Hallo zusammen, ich habe mein Kuh gemäß [Anleitung](https://docs.mailcow.email/de/maintenance/migration/#__tabbed_2_1) migriert. Soweit hat das auch geklappt und ich kann sie auch starten. Allerdings erhalte ich beim Updaten über das Script ./update.sh folgende Fehler: `Checking for conflicting bridges... Warning: iptables-legacy tables present, use iptables-legacy to see them Warning: Extension DNAT is not supported, missing kernel module? Warning: Extension DNAT is not supported, missing kernel module? Warning: Extension DNAT is not supported, missing kernel module? Warning: Extension DNAT is not supported, missing kernel module? Warning: Extension DNAT is not supported, missing kernel module? Warning: Extension DNAT is not supported, missing kernel module? Warning: Extension DNAT is not supported, missing kernel module? Warning: Extension DNAT is not supported, missing kernel module? Warning: Extension DNAT is not supported, missing kernel module? Warning: Extension DNAT is not supported, missing kernel module? Warning: Extension DNAT is not supported, missing kernel module? Warning: Extension DNAT is not supported, missing kernel module? Warning: Extension DNAT is not supported, missing kernel module?` Der Unterschied zwischen dem Alten und dem Neuen ist, dass ich auf dem neuen (ebenfalls Debian Bookworm) nftables mit ufw installiert habe (auf dem Alten war es iptables mit ufw). Die Ports sind genauso geöffnet wie auf dem alten Server. Kann mir jemand weiterhelfen, was es mit den o.g. Meldungen auf sich hat? Ich danke euch sehr. vG sax

Hmm, machst Du denn keine regelmäßigen Updates auf Deinem Server? Der ist ja schon ziemlich alt der Kernel... Ich würde mal alles updaten und booten an Deiner Stelle (und vorher nftables wieder installieren)

Siehe https://docs.mailcow.email/de/getstarted/prerequisite-system/#firewall-ports der große rote Kasten...

@"DocFraggle"#p18813 Zunächst einmal vielen Dank für deine Antwort. Ich muss zugeben, dass ich mich erstmal mit nftables beschäftigen musste und das Thema auch perspektivisch vertiefen muss. Interpretiere ich dies dahingehend richtig, dass ich die Rules der Chain "ufw-user-input" bzw. "ufw6-user-input" in die "DOCKER-USER" verschieben muss, oder die der "INPUT" Chain? Mir erklärt sich noch nicht, was das mit der DNAT Extension Warning zu tun hat?

Ich kann Dir ehrlich gesagt gar nicht sagen ob mailcow aktuell überhaupt mit nftables funktioniert... afaik ist es auf iptables (also das Original) ausgelegt und es bedarf eigentlich gar keiner extra Firewall auf dem Host da man, falls gewünscht, seine eigenen extra Regeln wie beschrieben in die DOCKER-USER Chain packen kann.

Ich hatte auch schon den Gedanken, die Firewall auf dem neuen Server wegzulassen, nachdem ich gelesen hatte, dass es für Mailcow keine Separate braucht. Auf dem Host läuft neben dem Mailcow Docker noch ein Apache / PHP / MariaDB für eine Webseite. Ich dachte immer, dafür ist eine Firewall schon sinnvoll. Brauche ich die dafür deiner Meinung nach auch nicht? Wenn ich nftables auf dem jungfräulichen Host nicht installiert hatte, bekam ich dann beim ./update.sh aber einen anderen Fehler (ich glaube "iptables not found" zu irgendeiner Regel) und ich wusste nicht, wie ich iptables aus Mailcow wieder rauskriege... PS: Ich meine, in einem Update gelesen zu haben, dass nftables unterstützt wird.

> @"sax"#p18833 Auf dem Host läuft neben dem Mailcow Docker noch ein Apache / PHP / MariaDB für eine Webseite. Hast Du das dann hinter einem Reverse Proxy laufen? > @"sax"#p18833 einen anderen Fehler (ich glaube “iptables not found” zu irgendeiner Regel) Also wenn Du [nach der Doku vorgehst](https://docs.mailcow.email/de/getstarted/install/#docker) und Docker initial installierst kommt das iptables Paket automatisch mit. Hast Du das denn so gemacht?

