Fehler im update.sh nach Migration

sax

Hallo zusammen,

ich habe mein Kuh gemäß Anleitung migriert. Soweit hat das auch geklappt und ich kann sie auch starten. Allerdings erhalte ich beim Updaten über das Script ./update.sh folgende Fehler:

Checking for conflicting bridges... Warning: iptables-legacy tables present, use iptables-legacy to see them Warning: Extension DNAT is not supported, missing kernel module? Warning: Extension DNAT is not supported, missing kernel module? Warning: Extension DNAT is not supported, missing kernel module? Warning: Extension DNAT is not supported, missing kernel module? Warning: Extension DNAT is not supported, missing kernel module? Warning: Extension DNAT is not supported, missing kernel module? Warning: Extension DNAT is not supported, missing kernel module? Warning: Extension DNAT is not supported, missing kernel module? Warning: Extension DNAT is not supported, missing kernel module? Warning: Extension DNAT is not supported, missing kernel module? Warning: Extension DNAT is not supported, missing kernel module? Warning: Extension DNAT is not supported, missing kernel module? Warning: Extension DNAT is not supported, missing kernel module?

Der Unterschied zwischen dem Alten und dem Neuen ist, dass ich auf dem neuen (ebenfalls Debian Bookworm) nftables mit ufw installiert habe (auf dem Alten war es iptables mit ufw). Die Ports sind genauso geöffnet wie auf dem alten Server.

Kann mir jemand weiterhelfen, was es mit den o.g. Meldungen auf sich hat?

Ich danke euch sehr.

vG
sax

DocFraggle

Siehe https://docs.mailcow.email/de/getstarted/prerequisite-system/#firewall-ports der große rote Kasten…

sax

DocFraggle

Zunächst einmal vielen Dank für deine Antwort. Ich muss zugeben, dass ich mich erstmal mit nftables beschäftigen musste und das Thema auch perspektivisch vertiefen muss.

Interpretiere ich dies dahingehend richtig, dass ich die Rules der Chain “ufw-user-input” bzw. “ufw6-user-input” in die “DOCKER-USER” verschieben muss, oder die der “INPUT” Chain?

Mir erklärt sich noch nicht, was das mit der DNAT Extension Warning zu tun hat?

DocFraggle

Ich kann Dir ehrlich gesagt gar nicht sagen ob mailcow aktuell überhaupt mit nftables funktioniert… afaik ist es auf iptables (also das Original) ausgelegt und es bedarf eigentlich gar keiner extra Firewall auf dem Host da man, falls gewünscht, seine eigenen extra Regeln wie beschrieben in die DOCKER-USER Chain packen kann.

DocFraggle

DocFraggle Ich kann Dir ehrlich gesagt gar nicht sagen ob mailcow aktuell überhaupt mit nftables funktioniert

Kann ich Dir inzwischen doch sagen… klar funktioniert es, denn ich habe gestern erst meine mailcow von einem Rocky 8 Server auf einen Debian 12 Server umgezogen. Ich habe zwar die ufw nicht aktiv weil auch gar nicht installiert, aber nftables ist drauf und wird auch genutzt:

root@mailserver:~# dpkg -l | grep nft
ii  libnftables1:amd64                                          1.0.6-2+deb12u2                 amd64        Netfilter nftables high level userspace API library
ii  libnftnl11:amd64                                            1.2.4-2                         amd64        Netfilter nftables userspace API library
ii  nftables                                                    1.0.6-2+deb12u2                 amd64        Program to control packet filtering rules by Netfilter project

Das hier sind die netfilter Log bei mir:

netfilter-mailcow-1  | # Warning: table ip nat is managed by iptables-nft, do not touch!
netfilter-mailcow-1  | # Warning: table ip filter is managed by iptables-nft, do not touch!
netfilter-mailcow-1  | # Warning: table ip6 nat is managed by iptables-nft, do not touch!
netfilter-mailcow-1  | # Warning: table ip6 filter is managed by iptables-nft, do not touch!
netfilter-mailcow-1  | Using NFTables backend
netfilter-mailcow-1  | Clearing all bans
netfilter-mailcow-1  | Initializing mailcow netfilter chain
netfilter-mailcow-1  | MAILCOW ip chain created successfully.
netfilter-mailcow-1  | MAILCOW ip6 chain created successfully.
netfilter-mailcow-1  | Setting MAILCOW isolation
netfilter-mailcow-1  | Watching Redis channel F2B_CHANNEL
netfilter-mailcow-1  | Whitelist was changed, it has 1 entries

Insofern muss man tatsächlich bei Dir nur mal debuggen was es mit der DNAT Extension auf sich hat.

