Capítulo 01 Primeiros passos Admin: #pNetwork

Arquitetura do sistema, hot reload sem reinicialização & matriz de portas

O nextxch unifica ESMTP, IMAP4rev2, POP3, JMAP, CalDAV/CardDAV, WBXML Mobile Push, ManageSieve, Webmail PWA e arquivamento GoBD WORM em um único processo nativo (~40 MB de RSS em repouso). Quase todas as configurações do Admin Cockpit (/admin/) entram em vigor sem reiniciar o serviço e se propagam automaticamente pelos nós do cluster.

Dica operacional & nota de arquitetura

Exponha apenas as portas necessárias no firewall de perímetro. Implantações modernas somente com TLS precisam apenas das 5 portas principais (25, 443, 465, 587, 993). Mantenha a porta 143 desativada, a menos que appliances internos legados não consigam usar TLS implícito na porta 993.

Configuração rápida do firewall de perímetro (UFW & Windows PowerShell)

Abre as 5 portas TCP de entrada obrigatórias (25, 443, 465, 587, 993) e a porta 80 para o HTTP-01 do Let's Encrypt.

Referência / configuração

# Linux (UFW)
sudo ufw allow 25,80,443,465,587,993/tcp

# Windows Server (PowerShell als Administrator)
New-NetFirewallRule -DisplayName "nextxch Core Ports" `
  -Direction Inbound -Protocol TCP -LocalPort 25,80,443,465,587,993 -Action Allow

Configurações, valores padrão e boas práticas

Configuração / local	Descrição	Valor padrão	Boa prática para produção
`ServerHostName (#pNetwork)`	FQDN público anunciado nas saudações ESMTP 220, no EHLO/HELO de saída, nas respostas de Autodiscover e nos diagnósticos TLS. Aplicado em 0 ms sem reinicialização.	`mail.<DefaultDomain>`	Use sempre um FQDN de host dedicado, como mail.company.com, que corresponda 1:1 ao seu registro de DNS reverso (PTR) IPv4/IPv6 público.
`TCP 25 (ESMTP MX Inbound & Outbound)`	Recebimento MX de entrada servidor a servidor e entrega MX de saída com STARTTLS oportunista/obrigatório e CHUNKING/BDAT da RFC 3030.	`Aktiv (Pflicht) / Enabled`	Permita TCP 25 de entrada e de saída (verifique se o provedor desbloqueou a porta 25). AUTH em texto simples na porta 25 vem desativado por padrão; mantenha-o desativado.
`TCP 443 (HTTPS: Webmail, Admin, Push, DAV)`	Serve o Webmail PWA (/mail/), o Admin Cockpit (/admin/), JMAP, CalDAV/CardDAV (/dav/), Mobile Push (/Microsoft-Server-ActiveSync) e a Send API.	`Aktiv (Pflicht) / Enabled`	Sirva diretamente via Kestrel com Let's Encrypt integrado ou atrás de um gateway SSL HAProxy/Nginx/pfSense com X-Forwarded-For / protocolo PROXY.
`TCP 465 (SMTPS) & TCP 587 (Submission)`	Envio autenticado de e-mails por clientes desktop/móveis (MUAs), scanners e multifuncionais (465 com TLS implícito conforme RFC 8314, 587 STARTTLS).	`Beide aktiv / Both enabled`	Prefira a porta 465 (TLS implícito desde o byte 0 conforme RFC 8314) para clientes modernos, mantendo a porta 587 aberta para scanners STARTTLS e sistemas ERP.
`TCP 993 (IMAPS) & TCP 143 (IMAP)`	Acesso a caixas de correio via IMAP4rev2 com push IDLE abaixo de 5 ms e sincronização bidirecional do Apple Notes (993 TLS implícito, 143 STARTTLS explícito).	`993 aktiv, 143 optional`	Mantenha a porta 993 aberta; feche a porta 143 nas interfaces públicas sempre que possível, para que os clientes nunca tentem conexões não criptografadas.
`TCP 995 (POP3S) & TCP 110 (POP3)`	POP3 conforme RFC 1939 com STLS, SASL (PLAIN, LOGIN), UIDL estável e TOP para clientes legados (995 TLS implícito, 110 STLS). Desativado por padrão; o IMAP continua sendo o protocolo recomendado.	`Aus (Standard) / Off by default`	Ative em Admin > Rede (cartão "POP3") sem reinicialização, globalmente e por domínio ou usuário. Se necessário, abra a porta 995; a porta 110 é opcional.
`TCP 80 (ACME HTTP-01) & TCP 4190 (Sieve)`	A porta 80 responde aos desafios HTTP-01 automatizados do Let's Encrypt; a porta 4190 oferece edição autenticada de filtros ManageSieve (Thunderbird/Roundcube).	`Optional / Optional`	Abra a porta 80 se o nextxch tratar o HTTP-01 do Let's Encrypt diretamente; exponha a porta 4190 somente se os usuários gerenciarem scripts Sieve a partir de clientes desktop.