Unbound startet nicht in LXC – SKIP_UNBOUND_HEALTHCHECK=y hilft nicht

Wada

Ich installiere Mailcow in einem privilegierten LXC-Container (Debian 13) auf Proxmox. Bei docker compose up -d schlägt Unbound immer mit “dependency failed to start” fehl.

Folgendes habe ich versucht:

SKIP_UNBOUND_HEALTHCHECK=y in mailcow.conf gesetzt

DNS-Server in der docker-compose.override.yml für Postfix, Rspamd und Roundcube manuell auf 213.133.98.98, 213.133.99.99 gesetzt

IPv6 deaktiviert (ENABLE_IPV6=false)

Trotzdem bleibt Unbound unhealthy und blockiert den Start anderer Container.

Frage: Wie kann ich Unbound komplett deaktivieren oder durch die Hetzner-DNS-Server ersetzen? Gibt es eine bewährte Methode, um Mailcow ohne Unbound zu betreiben?

Das Problem trat ursprünglich bei einem Update der bestehenden Mailcow-Instanz auf. Nach dem Update (2026-03a) startete Unbound nicht mehr und verhinderte den Start von nginx und anderen Diensten. Durch manuelles Setzen von DNS-Servern in der docker-compose.override.yml für Postfix, Rspamd und Roundcube sowie durch iptables-Regeln konnte der Betrieb wiederhergestellt werden.

Bei einer sauberen Neuinstallation (privilegierter LXC) tritt nun das gleiche Unbound-Problem auf. Die Lösung scheint zu sein, Unbound komplett zu ersetzen oder zu deaktivieren. Gibt es eine Möglichkeit, Mailcow ohne Unbound zu betreiben und stattdessen feste DNS-Server (z.B. 213.133.98.98) zu verwenden? Wenn ja, welche Dateien müssen dafür angepasst werden?

esackbauer

Du weisst, dass LXC nicht supported ist?
https://docs.mailcow.email/de/getstarted/prerequisite-system/

Versuchen Sie nicht, mailcow auf einem Synology/QNAP-Gerät (jedes NAS), OpenVZ, LXC oder anderen Container-Plattformen zu installieren. KVM, ESX, Hyper-V und andere vollständige Virtualisierungsplattformen werden unterstützt.

Ich will damit sagen, dass selbst wenn es mal funktioniert hat, es keine Garantie gibt dass es mit der nächsten Mailcow-Version noch funktioniert.
Warum installierst du es nich einfach in einer Debian-VM und ersparst dir diese Kopfschmerzen? Ein Mailserver ist schon kompliziert genug zu betreiben, da muss man nicht noch Komplexität obendrauf packen.

Wada

Ich habe nun eine Debian-VM (KVM) auf dem gleichen Proxmox-Host erstellt und Mailcow frisch installiert. Das gleiche Problem tritt auf: Unbound startet nicht und bleibt “unhealthy”. Die forward-zone in der Unbound-Konfiguration ist korrekt auf die Hetzner-DNS-Server gesetzt.

text
forward-zone:
name: “.”
forward-addr: 213.133.98.98
forward-addr: 213.133.99.99
Trotzdem bleibt Unbound unhealthy und blockiert den Start von nginx und anderen Diensten. Das Problem tritt sowohl in LXC als auch in VM auf.

Meine Frage: Gibt es eine Möglichkeit, Unbound komplett zu deaktivieren und stattdessen die DNS-Server (z.B. 213.133.98.98) direkt in der docker-compose.yml für alle Dienste zu setzen? Oder gibt es eine andere Lösung, die in der Community bereits bekannt ist?

Danke für eure Hilfe!

UPDATE: Das Problem trat zum erstem mal auf nach Installation Update 2026-03a

esackbauer

Du hast diese Anleitung für Hetzner Firewalls gelesen?
https://docs.mailcow.email/de/getstarted/prerequisite-system/#wichtig-fur-hetzner-firewalls

Wada stattdessen die DNS-Server (z.B. 213.133.98.98)

Siehe “Methode B”:
https://docs.mailcow.email/de/manual-guides/Unbound/u_e-unbound-fwd/
Es gibt gute Gründe bei einem Mailserver eine gute DNS Auflösung zu haben, und nicht einfach die des Hosters zu verwenden (siehe orangen Kasten)
Ebenso müssen die Hetzner DNS Server DNSSEC-fähig sein. Keine Ahnung ob die das sind.

Wada UPDATE: Das Problem trat zum erstem mal auf nach Installation Update 2026-03a

Kommt darauf an von welcher Version du auf 2026-03a upgedatet hast. Wenn du mehrere Updates übersprungen hast kann das leicht passieren, da gibts immer mal wieder Breaking Changes.

Wada

esackbauer

Danke für deine schnelle Antwort.