Was genau für ein OS nutzt Du denn überhaupt? Ich glaub Du hast das nirgends geschrieben oder?

EDIT: doch hast Du, auch Debian 12. Hier mal zum Vergleich meine Kernel Version:

6.1.0-25-amd64 #1 SMP PREEMPT_DYNAMIC Debian 6.1.106-3 (2024-08-26) x86_64 GNU/Linux

sax

Ich hatte auch schon den Gedanken, die Firewall auf dem neuen Server wegzulassen, nachdem ich gelesen hatte, dass es für Mailcow keine Separate braucht.
Auf dem Host läuft neben dem Mailcow Docker noch ein Apache / PHP / MariaDB für eine Webseite. Ich dachte immer, dafür ist eine Firewall schon sinnvoll. Brauche ich die dafür deiner Meinung nach auch nicht?

Wenn ich nftables auf dem jungfräulichen Host nicht installiert hatte, bekam ich dann beim ./update.sh aber einen anderen Fehler (ich glaube “iptables not found” zu irgendeiner Regel) und ich wusste nicht, wie ich iptables aus Mailcow wieder rauskriege…

PS: Ich meine, in einem Update gelesen zu haben, dass nftables unterstützt wird.

DocFraggle

sax Auf dem Host läuft neben dem Mailcow Docker noch ein Apache / PHP / MariaDB für eine Webseite.

Hast Du das dann hinter einem Reverse Proxy laufen?

sax einen anderen Fehler (ich glaube “iptables not found” zu irgendeiner Regel)

Also wenn Du nach der Doku vorgehst und Docker initial installierst kommt das iptables Paket automatisch mit. Hast Du das denn so gemacht?

sax

DocFraggle
ja, Mailcow läuft auf hinter einem Reverse Proxy

Deswegen würde mich interessieren, ob ich für den Apache, der noch zusätzlich auf Port 80/443 läuft, eine Firewall brauche oder nicht. Ich dachte immer, das sei notwendig.

Hinsichtlich der Installation bin ich genau nach dieser Anleitung vorgegangen. Erst die Docker Installation über das Script, dann das Repository von GitHub geklont, dann ./generate.sh, dann mailcow.conf angepasst… usw.

DocFraggle

Also Du brauchst ja keine Firewall “für den Apachen”. Die Firewall regelt den Zugriff auf die Ports, so kannst Du dann z.B. nur bestimmt Ports aus dem Internet erreichbar machen. Alles was nur auf 127.0.0.1 läuft ist schonmal grundsätzlich nicht aus dem Internet erreichbar. Du kannst ja mal mit

netstat -tulpen

schauen was alles so läuft bei Dir und dann entscheiden ob Du den Zugriff auf bestimmte Dienste nicht aus dem Internet erreichbar machen willst, dann müsstest Du das Regelwerk erweitern oder halt mit der ufw experimentieren und hoffen dass die Mailcow dann noch läuft (aber dann die ufw mit den normalen iptables)

P.S: ich habe meine mailcow VM in der Hetzner Cloud laufen, da kann man auch eine Cloud Firewall erstellen die dann noch vor der VM hängt, aber eben nicht AUF der VM läuft.

sax

Du kannst ja mal mit
netstat -tulpen
schauen was alles so läuft (…)

Danke dir für den Austausch. Da läuft neben den Docker Ports nur SSH, Apache und MariaDB.
Deswegen hab ich mal Mailcow und Docker gestoppt, dann nftables und ufw deinstalliert:
sudo apt autoremove --purge nftables ufw
… dann Docker und Mailcow wieder gestartet.

