Migration mit rsync: permission denied

Joam55

Ich will meine Maildatenbank auf einen neuen Server mit einer neuen Mailcow Installation per Migrationasskript transferieren.
Mit ./helper-scripts/mailcow-reset-admin.sh habe ich bereits 2 neue Passwörter gemacht.

Doch das Mailcow Passwort wird denied.

Das ist das Skript und die Aufforderung, das Passwort einzugeben:
root@mail:~# rsync -aHhP –numeric-ids –delete –exclude ‘*rspamd-vol-1’ /var/lib/docker/volumes/ admin@mail.avfmail.de:/var/lib/docker/volumes
admin@mail.avfmail.de’s password:

Weis vielleicht jemand wie das geht?
Gruß und Dank für Gehirnschmalz, Achim

DocFraggle

Joam55 Ich denke mal Du hast da kein SSH Keypair eingerichtet mit dem Du Dich direkt auf dem neuen Server einloggen kannst, daher die Passwort Abfrage für den “admin” User auf dem neuen Server.

Ich würde das an Deiner Stelle

nicht mit dem “admin” User auf dem neuen Server machen sondern als root, da zerschiesst Du Dir sonst einiges
mit dem Cold-Standby-Script https://docs.mailcow.email/de/backup_restore/b_n_r-coldstandby/ das Dir alles ganz Ohne weiteres Zutun auf den neuen Server umzieht

Aber wie gesagt, richte Dir vorher ein SSH Keypair ein. Auf dem alten Server als root:

ssh-keygen -t rsa -b 4096 -o -C "cold_standby" -f ~/.ssh/cold_standby

Dann den Public Key anzeigen lassen:

cat ~/.ssh/cold_standby.pub

Und den Output auf dem neuen Server als root in /root/.ssh/authorized_keys einfügen (musst Du neu anlegen falls nicht existent)

Dann kannst Du Dich via SSH ohne Passwort vom alten Server aus auf dem neuen Server als root einloggen.
Ggf musst Du vorher noch auf dem neuen Server in der /etc/ssh/sshd_config checken ob das root Login erlaubt ist

PermitRootLogin prohibit-password

Würde ich für die Zeit der Migration empfehlen, das erlaubt den root Login nur mit Key

esackbauer

Joam55 Mit ./helper-scripts/mailcow-reset-admin.sh habe ich bereits 2 neue Passwörter gemacht.

Damit machst du nur neue Passwörter für die Admin GUI, aber nicht für dein Hostbetriebssystem. Für die kopiervorgänge braucht rsync deinen Linux User mit entsprechenden berechtigungen. ich würde root verwenden, da man mailcow generell alle tätigkeiten mit root machen muss (installation, updates etc)

Joam55

Danke für deine Wissensweitergabe 🙂
Nun habe ich zwei Möglichkeiten 🙂

Zu dem Cold-Standby-Script, hole ich mir dann die Probleme vom alten Server auf den neuen?

esackbauer

Joam55 hole ich mir dann die Probleme vom alten Server auf den neuen?

Kommt auf deine Probleme an…

Joam55

driver failed programming external connectivity on endpoint mailcowdockerized-nginx-mailcow-1 (bccdc79e8fa872bcb6efc2c5a970f9ab236471c93200efb97c4d2b4e201feccb): failed to bind host port for 0.0.0.0:80:172.22.1.11:80/tcp: address already in use

esackbauer

Du solltest wirklich mal die Doku lesen bevor du hier fragen stellst 😉
https://docs.mailcow.email/de/troubleshooting/debug-common_problems/#adresse-bereits-in-gebrauch
Es läuft auf deinem Host bereits ein Webserver auf dem Port 80. Wie soll sich dann Mailcow diesen Port nehmen können?

