Der Versuch eine Mail über *.protection.outlook.com zu versenden scheitert bei mir und ich kann mir nicht den Grund erklären. Im Queue-Manager von mailcow steht folgende Meldung: `mail_to@example.com (Host or domain name not found. Name service error for name=###########.protection.outlook.com type=AAAA: Host not found, try again)` Der Empfänger (Bsp. mail_to@example.com) wird über den o.g. MX weitergeleitet. Frage ich über dig die Domäne ab, bekomme ich folgende Meldung: Kommando: `docker compose exec postfix-mailcow dig AAAA mx example.com` `docker compose exec unbound-mailcow dig AAAA mx example.com` Rückmeldung: ``` ; DiG 9.20.23 mx example.com ;; global options: +cmd ;; Got answer: ;; ->>HEADER

> @"Cubicle8970"#p32849 Ein AAAA Eintrag im DNS zu meiner IPv6 Adresse vom Mailserver ist vorhanden und erreichbar. Auch ein PTR (reverse DNS) Eintrag von der IPv6 adresse auf den mailcow hostname?

Was ist denn der genaue Fehler zu der Zeit im Postfix Log?

@"esackbauer"#p32850 Ja, der ist bei netcup auch hinterlegt. @"DocFraggle"#p32851 In den Protkollen von postfix finde ich diese Einträge. [upl-image-preview uuid=cbf5bf3e-34c8-48ed-b958-6b613d0a1022 url=https://community.mailcow.email/assets/files/2026-07-30/1785410621-8829-grafik.png alt={TEXT?}] Im Queue-Manager steht folgendes: [upl-image-preview uuid=099849d8-682e-4c37-8487-033fbfe6d855 url=https://community.mailcow.email/assets/files/2026-07-30/1785410446-862619-grafik.png alt={TEXT?}] Eigenartigerweise mit der Gewichtung "Info" bzw "Warning". Die Mail ist beim Empfänger nicht angekommen. Ich habe eine Übermittlungsbestätigung (DSN) angefordert, die ebenfalls nicht zurück kam. Bei der Empfängeradresse `mail_to@example.com` handelt es sich nicht direkt um eine `outlook.com` Adresse, sondern es wird offenbar der Outlookdienst mit einer eigenen Domäne genutzt. Ich habe mir zum Testen ein @outlook.com Konto erstellt. An dieses kann ich problemlos die Nachrichten versenden. Leider kann ich den Empfänger nicht weiter nerven um zu erfahren, ob etwas angekommen ist oder nicht.

Wenn ich das oben richtig sehe hast Du ja bisher nur den AAAA MX Record abgefragt, aber nicht ob der MX Record auch eine IP zurückgibt, richtig? Was kommt denn da bei Dir? Beispiel: ```asd root@mailserver:/opt/mailcow-dockerized# docker compose exec unbound-mailcow dig +short AAAA mx domain.de ;; Warning, extra type option 0 domain-de.mail.protection.outlook.com. root@mailserver:/opt/mailcow-dockerized# docker compose exec unbound-mailcow dig +short AAAA domain-de.mail.protection.outlook.com 2a01:111:affe:affe::a 2a01:111:affe:affe::e 2a01:111:affe:affe::5 2a01:111:affe:affe::4 ``` Gegenprüfen mit https://mxtoolbox.com/IPv6.aspx > @"Cubicle8970"#p32852 Bei der Empfängeradresse mail_to@example.com handelt es sich nicht direkt um eine outlook.com Adresse, sondern es wird offenbar der Outlookdienst mit einer eigenen Domäne genutzt. Evtl noch zur Erklärung: der Empfänger hostet seine Email Domain bei Exchange Online, da bekommt man dann als MX automatisch so einen FQDN zugewiesen.

Danke das du dich mit meinem Problem beschäftigst. ;-) Da kommt keine IP zurück. ``` root@mailserver:/opt/mailcow-dockerized# docker compose exec unbound-mailcow dig +short AAAA mx domain.de ;; Warning, extra type option 10 domain-de.mail.protection.outlook.com. root@mailserver:/opt/mailcow-dockerized# docker compose exec unbound-mailcow dig +short AAAA mx domain-de.mail.protection.outlook.com ;; Warning, extra type option root@mailserver:/opt/mailcow-dockerized# ``` mxtoolbox.com liefert allerdings was zurück. [upl-image-preview uuid=5d84a897-4ed8-4f59-b1a4-d1cbfa641199 url=https://community.mailcow.email/assets/files/2026-07-30/1785414166-689866-grafik.png alt={TEXT?}] Was kann ich daraus ableiten? Das mein DNS bei netcup das Problem sein könnte?

