Synology MailPlus DNS配置全指南：A/MX/SPF/DKIM/DMARC/TLSA设置步骤

在使用Synology MailPlus（包括MailPlus Server和Mail Server）搭建邮件服务器时，DNS记录配置是决定邮件能否顺畅收发、是否被判定为垃圾邮件的关键环节。若缺少A记录，外部邮件服务器无法找到你的MailPlus服务器；若缺失SPF/DKIM记录，发出的邮件易被标记为诈骗邮件。本文将从DNS与MailPlus的配合逻辑入手，分步骤详解A、MX、SPF、DKIM、DMARC、TLSA 6类核心DNS记录的配置方法，结合具体示例和注意事项，帮你彻底掌握Synology MailPlus DNS配置要点，避免常见的邮件收发故障。

一、先理解：DNS如何支撑Synology MailPlus的邮件通信？

DNS（域名系统）的核心作用是“将域名解析为IP地址”，而对于Synology MailPlus，不同类型的DNS记录承担着不同职责，共同保障邮件通信的“可达性”和“安全性”：

- 基础可达性：A记录和MX记录是前提——A记录让外部服务器找到MailPlus服务器的IP，MX记录指定接收邮件的服务器地址； 

- 安全防欺骗：SPF、DKIM、DMARC记录是核心——通过验证发件人身份、附加数字签名、制定未验证邮件策略，减少邮件被伪造、标为垃圾邮件的概率； 

- 进阶验证：TLSA记录是补充——用于DANE（DNS-based Authentication of Named Entities）验证，确保外部服务器与你的MailPlus服务器建立安全的TLS连接。 

简单来说，Synology MailPlus DNS配置的本质是“通过标准化记录，让外部邮件系统信任并正确路由你的邮件”，缺一不可。

二、分步配置：Synology MailPlus核心DNS记录（附实操步骤）

在开始配置前，需准备两个前提条件：1. 已在Synology NAS上安装并初始化MailPlus Server/Mail Server；2. 已从DNS服务商（如阿里云、腾讯云、Cloudflare）获取用于邮件服务器的域名（如example.com）。以下按“基础记录→安全记录→进阶记录”的顺序，详解每类记录的配置方法。

（一）A记录：让域名指向MailPlus服务器IP（基础中的基础）

A记录（地址记录）的作用是“将邮件子域名（如mail.example.com）映射到Synology NAS的公网IP”，是外部服务器找到你的MailPlus服务器的第一步，必须优先配置。

1. 配置参数说明

| 参数         | 含义与设置建议                          | 示例值                  |

|--------------|-----------------------------------------|-------------------------|

| Name（记录名）| 通常设置为“mail”，形成子域名mail.example.com | mail                    |

| TTL（缓存时间）| 建议设为86400秒（1天），平衡解析速度与灵活性 | 86400                   |

| IP Address（IP地址）| 填写运行MailPlus的Synology NAS的公网IP（若用内网穿透，填穿透后的公网IP） | 93.184.216.34           |

2. 实操步骤（以阿里云DNS为例，其他服务商逻辑一致）

1. 登录DNS服务商后台（如阿里云“域名解析控制台”），找到你的邮件域名（如example.com）； 

2. 点击“添加记录”，选择记录类型为“A”； 

3. 在“主机记录”栏输入“mail”（若留空则为根域名example.com，建议用子域名区分邮件服务）； 

4. “解析线路”默认选“默认”（覆盖所有网络）； 

5. “TTL”输入86400； 

6. “记录值”输入NAS的公网IP（可在DSM“控制面板→网络→网络接口”中查看）； 

7. 点击“确定”，等待5-10分钟（DNS缓存生效时间），可通过“ping mail.example.com”验证：若能解析到填写的IP，说明A记录配置成功。

（二）MX记录：指定接收邮件的MailPlus服务器（邮件路由核心）

MX记录（邮件交换器记录）用于告诉外部邮件服务器：“发送到example.com的邮件，应该投递到哪台服务器”，需与A记录关联（MX记录的主机名需指向已配置的A记录子域名）。