Bitte überprüfen Sie, ob alle Standard-Ports von mailcow offen sind und nicht von anderen Anwendungen genutzt werden

Joam55

Wenn ich davon ausgehe das der Prozess auf port 80 “948/nginx: master p” von mailcow ist, dann sind die offen.
Oder verstehe ich das nicht Richtig?

root@mail:/opt/mailcow-dockerized# netstat -tulpn | grep -E -w ‘25|80|110|143|443|465|587|993|995|4190’
tcp 0 0 0.0.0.0:995 0.0.0.0:* LISTEN 2651/docker-proxy
tcp 0 0 0.0.0.0:993 0.0.0.0:* LISTEN 2633/docker-proxy
tcp 0 0 0.0.0.0:143 0.0.0.0:* LISTEN 2620/docker-proxy
tcp 0 0 0.0.0.0:25 0.0.0.0:* LISTEN 1211/master
tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 948/nginx: master p
tcp 0 0 0.0.0.0:4190 0.0.0.0:* LISTEN 2671/docker-proxy
tcp 0 0 0.0.0.0:110 0.0.0.0:* LISTEN 2607/docker-proxy
tcp6 0 0 :::995 :::* LISTEN 2662/docker-proxy
tcp6 0 0 :::993 :::* LISTEN 2642/docker-proxy
tcp6 0 0 :::143 :::* LISTEN 2627/docker-proxy
tcp6 0 0 :::25 :::* LISTEN 1211/master
tcp6 0 0 :::80 :::* LISTEN 948/nginx: master p
tcp6 0 0 :::4190 :::* LISTEN 2678/docker-proxy
tcp6 0 0 :::110 :::* LISTEN 2614/docker-proxy

root@mail:/opt/mailcow-dockerized# docker compose up -d
[+] Running 14/16
… 0.0s
✔ Container mailcowdockerized-rspamd-mailcow-1 Running
⠧ Container mailcowdockerized-nginx-mailcow-1 Starting
⠹ Container mailcowdockerized-postfix-mailcow-1 Starting

Error response from daemon: failed to set up container networking: driver failed programming external connectivity on endpoint mailcowdockerized-nginx-mailcow-1 (77e6390e1763282d48190b518b84023ae206e6ee924c103a571c4c22b69888c4): failed to bind host port for 0.0.0.0:80:172.22.1.11:80/tcp: address already in use

esackbauer

Joam55 Wenn ich davon ausgehe das der Prozess auf port 80 “948/nginx: master p” von mailcow ist, dann sind die offen.
Oder verstehe ich das nicht Richtig?

Nein. Da läuft ein nginx webserver auf deinem Host auf dem Port 80. Der hat sich den Port schon genommen. Wenn mailcow den binden könnte würde da “docker-proxy” stehen.

curiosity

Hi, so sollte die Ausgabe aussehen wenn mailcow läuft mit seinen benötigten Ports:

sudo ss -tulpn tcp LISTEN 0 4096 tcp LISTEN 0 4096 tcp LISTEN 0 4096 tcp LISTEN 0 4096 tcp LISTEN 0 4096 tcp LISTEN 0 4096 tcp LISTEN 0 4096 tcp LISTEN 0 4096 tcp LISTEN 0 4096 tcp LISTEN 0 4096 tcp LISTEN 0 4096 tcp LISTEN 0 4096 tcp LISTEN 0 4096 tcp LISTEN 0 4096 tcp LISTEN 0 4096 tcp LISTEN 0 4096 tcp LISTEN 0 4096 tcp LISTEN 0 4096 tcp LISTEN 0 4096 tcp LISTEN 0 4096 | grep -E -w '25|80|110|143|443|465|587|993|995|4190' 0.0.0.0:110 0.0.0.0:* users:(("docker-proxy",pid=4922,fd=7)) 0.0.0.0:4190 0.0.0.0:* users:(("docker-proxy",pid=4990,fd=7)) 0.0.0.0:80 0.0.0.0:* users:(("docker-proxy",pid=1582816,fd=7)) 0.0.0.0:25 0.0.0.0:* users:(("docker-proxy",pid=4523,fd=7)) 0.0.0.0:143 0.0.0.0:* users:(("docker-proxy",pid=4937,fd=7)) 0.0.0.0:465 0.0.0.0:* users:(("docker-proxy",pid=4543,fd=7)) 0.0.0.0:443 0.0.0.0:* users:(("docker-proxy",pid=1582830,fd=7)) 0.0.0.0:587 0.0.0.0:* users:(("docker-proxy",pid=4564,fd=7)) 0.0.0.0:993 0.0.0.0:* users:(("docker-proxy",pid=4956,fd=7)) 0.0.0.0:995 0.0.0.0:* users:(("docker-proxy",pid=4973,fd=7)) [::]:110 [::]:* users:(("docker-proxy",pid=4929,fd=7)) [::]:4190 [::]:* users:(("docker-proxy",pid=4997,fd=7)) [::]:80 [::]:* users:(("docker-proxy",pid=1582823,fd=7)) [::]:25 [::]:* users:(("docker-proxy",pid=4532,fd=7)) [::]:143 [::]:* users:(("docker-proxy",pid=4944,fd=7)) [::]:465 [::]:* users:(("docker-proxy",pid=4554,fd=7)) [::]:443 [::]:* users:(("docker-proxy",pid=1582837,fd=7)) [::]:587 [::]:* users:(("docker-proxy",pid=4573,fd=7)) [::]:993 [::]:* users:(("docker-proxy",pid=4962,fd=7)) [::]:995 [::]:* users:(("docker-proxy",pid=4980,fd=7))

Überall wo docker-proxy steht hat mailcow den Port für sich reserviert und lauscht auf ihn. Steht da irgendwo ein andere Name, blockiert dieser Dienst, den Port und du bekommst beim starten von mailcow eine Fehlermeldung. Also gucken welcher Dienst stört und beenden, damit mailcow richtig starten kann. 😉

Joam55

Ja, verstehe ich, doch das Biest auf Port 80 … im Augenblick hab ich den Server so irritiert das der auch mit einem im Rescuesystem neu gesetztem PW jeden zugriff verweigert.

Jetzt warte ich auf den Hetzner service … puh 😉

DocFraggle

Evtl hast du dich via Fail2ban selbst gesperrt, dann geht’s nach 30 Minuten wieder. Kannst ja mal den Zugriff über eine andere IP testen, Handy Netz oder so

esackbauer

Und dann:
sudo systemctl disable nginx --now

Dann mailcow starten.
Anscheinend hast du unabsichtlich einen nginx webserver installiert…

Ganzjahresgriller

Und in der Zwischenzeit solltest Du Dir wie von @esackbauer empfohlen die Doku durchlesen!

Joam55

Der Server liefert wieder 🙂
Hetzner: Ein Root-Passwort wird nur gesendet, wenn bei der Erstellung des Servers kein
SSH-Schlüssel ausgewählt wurde.

Damit auf einem Cloud-Server, der initial mit einem SSH-Schlüssel erstellt wurde, ein Passwort Login möglich ist, muss in der Datei “/etc/ssh/sshd_config” die Zeile “#PermitRootLogin prohibit-password” entsprechend auf “PermitRootLogin yes” gesetzt werden.

Na gut 🙂
Dann hab ich mutig alles mit nginx, mariadb und Port 25 gelöscht, jetzt läuft mailcow auch wieder 🙂
Vielen vielen Dank für die Hilfen!

DocFraggle

Joam55 ein Passwort Login möglich ist, muss in der Datei “/etc/ssh/sshd_config” die Zeile “#PermitRootLogin prohibit-password” entsprechend auf “PermitRootLogin yes” gesetzt werden

Ein Passwort Login für root ist generell keine gute Idee… daher meine Anleitung oben für den Key

Joam55

Danke, und klar, ich verwende normalerweise nur Keys, auch zum login auf meinen Websites 🙂