Hmm, hast Du denn irgendwas an Deiner Mailcow Config DNS-technisch getweaked? Denn Unbound sollte eigentlich gar nicht die Netcup DNS Server nutzen, das ist ja der ganze Sinn von Unbound. Unbound geht immer über die Root Hints und hangelt sich bis zu den für die Domain zuständigen DNS Servern durch Was sagt denn z.B.: `docker compose exec unbound-mailcow dig +trace AAAA domain-de.mail.protection.outlook.com` Das zeigt den ganzen Unbound Weg

Am DNS des Host und bei unbound im Container habe ich nichts verändert. Kannst du eine private Diskussion mit mir starten, damit ich dir den echten Domänennamen des Empfängers senden kann? Ich habe aufgrund meines neuen Accounts vermutlich keine Berechtigungen dafür oder ich weiß nicht wie es geht. Hier die Ausgabe des Kommandos: ``` root@server:/opt/mailcow-dockerized# docker compose exec unbound-mailcow dig +trace AAAA domain-de.mail.protection.outlook.com ; DiG 9.20.23 +trace AAAA domain-de.mail.protection.outlook.com ;; global options: +cmd . 25159 IN NS a.root-servers.net. . 25159 IN NS b.root-servers.net. . 25159 IN NS c.root-servers.net. . 25159 IN NS d.root-servers.net. . 25159 IN NS e.root-servers.net. . 25159 IN NS f.root-servers.net. . 25159 IN NS g.root-servers.net. . 25159 IN NS h.root-servers.net. . 25159 IN NS i.root-servers.net. . 25159 IN NS j.root-servers.net. . 25159 IN NS k.root-servers.net. . 25159 IN NS l.root-servers.net. . 25159 IN NS m.root-servers.net. . 25159 IN RRSIG NS 8 0 518400 20260811170000 20260729160000 57780 . O+fGyOc0WSCul4IpftLnbz5mdpYD3/yo8+JHwrpZr1zgoYvrswSqUThY fsmAoMJiAi/H90BKEMxryRRCjn/WpksMIcQ1jC6M95Hs/Ddpu6oivAv0 s1ai7C3Gzfbe223CKu++tKftpQx+akgvcJPp3sbGPzAQdgT7tGI388Cy qGJgRK5VbpU6Kn/cXy+lU7r0Dm5s9RmB3SVWZu5P7a6SzpcAfra6L/EJ N3KNsh5TAbx6RSwYVJG1DtjlgBVomx+VTjogyzcsJQCQOZ76A2sL+uuq jd0qeYVKN/4dalEGDJDRZSyi7uywPznXYG1c9GdwdLhfCPb4VeLfz5Op KhHVRQ== ;; Received 525 bytes from 127.0.0.11#53(127.0.0.11) in 0 ms ;; communications error to 193.0.14.129#53: timed out ;; communications error to 193.0.14.129#53: timed out ;; communications error to 193.0.14.129#53: timed out ;; communications error to 2001:500:2::c#53: timed out ;; communications error to 198.41.0.4#53: timed out ;; communications error to 202.12.27.33#53: timed out ;; communications error to 192.33.4.12#53: timed out ;; communications error to 2001:dc3::35#53: timed out ;; communications error to 192.203.230.10#53: timed out ^Croot@server:/opt/mailcow-dockerized# ```

> @"Cubicle8970"#p32856 Kannst du eine private Diskussion mit mir starten Das geht in diesem Forum leider nicht, ist glaube ich deaktiviert, richtig @"pkernstock"#1 ? > @"Cubicle8970"#p32856 >```asd;; communications error to 193.0.14.129#53: timed out > ;; communications error to 193.0.14.129#53: timed out > ;; communications error to 193.0.14.129#53: timed out > ;; communications error to 2001:500:2::c#53: timed out > ;; communications error to 198.41.0.4#53: timed out > ;; communications error to 202.12.27.33#53: timed out > ;; communications error to 192.33.4.12#53: timed out > ;; communications error to 2001:dc3::35#53: timed out > ;; communications error to 192.203.230.10#53: timed out Also das hier sieht gar nicht gut aus, sieht aus als würde eine Firewall Port 53 nach extern blocken bei Dir... sicher dass Du nichts geändert hast? Sonst würde Deine Mailcow ja eigentlich gar nicht funktionieren wenn DNS nach extern nicht funktioniert

