郵件服務在網絡裡的角色是越來越重要，不管是因特網上還是在局域網內部，大家都已經習慣使用電子郵件來處理日常的工作了。在Windows Server 2003出現之前，想在一台Windows NT Server或者Windows 2000 Server上構建一台郵件服務器是比較麻煩的事情，基本上是Windows NT 4.0 Server+Exchange 5.5 Server或者是Windows 2000 Server+Exchange 2000 Server這兩種解決方案。這兩種方案功能強大，完全可以滿足大型企業的需要，但配置繁瑣，而且對硬件設備要求較高，如果在一個中小型網絡裡使用此設計方案，多少有點“高射炮打蚊子”的感覺。在實際應用當中，大部分中小型網絡只需要最基本的電子郵件的收發功能。Windows Server 2003為此新增加了郵件服務組件。本文主要介紹如何利用Windows Server 2003來為一個中小型網絡建立郵件系統。
局域網內部郵件系統
內部郵件系統的構建相對簡單一些，不用考慮帶寬、IP地址、域名注冊等一些問題。在局域網內部實現郵件服務需要3種服務：DNS、SMTP、POP3服務。圖1中有2個網段，每個網段都有一個郵件系統，這裡為了演示所以使用了兩個郵件系統，其實對於兩個小型網絡來說，是完全可以共用一個郵件系統的。
在A網段內部實現郵件服務可參照下面的具體步驟：
1.確定服務器和客戶端。
A網段設置2台服務器，DNS服務器和郵件服務器（運行POP3服務和SMTP服務）各一台，也可以將兩種角色放到同一台服務器上。服務器的操作系統是Windows Server 2003企業版；客戶端操作系統為Windows 9x/Me/2000/XP或Windows Server 2003均可。
2.安裝操作系統和相應的服務組件。
○操作系統安裝步驟省略，IP地址配置如圖1所示；
○DNS服務：“控制面板”→“添加刪除程序”→“添加刪除Windows組件”→“網絡服務”→“域名系統（DNS）”；
圖1 內部郵件系統網絡拓撲圖
○POP3郵件服務：“添加刪除Windows組件”→“電子郵件服務”；
○SMTP服務：“添加刪除Windows組件”→“應用程序服務器”→“Internet信息服務(IIS)”→“SMTP Service”。提示：當您安裝POP3郵件服務時，服務器會自動選擇安裝SMTP服務。
○為了便於管理，可利用MMC工具將DNS服務、POP3服務、IIS-SMTP服務和本地用戶管理集合起來，以方便使用。具體步驟：“開始”→“運行”輸入MMC後點“確定”，找到“文件菜單”→“添加刪除管理單元”→“添加”後選擇相應的服務名稱，單擊“添加”→“關閉”→“確定”，現在就可以使用了。為了便於以後使用，我們可以將控制台保存起來，找到“文件菜單”→“選項”→控制台模式“用戶模式→完全訪問”→“確定”，點擊“文件菜單”→“保存”可將控制台保存到桌面。
3.D NS服務器設置。
○建立abc.com區域；
○建立smtp.abc.com/192.168.0.16和pop3.abc.com/192.168.0.16主機記錄；
○建立與父文件夾域名abc.com相同的郵件交換記錄（見圖2）。
圖2 DNS服務器設置
4.POP3服務器設置。
○首先選擇郵件存儲路徑，默認的郵件存儲路徑為系統所在分區的\Inetpub\Mailroot\下面，所有收到的郵件存儲在mailbox子目錄下。最好將郵件目錄存儲在一個非系統所在盤、並且有足夠磁盤空間的NTFS文件系統的分區上。郵箱所占磁盤空間可以按照用戶數量乘每用戶的郵箱大小來計算，另外還要考慮郵件隊列、壞郵件所占空間。
具體實現步驟：“開始”→“管理工具”→“POP3服務”，鼠標右鍵單擊服務器名“屬性”→“根郵件路徑”→“浏覽”選擇相應的路徑即可。
