Capítulo 01 Primeros pasos Admin: #pNetwork

Arquitectura del sistema, recarga en caliente sin reinicio & matriz de puertos

nextxch unifica ESMTP, IMAP4rev2, POP3, JMAP, CalDAV/CardDAV, WBXML Mobile Push, ManageSieve, Webmail PWA y archivado GoBD WORM en un único proceso nativo (~40 MB de RSS en reposo). Casi todos los ajustes del Admin Cockpit (/admin/) se aplican sin reiniciar el servicio y se propagan automáticamente a los nodos del clúster.

Consejo operativo y nota de arquitectura

Exponga en su firewall perimetral solo los puertos necesarios. Las implementaciones modernas solo con TLS necesitan únicamente los 5 puertos principales (25, 443, 465, 587, 993). Mantenga el puerto 143 desactivado, salvo que dispositivos internos heredados no puedan usar TLS implícito en el puerto 993.

Configuración rápida del firewall perimetral (UFW & Windows PowerShell)

Abre los 5 puertos TCP de entrada necesarios (25, 443, 465, 587, 993) más el puerto 80 para Let's Encrypt HTTP-01.

Referencia / configuración

# Linux (UFW)
sudo ufw allow 25,80,443,465,587,993/tcp

# Windows Server (PowerShell als Administrator)
New-NetFirewallRule -DisplayName "nextxch Core Ports" `
  -Direction Inbound -Protocol TCP -LocalPort 25,80,443,465,587,993 -Action Allow

Configuración, valores predeterminados y buenas prácticas

Ajuste / ubicación	Descripción	Valor predeterminado	Buena práctica de producción
`ServerHostName (#pNetwork)`	FQDN público anunciado en los saludos ESMTP 220, en EHLO/HELO saliente, en las respuestas de Autodiscover y en los diagnósticos TLS. Se aplica en 0 ms sin reinicio.	`mail.<DefaultDomain>`	Utilice siempre un FQDN de host dedicado como mail.company.com que coincida 1:1 con su registro de DNS inverso (PTR) IPv4/IPv6 público.
`TCP 25 (ESMTP MX Inbound & Outbound)`	Recepción MX entrante de servidor a servidor y entrega MX saliente con STARTTLS oportunista/obligatorio y CHUNKING/BDAT según RFC 3030.	`Aktiv (Pflicht) / Enabled`	Permita el TCP 25 tanto entrante como saliente (verifique que el ISP haya desbloqueado el puerto 25). AUTH en texto plano en el puerto 25 está desactivado de forma predeterminada; manténgalo desactivado.
`TCP 443 (HTTPS: Webmail, Admin, Push, DAV)`	Sirve el Webmail PWA (/mail/), el Admin Cockpit (/admin/), JMAP, CalDAV/CardDAV (/dav/), Mobile Push (/Microsoft-Server-ActiveSync) y la Send API.	`Aktiv (Pflicht) / Enabled`	Sirva directamente mediante Kestrel con Let's Encrypt integrado o detrás de un gateway SSL HAProxy/Nginx/pfSense con X-Forwarded-For / protocolo PROXY.
`TCP 465 (SMTPS) & TCP 587 (Submission)`	Envío autenticado de correo desde clientes de escritorio/móviles (MUA), escáneres e impresoras multifunción (465 TLS implícito según RFC 8314, 587 STARTTLS).	`Beide aktiv / Both enabled`	Prefiera el puerto 465 (TLS implícito desde el byte 0 según RFC 8314) para los clientes modernos y mantenga abierto el puerto 587 para escáneres STARTTLS y sistemas ERP.
`TCP 993 (IMAPS) & TCP 143 (IMAP)`	Acceso a buzones IMAP4rev2 con push IDLE por debajo de 5 ms y sincronización bidireccional de Apple Notes (993 TLS implícito, 143 STARTTLS explícito).	`993 aktiv, 143 optional`	Mantenga abierto el puerto 993; cierre el puerto 143 en las interfaces públicas siempre que sea posible para que los clientes nunca intenten conexiones sin cifrar.
`TCP 995 (POP3S) & TCP 110 (POP3)`	POP3 según RFC 1939 con STLS, SASL (PLAIN, LOGIN), UIDL estable y TOP para clientes heredados (995 TLS implícito, 110 STLS). Desactivado de forma predeterminada; IMAP sigue siendo el protocolo recomendado.	`Aus (Standard) / Off by default`	Actívelo en Admin > Red (tarjeta "POP3") sin reinicio, de forma global y por dominio o usuario. Si es necesario, abra el puerto 995; el puerto 110 es opcional.
`TCP 80 (ACME HTTP-01) & TCP 4190 (Sieve)`	El puerto 80 responde a los desafíos HTTP-01 automatizados de Let's Encrypt; el puerto 4190 permite editar filtros ManageSieve con autenticación (Thunderbird/Roundcube).	`Optional / Optional`	Abra el puerto 80 si nextxch gestiona directamente Let's Encrypt HTTP-01; exponga el puerto 4190 solo si los usuarios gestionan scripts de Sieve desde clientes de escritorio.