@"DocFraggle"#p18835 ja, Mailcow läuft auf hinter einem Reverse Proxy [upl-image-preview url=https://community.mailcow.email/assets/files/2024-10-01/1727795215-67411-proxy.png] Deswegen würde mich interessieren, ob ich für den Apache, der noch zusätzlich auf Port 80/443 läuft, eine Firewall brauche oder nicht. Ich dachte immer, das sei notwendig. Hinsichtlich der Installation bin ich genau nach dieser Anleitung vorgegangen. Erst die Docker Installation über das Script, dann das Repository von GitHub geklont, dann ./generate.sh, dann mailcow.conf angepasst... usw.

Also Du brauchst ja keine Firewall "für den Apachen". Die Firewall regelt den Zugriff auf die Ports, so kannst Du dann z.B. nur bestimmt Ports aus dem Internet erreichbar machen. Alles was nur auf 127.0.0.1 läuft ist schonmal grundsätzlich nicht aus dem Internet erreichbar. Du kannst ja mal mit `netstat -tulpen` schauen was alles so läuft bei Dir und dann entscheiden ob Du den Zugriff auf bestimmte Dienste nicht aus dem Internet erreichbar machen willst, dann müsstest Du das Regelwerk erweitern oder halt mit der ufw experimentieren und hoffen dass die Mailcow dann noch läuft (aber dann die ufw mit den normalen iptables) P.S: ich habe meine mailcow VM in der Hetzner Cloud laufen, da kann man auch eine Cloud Firewall erstellen die dann noch vor der VM hängt, aber eben nicht AUF der VM läuft.

> Du kannst ja mal mit > netstat -tulpen > schauen was alles so läuft (...) Danke dir für den Austausch. Da läuft neben den Docker Ports nur SSH, Apache und MariaDB. Deswegen hab ich mal Mailcow und Docker gestoppt, dann nftables und ufw deinstalliert: ` sudo apt autoremove --purge nftables ufw` ... dann Docker und Mailcow wieder gestartet. Leider ist der Fehler noch immer im Log: `docker compose logs|grep netfilter` `netfilter-mailcow-1 | MAILCOW target is in position 11 in the ip forward table, restarting container to fix it... netfilter-mailcow-1 | # Warning: table ip filter is managed by iptables-nft, do not touch! netfilter-mailcow-1 | # Warning: table ip nat is managed by iptables-nft, do not touch! netfilter-mailcow-1 | # Warning: table ip6 filter is managed by iptables-nft, do not touch! netfilter-mailcow-1 | # Warning: table ip6 nat is managed by iptables-nft, do not touch! netfilter-mailcow-1 | Warning: Extension DNAT is not supported, missing kernel module? netfilter-mailcow-1 | Warning: Extension DNAT is not supported, missing kernel module? netfilter-mailcow-1 | Warning: Extension DNAT is not supported, missing kernel module? netfilter-mailcow-1 | Warning: Extension DNAT is not supported, missing kernel module? netfilter-mailcow-1 | Warning: Extension DNAT is not supported, missing kernel module? netfilter-mailcow-1 | Warning: Extension DNAT is not supported, missing kernel module? netfilter-mailcow-1 | Warning: Extension DNAT is not supported, missing kernel module? netfilter-mailcow-1 | Warning: Extension DNAT is not supported, missing kernel module? netfilter-mailcow-1 | Warning: Extension DNAT is not supported, missing kernel module? netfilter-mailcow-1 | Warning: Extension DNAT is not supported, missing kernel module? netfilter-mailcow-1 | Warning: Extension DNAT is not supported, missing kernel module? netfilter-mailcow-1 | Warning: Extension DNAT is not supported, missing kernel module? netfilter-mailcow-1 | Warning: Extension DNAT is not supported, missing kernel module? netfilter-mailcow-1 | # Warning: iptables-legacy tables present, use iptables-legacy-save to see them netfilter-mailcow-1 | Using NFTables backend netfilter-mailcow-1 | Clearing all bans netfilter-mailcow-1 | Initializing mailcow netfilter chain netfilter-mailcow-1 | Setting MAILCOW isolation netfilter-mailcow-1 | Watching Redis channel F2B_CHANNEL netfilter-mailcow-1 | Blacklist was changed, it has 3 entries ` Muss ich zur Deinstallation von nftables und ufw noch was tun?

Den Stack hat Du komplett neu gestartet? ``` docker compose down docker compose up -d ``` Und das normale iptables Paket ist installiert?

@"DocFraggle"#p18854 Ja, das hatte ich gemacht. ipTables ist installiert, zumindest gibt mir `sudo iptables -L` eine Ausgabe. Soll ich das auch mal noch runterschmeißen?

