Fehler durch MX-Check und temporäre DNS-Probleme

LukasWRN

Guten Abend,

ich bekomme in Mailcow ab und zu mal Fehler bzgl.

NOQUEUE: reject: RCPT from unknown[192.168.1.25]: 450 4.1.8 <xxxx+caf=lukas=xxxxx.de@gmail.com>: Sender address rejected: Domain not found; from=<xxxxx+caf=lukas=xxxxxxx.de@gmail.com> to=lukas@xxxxxxx.de proto=ESMTP helo=<mail-gateway.wts-lokal.de>
24.04.2025, 23:05:29 warning warning: Unable to look up MX host for xxxxxx.de: Host not found, try again

Also ich weiß, dass das Problem beim DNS liegt. Kann ich dies aber auch deaktivieren? Also das keine MX-Checks gemacht werden?

esackbauer

Tritt das bei allen Absende adressen von Gmail auf? Oder nur bei dieser? Die sieht generell komisch aus.
Hsat du irgend etwas bei Gmail eingerichtet, deine Maildomain zusätztlich? Das wäre ein Problem.

LukasWRN

Das passiert bei allen Domains, aber auch nur manchmal.
Wenn der DNS-Server das nicht abrufen kann.

esackbauer

Dann müsste man sich einmal das Unbound Log ansehen.

LukasWRN

Anbei ein “kleiner” Auszug: https://pastebin.com/tY6JsvBQ
Manchmal gibt es Fehler und manchmal nicht.

Aber hier sehe ich keine DNS-Fehler bzgl. meiner Domains.

DocFraggle

LukasWRN Manchmal gibt es Fehler

Also in Deinem Log sieht das eher so aus als gäbe es FAST IMMER Fehler, der Healthcheck läuft glaube ich alle 30 Sekunden

Verbinde Dich bitte mal direkt in den unblound Container und poste die Ausgabe von

dig @127.0.0.1 +trace fuzzy.mailcow.email

(vgl. mailcow/mailcow-dockerizedblob/2025-03b/data/Dockerfiles/unbound/healthcheck.sh#L53)

LukasWRN

DocFraggle
Ich hatte mich falsch ausgedrückt.
Ich meine manchmal werden meine E-Mails von Mailcow abgelehnt, da die Domain nicht gefunden wird und manchmal nicht. Also unabhängig von Unbound.

Dig-Ausgabe:
`; <<>> DiG 9.18.34 <<>> @127.0.0.1 +trace fuzzy.mailcow.email
; (1 server found)
;; global options: +cmd
. 86088 IN NS m.root-servers.net.
. 86088 IN NS a.root-servers.net.
. 86088 IN NS b.root-servers.net.
. 86088 IN NS c.root-servers.net.
. 86088 IN NS d.root-servers.net.
. 86088 IN NS e.root-servers.net.
. 86088 IN NS f.root-servers.net.
. 86088 IN NS g.root-servers.net.
. 86088 IN NS h.root-servers.net.
. 86088 IN NS i.root-servers.net.
. 86088 IN NS j.root-servers.net.
. 86088 IN NS k.root-servers.net.
. 86088 IN NS l.root-servers.net.
. 86088 IN RRSIG NS 8 0 518400 20250508050000 20250425040000 53148 . AyuaeCovck9×3aXeQoczhcrCY1udV9fe8BTxYDhJ9eYYHlq9V595GAGc XivUr952AGdxt+Kc+ZmGPJ4BO3ym6j67Mfrd+5whud2n6ATa7im46TyF qSSsdJ8kqsoKAt4HSLOB5BTYJoCvi2rItTDc6A9sA/SECC7ovY+TqoNT onrNyeR644CO3Mq4Jw3/StfHmNId5f1Ni5JfofV0cY3ViH46cvv8y4qz 2qNp40O45kydUXKz8YxppesoPtYtBcUhwajno1xIkRjDq2AErqKFK+Jh 4qKqbUF+wBj6KFsQ6m38FCay3d/bn9GerzEiyZu216t+pFg6ps10pZ9K 9IG6ZA==
;; Received 525 bytes from 127.0.0.1#53(127.0.0.1) in 1 ms

;; communications error to 2001:500:12::d0d#53: timed out
;; communications error to 2001:500:12::d0d#53: timed out
;; communications error to 2001:500:12::d0d#53: timed out
;; communications error to 2001:500:1::53#53: timed out
;; communications error to 2001:503:c27::2:30#53: timed out
;; communications error to 2001:500:2d::d#53: timed out
;; communications error to 2001:500:2::c#53: timed out
;; communications error to 192.58.128.30#53: timed out`

Aber Ping an Google bspw. geht im Container:
PING google.de (142.250.179.195): 56 data bytes 64 bytes from 142.250.179.195: seq=0 ttl=109 time=9.361 ms 64 bytes from 142.250.179.195: seq=1 ttl=109 time=9.475 ms ^C --- google.de ping statistics --- 2 packets transmitted, 2 packets received, 0% packet loss round-trip min/avg/max = 9.361/9.418/9.475 ms

DocFraggle

Sieht aus als hättest Du Probleme mit IPv6?

