服务器端过滤规则管理
4190 是 ManageSieve 协议端口（RFC 5804）：邮件客户端通过它管理存放在服务器上的 Sieve 过滤规则，让分拣逻辑在服务端执行，客户端离线也能生效。典型实现是 Dovecot 配合 Roundcube、Thunderbird 等支持 ManageSieve 的客户端。它只服务于邮件服务器自身的用户，与投递无关，因此正常部署只对内网开放，且应先升级为 TLS 再传输凭据。
基本信息
| 服务 | ManageSieve（RFC 5804） |
|---|---|
| 协议 | TCP（默认 4190，通常配合 STARTTLS） |
| 用途 | 远程管理服务端 Sieve 过滤脚本 |
| 常见实现 | Dovecot、Cyrus 等 |
| 暴露要求 | 仅邮件服务器或内网，公网需 TLS |
典型使用场景
- 客户端配置收信规则：把规则上传到服务器，换设备后规则仍生效
- 服务端分拣：按发件人或主题把邮件直接分入指定文件夹并标记
- 排障：规则不生效时先确认客户端是否真的写入了服务器端脚本
- 安全核对：确认 4190 是否只对内网开放，且登录凭据受 TLS 保护
- 迁移：换邮件系统时把 Sieve 脚本导出并在新系统重建
端口对照
| 端口 | 协议 | 用途 |
|---|---|---|
| 4190 | ManageSieve | 管理服务端过滤脚本 |
| 993 | IMAPS | 客户端加密收信 |
| 587 | SMTP 提交 | 客户端发信 |
检查与配置
检查与配置
# 服务端确认监听范围
ss -lntp | grep 4190
# Dovecot 中确认 sieve 扩展已加载
doveconf -n | grep -i sieve
# 客户端侧连通性验证
nc -zv mail.example.com 4190ManageSieve 的登录凭据与 IMAP 同源：客户端保存的邮箱口令在这里同样有效。若 4190 对公网开放又没有强制 TLS，凭据有机会以明文通过，等于把邮箱访问权暴露在链路上。
客户端保存的 Sieve 脚本属于服务端文件：换电脑之后规则依然生效，排查时不要在本地找配置文件。脚本导出也应纳入邮箱迁移清单，否则迁移完成后分拣逻辑会全部丢失。