如果你在一台老旧的Linux服务器上执行mail -s hello someoneexample.com然后看着邮件被投递出去这背后的功臣很可能就是sendmail。作为Unix世界最古老的邮件传输代理MTA之一sendmail已经默默跑了四十多年很多企业内部的日志告警、系统备份通知、定时任务结果都是靠它转发的。我最早接触sendmail是在维护一台跑着CentOS 5的老机器时当时什么都不懂只知道邮件发不出去就去改/etc/mail/sendmail.mc改完跑一遍m4再重启服务。后来踩的坑多了才慢慢搞明白它背后的队列机制、中继控制和日志体系。这篇文章就打算把我这些年在sendmail上积攒的经验完整盘一盘从它到底是什么、怎么安装、核心配置怎么写到实际运维中你会遇到的队列积压、退信、反解不匹配等问题都给你讲透。内容会比较长但我保证每一段都是能直接落地的东西。适合几类人看正在维护存量sendmail服务器的运维、想在低配VPS或老机器上自己搭一套邮件服务的爱好者以及被Postfix文档逼疯想回头看看原始MTA的探索者。1. 先弄清楚sendmail到底是个什么东西1.1 sendmail的基本身世sendmail诞生于上世纪70年代末作者是Eric Allman最初是在delivermail基础上改进而来的。1983年它随BSD 4.1c一起发布从此成为Unix世界的事实标准邮件传输代理。在很长一段时间里几乎每台Unix服务器都能找到一个叫/usr/sbin/sendmail的二进制文件。它负责的工作很简单接收邮件、解析收件人、投递邮件。你可以把它理解成小区物业的收发室——住户把信投进去收发室看一眼地址如果是本小区的就送到对应的信箱如果是外小区的就联系对方物业联系不上的就暂存在柜子里过会儿再试实在送不出去就退给寄件人。这个比喻基本能概括sendmail的全部核心逻辑接收、路由、队列、投递、退信。它不关心你用Outlook还是Foxmail不关心邮件正文是HTML还是纯文本更不关心是否带附件它只做传输。现在很多发行版已经把默认MTA换成了Postfix但sendmail依然存在于大量生产环境里。尤其是嵌入式设备、老版本操作系统、内部报表系统、打印机和扫描仪的邮件推送功能很多还在用sendmail或者兼容sendmail接口的程序。理解sendmail与其说是学一个老古董不如说是掌握一套邮件系统的基础框架。1.2 一次邮件投递背后的完整链路在配置之前先得把sendmail的工作流程搞明白。完整链路大概是这样的用户在用MUA邮件客户端里点发送MUA通过SMTP协议连接到服务器的25端口。sendmail接收邮件检查发件人是否被允许发送收件人是否本地用户或者是不是要转发到其他域名。邮件内容被写入队列目录生成一对文件qf开头的信封文件记录发件人、收件人、时间戳、错误重试次数和df开头的正文文件。队列运行器queue runner周期性地把队列里的邮件捞出来处理。sendmail查询收件人域名的MX记录找到目标邮件服务器。建立TCP 25连接开始SMTP会话把邮件投递过去。对方返回250表示收下sendmail把队列里的邮件删除对方返回临时错误则保留队列等待下次重试永久错误则给发件人退回一封退信邮件。这里有个关键点很多人容易忽略sendmail并不是“收到邮件立刻发送”的而是先落地到队列再异步处理。这个设计好处很大——即使目标服务器宕机、网络断开、DNS解析失败邮件也不会丢只是滞留在队列里等恢复后自动补投。1.3 和Postfix、Exim比到底该选谁不少新手会问既然Postfix更现代为什么还要折腾sendmail我直接给一个对比表你就能看明白。对比维度sendmailPostfixExim配置方式m4宏生成sendmail.cf多文件文本配置单一文本配置学习曲线较陡平缓中等性能一般单进程模型有瓶颈多进程模块化性能好灵活中小规模够用安全性历史早期漏洞较多现在稳定设计安全漏洞少出现过严重漏洞适用场景老系统、嵌入式、兼容需求大多数新建邮件服务器Debian系默认、策略型部署我的建议很明确如果你是从零搭建一套全新邮件系统Postfix是更省心的选择但如果你要维护的是已有sendmail服务器或者被要求兼容某些老系统那本文这套知识就是刚需。而且不管你最后用哪个MTA理解“队列机制、日志分析、中继控制、反转解析校验”这些底层逻辑都是通用的学sendmail等于把基础打牢了。2. 环境准备与安装2.1 安装前的网络规划hostname、DNS、反解很多人装完sendmail发现投递失败第一反应是配置写错了其实很多时候问题出在环境没准备好。邮件系统最敏感的三样东西主机名、MX记录、PTR反解。主机名必须是完整的FQDN。比如你的服务器叫mail.example.com那就得把hostname设成mail.example.com不能只叫mail或者localhost。sendmail启动时会检查主机名如果无法解析成完整域名它会拒绝启动或者以未修饰的主机名运行导致HELO问候语不合法被对方服务器拒收。MX记录要提前规划好。