1. 配置参数说明

| 参数         | 含义与设置建议                          | 示例值                  |

|--------------|-----------------------------------------|-------------------------|

| Name（记录名）| 留空（代表根域名example.com），确保“user@example.com”格式的邮箱生效 | （空）                  |

| TTL          | 与A记录一致，建议86400秒                | 86400                   |

| Priority（优先级）| 数字越小优先级越高（若只有1台MailPlus服务器，设为10即可） | 10                      |

| Host/Domain（目标主机）| 填写A记录对应的子域名，必须带完整域名后缀 | mail.example.com        |

2. 实操步骤

1. 在DNS服务商后台，继续添加记录，选择记录类型为“MX”； 

2. “主机记录”留空（若填“mail”则仅“user@mail.example.com”生效，不符合常规邮箱格式）； 

3. “优先级”输入10（若后续添加备用服务器，可设为20，优先级更低）； 

4. “记录值”输入“mail.example.com.”（注意末尾需加英文句号，部分服务商自动添加，需确认）； 

5. TTL设为86400，点击“确定”； 

6. 验证方法：使用在线MX查询工具（如MXToolbox）输入域名example.com，若显示“mail.example.com [优先级10]”，说明MX记录配置成功。

（三）SPF记录：防止他人伪造你的域名发邮件（防欺骗基础）

SPF记录（发件人策略框架）是一条TXT类型记录，用于“明确哪些服务器有权代表你的域名发送邮件”，外部服务器会通过SPF记录判断邮件是否为伪造，减少你的域名被滥用的风险。

1. 核心参数与示例（必懂标签）

SPF记录的格式为“v=spf1 授权规则 all”，关键标签含义如下：

| 标签   | 取值与说明                                  | 示例                          |

|--------|---------------------------------------------|-------------------------------|

| v      | 固定为“spf1”，表示使用SPF版本1              | v=spf1                        |

| ip4    | 授权发送邮件的服务器IPv4地址（即MailPlus服务器的公网IP） | ip4:93.184.216.34             |

| all    | 未授权服务器发送的邮件处理策略：-all（拒绝）、~all（标记可疑） | -all（推荐，安全性更高）      |

完整SPF记录示例：若域名为example.com，MailPlus服务器IP为93.184.216.34，记录内容为“v=spf1 ip4:93.184.216.34 -all”。

2. 实操步骤

1. 在DNS服务商后台添加记录，选择记录类型为“TXT”； 

2. “主机记录”留空（代表根域名example.com）； 

3. “TTL”设为86400； 

4. “记录值”输入SPF字符串，需用英文双引号包裹（部分服务商自动添加，需确认）：`"v=spf1 ip4:93.184.216.34 -all"`； 

5. 点击“确定”，验证方法：用在线SPF检测工具（如SPF Checker）输入域名，若显示“授权IP包含93.184.216.34”，说明配置成功。

（四）DKIM记录：给邮件加“数字签名”（防篡改关键）

DKIM记录（DomainKeys Identified Email）通过在每封 outgoing 邮件上附加“数字签名”，让接收方服务器验证邮件是否被篡改、是否真的来自你的MailPlus服务器。配置前需先在MailPlus中生成“公钥”，再将公钥写入DNS的TXT记录。

1. 第一步：在MailPlus中生成DKIM公钥

根据使用的MailPlus版本，生成路径略有不同：

- MailPlus Server用户：登录DSM → 打开「MailPlus Server」→ 进入「域」→ 选中你的邮件域名（如example.com）→ 点击「编辑」→ 切换到「常规」→ 下拉找到「高级」→ 点击「生成」（可自定义“Selector前缀”，如“abc”，后续配置需用到）→ 复制生成的“公钥”（不含空格和换行）； 

