Mail von einem Absender kann an meine Mailkuh nicht zugestellt werden

theMooMichel

Hallo zusammen,
ich steh grad richtig auf der Leitung.
Ich habe einen Mailcow-Server eingerichtet, der soweit auch wirklich hervorragend funktioniert. Ich bin auf keiner Blacklist, Microsoft-, T-online- und alle anderen problematischen E-Mail-Adressen erreiche ich und lande auf keiner Spam-Liste.

Jetzt hab ich aber einen Absender - die KiTa von meinem Sohn - der mir keine Mails schicken kann. Die Kindergartenleitung erhält jedes Mal, wenn sie mir eine Mail sendet folgende Fehlermeldung:

generierender Server: mail.ebocloud.de
{mein.mailcow.server} Remote Server returned ‘< #5.7.3 smtp;553 5.7.3 A secured connection (either via StartTLS or SMTPS) is required for this recipient.>’

Ich hab beide Mailserver getestet (internet.nl): auf beiden ist StartTLS verfügbar. Einziger Unterschied: der KiTa-Server hat wohl eine veraltete cipher suite.

Aber kann das der Grund sein?

Hat vielleicht jemand einen Wink für mich, wonach ich suchen bzw. was ich einstellen kann?

theMooMichel

Die vom KiTa-Server verwendete Cipher Suite ist TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256.
Diese war bei mir im Traefik nicht hinterlegt. Ich hab’s mal ergänzt. Mal sehen, ob es was bringt.
..

jimmy_jummy

Hast Du bei Dir evtl. etwas unter den TLS-Richtlinien eingetragen, das eine TLS-Verbindung erzwingt?
Falls der andere Server das dann nicht kann, kommt keine Verbindung zustande.

Email -> Konfiguration -> TLS-Richtlinien

oder

Email -> Konfiguration -> Mailboxen -> entsprechende Mailbox -> bearbeiten -> Verschlüsselungsrichtlinie

theMooMichel

So, weitere Erkenntisse: An der Cipher-Suite lag es wohl nicht. Mails kann ich von der KiTa weiterhin nicht empfangen.

jimmy_jummy
Ja, in der Tat hab ich da was…

E-Mail -> Konfiguration -> TLS-Richtlinien
Hier hab ich genau für diese KiTa schon eine Richtlinie erstellt und zwar:
```
Ziel: {Domain der E-Mail-Adresse}
Richtlinie: may
Parameter: leer
```
Das may weicht ja meine bisherige strenge TLS-Einstellung für diese eine Domain ja schon auf.
Ich füg hier jetzt einfach spaßeshalber noch den E-Mail-Server von denen hinzu. Vielleicht bringt es ja was…
(Also zweiter Eintrag, nur nicht als Ziel die Mail-Domain sondern der E-Mail-Server lt. mxtoolbox)
Email -> Konfiguration -> Mailboxen -> entsprechende Mailbox -> bearbeiten -> Verschlüsselungsrichtlinie
Hier hab ich nichts verändert. TLS ein-/ausgehend erzwingen ist deaktiviert.

Fehlt bei 1. eventuell ein entsprechender Parameter? Oder wenn may nicht funktioniert, sollte ich das ganze wohl auf none setzen? Aber der KiTa-Server (se-rust.de) unterstützt lt. den gängigen Online-Checkern eigentlich mindestens TLSv1.2.

Hab jetzt auch schon Rspamd eingestellt und den E-Mail-Server sowie deren Mail-Domain auf die Whitelisten gesetzt.
Bin jetzt langsam echt am Verzweifeln…

jimmy_jummy

Könntest Du nicht testweise einfach mal alles unter TLS-Richtlinien rausnehmen und gucken, ob die Mails dann durchgehen? Ehrlichgesagt habe ich diese Funktion noch nie benutzt. Daher weiß ich nicht sicher, was hier genau einzustellen wäre.

theMooMichel

jimmy_jummy
Rausnehmen würde bedeuten, dass ich denen auch nicht mehr schreiben kann. Daher hatte ich das ganze mal auf “may” gesetzt.