比如你的域名是example.com你要让发往userexample.com的邮件到达这台服务器就得在DNS里添加一条MX记录指向mail.example.com同时添加mail.example.com的A记录指向服务器IP。可以用dig short MX example.com验证。PTR反解是反垃圾邮件的重要检查项。很多大型邮箱服务商在收到邮件时会反查IP地址如果发件服务器IP没有PTR记录或者PTR记录指向的主机名和发件域名不匹配邮件会被直接拒收或者丢进垃圾箱。这个在安装前就应该确认好尤其是云服务器和IDC机房一般是在管理面板里提交工单或自助配置。检查命令很简单hostname -f dig short MX example.com dig -x 203.0.113.10如果PTR结果解析出来的域名和你邮件服务器主机名一致这一步就算合格了。2.2 安装sendmail和相关组件装sendmail不能只装一个sendmail二进制还需要sendmail-cf或者叫sendmail-devel和m4。sendmail-cf里存放着生成配置文件所需的大量宏定义和feature模板m4则是用来展开这些宏的工具。很多人在这一步只装了sendmail结果改完sendmail.mc跑m4时报“找不到宏文件”白白折腾半天。Debian/Ubuntu系的安装命令apt-get update apt-get install -y sendmail sendmail-cf m4RHEL/CentOS系的安装命令yum install -y sendmail sendmail-cf m4装完以后有个容易踩的坑某些发行版把sendmail这个命令做成了Postfix的兼容链接也就是说你运行sendmail实际调用的是Postfix。检查方法很简单ls -l /usr/sbin/sendmail如果输出显示/usr/sbin/sendmail - exim4或者/usr/sbin/sendmail - postfix说明这个系统默认用的是别的MTA你需要先卸载或者停用默认MTA再安装真正的sendmail。很多时候服务器上“邮件发不出去”就是这个原因——你以为在操作sendmail实际是另一个程序在响应。2.3 启动守护进程并验证安装完成后先把服务启动起来systemctl start sendmail systemctl enable sendmail然后确认端口监听是否正常ss -lntp | grep :25正常情况下能看到 sendmail 监听在25端口。如果没看到基本是配置有问题直接查日志tail -100 /var/log/maillog常见启动失败原因主机名解析失败、25端口被占用、队列目录权限不对。队列目录默认是/var/spool/mqueue权限必须是root所有且mode为700这个经常被忽略。3. sendmail的核心配置3.1 配置哲学m4宏 vs 直接改sendmail.cf我第一次打开/etc/mail/sendmail.cf的时候整个人是懵的几百行以R和S开头的火星文比正则表达式还劝退。后来才明白正常人不该直接改sendmail.cf而是通过/etc/mail/sendmail.mc这个宏文件来配置。m4宏系统是sendmail最独特的设计。简单说sendmail.mc 是给人看的配置描述一眼能看懂它要干什么sendmail.cf 是给sendmail主程序解析的规则集它包含了一整套复杂的邮件路由重写规则这些规则对大多数场景完全相同只是细节参数不同。m4的作用就是把我们的配置意图和系统默认规则模板合并展开生成完整的sendmail.cf。这样做的好处有两个。一是可读性改一行宏定义比手工在一堆规则里改参数要安全得多。二是可维护性系统升级时sendmail的规则集可能变化但你写的宏定义可以保持不变重新生成一次cf文件就行。生成配置的标准流程是cd /etc/mail cp sendmail.mc sendmail.mc.bak # 编辑 sendmail.mc m4 sendmail.mc sendmail.cf这里必须提醒一句在生成前一定备份原来的sendmail.cf因为m4生成是全量覆盖。万一新配置有问题至少能快速恢复。还有一个更省事的办法如果在Red Hat系发行版上/etc/mail目录下自带Makefile你改完sendmail.mc后直接执行make -C /etc/mail它会自动重新生成sendmail.cf并重建aliases、access等数据库文件比手动一步一敲命令省心得多。3.2 sendmail.mc中必须理解的关键参数一个最简可用的sendmail.mc大概长这样dnl 基础配置 define(MYHOSTNAME, mail.example.com) define(SMART_HOST, smtp.isp.com) dnl 监听设置只监听内网地址 DAEMON_OPTIONS(Familyinet, NameMTA-v4, Portsmtp, Addr127.0.0.1) dnl 启用访问控制数据库 FEATURE(access_db) FEATURE(mailertable) FEATURE(virtusertable) dnl 定义本地投递和SMTP投递 MAILER(local) MAILER(smtp) MAILER(procmail)逐个说参数的作用MYHOSTNAME指定这台邮件服务器的主机名。