○設置POP3服務工作端口號，保持默認值110即可（見圖3）。
圖3 郵件服務器屬性設置
○設置身份驗證的方法有三種。如果已經建立郵件域名，則身份驗證方法將不能更改，除非刪除所有現存郵件域名。更改完驗證方法後，需要重新啟動POP3服務。
○日志級別：日志級別一共有四級，級別越高，記錄的時間越詳細，但會占用大量的磁盤空間，還會對性能有所影響（見圖3）。
5.建立域名和郵箱。
○建立abc.com域。打開POP3服務控制台，在服務器名稱右鍵單擊，選擇“新建”→“域”輸入abc.com。
○建立[email protected]郵箱。在域名abc.com上右鍵單擊，“新建”→“郵箱”輸入郵箱名和密碼。如果是本地用戶驗證模式，則建立郵箱的同時建立相對應的本地用戶賬號(見圖4)；如果是加密文件驗證模式時，建立郵箱用戶界面如圖5所示。
圖4 在本地身份驗證式建立郵箱
圖5 在加密密碼文件身份驗證模式建立郵箱
6.管理郵箱空間。
○如果是本地用戶和活動目錄驗證方式，郵箱容量大小可以通過NTFS文件系統的磁盤配額功能實現，如對所有用戶的信箱容量都設置為5MB（見圖6）。如果要對某個用戶進行特殊設置，比如將[email protected]的信箱容量設置為10MB，可打開圖6中的“配額項”，對特殊用戶進行設置，“配額項”的界面如圖7所示；
圖6 利用磁盤配額定制郵箱容量
○如果是加密密碼文件身份驗證，則可以通過配額文件來限制郵箱的容量，可以使用“winpop createquotafile”命令來建立配額文件。比如要設置[email protected]郵箱容量為5MB，首先建立一個模板本地用戶tmp_abc，並在郵箱所在NTFS分區上對tmp_abc設置配額項5MB，然後在命令行下執行“winpop createquotafile [email protected] /user:tmp_abc”。注意：為提高安全性，使用完以後，需將tmp_abc用戶禁用；
如果對整個域的郵箱進行容量設置，只要將[email protected]郵箱的配額文件復制到其他郵箱目錄下即可。[email protected]郵箱配額文件的路徑為C:\Inetpub\mailroot\Mailbox\abc.com\P3_bill.wang.mbx\Quota，Quota為文件名。
圖7 利用配額項給個別用戶進行設置
○監視用戶郵箱的使用情況。可以利用事件查看器和配額項來監視磁盤的使用情況，也可以用POP3郵件服務器控制台來監視用戶郵箱的使用情況。另外通知客戶端盡量將已讀的郵件下載到本地計算機上，以節省郵件服務器的磁盤空間。
7.更改郵件賬戶密碼。
○如果是加密密碼文件身份驗證，可以通過“winpop changepwd [email protected] 123456”，其中“123456”為新密碼。
○其他兩種身份驗證方式還可以通過本地用戶和組管理工具或者活動目錄用戶和計算機管理工具來更改密碼，也可以用“net user bill.wang 123456”來設置新密碼。
8.SMTP服務器的設置。
○當在POP3郵件服務器控制台裡建立abc.com後，在SMTP服務器上就會自動建立abc.com，不用做其他設置就可以在abc.com郵件域裡發送和接收郵件。
○設置SMTP服務器郵件屬性，包括每封郵件的大小、每次會話大小、每個連接可以發送的郵件數、每個郵件的最多收件人數、存儲死信目錄等。具體步驟：打開“Internet信息服務管理器”→選擇“默認的SMTP虛擬服務器”→單擊鼠標右健“屬性”→“郵件”。
○設置SMTP服務器出站重試間隔時間和出站安全，保持默認即可。如果需要設置，可以打開“Internet信息服務管理器”→選擇“默認的SMTP虛擬服務器”→單擊鼠標右健“屬性”→“傳遞”。