Ich hab mir jetzt auch mal die Beschreibung angeschaut:

Opportunistic TLS. […] When opportunistic TLS handshakes fail, Postfix retries the connection with TLS disabled. This allows mail delivery to sites with non-interoperable TLS implementations.

Das verstehe ich jetzt so, dass wenn beim Senden der TLS-Handshake nicht funktioniert, dass die E-Mail-Übertragung ohne TLS-Verschlüsselung stattfindet.
Ich glaub, ich setz die beiden Einträge (E-Mail-Server und Maildomain) einfach mal auf none. Dann sollte es für diese Domain(s) definitiv deaktiviert sein. Ich würde beim Rest nämlich schon ganz gerne die Option “TLS erzwingen” aktivieren wollen.

jimmy_jummy

theMooMichel

Verstehe. Lass uns dann mal wissen, ob es geklappt hat. Wäre ggf. interessant für später.
Danke.

theMooMichel

jimmy_jummy

Es hat alles nichts gebracht. Die Mails werden einfach nicht zugestellt.
Wir haben es jetzt mal an eine alternative Mailadresse (mailbox.org) schicken lassen, da funktioniert es.

Ich werd jetzt mal schauen, dass ich meinen Server so gut es geht dem “Heinlein-Server” anpasse und versuche es dann noch einmal.

theMooMichel

Ich hab mir mal die Postfix Logs angeschaut zu der Zeit, in der die KiTa versucht hatte, eine Mail an mich zu senden. Dabei sind mir besonders diese Warnungen ins Auge gestochen.
Diese “warnings”… sind die auf meiner Seite oder liegen die beim Mailserver des Senders?

02.08.2023, 10:49:15	info	disconnect from mail.ebocloud.de[62.214.191.210] ehlo=1 starttls=0/1 commands=1/2
02.08.2023, 10:49:15	info	lost connection after STARTTLS from mail.ebocloud.de[62.214.191.210]
02.08.2023, 10:49:15	info	SSL_accept error from mail.ebocloud.de[62.214.191.210]: -1
02.08.2023, 10:49:15	info	TLS SNI mail.meinMailserver.tld from mail.ebocloud.de[62.214.191.210] not matched, using default chain
02.08.2023, 10:49:15	info	connect from mail.ebocloud.de[62.214.191.210]
02.08.2023, 10:49:15	warning	warning: TLS library problem: error:14209102:SSL routines:tls_early_post_process_client_hello:unsupported protocol:../ssl/statem/statem_srvr.c:1685:
02.08.2023, 10:49:15	warning	warning: TLS library problem: error:14209102:SSL routines:tls_early_post_process_client_hello:unsupported protocol:../ssl/statem/statem_srvr.c:1685:
02.08.2023, 10:49:15	warning	warning: TLS library problem: error:1417A0C1:SSL routines:tls_post_process_client_hello:no shared cipher:../ssl/statem/statem_srvr.c:2283:
02.08.2023, 10:49:15	warning	warning: TLS library problem: error:1417A0C1:SSL routines:tls_post_process_client_hello:no shared cipher:../ssl/statem/statem_srvr.c:2283:
02.08.2023, 10:49:14	info	PASS NEW [62.214.191.210]:53384
02.08.2023, 10:49:11	info	Look up 62.214.191.210 on whitelist, result 200 DUNNO
02.08.2023, 10:49:11	info	CONNECT from [62.214.191.210]:53384 to [172.22.1.253]:25

jimmy_jummy

Also, ich bin nicht wirklich der SSL Experte, aber für mich sieht es so aus, als wenn mail.ebocloud.de eine veraltete SSL-Version verwendet und deshalb kein Mailaustausch zustande kommt. Ich würde testweise bei Dir eine neue Mailbox anlegen und diese OHNE jegliche Verschlüsselungsrichtlinien belassen. Dann eine Mail von der Kita schicken lassen und schauen, ob diese ankommt. Einfach nur um auszuschließen, dass es an der Mailcow liegt. Falls keine Mail ankommt, dann liegt es INHO an diesem Outlook Gedöns, weil die mit zu alten Protokollen versuchen zu senden.

theMooMichel

jimmy_jummy
Ich hab jetzt noch etwas mit OpenSSL “gespielt” und verschiedenes getestet. Irgendwie scheinen mir die Ergebnisse deren Mail-Server nicht so ganz schlüssig.