如果环境里没有显式定义sendmail会通过系统hostname命令获取。显式写出来能避免DNS解析顺序带来的不一致。DAEMON_OPTIONS控制监听地址和端口。如果不加限制sendmail会监听所有网卡的25端口。对于只做内网邮件转发的服务器强烈建议把监听地址限制在127.0.0.1或内网IP上减少暴露面。修改后记得重新生成配置否则邮件服务还是会接受外网连接。SMART_HOST这个参数很实用后面讲中继时会重点说简单理解就是设置一个“把所有外发邮件统一转交给它”的智能主机。非常适合没有公网IP、运营商封了25端口的场景。FEATURE是sendmail的插件系统开关。access_db启用访问控制数据库virtusertable启用虚拟用户表。每开一个featurem4就会把对应的一组规则模板织入生成的cf文件中。有个细节经常坑新手sendmail.mc 里的dnl是“删除到行尾”的意思本质是注释。但dnl必须写在行首而且有的版本要求后面跟一个空格写成dnl。如果你把dnl写错位置m4展开时会原样输出一行垃圾文本到sendmail.cf导致服务启动失败。3.3 aliases别名和virtusertable虚拟用户表/etc/aliases是sendmail本地别名机制作用是把发给某个系统用户的邮件转给另一个用户或者邮箱。系统里有个经典规则root: adminexample.com postmaster: root这样发给root的邮件会转到管理员真实邮箱。修改完aliases后必须运行newaliases生成数据库文件否则不生效。这个步骤很多人忘而且不是重启sendmail能解决的——重启服务不会自动重建别名库。虚拟用户表virtusertable解决的是另一个问题一台服务器上托管多个域名每个域名想有自己独立的邮箱映射。例如webmasterexample.com localuser infoexample.com admin example.net catchall最后一行example.net表示这个域名下所有找不到匹配用户的邮件统一收进 catchall 账户。虚拟用户表的配置同样不是直接读文本需要生成哈希数据库makemap hash /etc/mail/virtusertable /etc/mail/virtusertable这里有个经验之谈生成完哈希文件后检查一下文件权限确保sendmail进程通常以root身份运行可读。很多诡异问题就是权限不对导致的尤其是你从别的机器复制配置过来时。4. 实操从发信到日志排查4.1 手工SMTP会话测试配置好服务后第一步不是急着用mail命令测试而是用工具“裸聊”一次SMTP协议这样可以清晰看到每一句交互和返回码。我用ncnetcat演示一遍nc localhost 25连接成功后进行手工会话220 mail.example.com ESMTP Sendmail EHLO localhost 250-mail.example.com Hello localhost [127.0.0.1] 250-AUTH LOGIN PLAIN 250-STARTTLS 250 HELP MAIL FROM:testexample.com 250 2.1.0 OK RCPT TO:userexample.com 250 2.1.5 OK DATA 354 Go ahead Subject: test message This is a test. . 250 2.0.0 OK QUIT 221 2.0.0 bye每一步的返回码都有含义250表示命令接受354表示可以输入邮件正文221表示服务关闭连接。如果RCPT TO返回550说明收件人被拒可能是收件人不存在或者中继策略禁止。如果MAIL FROM返回550多半是发件人被限制要检查access_db配置。很多人忽略了一个细节握手时EHLO后面跟的主机名会被记录在日志里而且部分反垃圾系统会校验这个名称是否和IP的PTR一致。测试时随便写个EHLO test可能导致对方服务器拒收但你自己还排查不出来。4.2 观察日志判断投递结果sendmail的所有动作都会写在日志里。Red Hat系是/var/log/maillogDebian系是/var/log/mail.log。一条典型的外发日志长这样Jan 01 10:00:01 mail sendmail[12345]: 1ABC123DEF: fromuserexample.com, size1024, class0, nrcpts1, msgid202301011000.1ABC123DEFmail.example.com, protoESMTP Jan 01 10:00:02 mail sendmail[12346]: 1ABC123DEF: totargetgmail.com, delay00:01:00, xdelay00:01:00, maileresmtp, relaygmail-smtp-in.l.google.com. [142.250.1.27], dsn2.0.0, statSent看懂几个关键字段就行from发件人to收件人relay实际连接的对方MX服务器地址dsn传递状态2.0.0表示成功stat最终状态Sent表示成功投递如果statDeferred说明邮件暂时没投出去后面通常会跟着具体原因比如Name server timeoutDNS超时或者421 too many connections对方限流。