- Mail Server用户：登录DSM → 打开「Mail Server」→ 进入「安全性」→ 「验证」→ 找到「DKIM」→ 点击「生成」→ 复制公钥。

2. 第二步：在DNS中配置DKIM TXT记录

| 参数         | 含义与设置建议                          | 示例值                          |

|--------------|-----------------------------------------|---------------------------------|

| Name（记录名）| 格式为“Selector前缀._domainkey.域名”，Selector前缀即生成公钥时自定义的名称 | abc._domainkey.example.com      |

| TTL          | 建议86400秒                             | 86400                           |

| 记录值       | 格式为“v=DKIM1; k=rsa; p=公钥”，公钥需完整粘贴 | "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC..." |

实操步骤：

1. 在DNS服务商后台添加TXT记录； 

2. “主机记录”输入“abc._domainkey”（无需加域名后缀，服务商自动拼接）； 

3. “TTL”设为86400； 

4. “记录值”输入DKIM字符串，用英文双引号包裹：`"v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC..."`（公钥需完整，不可截断）； 

5. 点击“确定”，验证方法：发送一封测试邮件到 Gmail，查看邮件“原始信息”，若包含“dkim=pass”，说明DKIM配置成功。

（五）DMARC记录：制定未验证邮件的处理策略（安全加固）

DMARC记录（基于域的邮件验证、报告和一致性）用于告诉接收方服务器：“若邮件未通过SPF或DKIM验证，该如何处理（监控/隔离/拒绝）”，同时可接收邮件流量报告，帮你发现域名滥用情况。

1. 核心参数与示例

DMARC记录为TXT类型，关键标签含义如下：

| 标签       | 取值与说明                                  | 示例                          |

|------------|---------------------------------------------|-------------------------------|

| v          | 固定为“DMARC1”，表示使用DMARC版本1          | v=DMARC1                      |

| p          | 未验证邮件策略：p=none（仅监控）、p=quarantine（隔离）、p=reject（拒绝） | p=none（初期推荐，先监控）    |

| pct        | 策略覆盖的邮件百分比，建议100%（全量）      | pct=100                       |

| rua=mailto | 接收DMARC报告的邮箱地址（需是你的MailPlus邮箱） | rua=mailto:postmaster@example.com |

完整DMARC记录示例：域名为example.com，报告邮箱为postmaster@example.com，记录内容为“v=DMARC1; p=none; pct=100; rua=mailto:postmaster@example.com”。

2. 实操步骤

1. 在DNS服务商后台添加TXT记录； 

2. “主机记录”输入“_dmarc”（固定前缀，不可修改）； 

3. “TTL”设为86400； 

4. “记录值”输入DMARC字符串，用英文双引号包裹：`"v=DMARC1; p=none; pct=100; rua=mailto:postmaster@example.com"`； 

5. 点击“确定”，策略调整建议：初期用p=none监控1-2周，查看报告确认无正常邮件被拦截后，再改为p=quarantine（隔离可疑邮件），最后可升级为p=reject（彻底拒绝伪造邮件）。

（六）TLSA记录：验证TLS连接安全性（进阶验证）

TLSA记录（传输层安全验证）用于“将MailPlus服务器的TLS证书与域名绑定”，若外部邮件服务器启用DANE验证，会通过TLSA记录确认你的MailPlus服务器证书合法性——无TLSA记录可能导致对方无法向你发送邮件。

1. 第一步：生成TLSA记录参数

推荐用MailPlus内置工具生成，步骤如下：

1. 登录DSM → 打开「MailPlus Server」→ 进入「安全性」→ 「验证」→ 「DANE」； 

2. 系统会自动填充“名称”（格式为_25._tcp.mail.域名，25是SMTP默认端口）、“Usage”（3，代表DANE-EE）、“Selector”（1，代表使用公钥）、“Matching type”（1，代表SHA-256哈希）； 

