГБ	SSD
Большая команда	до 100	4 ядра	8–16 ГБ	SSD, желательно зеркало

Диск

Объём считается по формуле:

(текущий объём ящиков + прирост за 2–3 года) × 1,25 + 15 ГБ

Коэффициент 1,25 — запас на индексы и служебные данные, 15 ГБ — система и контейнеры.

Пример: 12 сотрудников и 47 ГБ истории, как в кейсе миграции. Допустим, ящики прирастают на 15 ГБ в год (это допущение для примера, посмотрите реальную динамику своей почты). Получаем (47 + 15 × 3) × 1,25 + 15 ≈ 130 ГБ, значит разумно брать SSD на 200–250 ГБ.

Резервные копии не должны лежать на этом же диске. Нужно хранилище на другой площадке объёмом не меньше объёма почты, а с запасом на историю версий лучше в 1,5–2 раза больше.

На обычном HDD небольшой ящик работает, но поиск и индексация заметно медленнее. SSD предпочтительнее, а для критичных данных — два одинаковых диска в зеркале (RAID 1). Зеркало защищает от отказа диска, но не от случайного удаления или шифровальщика: резервные копии нужны в любом случае.

Канал связи

Для команды в 10–20 человек обычно достаточно 10–20 Мбит/с в каждую сторону.
Если сотрудники работают в том же офисе, трафик между их почтовыми клиентами и сервером идёт по локальной сети. Исходящий канал нагружают удалённые сотрудники и мобильные клиенты.
Время переноса истории зависит от входящей скорости канала сервера: теоретический минимум в часах ≈ ГБ × 2,2 ÷ Мбит/с. Реально закладывайте в 2–3 раза больше: IMAP передаёт много мелких объектов, а почтовые сервисы могут ограничивать скорость. Например, 47 ГБ при 50 Мбит/с — минимум около 2 часов, на практике 4–6.

Свой компьютер: минимальные требования

64-битный (amd64) двухъядерный процессор. Debian 13 ставится на 64-битные ПК, а 32-битная архитектура i386 поддерживается лишь как сопутствующая для запуска 32-битных программ, поэтому совсем старые машины не подойдут.
От 4 ГБ ОЗУ (2 ГБ — абсолютный минимум для минимальной конфигурации).
SSD вместо HDD или два диска в зеркале. Перед запуском проверьте диск (SMART) и память (memtest).
Исправный блок питания и охлаждение. В БИОС включите автозапуск после возобновления питания.
ИБП, которого хватит минимум на корректное выключение (10–15 минут).
Вентилируемое запираемое помещение, не пыльный угол под столом.
Подойдёт и компактный мини-ПК: он тише и экономичнее по электричеству.

Как понять, что мощности не хватает: постоянное использование swap, высокий iowait, растущая очередь отправки. Для наблюдения подойдёт Netdata, как в упомянутом кейсе. Подробнее о ИБП, зеркале дисков, SMART и охлаждении — в статье Старый компьютер как сервер.

Сеть для собственного оборудования

Если сервер стоит в офисе, до установки почты нужно решить вопросы с подключением. Часть из них решается не вами, а провайдером, поэтому начинайте с этого.