9.客戶端設置。
○客戶端的IP地址、DNS設置必須正確，詳細步驟略；
○客戶端郵件收發軟件以Outlook Express為例，接收郵件（POP3）和發送郵件（SMTP）服務器為pop3.abc.com和smtp.abc.com。賬戶名為電子郵件地址，如[email protected]，此處必須輸入全名。如果POP3服務器端選擇“對所有客戶端連接要求安全密碼身份驗證（SPA）”，則賬戶名為電子郵件的前綴，如bill.wang，並且客戶端要將“使用安全密碼驗證登錄”選中（見圖8）。
圖8 客戶端Outlook Express設置
到此A網段郵件系統建立完畢，內部用戶已經可以互發郵件，但是不能外發郵件。B網段的郵件系統建立與A網段相同。下面看一下如何實現A、B兩個網段互發郵件。
1.DNS服務器設置。
○可以將2台DNS服務器合並為一台，也可以互相作為對方的二級輔助DNS服務器，提供了容錯又提高了訪問速度；
○如果有多台多級別的DNS服務器，可以在DNS服務器上設置轉發。比如有10台DNS服務器，1台負責lroot根（就是一個點）區域，根域委派了3台各負責.com、.net、.cn域DNS服務器，其余的負責類似a.com、b.net、a.com.cn的二級域。就可以將當前的DNS服務器設置為轉發到負責根域的DNS服務器。轉發設置在DNS服務器的郵件屬性裡（見圖9）。
圖9 設置DNS轉發
2.SMTP服務器設置。
默認狀態下為了安全起見，SMTP服務器不允許發送目的地是其他郵件域的郵件。要想實現外發郵件，可以按照以下步驟的設置：
○個別郵件域的設置，比如允許郵件只發送到xyz.com域或者所有以cn結尾的域。步驟如下：打開“Internet信息服務管理器”→“默認的SMTP虛擬服務器”→“域”→單擊鼠標右健“新建”→“域”→“遠程”，輸入需要建立的遠程域名xyz.com（輸入*.cn代表所有以cn結尾的域）“確定”。雙擊新建立的xyz.com，選中“允許將傳入郵件中繼到此域”，路由域選擇“使用DNS以發送到此域”。也選中“將所有郵件轉發到中繼主機”，直接輸入對方的郵件服務器的域名或者IP地址，IP地址用[]括上，如[192.168.0.10]。
圖10 設置SMTP服務身份驗證模式
○設置轉發所有域。有兩種設置方法，一種是利用驗證用戶的身份，通過驗證的用戶可以發送所有郵件，第二種是通過允許/限制IP地址來實現。對於接入Internet的SMTP服務器為了提高安全性，可以采用身份驗證的方法，而對於在局域網內部的用戶，則可以采用允許某個IP地址段來實現。
設置身份驗證。打開“Internet信息服務管理器”→單擊鼠標右鍵“默認的SMTP虛擬服務器”→“屬性”→“訪問”→“身份驗證”。身份驗證有三種方法，匿名訪問、基本身份驗證、集成Windows身份驗證，且三種方法可以並選。對於擁有活動目錄域結構的局域網內部可以采用最後一種，客戶端直接將當前登錄名和密碼傳送的服務器進行驗證，對於Internet用戶可以采用基本身份驗證（見圖10）。注意：當服務器需要身份驗證時客戶端必須做相應的設置，以Outlook Express為例。打開“工具”菜單→“賬戶”→選中相應的賬號“屬性”→“服務器”，選中“我的服務器要求身份驗證”，打開“設置”，輸入正確的賬戶名和密碼（見圖11）。
圖11 客戶部設置發送郵件身份驗證
設置IP地址范圍。打開“Internet信息服務管理器”→單擊鼠標右健“默認的SMTP虛擬服務器”→“屬性”→“訪問”→“中繼”。這裡可以允許一個IP地址或者一個IP地址段，也可以拒絕一個IP地址或者一個IP地址段（見圖12）。
圖12 設置SMTP服務中繼限制IP地址段