> @"DocFraggle"#p32857 Das geht in diesem Forum leider nicht, ist glaube ich deaktiviert, richtig [@pkernstock](https://community.mailcow.email/u/pkernstock) ? Ehm... "deaktiviert"... quasi. Flarum kann nativ keine privaten DMs - es gibt jedoch eine Extension dafuer - die sogar installiert ist. Aufgrund mangelnden Vertrauen in die Extension, hab ich das nur noch nicht freigeschaltet. Auch aus Sorgen von Verschicken von Spam. Aber abseits dessen: Ich hab es mal eben fuer dich freigeschaltet, @"DocFraggle"#1599. Probier mal ob es geht. :D

Da bin ich ganz sicher, da ich mich strikt an die Doku von mailcow gehalten und die Hinweise dazu gelesen habe. Du liegst scheinbar mit der Firewallvermutung richtig. Ich habe den mal kurz komplett deaktiviert. Danach konnte ich den Trace erfolgreich ausführen. Vielleicht trifft der Teil https://docs.mailcow.email/getstarted/prerequisite-system/#important-for-hetzner-firewalls auch auf mein netcup Firewall zu? Aktuell habe ich wie in den docs beschrieben, nur die eingehenden Regeln definiert. Die ausgehenden Regeln, so dachte ich, habe ich ignoriert, da am Ende bei ausgehend "Accept all" steht. Ich versuche mal die ausgehenden Regeln explizit zu definieren und schaue mir das Ergebnis an.

Host or domain name not found bei *.protection.outlook.com

Cubicle8970

Es ist zum verzweifeln. Innerhalb des postfix container bekomme ich keine DNS Auflösung hin. Wenn ich 8.8.8.8 nutze, geht es.

Ich habe mich bei der Installation an den Standard gehalten und nur die mailcow.conf angepasst. Bis jetzt auf die unbound.conf Anpassung, habe ich alles so gelassen wie ausgeliefert.

root@server:/# dig AAAA domain-de.mail.protection.outlook.com @8.8.8.8

; <<>> DiG 9.20.23-1~deb13u1-Debian <<>> AAAA domain-de.mail.protection.outlook.com @8.8.8.8
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 10370
;; flags: qr rd ra; QUERY: 1, ANSWER: 4, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 512
;; QUESTION SECTION:
;domain-de.mail.protection.outlook.com. IN AAAA

;; ANSWER SECTION:
domain-de.mail.protection.outlook.com. 10 IN AAAA 2a01:111:f403:ca2d::1
domain-de.mail.protection.outlook.com. 10 IN AAAA 2a01:111:f403:ca27::
domain-de.mail.protection.outlook.com. 10 IN AAAA 2a01:111:f403:ca2d::
domain-de.mail.protection.outlook.com. 10 IN AAAA 2a01:111:f403:ca2d::2

;; Query time: 16 msec
;; SERVER: 8.8.8.8#53(8.8.8.8) (UDP)
;; WHEN: Thu Jul 30 17:01:54 CEST 2026
;; MSG SIZE  rcvd: 196

root@server:/# 
root@server:/# 
root@server:/# 
root@server:/# 
root@server:/# 
root@server:/# 
root@server:/# dig AAAA domain-de.mail.protection.outlook.com         

; <<>> DiG 9.20.23-1~deb13u1-Debian <<>> AAAA domain-de.mail.protection.outlook.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 38666
;; flags: qr rd; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 0
;; WARNING: recursion requested but not available

;; QUESTION SECTION:
;domain-de.mail.protection.outlook.com. IN AAAA

;; Query time: 4004 msec
;; SERVER: 127.0.0.11#53(127.0.0.11) (UDP)
;; WHEN: Thu Jul 30 17:02:03 CEST 2026
;; MSG SIZE  rcvd: 73


root@server:/# 
root@server:/# 
root@server:/# 
root@server:/# dig AAAA domain-de.mail.protection.outlook.com @172.22.1.254
;; communications error to 172.22.1.254#53: timed out
;; communications error to 172.22.1.254#53: timed out
^Croot@server:/# 
root@server:/# 
root@server:/# ping 172.22.1.254
PING 172.22.1.254 (172.22.1.254) 56(84) bytes of data.
64 bytes from 172.22.1.254: icmp_seq=1 ttl=64 time=0.067 ms
64 bytes from 172.22.1.254: icmp_seq=2 ttl=64 time=0.062 ms
64 bytes from 172.22.1.254: icmp_seq=3 ttl=64 time=0.057 ms
64 bytes from 172.22.1.254: icmp_seq=4 ttl=64 time=0.066 ms
^C
--- 172.22.1.254 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3078ms
rtt min/avg/max/mdev = 0.057/0.063/0.067/0.004 ms
root@server:/#

