Hallo esackbauer und CK_beats,
zunächst vielen Dank für Eure Rückmeldungen und Sorry, dass ich mich nicht früher mit meiner Antwort melden konnte!
esackbauer Welchen Sinn hat es an extern versenden zu können wenn man die Antwort nicht empfangen kann?
Natürlich kann man ihn auch betreiben ohne dass er etwas aus dem Internet empfängt.
natürlich soll der mailcow-Server senden und empfangen können. Aber eben über meinen Relay-/MX-Server den ich bei einem Provider betreibe. Die Kommunikation soll (wie bisher auch) über die Submission-Ports mit SASL-Authentication auf beiden (mailcow und Relay) oder einer anderen sicherne Alternative erfolgen.
Mein externer Mailserver mit offizieller IP macht mit Postscreen und Rspamd neben Antispam und Antivirus auch SPF, DKIM, DMARC, ARC usw. und leitet die Mails für mich anschließend an den internen Mailserver weiter, wo die Mails dann in Dovecot gespeichert werden, bzw. versendet Mails des internen Servers an die Destinationen.
esackbauer Richtige Lets Encrypt Zertifikate sind sehr sinnvoll.
da widerspreche ich ja gar nicht. Ich möchte jedoch nicht, dass meine sämtlichen Maschinen selbstständig sich die Letsencrypt-Zertifikate halen, sondern ich mache das zentral über einen Proxy, der für alle meine Maschienen die Zertifikate holt und das DNS01-Protokoll verwendet.
esackbauer Von überall aus auf die Mails zugreifen zu können ist auch sinnvoll.
auch hier widerspreche ich nicht.
mir geht es u.a. darum, dass ich keinen direkten Zugriff auf den Dovecot-Server aus dem Internet haben möchte, sondern nur auf einen Webmailer und auch das Backup gestaltet sich einfacher, wenn die Maschine im internen Netz steht.
Aber vielleicht ist es eine trügerische Annahme von mir, wenn ich glaube, dass eine Portweiterleitung auf einen im internen Netzwerk stehenden mailcow-Server unsicherer wäre, als nur ein Zugriff über einen Webmailer auf den Dovecot-Server?
CK_beats Vorteil ist natürlich zentrale Datenhaltung, unabhängig von der Workstation.
Damit auch leichteres Backup.
genau!
CK_beats Andererseits ist diese “interne” Konfiguration typisch für private Netzwerke ohne feste IP und mögliche Reverse-Lookup Einträge.
dieses Problem habe ich gelöst ;-)
Trotzdem bleibt die Frage: wie kann ich im mailcow-Setup Rspamd, ggf. auch ClamAV abschalten und den Letsencryptteil entweder auf DNS01 umstellen, oder lieber ganz deaktivieren. (Stattdessen soll der mailcow-Server wie meine anderen internen Server auch über einen Cronjob seine Letsencrypt-Zertfikate von meinem Letsecrypt-Proxy abholen).
Oder ist ein solcher Eingriff in mailcow nicht vorgesehen und nur schwer möglich?
Thx
Christoph.