Ich habe mit 2025-10 auf dem LXC angefangen, alles ok, nicht erst jetzt sondern als Erstinstallation zum damaligen Zeitpunkt
-> 2025-12 -> 2026-01 -> 2026-03
Jede Version lief ohne Probleme. Seite dem Update auf 2026-03a kratzt es.

Gut nun kann ich keine Rückmeldung geben, wie sich die einzelnen Versionen in einer VM verhalten. Wenn hier der LXC das Problem ausgelöst haben sollte, dann hätte dies mit einer Neuinstallation in einer VM behoben sein sollen.
Da hier auch das selbe Problem herrscht, gehe ich jetzt nicht wirklich davon aus, dass auf einmal Hetzner Schuld sein soll.

UPDATE: in 2026-03a wurde die ACME-DNS-01-Challenge aktiviert oder deren Nutzung zwingend gemacht
FIX -> mailcow/mailcow-dockerized7124
zum mindest sehe ich dies als wahrscheinlichste Ursache dafür.

esackbauer

Nein, die DNS-01 Challenge ist nicht zwingend. Und die Änderung am ACME container hat keine Auswirkung auf Unbound.
Ich vermute mal der ACME container startet nicht mal bei dir, solange Unbound unhealthy ist.
Hast du denn mit dig versucht herauszufinden ob die Rootserver des DNS aus dem Unbound Container erreichbar sind?
Sonst wäre meine Vermutung die Netzwerkconfig vom Proxmox, hat sich da was geändert? Wurde auf Hetzner Seite vielleicht doch was geändert? HIer beschreibt jemand dass Rules beim Hetzner Firewall Update verlorgen gegangen sind:
https://community.mailcow.email/d/3543-unbound-fails-to-resolve-dns-due-to-hetzner-firewall
Hast du einen Rollback auf die mailcow Vorversion ausprobiert?

Wada

esackbauer
In einer frischen Installation (LXC oder VM) fehlt die forward-zone in der Unbound-Konfiguration. Unbound versucht dann, direkt die Root-DNS-Server zu erreichen, was in meiner Netzwerkumgebung (LXC oder VM unabhängig) scheitert.

Lösung: Die forward-zone mit funktionierenden DNS-Servern (z.B. 213.133.98.98, 213.133.99.99) ergänzen.

Die forward-zone wurde bei einem Update (vermutlich 2026-03a) überschrieben. In älteren Versionen blieb die manuell angepasste Konfiguration erhalten. Daher trat das Problem erst mit diesem Update auf.
Wurde die unbound.conf im Update auf 2026-03a absichtlich neu generiert? Falls ja, wäre es sinnvoll, die forward-zone entweder standardmäßig mit sinnvollen Fallback-DNS-Servern auszustatten oder sie als benutzerdefinierte Konfiguration auszulagern, die bei Updates nicht überschrieben wird.

esackbauer

Wada Wurde die unbound.conf im Update auf 2026-03a absichtlich neu generiert?

Falls du das direkt im Unbound Container geändert hast geht das natürlich mit dem Update verloren.
Sollte nicht passieren, wenn du die im Mailcow installations directory unter data/conf/unbound/unbound.conf gändert hast. Falls doch müsste man ein Github Issue aufmachen.

Wada

esackbauer
Genau dort habe ich die Änderung vorgenommen (/opt/mailcow-dockerized/data/conf/unbound/unbound.conf). Nach dem Update auf 2026-03a war die forward-zone jedoch verschwunden.

DocFraggle

esackbauer Falls doch müsste man ein Github Issue aufmachen.

Also meine lokalen Änderungen wegen Hetzner Firewall sind wie erwartet drin geblieben

Wada

DocFraggle
Dann steht es jetzt 1:1 ;-)
Hattest du auch von 2026-03 auf 03a upgedatet ?

DocFraggle

Wada Hmm, ich glaub ich hab die 2026-03 wegen den SoGo Problemen ausgelassen und bin von 01 auf 3a gegangen. Sollte aber nichts damit zu tun haben, Git bzw das update.sh Script überschreibt eigentlich keine Locally Modified Files

Wada

So nach langem hin und her….Der “Fehler” nach dem Update lag angeblich an der zusätzlichen Mac-Adresse bei Hetzner.
Diese zurückgesetzt bei Hetzner und zack funktioniert es wieder.
Also dass Hetzner exakt in diesem Moment die Netzwerk-Struktur ändert, halte ich mal für unwahrscheinlich.

Dann bleibt weiterhin die Frage, was wurde in Mailcow geändert, dass es bis 2026-03 lief und mit 2026-03a massivste Probleme gab.
Zudem die Änderung des Hetzner DNS in der unbound.conf

Aber gut, läuft wieder von daher, Danke für die Unterstützung