Fehler im update.sh nach Migration

sax

Ich hab grad mal angerufen. Es werden wohl immer mal wieder Ressourcen erweitert. Das mit dem Preis macht mich allerdings auch stutzig. Vielleicht ist er teurer, wenn er verfügbar ist. 😀

DocFraggle

LOL das wär fies, Lockangebot sozusagen

sax

Ich vermute, dass bei dir die MwSt angezeigt wird und bei mir erst am Ende dazukommt. Ich hab mich als private Eigentümer GbR und damit als Organisation angemeldet

DocFraggle

Ah okay, das macht Sinn

sax

Hast du Erfahrungen mit Mailcow auf Proxmox? Geht das nur als LXC nicht? Man könnte dort ja aber Linux auch als VM installieren. Damit müsste es ja klappen.

Ich überlege nämlich tatsächlich grad, einen Dedicated mit Proxmox bei Hetzner zu nehmen. Der kostet zwar das doppelte, aber das bekomme ich in der Familie schon durchgesetzt 😀

DocFraggle

Nein, sorry, kann ich nichts dazu sagen

sax

DocFraggle

Es hat nun geklappt mit dem CX42 und ich konnte auch den Kernel updaten. Der jetztige ist:
6.10.6+bpo-amd64 #1 SMP PREEMPT_DYNAMIC Debian 6.10.6-1~bpo12+1 (2024-08-26) x86_64 GNU/Linux

Du hattest bzgl. der Hetzner Volumes geschrieben:

Wenn Du das machst solltest Du das natürlich vor der Docker Installation schon unter /var/lib/docker/volumes mounten

Dazu hätte ich nochmal eine Verständnisfrage.
Heißt das, ich mounte es direkt in dem Verzeichnis, oder einem Unterverzeichnis? Ich meine, direkt in /var/lib/volumes, oder? Also so:

mount -o discard,defaults /dev/disk/by-id/scsi-0HC_Volume_xyz /var/lib/docker/volumes und
echo "/dev/disk/by-id/scsi-0HC_Volume_xyz /var/lib/docker/volumes ext4 discard,nofail,defaults 0 0" >> /etc/fstab

Und muss man nach dem Anpassen des Hetzner Volumes dann immer ein resize2fs durchführen, oder wird das automatisch angepasst?

sax

Ich recherchiere mal noch und vielleicht gibt es bis dahin auch wieder Ressourcen für den CX42. ☺️

Ich danke dir noch einmal für deine unermüdliche Hilfe und Unterstützung hier!!!

DocFraggle

sax Es hat nun geklappt mit dem CX42

\o/

sax direkt in /var/lib/volumes, oder

Ja genau so. Je nachdem was Du angeklickt hast beim volume erstellen kannst Du ggf auch die erstellte fstab Zeile editieren, bei mir hatte Hetzner das direkt mit in die fstab gepackt.

sax nach dem Anpassen des Hetzner Volumes dann immer ein resize2fs durchführen

Ich denke schon, es sei denn Hetzner macht das auch schon automatisch. Du kannst es ja mal testen

sax

Ich hab’s jetzt testweise erstmal mit 10GB begonnen und in /var/lib/docker/volumes gemountet. Heißt das dann jetzt, dass ich für alle Postfächer im Mailcow in diesem Verzeichnis nur die 10 GB hätte (also ohne den Speicherplatz der sda)?

Filesystem Size Used Avail Use% Mounted on /dev/sda1 150G 2.1G 142G 2% / /dev/sdb 9.8G 24K 9.3G 1% /var/lib/docker/volumes

DocFraggle

sax Ja

Also falls Du mit Deiner Frage darauf abzielst ob die 140G von sda verschwendet sind: das kommt darauf an was Du damit machst. So wie die VM installiert ist kannst Du sda und das Volume nicht morgen. Dafür müsstest Du die VM von Hand installieren (das geht bei Hetzner, Du kannst in der VM das Debian 12 ISO mounten und alles nach Deinen Wünschen installieren) und die Partitionen via LVM erstellen. Dann könntest Du das Volume als PV einrichten und in die VG integrieren

Du kannst aber den Platz einfach für die mailcow Backups nutzen z.B.

sax

DocFraggle

Genau das war Hintergrund meiner Frage. Ich hatte grad noch gesehen, dass man mit mhddfs auch virtuell zusammenfassen kann… Das klappt aber nicht wie gewünscht, wie ich mir das vorstelle.

Ist aber nicht so wild, dann skaliere ich das Volume gleich so hoch, wie ich es für die Mailboxen benötige.

« Previous Page