○新建SMTP虛擬服務器。可以在一台服務器上建立多個SMTP虛擬服務器，只要分配不同的IP地址或者端口號即可。這樣可以讓不同的SMTP服務器為不同的用戶服務，比如建兩台SMTP虛擬服務器，一台分配內部IP地址，只為局域網內部服務，另外一台分配真實的公共IP地址為Internet用戶服務。
○啟用日志記錄。當郵件服務器啟用以後，為了安全起見，也為了日後的觀察和取證，推薦啟用日志記錄。設置方法：單擊鼠標右健“默認的SMTP虛擬服務器”→“屬性”，選中“啟用日志記錄”。日志格式選擇“W3C擴展日志文件格式”。在屬性裡可以選擇“新日志計劃”的周期，在“高級”裡面可以選擇詳細的擴展日志選項（見圖13）。這些擴展日志選項如果選擇得太少，就失去了監視的作用；如果選擇的太多，日志文件會快速增長占用大量的磁盤空間，這時就要及時對日志文件進行備份和清理。
圖13 設置SMTP服務器擴展日志選項
將郵件系統接入Internet
如果要將郵件系統接入Internet，要考慮以下幾個問題：
1.申請因特網接入專線，同時申請固定公有IP。案例網絡（見圖14）申請了一個共享1Mb/s的專線，固定公有地址是211.88.88.135/211.88.88.136，子網掩碼255.255.255.128，網關是211.88.88.129，DNS服務器是202.106.196.115
2.注冊域名。到域名注冊機構注冊公司域名，比如到北京萬網注冊abc.com域名。
3.域名解析。所有域名解析可以通過注冊機構的DNS服務器，如萬網的DNS服務器，也可以自建DNS服務器，然後在注冊機構進行重定向，重定向以後自建的DNS服務器將解析所有域名。最後建立相關的DNS記錄，例如pop3.abc.com、smtp.abc.com主機記錄和@abc.com的郵件交換記錄，這三條記錄的地址均指向郵件服務器的外部公共IP地址。
4.安全性。可以考慮安裝防火牆、啟用身份驗證、使用SSL套接字加密，甚至可以將郵件服務器放到局域網內部，然後在防火牆上設置端口映射。
圖14是一個基本的郵件服務解決方案。對於此方案有以下幾點需要提示：
圖14 接入Internet的郵件系統
1.此方案將郵件服務和代理服務分開有利於網絡流量分流，可以減輕代理服務器的的負荷；
2.服務器為多網卡多IP配置。每台服務器需要2塊網卡和2個IP地址，分別接入內網和外網；
3.如果條件允許，可以在外網增加防火牆；
4.可以將郵件服務器配置為單網卡，放到網絡內部，以提高安全性。但需要在代理服務器上做端口映射。此方案實施起來較復雜，並且需要特殊的代理服務軟件；
5.可以將代理服務和郵件服務放到一台服務器上，可以節省一台服務器和一個IP地址；
在實現過程中如果不能收發郵件，問題主要集中在DNS解析和SMTP服務中繼這兩個方面。這時一定要注意客戶端出錯時的錯誤信息，是無法連接到服務器還是拒絕發送郵件還是發送錯誤，前者是DNS解析或者網絡問題，中間和後者基本是SMTP拒絕轉發或者不能和遠程SMTP服務器通信所致。
首先檢查問題是否出在DNS解析上面，對於DNS問題的常用解決辦法有以下幾種：
1.使用ipconfig /all命令檢測客戶端和服務器的IP地址、子網掩碼、網關、DNS設置是否正確；
2.使用ping命令檢測客戶端和服務器與DNS服務器和郵件服務器網絡是否相同；
3.在客戶端使用ping或者nslookup命令檢測pop3.abc.com、smtp.abc.com主機記錄解析是否正確；
4.在郵件服務器上使用nslookup或者restest（此命令可檢測郵件交換記錄是否注冊）命令檢測@abc.com郵件交換記錄解析是否正確。使用nslookup測試郵件交換記錄的方法：“開始”→“運行”→輸入nslookup“確定”，輸入“set type=mx”，選擇查詢記錄類型為郵件交換記錄，然後直接輸入需要查詢的郵件後綴，如sina.com（見圖15）。使用retest工具測試郵件交換記錄的方法較為簡單，直接輸入“restest sina.com”即可，sina.com為需要檢測的電子郵件後綴。