Статический «белый» IPv4-адрес. Это публичный адрес, не за CGNAT. Проверка: сравните WAN-адрес роутера с адресом, который показывает внешний сервис определения IP. Если они разные, вы за CGNAT. Динамический адрес с DDNS для почты не подходит: нет стабильных PTR и SPF, нет репутации.
Тариф и договор. Уточните у провайдера услугу статического IP и допустимость размещения серверов: на домашних тарифах это бывает запрещено. Обычно проблему решает бизнес-тариф.
Порты. Входящие: 25 (приём почты от других серверов), 465/587 (отправка клиентами), 993 (IMAP), 80/443 (сертификаты и веб-интерфейс). Исходящий 25 нужен для отправки другим серверам. Убедитесь, что провайдер не блокирует 25, до покупки оборудования.
Обратная запись (PTR). Попросите провайдера прописать PTR на mail.вашдомен.ру. Имя в приветствии сервера (HELO) должно совпадать.
Репутация диапазона. Проверьте адрес по спискам вроде Spamhaus: диапазоны домашних абонентов часто числятся там по умолчанию.
Роутер и сегментация. Серверу нужен постоянный локальный адрес, проброс только необходимых портов, отдельный сегмент сети (или хотя бы правила файрвола) от рабочих компьютеров. Администрировать лучше по SSH с ключами и через VPN (WireGuard): тогда наружу открыт только порт VPN, а не SSH.
Резервный канал. Полезен для доступа администратора, но почту через канал с другим IP не отправляйте: адрес не совпадёт с SPF и PTR.
IPv6. Если он включён, для него нужны отдельные PTR и SPF. Иначе отключите отправку по IPv6.

Если вместо своего оборудования выбрали VPS, проверьте у хостера перед оплатой: открыт ли исходящий порт 25 (или как его запросить), входит ли статический IPv4 в тариф, можно ли самому менять PTR, и посмотрите выданный адрес по чёрным спискам.

Пошаговый план

0. Подготовка

Составьте список ящиков с объёмами, алиасы, пересылки, общие ящики и перечень устройств, которые придётся перенастроить. Включите IMAP в настройках Яндекс.Почты (при двухфакторной аутентификации понадобится пароль приложения).

Если сервер будет у вас, первым делом закажите у провайдера статический IP и PTR и проверьте порт 25: оформление может занять несколько дней, и от этого зависит весь график. За 1–2 дня до переключения понизьте TTL записей MX и A, например до 300 секунд: переключение пройдёт быстро и обратимо.

Сама настройка занимает у опытного администратора несколько часов, перенос истории и проверка идут в фоне ещё 1–2 дня.

1. Подготовка сервера

Устанавливаем Debian 13 «trixie». Это текущая стабильная версия: полная поддержка продлится до августа 2028 года, а с долгосрочной (LTS) до июня 2030-го, то есть сервер можно поставить и годами не переустанавливать. Установка с загрузочной флешки; если дисков два, собираем зеркало (RAID 1). Настраиваем firewall, автоматические обновления безопасности, вход по SSH только по ключам без root, синхронизацию времени и имя хоста mail.вашдомен.ру (подробный чек-лист — в статье Первые 30 минут нового сервера). ИБП подключаем по USB и ставим пакет NUT: при долгой пропаже питания сервер выключится корректно.

2. Postfix, Dovecot и контейнеры

Postfix принимает и отправляет письма, Dovecot отдаёт их по IMAP. Службы запускаются в rootless-контейнерах Podman через Quadlet, как на странице услуги и в статье про Nextcloud. Podman в Debian 13 относится к ветке 5.4, устанавливается командой apt install podman, а генератор Quadlet входит в состав пакета. Debian 12 для этой схемы не подходит: в нём Podman 4.3, без Quadlet.

У rootless-контейнеров есть две особенности, важные именно для почты:

порты ниже 1024 (25, 465, 587, 993) им по умолчанию недоступны: их открывают параметром ядра net.ipv4.ip_unprivileged_port_start или перенаправлением портов в firewall;
сервисы внутри контейнера должны видеть реальный IP отправителя, а не адрес внутренней сети контейнеров. Иначе не будут работать проверки SPF и Fail2ban.

Можно обойтись и без контейнеров, поставив пакеты Debian напрямую: на старте проще, но контейнеры упрощают перенос на другое железо. Для соединений с клиентами включаем TLS (Let’s Encrypt), с другими серверами шифрование используется, когда оно поддерживается получателем.