DocFraggle

DocFraggle docker compose exec postfix-mailcow dig AAAA domain-de.mail.protection.outlook.com @172.22.1.254

~~Das geht auch nicht?~~ ~~ach da unten… Da scheint irgendwas zu blocken~~ ne von Host direkt kann das nicht gehen, das ist ja im Docker Netz

Bitte direkt mein Kommando testen

Cubicle8970

Sorry, war ein Copy&Paste Fehler. Das “server” bei root@server ist ersetzt wurden. Dort stand die ID des Containers. Langsam geht es mit der Konzentration zu Ende. ;-) Die Kommandos wurden in der postfix-Instanz ausgeführt. Hier trotzdem noch mal der Output von deinem Befehl vom Host aus.

root@server:/opt/mailcow-dockerized# docker compose exec postfix-mailcow dig AAAA domain-de.mail.protection.outlook.com @172.22.1.254
;; communications error to 172.22.1.254#53: timed out
;; communications error to 172.22.1.254#53: timed out
^Croot@server:/opt/mailcow-dockerized#


root@server:/opt/mailcow-dockerized# docker compose exec postfix-mailcow dig AAAA domain-de.mail.protection.outlook.com @8.8.8.8

; <<>> DiG 9.20.23-1~deb13u1-Debian <<>> AAAA domain-de.mail.protection.outlook.com @8.8.8.8
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 44470
;; flags: qr rd ra; QUERY: 1, ANSWER: 4, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 512
;; QUESTION SECTION:
;domain-de.mail.protection.outlook.com. IN AAAA

;; ANSWER SECTION:
domain-de.mail.protection.outlook.com. 10 IN AAAA 2a01xxx
domain-de.mail.protection.outlook.com. 10 IN AAAA 2a01xxx
domain-de.mail.protection.outlook.com. 10 IN AAAA 2a01xxx
domain-de.mail.protection.outlook.com. 10 IN AAAA 2a01xxx

;; Query time: 16 msec
;; SERVER: 8.8.8.8#53(8.8.8.8) (UDP)
;; WHEN: Thu Jul 30 17:52:46 CEST 2026
;; MSG SIZE  rcvd: 196

root@server:/opt/mailcow-dockerized#


root@server:/opt/mailcow-dockerized# docker compose exec postfix-mailcow ping 172.22.1.254
PING 172.22.1.254 (172.22.1.254) 56(84) bytes of data.
64 bytes from 172.22.1.254: icmp_seq=1 ttl=64 time=0.417 ms
64 bytes from 172.22.1.254: icmp_seq=2 ttl=64 time=0.062 ms
64 bytes from 172.22.1.254: icmp_seq=3 ttl=64 time=0.073 ms
^C
--- 172.22.1.254 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2056ms
rtt min/avg/max/mdev = 0.062/0.184/0.417/0.164 ms
root@server:/opt/mailcow-dockerized#

DocFraggle

Ok das ist NICHT normal. Du hattest meine Frage nach der (hoffentlich deaktivierten) lokalen Host Firewall noch nicht beantwortet. Falls Du sie nicht deaktiviert hast könnte das die Probleme erklären.

Und was gibt

netstat -tulpen

auf Deinem System aus? Was für ein OS nutzt Du?