看到statBounce说明投递永久失败已经生成了退信。我排查问题的固定动作是先grep出一段时间内所有非Sent状态的行grep sendmail.*stat /var/log/maillog | grep -v statSent这样能快速把问题邮件集中捞出来再逐条看失败原因。4.3 队列管理与邮件滞留处理sendmail的队列目录默认是/var/spool/mqueue。在Debian系sendmail 8.12以后引入了clientmqueue机制普通用户用命令行提交的邮件先进/var/spool/clientmqueue再由专门的队列运行器转交主队列。用mailq看主队列mailq -Ac看clientmqueue。查看当前积压情况mailq输出里每一行代表一个队列条目包含队列ID、邮件大小、发件人、收件人、停留时间和重试次数。如果积压多先看停留时间——都超过几小时了说明是持续投递失败需要查原因而不是继续等。手动触发队列处理用sendmail -q这个命令会立即把所有队列里的邮件拿出来尝试投递一次。但我强烈不建议在对方服务器正在限流时反复手动flush因为每一次尝试都会增加投递频率很可能被对方反垃圾系统盯上反而拖得更久。正确做法是让队列按周期自然运行同时把日志里statDeferred的原因找出来解决掉邮件自然会慢慢出去。队列运行间隔可以在sendmail.mc里调整define(confQUEUE_LA, 4) define(QUEUEINTERVAL, 30m)QUEUEINTERVAL 30m表示每30分钟跑一轮队列处理。系统负载高于confQUEUE_LA设定值时sendmail会跳过这轮队列处理以免影响正常业务。5. 进阶TLS加密与认证5.1 为什么收件方要求加密现在主流邮箱服务商已经在逐渐收紧明文邮件投递。Gmail、Outlook这些大服务在你连上他们的MX服务器时一般会要求先用STARTTLS握手协商加密然后再传输邮件内容。如果你的sendmail没配TLS对于某些服务商你的邮件会掉进“低信誉”档位直接影响送达率。要理解这个问题可以想象你拿纸质信件到邮局邮局工作人员要求你用信封密封再投递而不是把内容都摊在桌面上。STARTTLS就是这个“密封”过程。不做这个动作邮件正文在网络上就是明文传输的这是一个非常严重的安全风险。sendmail对TLS的支持已经相当成熟只是默认配置没有启用。所以你必须显式把证书路径告诉它。5.2 配置StartTLS的步骤第一步准备证书。如果有公网域名直接用Lets Encrypt签免费证书最省事apt-get install -y certbot certbot certonly --standalone -d mail.example.com证书会生成在/etc/letsencrypt/live/mail.example.com/下。我们先建一个目录存放证书副本mkdir -p /etc/mail/certs cp /etc/letsencrypt/live/mail.example.com/fullchain.pem /etc/mail/certs/server.pem cp /etc/letsencrypt/live/mail.example.com/privkey.pem /etc/mail/certs/server_key.pem chmod 600 /etc/mail/certs/server_key.pem然后在sendmail.mc里加这些定义define(confCACERT_PATH, /etc/ssl/certs) define(confCACERT, /etc/ssl/certs/ca-certificates.crt) define(confSERVER_CERT, /etc/mail/certs/server.pem) define(confSERVER_KEY, /etc/mail/certs/server_key.pem)重新生成配置并重启服务后用openssl s_client验证openssl s_client -starttls smtp -connect localhost:25如果输出最后能看到Verify return code: 0 (ok)或者握手成功打印会话证书就说明TLS生效了。证书续期是个大坑。Lets Encrypt证书有效期90天到期的当天sendmail还能用旧证书但之后对方服务器会发现证书过期直接拒绝。我的做法是写一个定时任务每月跑一次certbot renew --force-renewal然后自动把新证书复制到/etc/mail/certs并重启sendmail。