Edit: Ah da ist sogar eine IPv4 Adresse dabei!? WTF? Hast Du ne externe Firewall die DNS blockt? Hatten wir neulich erst hier den Fall im Forum

LukasWRN

Also ich habe eine Firewall davor…
Sag mal, wie kann das sein, dass ich so auf dem Schlauch stehe!?? xDD
Hätte ich zuerst schauen sollen haha.

Aber sie gehen tatsächlich durch.

esackbauer

https://docs.mailcow.email/getstarted/prerequisite-system/#outgoing-portshosts
UDP und TCP? ist IPv6 alles richtig konfiguriert? Falls du es eh nicht verwendest, deaktiviere es:
https://docs.mailcow.email/post_installation/firststeps-disable_ipv6/

LukasWRN

IPv6 ist jetzt deaktiviert.
Dennoch der selbe Fehler mit Unbound.

Aber dennoch gehen manchmal E-Mails durch und manchmal nicht.

DocFraggle

Ich würde eher mal Deine Firewall deaktivieren und schauen ob dann die DNS Anfragen von unbound durchgehen

Edit: auch ufw o.ä. direkt auf dem Host System

LukasWRN

Leider geht dies trotz der Deaktivierung meiner OPNsense nicht 🙁

;; Received 525 bytes from 127.0.0.1#53(127.0.0.1) in 1 ms
;; communications error to 192.33.4.12#53: timed out
;; communications error to 192.33.4.12#53: timed out
;; communications error to 192.33.4.12#53: timed out
;; communications error to 192.36.148.17#53: timed out
;; communications error to 192.5.5.241#53: timed out
Liegt ja dann nicht am DNS oder? Weil er bekommt ja die IPs, aber es Timeoutet.
Ahh, ein PIng an bspw 192.5.5.241 geht auch nicht.

KaiserN

first of all - it’s always dns :-)

was tanzt du bitte da auf den root dns rum? Die liefern dir/deinem DNS wenn nur die Info welchen NS du fragen sollst für z.B. .de oder .com etc. - die können keine zonen direkt auflösen. Zur Info.

Benutze bitte einen resolver wie quad9, google, CF etc.

btw. welche DNS hast du bei dir in der opnsense/unbound hinterlegt?

DocFraggle

KaiserN was tanzt du bitte da auf den root dns rum

Unbound geht die Kette über die Root Hints, darum…

LukasWRN

Das wundert mich auch.
Es wird nämlich per DHCP an alle LAN-Schnittstellen (Mailcow ist an einem LAN-Interface) ein DNS übergeben. Vorher mein eigener interner, welcher auch Recursive abgerufen hat. Seit dem Fehler probiere ich es aber direkt mit 1.1.1.1 und 8.8.8.8

KaiserN

DocFraggle

ah okay, also wenn er die Kette durch geht dann passt das. Mir so noch nicht aufgefallen.

LukasWRN

Kann man das denn irgendwie deaktivieren?
Also das keine Absender-Adressen verifiziert werden?

Weil wenn es manchmal dann dennoch durchgeht, obwohl der Fehler ausgegeben wird, dann bringt mir das auch nichts.

Vor allem habe ich davor ein Proxmox Mail Gateway, welches die Aufgabe des MX-Checks erfolgreich übernimmt.
Bis jetzt war mir das immer egal… Aber wenn Mailcow da faxen macht, dann würde ich das gerne deaktivieren.

esackbauer

LukasWRN Vor allem habe ich davor ein Proxmox Mail Gateway,

Das hättest du gleich erwähnen sollen…
Dann solltest du generell Antispam (RBL, Namecheck usw) da durchführen lassen, also beim ersten auftreffen der Mails in deiner Infrastruktur.
Dann musst du die IP adresse vom PMG im Mailcow Admin UI als Weiterleitungshost eintragen, zusätzlich noch in der Postscreen-Whitelist

LukasWRN

Da hast du natürlich Recht, hätte ich vorher erwähnen sollen. Sorry an alle 🙂

Jo, läuft auch eigentlich auch da.
Allerdings hat Mailcow da zuvor nie Probleme gemacht.

Das DNS-Problem löst sich damit aber dennoch leider nicht.
Und um auf meine ursprüngliche Frage zurück zu kommen: Kann man den MX-Check in Mailcow irgendwie deaktivieren?

esackbauer

LukasWRN Kann man den MX-Check in Mailcow irgendwie deaktivieren?

Deshalb habe ich geschrieben was ich geschrieben habe 😉