Cubicle8970

Stimmt, da habe ich wieder was übersehen.

root@server:/opt/mailcow-dockerized# cat /etc/os-release
PRETTY_NAME="Debian GNU/Linux 13 (trixie)"
NAME="Debian GNU/Linux"
VERSION_ID="13"
VERSION="13 (trixie)"
VERSION_CODENAME=trixie
DEBIAN_VERSION_FULL=13.6
ID=debian
HOME_URL="https://www.debian.org/"
SUPPORT_URL="https://www.debian.org/support"
BUG_REPORT_URL="https://bugs.debian.org/"
root@server:/opt/mailcow-dockerized#

root@server:/opt/mailcow-dockerized# netstat -tulpen
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       User       Inode      PID/Program name    
tcp        0      0 127.0.0.1:13306         0.0.0.0:*               LISTEN      0          86371      21601/docker-proxy  
tcp        0      0 x.x.x.x:80          0.0.0.0:*               LISTEN      0          91229      22877/docker-proxy  
tcp        0      0 127.0.0.1:7654          0.0.0.0:*               LISTEN      0          86342      21578/docker-proxy  
tcp        0      0 0.0.0.0:995             0.0.0.0:*               LISTEN      0          86968      21891/docker-proxy  
tcp        0      0 0.0.0.0:993             0.0.0.0:*               LISTEN      0          86901      21859/docker-proxy  
tcp        0      0 0.0.0.0:587             0.0.0.0:*               LISTEN      0          92289      23035/docker-proxy  
tcp        0      0 x.x.x.x:443         0.0.0.0:*               LISTEN      0          89911      22890/docker-proxy  
tcp        0      0 0.0.0.0:465             0.0.0.0:*               LISTEN      0          92220      23009/docker-proxy  
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      0          5737       821/sshd: /usr/sbin 
tcp        0      0 0.0.0.0:25              0.0.0.0:*               LISTEN      0          90103      22983/docker-proxy  
tcp        0      0 127.0.0.1:19991         0.0.0.0:*               LISTEN      0          88117      21942/docker-proxy  
tcp        0      0 0.0.0.0:4190            0.0.0.0:*               LISTEN      0          87037      21920/docker-proxy  
tcp        0      0 0.0.0.0:110             0.0.0.0:*               LISTEN      0          87068      21797/docker-proxy  
tcp        0      0 0.0.0.0:143             0.0.0.0:*               LISTEN      0          87105      21830/docker-proxy  
tcp6       0      0 :::995                  :::*                    LISTEN      0          86969      21898/docker-proxy  
tcp6       0      0 :::993                  :::*                    LISTEN      0          86902      21864/docker-proxy  
tcp6       0      0 :::587                  :::*                    LISTEN      0          92290      23040/docker-proxy  
tcp6       0      0 :::465                  :::*                    LISTEN      0          92221      23014/docker-proxy  
tcp6       0      0 :::22                   :::*                    LISTEN      0          5747       821/sshd: /usr/sbin 
tcp6       0      0 :::25                   :::*                    LISTEN      0          90104      22988/docker-proxy  
tcp6       0      0 :::4190                 :::*                    LISTEN      0          87038      21925/docker-proxy  
tcp6       0      0 :::110                  :::*                    LISTEN      0          87069      21807/docker-proxy  
tcp6       0      0 :::143                  :::*                    LISTEN      0          87106      21836/docker-proxy  
root@server:/opt/mailcow-dockerized#

Ich verstehe immer noch nicht, warum sich die eine Empfängeradresse so schwer tut. Ich kann doch auch an andere Empfänger Mails versenden.

iptables -l liefert:


root@server:/opt/mailcow-dockerized# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy DROP)
target     prot opt source               destination         
MAILCOW    all  --  anywhere             anywhere             /* mailcow */
DOCKER-USER  all  --  anywhere             anywhere            
DOCKER-FORWARD  all  --  anywhere             anywhere            

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain DOCKER (2 references)
target     prot opt source               destination         
ACCEPT     tcp  --  anywhere             172.22.1.253         tcp dpt:submission
ACCEPT     tcp  --  anywhere             172.22.1.253         tcp dpt:submissions
ACCEPT     tcp  --  anywhere             172.22.1.253         tcp dpt:smtp
ACCEPT     tcp  --  anywhere             172.22.1.11          tcp dpt:https
ACCEPT     tcp  --  anywhere             172.22.1.11          tcp dpt:http
ACCEPT     tcp  --  anywhere             172.22.1.250         tcp dpt:12345
ACCEPT     tcp  --  anywhere             172.22.1.250         tcp dpt:sieve
ACCEPT     tcp  --  anywhere             172.22.1.250         tcp dpt:pop3s
ACCEPT     tcp  --  anywhere             172.22.1.250         tcp dpt:imaps
ACCEPT     tcp  --  anywhere             172.22.1.250         tcp dpt:imap2
ACCEPT     tcp  --  anywhere             172.22.1.250         tcp dpt:pop3
ACCEPT     tcp  --  anywhere             172.22.1.5           tcp dpt:mysql
ACCEPT     tcp  --  anywhere             172.22.1.249         tcp dpt:redis
DROP       all  --  anywhere             anywhere            
DROP       all  --  anywhere             anywhere            

