Proxmox Mail Gateway: o produto que quase ninguém conhece

A Proxmox é conhecida por dois produtos: o VE, de virtualização, e o Backup Server. Existe um terceiro, com a mesma filosofia — open source, sem edição paga, com subscription opcional para repositório enterprise e suporte — e que passa despercebido pela maioria das equipes: o Proxmox Mail Gateway.

É um filtro de e-mail que fica entre a internet e o seu servidor de correio, barrando spam, vírus e phishing antes que eles cheguem ao destino. Para quem opera servidor de e-mail próprio, ele resolve um problema difícil com uma solução madura e sem custo de licença.

Onde ele entra

O desenho é simples: o registro MX do domínio aponta para o gateway, não para o servidor de e-mail. Tudo que chega passa por ele. O que sobrevive à filtragem é entregue ao servidor real, que fica sem exposição direta à internet.

Internet → Proxmox Mail Gateway → Servidor de e-mail → Caixas

Isso traz três ganhos além da filtragem em si:

O servidor de correio deixa de estar exposto. Ele só aceita conexão do gateway. Uma superfície inteira de ataque desaparece.
Tráfego de saída também pode passar pelo gateway, o que permite verificar o que sai — importante quando uma máquina interna é comprometida e começa a enviar spam. É o que evita a sua entrada em listas de bloqueio.
Fila de segurança. Se o servidor de e-mail ficar indisponível, o gateway retém as mensagens e entrega quando ele voltar, em vez de devolver erro ao remetente.

O que ele faz

O gateway aplica várias camadas de análise, em ordem de custo crescente — as mais baratas primeiro, para descartar o volume óbvio antes das caras:

Verificações de conexão: listas de bloqueio, verificação do nome do remetente, atraso proposital para remetente desconhecido. É a camada que elimina a maior parte do volume com o menor custo.
Autenticação de domínio: SPF, DKIM e DMARC, verificando se o remetente é quem diz ser. É a defesa mais eficaz contra falsificação de domínio.
Análise estatística e por regras, pontuando cada mensagem.
Antivírus, com verificação de anexo e de conteúdo.
Regras próprias, montadas em uma interface de objetos e ações — por remetente, destinatário, domínio, horário, tipo de anexo, palavra no conteúdo.
Quarentena, com relatório periódico para o usuário final liberar o que foi retido indevidamente.

O sistema de regras é o diferencial operacional. Ele permite políticas específicas sem editar arquivo de configuração: bloquear tipos de anexo executável para todo mundo exceto um grupo, aplicar regra mais rígida a um domínio específico, tratar diferente o correio entre filiais.

A quarentena e o relatório ao usuário

Esse detalhe decide se a implantação será bem-sucedida ou vai gerar reclamação constante.

O gateway envia periodicamente a cada usuário um resumo do que foi retido, com a opção de liberar a mensagem sozinho. Isso resolve o problema clássico de filtro de e-mail: o falso positivo que faz alguém perder um pedido importante e ninguém descobrir a tempo.

Com o relatório, o falso positivo vira um inconveniente de trinta segundos em vez de um incidente comercial. E o suporte para de receber "não recebi o e-mail do cliente".

Alta disponibilidade

O gateway suporta um cluster de dois nós, com sincronização de configuração e de banco de regras. Ambos ficam ativos e recebem tráfego — basta apontar dois registros MX com prioridades diferentes.

É um desenho simples e adequado ao problema: e-mail já tem retentativa embutida no protocolo, então a exigência de disponibilidade instantânea é menor que a de um serviço web.

Em ambiente Proxmox VE, o desenho natural é rodar os dois nós do gateway como VMs em hosts físicos distintos.

Quando vale a pena

Faz sentido quando:

Você já opera servidor de e-mail próprio e quer proteção sem custo recorrente por caixa.
Você é provedor e quer oferecer filtragem de e-mail como serviço — o gateway é multi-domínio e multi-cliente por natureza, o que o torna empacotável.
Há exigência de manter o correio e os registros dentro da própria infraestrutura, por conformidade ou por política.
Você quer verificar o tráfego de saída para evitar listas de bloqueio.
O ambiente já é Proxmox, e a familiaridade com a interface e o modelo de subscription reduz o atrito.

Não faz sentido quando:

O correio está em serviço de nuvem que já inclui filtragem — nesse caso, você estaria pagando complexidade por algo que já vem no pacote.
Não há ninguém para operar. Filtro de e-mail exige acompanhamento: ajustar regras, tratar falso positivo, monitorar reputação. Não é "instalar e esquecer".

Esse segundo ponto merece honestidade. Gateway de e-mail mal cuidado é pior que não ter, porque gera confiança indevida e bloqueia correio legítimo em silêncio.

O que ele não resolve

Não é servidor de e-mail. Ele filtra e encaminha; as caixas continuam no seu servidor.
Não substitui treinamento. Phishing bem feito atravessa qualquer filtro; a última camada é sempre a pessoa.
Não resolve reputação de envio sozinho. SPF, DKIM, DMARC, registro reverso e endereço IP com histórico limpo continuam sendo responsabilidade sua.
Não faz arquivamento com valor legal. Retenção para fins de auditoria é outro produto.

O que precisa estar certo na implantação

Registros MX apontando para o gateway, com prioridade correta se houver dois nós.
Servidor de e-mail aceitando conexão apenas do gateway. Se ele continuar aberto à internet, todo o benefício de superfície se perde — e spammers encontram o caminho direto rapidamente.
Lista de destinatários válidos configurada, para o gateway recusar correio para endereços inexistentes na conexão, em vez de aceitar e devolver depois. Isso reduz carga e evita gerar rebote para remetentes falsificados.
SPF, DKIM e DMARC publicados no seu domínio, para o seu correio ser aceito pelos outros.
Registro reverso do endereço de saída coerente com o nome do servidor.
Relatório de quarentena ativo, com frequência adequada.
Monitoramento da fila e da reputação do endereço de saída.
Backup da configuração e das regras.

O item 2 é o mais esquecido, e transforma a implantação inteira em teatro.

Erros comuns

Apontar o MX para o gateway e deixar o servidor de correio aberto à internet.
Não configurar lista de destinatários válidos, e gerar rebote para endereços falsificados.
Filtrar entrada e ignorar saída, e acabar em lista de bloqueio por máquina interna comprometida.
Não ativar o relatório de quarentena, e perder mensagem legítima sem ninguém saber.
Regras agressivas demais no primeiro dia, sem período de observação.
Não publicar SPF, DKIM e DMARC do próprio domínio.
Registro reverso ausente ou divergente.
Nenhum monitoramento de fila nem de reputação.
Nó único, sem segundo registro MX.
Instalar e nunca mais acompanhar.

Onde a Solvefy/Cloud entra

Como parceiros oficiais Proxmox, implantamos o Mail Gateway completo: dois nós em alta disponibilidade sobre o seu cluster, registros MX e autenticação de domínio configurados, servidor de correio fechado para acesso externo, lista de destinatários válidos, regras ajustadas ao seu ambiente com período de observação antes de endurecer, relatório de quarentena para os usuários e monitoramento de fila e reputação. Para provedores, ajudamos a empacotar a filtragem como serviço vendável aos seus clientes.

Seu servidor de e-mail está exposto direto na internet? Fazemos um diagnóstico gratuito da infraestrutura, sem compromisso, em solvefy.cloud.

Solvefy/Cloud — Infraestrutura que cresce com você.