Kapitel 01 Erste Schritte Admin: #pNetwork

Systemarchitektur, Hot-Reload & Firewall-Port-Matrix

SharpMailserver bündelt ESMTP, IMAP4rev2, JMAP, CalDAV/CardDAV, WBXML Mobile Push, ManageSieve, Webmail PWA und GoBD-Archivierung in einem einzigen nativen Prozess (~40 MB Leerlauf-RAM). Nahezu alle Betriebsparameter im Admin-Cockpit (/admin/) werden im laufenden Betrieb ohne Dienst-Neustart übernommen und im Cluster automatisch synchronisiert.

Praxis-Tipp & Architektur-Hinweis

Öffne in der Firewall nur die wirklich benötigten Ports. Für reinen TLS-Betrieb genügen die 5 Pflicht-Ports 25, 443, 465, 587 und 993. Port 143 (IMAP STARTTLS) sollte nur aktiviert werden, wenn ältere interne Geräte kein implizites TLS auf Port 993 beherrschen.

Firewall-Schnellkonfiguration (UFW & Windows PowerShell)

Schaltet die 5 eingehenden Pflicht-Ports (25, 443, 465, 587, 993) sowie Port 80 für Let's Encrypt HTTP-01 frei.

Referenz / Konfiguration

# Linux (UFW)
sudo ufw allow 25,80,443,465,587,993/tcp

# Windows Server (PowerShell als Administrator)
New-NetFirewallRule -DisplayName "SharpMailserver Core Ports" `
  -Direction Inbound -Protocol TCP -LocalPort 25,80,443,465,587,993 -Action Allow

Einstellungen, Standardwerte & Best Practices

Einstellung / Ort	Funktion	Standardwert	Best Practice im Betrieb
`ServerHostName (#pNetwork)`	Öffentlicher FQDN des Mailservers für ESMTP-Banner (220), ausgehendes EHLO/HELO, Autodiscover und TLS-Prüfungen. Sofortiger 0-ms-Hot-Reload.	`mail.<DefaultDomain>`	Immer auf einen dedizierten Subdomain-Host wie mail.firma.de setzen, der exakt mit dem öffentlichen Reverse-DNS-(PTR)-Eintrag übereinstimmt.
`TCP 25 (ESMTP MX Inbound & Outbound)`	Server-zu-Server-Empfang von fremden Mailservern (MX) sowie direkter ausgehender Versand an Ziel-MX-Server inklusive STARTTLS und BDAT/CHUNKING.	`Aktiv (Pflicht) / Enabled`	Eingehend und ausgehend frei schalten (keine Hoster-Sperre). Niemals Benutzer-Passwort-Logins ohne TLS über Port 25 erlauben (standardmäßig gesperrt).
`TCP 443 (HTTPS: Webmail, Admin, Push, DAV)`	Bedient SharpMail Webmail PWA (/mail/), Admin-Cockpit (/admin/), JMAP, CalDAV/CardDAV (/dav/), Mobile Push (/Microsoft-Server-ActiveSync) und Sende-API.	`Aktiv (Pflicht) / Enabled`	Direkt über Kestrel mit Let's Encrypt betreiben oder hinter einem Reverse-Proxy/HAProxy mit X-Forwarded-For bzw. PROXY-Protokoll terminieren.
`TCP 465 (SMTPS) & TCP 587 (Submission)`	Authentifizierte Postausgangs-Einlieferung für E-Mail-Programme, Smartphones, Scanner und Multifunktionsgeräte (465 implizites TLS, 587 STARTTLS).	`Beide aktiv / Both enabled`	Für neue Clients bevorzugt Port 465 (implizites TLS ab dem ersten Byte) nutzen; Port 587 für Drucker/ERP-Systeme mit STARTTLS parallel offen halten.
`TCP 993 (IMAPS) & TCP 143 (IMAP)`	IMAP4rev2-Postfachzugriff inklusive Echtzeit-IDLE-Push (< 5 ms) und Apple-Notizen-Synchronisation (993 implizites TLS, 143 STARTTLS).	`993 aktiv, 143 optional`	Port 993 zwingend offen halten; Port 143 im öffentlichen Internet nach Möglichkeit geschlossen lassen, um Klartext-Fehlkonfigurationen auszuschließen.
`TCP 80 (ACME HTTP-01) & TCP 4190 (Sieve)`	Port 80 beantwortet automatische Let's-Encrypt-HTTP-01-Challenges (/.well-known/acme-challenge/*); Port 4190 erlaubt entfernte Sieve-Regelpflege.	`Optional / Optional`	Port 80 offen halten, sofern Let's Encrypt direkt auf dem Mailserver genutzt wird. Port 4190 nur öffnen, wenn Desktop-Clients Sieve direkt pflegen.