Chain DOCKER-BRIDGE (1 references)
target     prot opt source               destination         
DOCKER     all  --  anywhere             anywhere            
DOCKER     all  --  anywhere             anywhere            

Chain DOCKER-CT (1 references)
target     prot opt source               destination         
ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHED
ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHED

Chain DOCKER-FORWARD (1 references)
target     prot opt source               destination         
DOCKER-CT  all  --  anywhere             anywhere            
DOCKER-INTERNAL  all  --  anywhere             anywhere            
DOCKER-BRIDGE  all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            

Chain DOCKER-INTERNAL (1 references)
target     prot opt source               destination         

Chain DOCKER-USER (1 references)
target     prot opt source               destination         

Chain MAILCOW (1 references)
target     prot opt source               destination         
DROP       tcp  --  anywhere             anywhere             /* mailcow isolation */
root@server:/opt/mailcow-dockerized#

Ist es nicht möglich, dass das Problem auf der Empfängerseite liegt?

root@server:/opt/mailcow-dockerized# docker compose exec postfix-mailcow dig AAAA domain-de.mail.protection.outlook.com funktioniert nur nicht.

Andere Domänen wie hotmail.com, outlook.com, microsoft.com … funktionieren ohne Probleme. Es muss irgendiwe mit mail.protection.outlook.com einen Zusammenhang geben.

DocFraggle

Cubicle8970 Ist es nicht möglich, dass das Problem auf der Empfängerseite liegt?

Nein…

Cubicle8970 Mein Workaround

Das kann ich jetzt tatsächlich nicht ganz nachvollziehen… das betrifft ja den Unbound Container den Dein Postfix Container nicht erreichen kann, das kann doch trotzdem nicht funktionieren jetzt?

Cubicle8970

Mein Workaround ist jetzt folgender Eintrag in der {mailcow-dockerized}/data/conf/unbound/unbound.conf.

forward-zone:
  name: "mail.protection.outlook.com"
  forward-addr: 5.1.66.255
  forward-addr: 185.150.99.255

Kann man das so belassen oder kann das wieder an anderer Stelle Probleme machen?

Cubicle8970

DocFraggle Das kann ich jetzt tatsächlich nicht ganz nachvollziehen… das betrifft ja den Unbound Container den Dein Postfix Container nicht erreichen kann, das kann doch trotzdem nicht funktionieren jetzt?

Geht mir auch so. Nach dem Eintrag konnte ich die Mail allerdings versenden. Es kam sofort die Übermittlungsbestätigung (DSN) und die Mail war aus dem Queue-Manager von mailcow verschwunden.

Rückgabe mit dem forward-Eintrag in der unbound.conf

rootserver:/opt/mailcow-dockerized# docker compose exec postfix-mailcow dig AAAA domain-de.mail.protection.outlook.com

; <<>> DiG 9.20.23-1~deb13u1-Debian <<>> AAAA domain-de.mail.protection.outlook.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 35854
;; flags: qr rd ra; QUERY: 1, ANSWER: 4, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;domain-de.mail.protection.outlook.com. IN AAAA

;; ANSWER SECTION:
domain-de.mail.protection.outlook.com. 10 IN AAAA 2a01:xxx
domain-de.mail.protection.outlook.com. 10 IN AAAA 2a01:xxx
domain-de.mail.protection.outlook.com. 10 IN AAAA 2a01:xxx
domain-de.mail.protection.outlook.com. 10 IN AAAA 2a01:xxx

;; Query time: 68 msec
;; SERVER: 127.0.0.11#53(127.0.0.11) (UDP)
;; WHEN: Fri Jul 31 06:42:44 CEST 2026
;; MSG SIZE  rcvd: 196

root@server:/opt/mailcow-dockerized#

Rückgabe ohne dem forward-Eintrag in der unbound.conf

root@server:/opt/mailcow-dockerized# docker compose exec postfix-mailcow dig AAAA domain-de.mail.protection.outlook.com

; <<>> DiG 9.20.23-1~deb13u1-Debian <<>> AAAA domain-de.mail.protection.outlook.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 31800
;; flags: qr rd; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 0
;; WARNING: recursion requested but not available