3. Аутентификация исходящей почты

Настраиваем три записи в DNS:

SPF — разрешает отправку только с вашего сервера
DKIM — цифровая подпись каждого письма
DMARC — инструкция для чужих серверов, что делать с поддельными письмами

Без этих записей большинство крупных получателей отправит ваши письма в спам или отклонит. Подробности — в статье Настройка DMARC за 10 минут.

4. Фильтрация и защита

Rspamd проверяет входящие письма на спам и фишинг, Redis ускоряет его работу. Fail2ban блокирует подбор паролей на почтовых портах. При необходимости подключается антивирус ClamAV (учтите его аппетит к памяти).

5. Перенос истории

Используем imapsync: он копирует письма, папки и флаги со старого сервера на новый. Основной прогон выполняется заранее при работающем Яндексе, а перед переключением и после него запускаются повторные, которые докопируют новые письма. Время считайте по формуле из раздела про канал связи.

6. Переключение MX-записи

Меняем MX на новый сервер. Старый ящик оставляем на 48 часов как резерв. После переключения запускаем финальный прогон imapsync: некоторые отправители ещё какое-то время пишут по старому MX из кэша. Затем перенастраиваем почтовые клиенты и телефоны на новые адреса IMAP и SMTP.

7. Проверка

Отправляем тестовые письма на Gmail, Mail.ru, Outlook. В заголовке Authentication-Results должны быть spf=pass, dkim=pass, dmarc=pass. Проверяем PTR, TLS и отсутствие адреса в чёрных списках. В логах Postfix должны отображаться реальные IP отправителей.

8. Резервное копирование и мониторинг

Копии делаем на другую площадку (Borg Backup + borgmatic: автоматические бэкапы без облачных подписок). Мониторинг должен работать снаружи: почтовый сервер не пришлёт уведомление о собственном падении. Следим за доступностью портов 25 и 993, свободным местом, сроком сертификатов и состоянием дисков (SMART).

Подводные камни

Один диск и ни одной копии. В старом ПК первым выходит из строя диск. Копия на другой площадке нужна с первого дня.
Питание и канал. Отправители повторяют попытки доставки в течение нескольких суток, поэтому короткий простой письма не теряет. Длительный приведёт к возвратам. ИБП и внешний мониторинг обязательны.
Физический доступ. Сервер с перепиской должен стоять в запираемом помещении. Шифрование диска защищает при краже, но требует ввода пароля при каждой перезагрузке.
Репутация IP. Домашний диапазон часто в чёрных списках, а новый VPS может получить адрес с историей. Проверяем адрес до начала работ.
Порт 25. Закрыт у части провайдеров и хостеров. Выясняем до покупки оборудования или VPS.
Обратная DNS (PTR). Без неё крупные провайдеры не доверяют серверу. Дома настраиваем через поддержку провайдера, на VPS — в панели хостера.
Rate limiting. Крупные почтовые сервисы ограничивают количество писем с нового IP в первые недели. Начинаем с малого объёма.
SSL-сертификаты. Let’s Encrypt обновляется каждые 90 дней. Автоматизация обязательна, иначе почтовые клиенты начнут ругаться.
Rootless-контейнеры и сеть. Привилегированные порты и реальный IP отправителя нужно настроить заранее: без этого почта либо не принимается, либо принимается без проверок.
IPv6 без PTR и SPF. Письма по IPv6 будут отклоняться, пока записи не настроены.
Открытый SSH и общая сеть с рабочими компьютерами. Это самая частая причина компрометации офисного сервера.

Итог

Собственный почтовый сервер даёт полный контроль над данными, независимость от условий стороннего провайдера и предсказуемую доставку при корректной настройке. Для небольшой команды хорошо работает и обычный компьютер в офисе: нужны статический IP, ИБП и резервные копии на другой площадке. Если этих условий нет, VPS закрывает вопросы с питанием, каналом и IP за небольшую ежемесячную плату. Выбор не окончательный: если конфигурация описана файлами, перейти с одного варианта на другой можно за часы. Но любой вариант требует настройки и сопровождения.