Leider ist der Fehler noch immer im Log:
docker compose logs|grep netfilter

netfilter-mailcow-1 | MAILCOW target is in position 11 in the ip forward table, restarting container to fix it... netfilter-mailcow-1 | # Warning: table ip filter is managed by iptables-nft, do not touch! netfilter-mailcow-1 | # Warning: table ip nat is managed by iptables-nft, do not touch! netfilter-mailcow-1 | # Warning: table ip6 filter is managed by iptables-nft, do not touch! netfilter-mailcow-1 | # Warning: table ip6 nat is managed by iptables-nft, do not touch! netfilter-mailcow-1 | Warning: Extension DNAT is not supported, missing kernel module? netfilter-mailcow-1 | Warning: Extension DNAT is not supported, missing kernel module? netfilter-mailcow-1 | Warning: Extension DNAT is not supported, missing kernel module? netfilter-mailcow-1 | Warning: Extension DNAT is not supported, missing kernel module? netfilter-mailcow-1 | Warning: Extension DNAT is not supported, missing kernel module? netfilter-mailcow-1 | Warning: Extension DNAT is not supported, missing kernel module? netfilter-mailcow-1 | Warning: Extension DNAT is not supported, missing kernel module? netfilter-mailcow-1 | Warning: Extension DNAT is not supported, missing kernel module? netfilter-mailcow-1 | Warning: Extension DNAT is not supported, missing kernel module? netfilter-mailcow-1 | Warning: Extension DNAT is not supported, missing kernel module? netfilter-mailcow-1 | Warning: Extension DNAT is not supported, missing kernel module? netfilter-mailcow-1 | Warning: Extension DNAT is not supported, missing kernel module? netfilter-mailcow-1 | Warning: Extension DNAT is not supported, missing kernel module? netfilter-mailcow-1 | # Warning: iptables-legacy tables present, use iptables-legacy-save to see them netfilter-mailcow-1 | Using NFTables backend netfilter-mailcow-1 | Clearing all bans netfilter-mailcow-1 | Initializing mailcow netfilter chain netfilter-mailcow-1 | Setting MAILCOW isolation netfilter-mailcow-1 | Watching Redis channel F2B_CHANNEL netfilter-mailcow-1 | Blacklist was changed, it has 3 entries

Muss ich zur Deinstallation von nftables und ufw noch was tun?

DocFraggle

Den Stack hat Du komplett neu gestartet?

docker compose down
docker compose up -d

Und das normale iptables Paket ist installiert?

sax

DocFraggle

Ja, das hatte ich gemacht.

ipTables ist installiert, zumindest gibt mir sudo iptables -L eine Ausgabe. Soll ich das auch mal noch runterschmeißen?

DocFraggle

Nein, das brauchst Du ja… sonst lass nochmal das update.sh Script laufen, vielleicht passt das noch was an. Oder schau mal in der mailcow.conf ob da was definiert ist

sax

DocFraggle

Das ./update.sh Script gibt immer noch den DNAT Extensions Fehler. In der mailcow.conf sind bezüglich NAT nur die auskommentierten SNAT zu finden.

Ich hänge die mailcow.conf mal an.

mailcow.txt

9kB

DocFraggle

Hier ist scheinbar eine große Diskussion dazu im Gange:

mailcow/mailcow-dockerized5735

Bei manchen hat es geholfen

DISABLE_NETFILTER_ISOLATION_RULE=y

zu setzen

sax

Danke dir, das hab ich gleich mal probiert, leider erfolglos. Der Fehler bleibt weiterhin.

sax

Genau, Debian 12.

Meine Kernel Version: 6.1.0 #1 SMP Wed Jul 12 12:00:44 MSK 2023 x86_64 GNU/Linux

Soll es wirklich daran liegen? Wie kann man sowas denn debuggen?

DocFraggle

Hmm, machst Du denn keine regelmäßigen Updates auf Deinem Server? Der ist ja schon ziemlich alt der Kernel…
Ich würde mal alles updaten und booten an Deiner Stelle (und vorher nftables wieder installieren)

sax

Doch eigentlich schon. Ich dachte, dass der Kernel mit upgedatet wird, wenn
deb-src http://deb.debian.org/debian bookworm-backports main contrib non-free
in der sources.list aufgeführt ist.

Ich gehe dazu wie folgt vor: https://linux-bibel.at/index.php/2024/07/20/debian-12-aktuelle-software-und-neuen-kernel-beziehen/

Leider aktualisiert sich der Kernel nicht (Reboot erfolgt).
Kann ein Kernelupdate auf einem Virtuellen Server durch den Hoster unterbunden werden?

DocFraggle

sax Kann ein Kernelupdate auf einem Virtuellen Server durch den Hoster unterbunden werden?

Also das wäre schon grob fahrlässig…

Schau doch mal welche Kernel bei Dir installiert sind:

dpkg -l | grep linux-image | grep signed

Dann checke mal welchen Kernel Grub per Default lädt, sollte 0 sein, also der oberste Kernel in der Grub COnfig (kommt im nächsten Schritt)

grep GRUB_DEFAULT /etc/default/grub

Und jetzt schaust Du in der grub.cfg welcher der oberste Kernel ist:

grep vmlinuz /boot/grub/grub.cfg

Der sollte der neuesten installierten Kernel Version entsprechen