;; QUESTION SECTION:
;domain-de.mail.protection.outlook.com. IN AAAA

;; Query time: 4000 msec
;; SERVER: 127.0.0.11#53(127.0.0.11) (UDP)
;; WHEN: Fri Jul 31 06:43:52 CEST 2026
;; MSG SIZE  rcvd: 73

root@server:/opt/mailcow-dockerized#

DocFraggle

Also nach meinem eigenen Debugging komme ich jetzt doch zum Schluss dass Microsoft mit ihren DNS Servern da irgendwelche komischen Sachen macht… ich habe jetzt erst gesehen dass auch bei mir der Trace via dig gar nicht bis zum Ende kommt wegen “missing question section”. Allerdings funktioniert es aber bei einem normalen Lookup bei mir, was mich dann wiederum auf ein Problem zwischen Netcup und Microsoft schliessen lässt 🤯 evtl Netzwerk MTU, die Netcup Firewall macht komische Sachen oder was auch immer.
Dadurch dass Du für die Domain jetzt eigene DNS Server festgelegt hast klappt die Geschichte, da die Kette so gar nicht durchlaufen wird.

Ich würde vorschlagen Du lässt das jetzt so, ich sehe da keine Probleme wenn Du das nur für die eine Domain machst.

EDIT: Deine MTU würde mich tatsächlich doch noch interessieren:

ip link show eth0

und ggf auch die ganzen NIC Settings:

ethtool -k eth0

Cubicle8970

Geht klar. Ich werde es auch noch mal im Forum von netcup probieren. Vielleicht hat dort jemand im Zusammenhang mit netcup jemand Erfahrungen gemacht.

Auf jeden Fall nochmals vielen Dank für deine Unterstützung. Besonders gut fand ich, dass du das auf deiner Seite noch mal versucht hast nachzuvollziehen. Danke für deine Zeit. :-)

Eigenartig ist auch, dass ich bei dig AAAA domain-de.mail.protection.outlook.com auf dem Host (DNS von netcup) auch keine Probleme habe. Eine Firewall zwischen Host und Docker blockiert auch nichts. Nur im Zusammenhang mit dem postfix-Container entsteht das Problem.

Das mit der MTU kann ich noch mal prüfen.

DocFraggle

Cubicle8970 Eigenartig ist auch, dass ich bei dig AAAA domain-de.mail.protection.outlook.com auf dem Host

Ja, das ist zu erwarten, da gehst Du ja auch nicht die ganze Kette via Unbound durch. Es muss irgendwas damit zu tun haben, sprich rekursive Abfrage via Unbound in Richtung Microsoft

Cubicle8970 Auf jeden Fall nochmals vielen Dank für deine Unterstützung.

Ja, wie Du gemerkt hast lässt mir sowas keine Ruhe 😃

Becker884

Würde ich gern auch ausprobieren an meinem Netcup Server.

Mit einer mir bekannten geht es ganz normal:

;; ANSWER SECTION:
de0e.mail.protection.outlook.com. 10 IN AAAA 2a01:111:f403:ca2d::2
de0e.mail.protection.outlook.com. 10 IN AAAA 2a01:111:f403:ca27::
de0e.mail.protection.outlook.com. 10 IN AAAA 2a01:111:f403:ca2d::1
de0e.mail.protection.outlook.com. 10 IN AAAA 2a01:111:f403:ca2d::

Cubicle8970

Becker884
Was meinst du mit “würdest”? Hast du eine bestehende mailcow Installation auf einem netcup VPS? Wenn ja, hast du mal versucht vom unbound und postfix Container die Abfrage auszuführen?

Also mit den Befehlen:

docker compose exec postfix-mailcow dig AAAA mail.protection.outlook.com
docker compose exec unbound-mailcow dig AAAA mail.protection.outlook.com

Und auch ohne forward-zone in der unbound.conf?

Becker884

mit würden meine ich deine (komische) Domain ;-)

Ja ich habe einen Netcup VPS und ja das ist die Anfrage:

docker compose exec postfix-mailcow dig AAAA mail.protection.outlook.com

Die unbound.conf habe ich nicht verändert !

Cubicle8970

Becker884
Echt? Das ist zum verrückt werden. Sieht deine Firewallkonfiguration bei netcup auch so aus?

Ach ja, und hast du outgoing-port-avoid: 0-32767 in deiner unbound.conf hinterlegt oder wirklich, wie du geschrieben hast, nichts angepasst?