5.3 中继和Smart Host配置中继Relay是sendmail里最容易出安全问题的地方。所谓开放中继就是这台服务器无条件代发任意来源的邮件。垃圾邮件发送者最喜欢这种服务器一旦被利用你的IP会立刻进各种黑名单整个企业邮件都会跟着遭殃。sendmail默认只信任本机和中继配置表里允许的域名。看/etc/mail/access这个控制文件Connect:localhost.localdomain RELAY Connect:localhost RELAY Connect:127.0.0.1 RELAY Connect:192.168.10.0/24 RELAY To:spamexample.com REJECT这个文件的作用是定义谁能通过这台服务器发邮件以及哪些收件地址要被拦截。修改后同样要执行makemap hash /etc/mail/access /etc/mail/access生成哈希库。在云服务器上25端口出站经常被运营商封锁但你仍然可以依赖Smart Host把邮件转发出去。比如通过企业的邮件网关或者第三方SES服务在sendmail.mc里设置define(SMART_HOST, smtp.qq.com)这告诉sendmail所有外发邮件不要直接去找收件人的MX而是统一交给你指定的智能主机处理。这种方式也是规避封端口的最常用方案而且对日志收口、统一审计也有帮助。6. 常见问题与故障排查实录6.1 拒收、退信、反解不匹配最典型的故障就是能从本机发给本机但发到外部邮箱就退信或者被拒收。我遇到过太多次原因几乎都是同一类——反解没有配置。例子你的服务器IP是203.0.113.10主机名是mail.example.com但IP的PTR记录指向了203-0-113-10.example-idc.com或者干脆解析不出来。大型邮箱服务商收到邮件会尝试反查PTR发现不匹配就给一个类似451 4.7.1 Please try again later的临时拒绝。排查方法是dig -x 203.0.113.10如果结果和你主机名不一致去找云服务商或机房提工单配置PTR记录。注意反向解析一定是IP所有方才能配置你自己改DNS服务商是没用的。还有一个容易被忽略的点发送域名和服务器主机名不一致。很多人用阿里云、腾讯云服务器发邮件但DNS的MX记录和PTR记录互相都对不上导致各种诡异的发送失败。解决思路很简单——发件域名、服务器主机名、IP反解三者保持一致问题基本消失。6.2 投递延迟、队列不退邮件一直在队列里日志显示statDeferred但看不出什么明显错误这种情况多半是对方反垃圾策略在搞你。对方不会直接拒绝而是给你一个临时失败让你过段时间再试。我的处理原则先观察不冲动。查看队列里滞留邮件的错误次数和重试间隔如果错误是421 too many connections说明对方在限流越频繁flush越糟糕。等的时间够了sendmail自己会按指数退避策略重试。如果积压过多可以考虑在sendmail.mc里调低队列运行间隔和最大队列大小define(confMAX_QUEUE_RUN_SIZE, 1000) define(confMIN_QUEUE_AGE, 30m)confMAX_QUEUE_RUN_SIZE限制单轮处理的消息数防止一次处理太多导致机器负载飙升。confMIN_QUEUE_AGE表示邮件在队列中至少待30分钟才允许被处理避免过早重试。6.3 常见错误速查表把我在处理sendmail问题时最常见的错误整理成了一张速查表基本囊括了80%的日常问题。日志或错误信息可能原因处理建议statDeferred: Name server timeoutDNS解析失败检查/etc/resolv.conf确认MX记录是否存在statDeferred: 421 4.7.1 Please try again later对方反垃圾临时拒绝等队列重试不要手动flushNOQUEUE: reject: RCPT from ...open relay或access规则拦截检查/etc/mail/access调整中继权限statSent (250 2.0.0 OK)投递成功无需处理mailq看到大量滞留且error count大目标服务器长期不可达检查目标域名MX和A记录是否仍有效Clientmqueue不断膨胀普通用户命令行发信积压用mailq -Ac查看重启sm-msp队列服务证书过期后对方拒收TLS证书过期续期证书并重启sendmailsendmail -d0.1 -bv xxxexample.com没输出sendmail链接被替换检查二进制实际指向需要说明的是sendmail -d0.1 -bv 收件人是一个很好用的诊断命令它会模拟一次投递并打印出解析过程中使用的各项配置比猜日志高效得多。最后按我的习惯提醒一句如果你要维护一台长时间运行的sendmail服务器建议把日志轮转配置好同时每天看一眼队列数量。队列一旦长期有积压八成是DNS或者对方服务在出问题。另外别忘了定期给系统打补丁sendmail历史上出过不少影响很大的远程漏洞即使它现在看起来不温不火依然是公网暴露面的一部分。