Daher hab ich jetzt einfach mal eine Mail an deren Postmaster geschickt. Mal sehen, ob da was zurückkommt.

citydweller

Und, gibt es mittlerweile eine Lösung?

So wie es aussieht, gibt es zwei Probleme

02.08.2023, 10:49:15	warning	warning: TLS library problem: error:14209102:SSL routines:tls_early_post_process_client_hello:unsupported protocol:../ssl/statem/statem_srvr.c:1685:
02.08.2023, 10:49:15	warning	warning: TLS library problem: error:1417A0C1:SSL routines:tls_post_process_client_hello:no shared cipher:../ssl/statem/statem_srvr.c:2283:

Es gibt Probleme beim TLS-Handshake. Der Client verwendet ein nicht unterstütztes Protokoll, und es gibt keine gemeinsamen Cipher-Suites.

Sowie

02.08.2023, 10:49:15	info	TLS SNI mail.meinMailserver.tld from mail.ebocloud.de[62.214.191.210] not matched, using default chain

Der Server-Name-Indication (SNI) stimmt nicht überein, was auf ein Zertifikatsproblem hindeuten könnte.

citydweller

Ich bin für jeden noch so kleinen Tipp dankbar 🙏

esackbauer

Ich würde den Postmaster des Mailservers fragen.

Robox

Der Post hier ist zwar schon etwas älter, aber ich nehme ihn wieder auf, da ich ein sehr ähnliches Problem habe.
Ich benütze seit mehreren Jahren einen eigenen Mailserver mit Mailcow. Gestern ist mir aufgefallen, dass ich keine Mails mehr von Google bei mir angekommen. Ich benütze ein SSL Wildcard Zertifikat für meine Instanzen hinter einen Apacheweb Proxy. Die SSL Zertifikat werden regelmäßig automatisch erneuert und Importiere bei Erneuerung.

disconnect from mail-lf1-x134.google.com[2a00:1450:4864:20::134] ehlo=1 starttls=1 commands=2 15.08.2024, 11:33:34 info lost connection after STARTTLS from mail-lf1-x134.google.com[2a00:1450:4864:20::134] info Anonymous TLS connection established from mail-lf1-x134.google.com[2a00:1450:4864:20::134]: TLSv1.3 with cipher TLS_AES_256_GCM_SHA384 (256/256 bits) key-exchange X25519 server-signature RSA-PSS (4096 bits) server-digest SHA256 info TLS SNI mail.world-of-cod.de from mail-lf1-x134.google.com[2a00:1450:4864:20::134] not matched, using default chain info connect from mail-lf1-x134.google.com[2a00:1450:4864:20::134]

Mails von anderen Anbietern wie Amazon, Outlook oder Cloudflare kommen bei mir ganz normal an.

esackbauer

Und wie lautet die Bounce Nachricht die der Absender bekommt?

Der Domain Health Report sagt dass dein Postfix sehr langsam antwortet:

Robox

Bin mir nicht sicher, was du mit Bounce Nachricht meinst, aber ich gehe mal davon aus, dass du die Return Mail meinst. Die ich bis noch nicht erhalten habe.

Ja, das kann sein, da sich der Mailserver über ein VPN mit der Hetzner Cloud in Helsinki verbunden ist.

esackbauer

Robox da sich der Mailserver über ein VPN mit der Hetzner Cloud in Helsinki verbunden ist.

Wozu braucht es da ein VPN?

Robox

Der Mailserver steht bei mir zu Hause und ist aus diesem Grund über VPN bei Hetzner verbunden, wo eine OPNsense lauft, die alles steuert.

esackbauer

Robox
Und was steht dann bei Hetzner? Nur die OPNSense?