Proxmox部署邮件服务器与多Web服务器：Web服务器无法发送邮件的问题求助

Hey there! Let’s work through this problem together. I’ve seen similar issues with port forwarding and SNAT rules in Proxmox, so let’s break down what’s happening and how to fix it step by step.

先回答你的第一个问题：能不能给第二个公网IP单独配置接口？ #

其实不需要额外的物理接口，咱们可以直接在现有的vmbr0桥接接口上配置第二个独立的静态IP（不用别名方式，这样配置更清晰，也能避免一些源地址混淆的问题）。

修改/etc/network/interfaces配置 #

假设你当前的网络配置是这样的（补全你未贴完的内容）：

auto lo
iface lo inet loopback

iface enp2s0 inet manual

auto vmbr0
iface vmbr0 inet static
    address 100.100.100.42/24  # 替换为你的第一个公网IP及子网掩码
    gateway 100.100.100.1      # 替换为你的公网网关地址
    bridge-ports enp2s0
    bridge-stp off
    bridge-fd 0

要添加第二个公网IP，直接在vmbr0的配置块里新增一行address即可（如果两个IP属于同一子网，用/32掩码避免冲突）：

auto lo
iface lo inet loopback

iface enp2s0 inet manual

auto vmbr0
iface vmbr0 inet static
    address 100.100.100.42/24
    address 100.100.100.44/32  # 替换为你的第二个公网IP
    gateway 100.100.100.1
    bridge-ports enp2s0
    bridge-stp off
    bridge-fd 0

修改完成后，执行ifdown vmbr0 && ifup vmbr0（注意：这会短暂中断网络，建议在维护窗口操作），或者重启Proxmox主机让配置生效。

核心问题：Web服务器为什么无法发送邮件？ #

大概率是你的iptables DNAT规则没有限定作用范围，导致内部Web服务器发起的出站邮件流量（比如访问外部SMTP服务器的25端口）被错误转发到了内部邮件服务器；另外可能缺少SNAT规则，导致外部邮件服务器无法回复Web服务器的请求。

修正iptables规则 #

1. 开启内核IP转发

先确保Proxmox允许IP转发，这是虚拟机访问外网和端口转发的前提：

• 临时开启：

  echo 1 > /proc/sys/net/ipv4/ip_forward
  

• 永久生效（编辑/etc/sysctl.conf）：

  nano /etc/sysctl.conf
  

  找到net.ipv4.ip_forward，将其值设为1，然后执行sysctl -p让配置立即生效。

2. 限定DNAT规则的作用范围

原来的规则可能没有指定目标IP，导致所有端口25/143等的流量都被转发。现在咱们把规则限定为只针对第二个公网IP的入站流量：

# 替换100.100.100.44为你的第二个公网IP
iptables -t nat -A PREROUTING -d 100.100.100.44 -p tcp --dport 25 -j DNAT --to-destination 10.10.10.200
iptables -t nat -A PREROUTING -d 100.100.100.44 -p tcp --dport 143 -j DNAT --to-destination 10.10.10.200
iptables -t nat -A PREROUTING -d 100.100.100.44 -p tcp --dport 993 -j DNAT --to-destination 10.10.10.200
iptables -t nat -A PREROUTING -d 100.100.100.44 -p tcp --dport 587 -j DNAT --to-destination 10.10.10.200
iptables -t nat -A PREROUTING -d 100.100.100.44 -p tcp --dport 465 -j DNAT --to-destination 10.10.10.200
iptables -t nat -A PREROUTING -d 100.100.100.44 -p tcp --dport 110 -j DNAT --to-destination 10.10.10.200
iptables -t nat -A PREROUTING -d 100.100.100.44 -p tcp --dport 995 -j DNAT --to-destination 10.10.10.200

3. 添加SNAT规则（让外部服务器能回复内部请求）

内部机器的IP是私有地址，直接发送请求到外部会被拒绝，需要通过SNAT转换成公网IP：

• 让所有内部机器（10.10.10.0/24）的出站流量用第一个公网IP：

  iptables -t nat -A POSTROUTING -s 10.10.10.0/24 -o vmbr0 -j SNAT --to-source 100.100.100.42
  

• 如果你想让邮件服务器的出站流量单独使用第二个公网IP（更利于邮件IP声誉管理），可以添加一条优先级更高的规则：

  iptables -t nat -A POSTROUTING -s 10.10.10.200 -o vmbr0 -j SNAT --to-source 100.100.100.44
  

4. 允许转发流量通过FORWARD链

# 允许转发到邮件服务器的邮件端口流量
iptables -A FORWARD -d 10.10.10.200 -p tcp --dport 25 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -d 10.10.10.200 -p tcp --dport 143 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -d 10.10.10.200 -p tcp --dport 993 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -d 10.10.10.200 -p tcp --dport 587 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -d 10.10.10.200 -p tcp --dport 465 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -d 10.10.10.200 -p tcp --dport 110 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -d 10.10.10.200 -p tcp --dport 995 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

# 允许内部机器的出站流量转发
iptables -A FORWARD -s 10.10.10.0/24 -o vmbr0 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

# 允许外部回复流量进入内部
iptables -A FORWARD -d 10.10.10.0/24 -i vmbr0 -m state --state ESTABLISHED,RELATED -j ACCEPT

5. 保存iptables规则（避免重启后丢失）

# 保存规则到文件
iptables-save > /etc/iptables/rules.v4

# 安装并启用netfilter-persistent服务，确保重启后规则自动加载
apt install netfilter-persistent
systemctl enable --now netfilter-persistent

验证效果 #

1. 重启你的Web服务器，尝试发送测试邮件（比如用sendmail命令或Web应用的邮件功能）
2. 测试外部是否能正常给你的邮件服务器发信
3. 可以用tcpdump在Proxmox主机上抓包，确认Web服务器的出站流量是用第一个公网IP，且未被错误转发到内部邮件服务器

备注：内容来源于stack exchange，提问作者xtrose Media Studio