3. 点击「Generate TLSA Record」，复制生成的“Certificate association data”（十六进制字符串）。

2. 第二步：在DNS中配置TLSA记录

| 参数             | 含义与设置建议                          | 示例值                          |

|------------------|-----------------------------------------|---------------------------------|

| Name（记录名）   | 固定格式“_25._tcp.mail.域名”，25对应SMTP端口 | _25._tcp.mail.example.com      |

| Usage（用途）    | 固定为3（DANE-EE：域颁发证书）          | 3                               |

| Selector（选择器）| 固定为1（SPKI：使用主题公钥）           | 1                               |

| Matching type（匹配类型）| 固定为1（SHA-256：哈希算法）         | 1                               |

| Certificate（证书数据）| 从MailPlus复制的十六进制字符串          | 9e76908d0386...（完整字符串）   |

实操步骤：

1. 在DNS服务商后台添加记录，选择记录类型为“TLSA”（部分服务商需在“高级记录”中找到）； 

2. 按上述参数填写“记录名”“Usage”“Selector”“Matching type”“Certificate”； 

3. TTL设为86400，点击“确定”； 

4. 验证方法：使用在线DANE验证工具（如DANE Check）输入域名，若显示“TLSA记录与证书匹配”，说明配置成功。

三、Synology MailPlus DNS配置的5个关键注意事项

1. 本地DNS服务器需同步更新：若使用Synology Directory Server等本地DNS服务器，需在“本地DNS视图”中同步添加上述所有DNS记录，避免本地设备解析不到MailPlus服务器，导致SPF/DKIM验证失败。 

2. 记录值格式需严格匹配：TXT类型记录（SPF/DKIM/DMARC）的内容必须用英文双引号包裹，DKIM公钥、TLSA证书数据不可截断或多空格，否则会导致验证失败。 

3. DNS生效需等待缓存：添加或修改DNS记录后，需等待5-30分钟（部分服务商缓存时间更长），可通过“nslookup”命令（如`nslookup -type=MX example.com`）验证记录是否生效。 

4. 策略调整需循序渐进：DMARC策略建议从“p=none”开始，待确认无正常邮件被拦截后，再逐步升级为“p=quarantine”“p=reject”；SPF策略优先用“-all”（拒绝未授权邮件），安全性更高。 

5. 遇问题联系域名服务商：不同DNS服务商的界面（如阿里云、腾讯云、Cloudflare）略有差异，若找不到“TLSA记录”选项或填写后不生效，可联系服务商技术支持，提供记录类型和参数获取帮助。

四、常见问题：Synology MailPlus DNS配置后邮件故障解答

Q1：配置后能收邮件但发不出，可能是什么原因？

- 核心原因：SPF记录未配置或授权IP错误，导致外部服务器判定邮件为伪造； 

- 解决方法：用SPF检测工具检查记录，确认“ip4”后的IP是MailPlus服务器的公网IP，且记录格式正确（无多余空格、双引号完整）。

Q2：邮件能发出但被收件方归为垃圾邮件，如何解决？

- 核心原因：缺少DKIM记录，或DKIM公钥配置错误，导致邮件无数字签名； 

- 解决方法：在MailPlus中重新生成DKIM公钥，核对DNS中DKIM记录的“名称”（selector._domainkey.域名）和“公钥”是否完全一致，发送测试邮件查看“dkim=pass”是否生效。

Q3：外部服务器无法向我的MailPlus发送邮件，提示“找不到MX记录”？

- 核心原因：MX记录的“记录值”未加末尾句号，或“主机记录”填了“mail”（而非留空）； 

- 解决方法：修改MX记录，“主机记录”留空，“记录值”改为“mail.example.com.”（末尾加英文句号），等待DNS缓存生效后重新测试。

通过本文的步骤，你可完成Synology MailPlus的全套DNS记录配置，从基础的A/MX记录保障邮件可达，到SPF/DKIM/DMARC防范垃圾邮件，再到TLSA强化TLS连接安全，全方位保障邮件服务器的稳定运行。

要不要我帮你整理一份Synology MailPlus DNS配置Checklist？清单包含6类记录的“配置要点、验证工具、常见错误”，你可对照清单逐一步骤操作，避免遗漏关键参数。