Becker884

Cubicle8970 Echt? Das ist zum verrückt werden. Sieht deine Firewallkonfiguration bei netcup auch so aus?

Nein, die ist deaktiviert

Cubicle8970 Ach ja, und hast du outgoing-port-avoid: 0-32767 in deiner unbound.conf hinterlegt oder wirklich, wie du geschrieben hast, nichts angepasst?

nichts angepasst !

DocFraggle und bei dir @Becker884 ?

root@mail:/opt/mailcow-dockerized# docker compose exec postfix-mailcow dig +short AAAA contoso-de.mail.protection.outlook.com
2a01:111:f403:ca09::2
2a01:111:f403:ca04::4
2a01:111:f403:ca04::d
2a01:111:f403:ca04::a

Ich verwende übrigens Ubuntu 24 (Netcup Image)

Damals beim Einrichten des Netcup Servers, bin ich leicht verrückt geworden mit der Firewall von Netcup, da nicht mal die Zeit Synchronisierung funktionierte. Diese läuft über UDP und wie ihr auch schon festgestellt habt, funktioniert die Netcup Firewall nicht. Weiß nicht warum man sowas anbietet.

Also wieder deaktiviert und nftables scharf gestellt, kann ich dir auch nur empfehlen !
Kann dir gern meine config zeigen wenn sie dich interessiert.
Die Regeln von Mailcow/Docker vertragen sich damit übrigens.

DocFraggle

Um es allen einfacher zu machen und ohne um den heissen Brei herumzureden, testet doch mal das hier:

root@mailserver:/opt/mailcow-dockerized# docker compose exec postfix-mailcow dig +short AAAA contoso-de.mail.protection.outlook.com
2a01:111:f403:ca04::8
2a01:111:f403:ca09::d
2a01:111:f403:ca09::3
2a01:111:f403:ca04::10

@Cubicle8970 gerade bei dir würde mich das Ergebnis interessieren, ist ja eine andere, aber echte Company hinter Exchange Online MXen 🙂

Cubicle8970

Mit forward-zone:

root@server:/opt/mailcow-dockerized# docker compose exec postfix-mailcow dig +short AAAA contoso-de.mail.protection.outlook.com
2a01:111:f403:ca04::8
2a01:111:f403:ca04::f
2a01:111:f403:ca09::6
2a01:111:f403:ca09::20
root@server:/opt/mailcow-dockerized#

Ohne forward kommt nichts zurück.

DocFraggle

und bei dir @Becker884 ?

Cubicle8970

Allerdings funktioniert es bei “unbound-mailcow” auch ohne die forward-zone.

DocFraggle

Hmm, ja stimmt, evtl passt da auch irgendwas nicht mit dem Docker Netzwerk in Verbindung mit dem Netcup Kernel (IIRC hat Netcup da irgendwelche Spezial-selbst-gebastelten Kernel im Einsatz und keine Original Debian Kernel wie es in Deinem Fall sein sollte)
Darum die Frage nach der Netzwerk-Config und MTU auf deinem VPS

Zusätzlich würde mich noch

uname -a

bei Dir interessieren.

Zum Vergleich bei mir (hab auch Debian 13)

Linux mailserver 6.12.90+deb13-amd64 #1 SMP PREEMPT_DYNAMIC Debian 6.12.90-1 (2026-05-22) x86_64 GNU/Linux (sollte wohl mal wieder den Server booten…)

(so langsam möchte ich fast mal so ein 5€ VPS bei Netcup holen und das gründlich debuggen 😃 )

Cubicle8970

root@server:/opt/mailcow-dockerized# uname -a
Linux v2202607179687488433 6.12.96+deb13-amd64 #1 SMP PREEMPT_DYNAMIC Debian 6.12.96-1 (2026-07-20) x86_64 GNU/Linux

DocFraggle (so langsam möchte ich fast mal so ein 5€ VPS bei Netcup holen und das gründlich debuggen 😃 )

Wenn du das wirklich vor hast, würde ich alles resetten und dir Zugangsdaten senden. Da musst du nichts buchen und ich gebe dir 10 EUR für nen großen Kaffee aus. ;-) Wobei ich da lieber selbst noch mal alles von Null beginnen würde, um wirklich auszuschließen, dass ich nicht Schuld war. Oder ich gebe dir den 10er und wir machen es über eine Remote Session. ;-)

« Previous Page Next Page »