圖15 使用Nslooup命令檢測郵件交換記錄
如果排除了DNS解析的問題，就要檢查SMTP服務器是否有問題，常用的檢測辦法用以下幾種：
1.檢查SMTP服務器是否工作。在命令行下輸入“telnet smtp.abc.com 25”，如果出現提示“220 服務器名稱 Microsoft ESMTP MAIL Service ,Version:6.0.3790.0 ready at”等信息，表示SMTP服務器已經正常工作；
2.檢查SMTP服務器的身份驗證方式，並檢查客戶端是否做了相應的設置。比如賬戶名是bill.wang還是[email protected]；
3.檢查SMTP服務器中繼限制裡的IP地址列表是否配置正確；
4.檢查SMTP服務器是否限制連接人數；
5.檢查SMTP服務器的郵件大小、會話大小、每個連接的郵件數、每個郵件的收件人數是否設置正確；
6.檢查SMTP服務器建立的遠程域的DNS域名是否能解析。
POP3郵件服務器的遠程管理
有時由於某種原因不能親自坐在郵件服務器前進行現場的郵件管理，這是我們可以使用Windows Server 2003提供的遠程管理功能來實現。常用的遠程管理方法有：
1.Windows Server 2003終端服務。終端服務是在Windows NT就已經提出的一個遠程訪問服務器桌面的一個功能，此服務在服務器上安裝以後，客戶端安裝相對應的客戶端連接工具後，就可以連接到服務器上進行管理。
○終端服務器的安裝。在服務器的“控制面板”→“添加/刪除程序”→“添加刪除Windows組件”裡可以安裝安裝終端服務，具體步驟略；
○Windows XP已經包括了此客戶端軟件，叫做“遠程桌面連接”，位置在“開始”→“程序”→“附件”→“通訊”→“遠程桌面連接”。Windows Server 2003有兩個終端服務器客戶端軟件，一個與Windows XP相同，另外一個是新增的叫做“遠程桌面”，此工具在一個控制台界面裡可以連接多個遠程服務器，位置在“開始”→“管理工具”→“遠程桌面”；
○其他操作系統的終端服務客戶端軟件存放在終端服務器的C:\Windows\system32\clients\tsclient\win32目錄下。
2.基於Web浏覽器的遠程管理。如果遠程管理時所使用的網絡帶寬有限，可以考慮使用基於IIS6.0的Web浏覽器遠程管理。打開浏覽器直接輸入“https://服務器地址:8098”，注意此處為https安全通訊協議，以保證通訊信息的安全。連接到服務器以後，首先接受加密安全通訊證書，然後輸入具有管理權限的用戶名和密碼，就進入管理界面了（見圖16）。
圖16 基於Web浏覽器的遠程郵件管理
3.遠程桌面。在服務器端起用遠程桌面以後，客戶端可以利用終端服務客戶端軟件進行連接。在服務器端起用遠程桌面：“我的電腦”→單擊鼠標右鍵“屬性”→“遠程”→選中“允許用戶遠程連接到這台計算機”，然後在“選擇遠程用戶”裡添加允許授權的用戶，默認狀態下管理員已經具有此權限。
4.遠程協助。遠程協助是通過MSN即時通信軟件實現的，詳細配置過程略；
5.Telnet命令行工具。在服務器端啟動Telnet服務，可以通過“管理工具”→“服務”→“Telnet”手動啟動，也可以利用tlntadmn命令來啟動和管理服務器。客戶端在命令提示符下直接輸入“Telnet服務器地址”，經過驗證連接成功後即可進行管理。注意使用Telnet進行遠程管理時，只能使用命令行的形式進行管理。
6.其他第三方軟件。可以使用其他廠商開發的軟件進行管理，如PCAnywhere。另外某些黑客軟件也具有遠程管理的功能，這裡不再講述。
