Vier mailservers, één moderne stack: onze zomerwerken zijn afgerond
De upgrade van Maximusconfessor is voltooid. Daarmee sluiten we een belangrijke zomerperiode af voor de vier grote mailservers van all2all: Moses, Hermes, Maximusconfessor en Vonmuenchhausen draaien nu allemaal op Debian 13 stable, met een gemoderniseerde en geharmoniseerde mailstack.
Dit project ging veel verder dan een nieuw versienummer. We namen elke server grondig onder handen: besturingssysteem, kernel, opslag, beveiliging, filtering, webmail, back-ups, monitoring en capaciteitsinstellingen. Het doel is eenvoudig: betrouwbaardere mailroutering, eenvoudiger onderhoud en een gezonde basis voor de komende jaren.
Wat verandert er voor gebruikers?
De vier servers delen nu dezelfde configuratieprincipes en ondersteunde componenten. SMTP, IMAP, POP en webmail gedragen zich consistenter op alle nodes, antivirus- en antispambeveiliging gebruiken opnieuw onderhouden versies en beveiligingsupdates kunnen regelmatig worden opgevolgd.
Bestaande mailboxen, aliassen en domeinen bleven tijdens de werkzaamheden behouden. Na elke stap controleerden we de wachtrijen, beveiligde verbindingen, verzending en ontvangst, toegang tot mailboxen en Roundcube. Voor gebruikers hoort de modernisering discreet te blijven, terwijl ze de technische achterstand achter de dagelijkse dienstverlening sterk vermindert.
Voor wie graag onder de motorkap kijkt
Vonmuenchhausen kreeg de meest zichtbare transformatie: de oude hardware werd vervangen door een volledig nieuwe server met snelle, redundante NVMe-opslag. Op bestaande servers voegden we SSD’s toe of verbeterden we de opslagpaden waar de architectuur dat toeliet. Hardware-RAID-controllers bleven behouden waar ze nog zinvol zijn. De gezondheid van schijven, SSD’s, RAID-sets en bestandssystemen wordt nu consequent bewaakt.
Alle vier systemen kregen actuele Debian 13-kernels en -pakketten. Opstartpaden, opslagcontrollers en diensten werden na de opeenvolgende upgrades gecontroleerd. Automatische Debian-beveiligingsupdates zijn actief, maar zonder automatische herstart: een reboot van een mailserver blijft een geplande en gecontroleerde ingreep.
De gemeenschappelijke stack omvat onder meer Postfix, Courier, OpenDKIM, Amavis, ClamAV, SpamAssassin en Roundcube met PHP-FPM. We harmoniseerden TLS, authenticatie, filtering van inkomende en uitgaande berichten, herstelbare quarantaines, Fail2ban met nftables, verzendbeveiligingen en waarschuwingen. Proceslimieten blijven afgestemd op de middelen van elke machine: Maximusconfessor host bijvoorbeeld bijna duizend mailaccounts en heeft nu Courier-limieten die voor die belasting zijn gedimensioneerd.
SQL-back-ups worden opgeslagen in de boom die daadwerkelijk naar de back-upservers wordt overgebracht. Ook SMART/RAID-monitoring, systeemwaarschuwingen en administratieve mailroutering werden op alle vier nodes gecontroleerd.
Van Courier naar Dovecot: een afzonderlijke studie
We onderzoeken ook een afzonderlijke evolutie van de toegang tot mailboxen: een mogelijke overstap van Courier naar Dovecot voor IMAP en POP. Dit betreft de server die de mailboxen aan mailprogramma’s aanbiedt, niet noodzakelijk het opslagformaat: Dovecot kan de bestaande Maildirs blijven gebruiken.
Courier blijft vandaag de productiedienst en er is nog geen migratiebesluit genomen. Vóór een eventuele pilot moeten we authenticatie, UID/GID en rechten, quota, abonnementen en speciale mappen, TLS, gelijktijdige toegang, indexen, compatibiliteit met Virtualmin en Roundcube, en een terugkeer zonder berichtverlies valideren.
Een voorzichtige Rspamd-pilot
Op Vonmuenchhausen zijn we ook gestart met een offline Rspamd-pilot. Die vergelijkt de moderne filtering van Rspamd met de huidige Amavis/SpamAssassin-keten, op basis van een gecontroleerd corpus en zonder de productiebezorging te wijzigen.
Rspamd heeft Amavis dus nog niet vervangen. Als de resultaten overtuigen, kunnen we een geleidelijke en eenvoudig terug te draaien overgang onderzoeken. De antivirusrol van ClamAV en het quarantainebeheer worden afzonderlijk beoordeeld: we veranderen niet meerdere kritieke mechanismen tegelijk.
De grote harmonisering is afgerond, maar mailinfrastructuur is nooit echt “af”. We blijven wachtrijen, verzendreputatie, prestaties en upstream-updates opvolgen — voortaan vanaf één gemeenschappelijke, actuele en veel beter onderhoudbare basis.
Illustratie: Baron Münchhausen op een kanonskogel, gravure van August von Wille, vóór 1872, publiek domein, via Wikimedia Commons. Bijgesneden voor voorvertoningen.
