Diviser pour mieux régner ? Deux Serveurs Stalwart sur une seule Machine (Multi-IP)

Avant de commencer : Pourquoi faire ça ?

Vous vous apprêtez à installer deux copies indépendantes du logiciel Stalwart sur le même serveur Linux.

Avantages de cette méthode

1. Isolation de la Réputation (Le plus important) : En utilisant deux IP différentes, la réputation de vos emails est séparée. Si le serveur A (Marketing) est blacklisté pour spam, le serveur B (Direction) continue de fonctionner parfaitement.
2. Performance Native : Contrairement à Docker, il n'y a pas de couche de virtualisation (même minime). C'est direct "sur le métal".
3. Indépendance Totale : Vous pouvez redémarrer, mettre à jour ou casser le serveur A sans que le serveur B ne s'en aperçoive.

Inconvénients

1. Consommation de Ressources : Vous faites tourner deux moteurs. Cela consomme deux fois plus de mémoire RAM et de CPU qu'une instance unique gérant plusieurs domaines.
2. Maintenance Double : Il faudra faire les mises à jour deux fois, surveiller deux tableaux de bord, etc.

L'Analogie pour comprendre

Imaginez votre serveur comme un immeuble.

• Les IP (11.11.11.11 et 22.22.22.22) sont deux portes d'entrée distinctes sur la façade.
• Les Ports (25, 443, 8080) sont les numéros d'appartement.

Le problème par défaut : Quand on installe un logiciel serveur, il essaie de s'approprier l'appartement n°25 de toutes les portes d'entrée. Notre but : Forcer le Logiciel 1 à ne répondre qu'à la Porte 1, et le Logiciel 2 à ne répondre qu'à la Porte 2.

Étape 1 : Préparation du Terrain

Pourquoi ? Stalwart ne peut pas utiliser une adresse IP si le système d'exploitation (Linux) ne la possède pas déjà.

Action : Vérifiez que vos deux adresses IP sont bien actives sur la machine.

ip addr

Si vous ne voyez pas vos deux IP publiques, stoppez tout. Vous devez d'abord configurer votre interface réseau (via Netplan ou /etc/network/interfaces).

Étape 2 : Installation de l'Instance A

Pourquoi ? Nous installons dans un dossier spécifique (/opt/stalwart-1) pour que les fichiers de configuration et les bases de données ne se mélangent pas avec l'Instance B.

Action :

Renommer le service système : Pourquoi ? Linux utilise "systemd" pour gérer les processus. Il ne peut pas avoir deux fichiers s'appelant stalwart.service. On le renomme pour l'identifier.

sudo mv /etc/systemd/system/stalwart.service /etc/systemd/system/stalwart-1.service

Arrêter le service : Le script lance le serveur automatiquement. On l'arrête pour le configurer.

sudo systemctl stop stalwart

Télécharger et Installer :

curl --proto '=https' --tlsv1.2 -sSf https://get.stalw.art/install.sh -o install.sh
chmod +x install.sh
sudo ./install.sh /opt/stalwart-1

(Notez le mot de passe admin qui s'affiche).

Étape 3 : Configuration Réseau de l'Instance A (CRITIQUE)

Pourquoi ? C'est l'étape magique. Nous allons dire à Stalwart : "Interdiction de toucher à l'IP n°2".

Action :

1. Cherchez toutes les sections [server.listener]. Vous verrez souvent bind = ["0.0.0.0"] (qui signifie "tout le monde").

Remplacez par votre IP n°1 (ex: 11.11.11.11).Exemple pour le SMTP (réception de mail) :

[server.listener."smtp"]
bind = ["11.11.11.11"]  <-- IP UNIQUE N°1
port = 25

Faites-le aussi pour les sections "submission", "imap", "pop3", "management", etc.

Ouvrez le fichier de configuration :

sudo nano /opt/stalwart-1/etc/config.toml

Étape 4 : Installation de l'Instance B

Pourquoi ? On répète l'opération, mais dans un dossier différent pour une isolation totale.

Action :

Renommer le service système : On l'appelle cette fois stalwart-2.

sudo mv /etc/systemd/system/stalwart.service /etc/systemd/system/stalwart-2.service

Arrêter le service :

sudo systemctl stop stalwart

Installer dans un nouveau dossier :

sudo ./install.sh /opt/stalwart-2

(Notez le NOUVEAU mot de passe admin).

Étape 5 : Configuration Réseau de l'Instance B

Pourquoi ? On configure ce second serveur pour qu'il ignore l'IP n°1 et n'écoute que sur l'IP n°2.

Action :

Remplacez les bind par votre IP n°2 (ex: 22.22.22.22).Exemple :

[server.listener."smtp"]
bind = ["22.22.22.22"]  <-- IP UNIQUE N°2
port = 25

Ouvrez la configuration du second serveur :

sudo nano /opt/stalwart-2/etc/config.toml

Note importante : Puisque les IP sont différentes, vous avez le droit d'utiliser les mêmes ports (25, 8080) sur les deux serveurs ! Pas de conflit possible.

Étape 6 : Démarrage des Moteurs

Pourquoi ? On informe Linux des nouveaux noms de services et on lance tout.

Action :

sudo systemctl daemon-reload
sudo systemctl enable --now stalwart-1
sudo systemctl enable --now stalwart-2

Vérification ultime : Tapez sudo ss -tulpn | grep stalwart. Vous devez voir deux lignes pour le port 25 : une liée à l'IP 1, l'autre à l'IP 2.

Étape 7 : Le DNS (L'annuaire d'Internet)

Pourquoi ? Vos serveurs sont prêts, mais personne ne le sait. Le DNS sert à dire au monde : "Le courrier pour @domaine-A.com doit être livré à l'IP 1".

Action (Chez votre fournisseur de nom de domaine) :

Pour Domaine A (utilisant l'IP 1) :

• Créer un enregistrement A : mail pointe vers 11.11.11.11
• Créer un enregistrement MX : pointe vers mail.domaine-A.com (priorité 10)
• Créer un enregistrement TXT (SPF) : v=spf1 ip4:11.11.11.11 -all (Dit : "Seule l'IP 1 a le droit d'envoyer des mails pour moi").

Pour Domaine B (utilisant l'IP 2) :

• Créer un enregistrement A : mail pointe vers 22.22.22.22
• Créer un enregistrement MX : pointe vers mail.domaine-B.com
• Créer un enregistrement TXT (SPF) : v=spf1 ip4:22.22.22.22 -all

Étape 8 : Le Reverse DNS (Le passeport)

Pourquoi ? C'est l'étape la plus critique pour ne pas finir en SPAM. Quand votre Serveur A envoie un mail à Gmail, il dit "Bonjour, je suis mail.domaine-A.com". Gmail va alors regarder l'IP qui lui parle (11.11.11.11) et demander à l'annuaire central : "Quel est le nom officiel de cette IP ?". Si la réponse n'est pas mail.domaine-A.com, Gmail rejettera le mail (c'est une sécurité anti-usurpation).

Action (Dans l'interface de gestion de votre serveur/VPS) : Vous devez configurer le "Reverse DNS" (ou PTR) pour chacune de vos IP.

1. IP 1 (11.11.11.11) -> Reverse : mail.domaine-A.com
2. IP 2 (22.22.22.22) -> Reverse : mail.domaine-B.com

Conclusion

Vous avez maintenant deux systèmes totalement étanches.

• Si le domaine B subit une attaque DDoS, le domaine A continue de fonctionner.
• Vous pouvez vendre l'hébergement du domaine B à un client en lui garantissant que ses logs et ses données sont physiquement séparés de vos propres mails.