Der Versuch eine Mail über *.protection.outlook.com zu versenden scheitert bei mir und ich kann mir nicht den Grund erklären. Im Queue-Manager von mailcow steht folgende Meldung: `mail_to@example.com (Host or domain name not found. Name service error for name=###########.protection.outlook.com type=AAAA: Host not found, try again)` Der Empfänger (Bsp. mail_to@example.com) wird über den o.g. MX weitergeleitet. Frage ich über dig die Domäne ab, bekomme ich folgende Meldung: Kommando: `docker compose exec postfix-mailcow dig AAAA mx example.com` `docker compose exec unbound-mailcow dig AAAA mx example.com` Rückmeldung: ``` ; DiG 9.20.23 mx example.com ;; global options: +cmd ;; Got answer: ;; ->>HEADER

> @"Cubicle8970"#p32849 Ein AAAA Eintrag im DNS zu meiner IPv6 Adresse vom Mailserver ist vorhanden und erreichbar. Auch ein PTR (reverse DNS) Eintrag von der IPv6 adresse auf den mailcow hostname?

Was ist denn der genaue Fehler zu der Zeit im Postfix Log?

@"esackbauer"#p32850 Ja, der ist bei netcup auch hinterlegt. @"DocFraggle"#p32851 In den Protkollen von postfix finde ich diese Einträge. [upl-image-preview uuid=cbf5bf3e-34c8-48ed-b958-6b613d0a1022 url=https://community.mailcow.email/assets/files/2026-07-30/1785410621-8829-grafik.png alt={TEXT?}] Im Queue-Manager steht folgendes: [upl-image-preview uuid=099849d8-682e-4c37-8487-033fbfe6d855 url=https://community.mailcow.email/assets/files/2026-07-30/1785410446-862619-grafik.png alt={TEXT?}] Eigenartigerweise mit der Gewichtung "Info" bzw "Warning". Die Mail ist beim Empfänger nicht angekommen. Ich habe eine Übermittlungsbestätigung (DSN) angefordert, die ebenfalls nicht zurück kam. Bei der Empfängeradresse `mail_to@example.com` handelt es sich nicht direkt um eine `outlook.com` Adresse, sondern es wird offenbar der Outlookdienst mit einer eigenen Domäne genutzt. Ich habe mir zum Testen ein @outlook.com Konto erstellt. An dieses kann ich problemlos die Nachrichten versenden. Leider kann ich den Empfänger nicht weiter nerven um zu erfahren, ob etwas angekommen ist oder nicht.

Wenn ich das oben richtig sehe hast Du ja bisher nur den AAAA MX Record abgefragt, aber nicht ob der MX Record auch eine IP zurückgibt, richtig? Was kommt denn da bei Dir? Beispiel: ```asd root@mailserver:/opt/mailcow-dockerized# docker compose exec unbound-mailcow dig +short AAAA mx domain.de ;; Warning, extra type option 0 domain-de.mail.protection.outlook.com. root@mailserver:/opt/mailcow-dockerized# docker compose exec unbound-mailcow dig +short AAAA domain-de.mail.protection.outlook.com 2a01:111:affe:affe::a 2a01:111:affe:affe::e 2a01:111:affe:affe::5 2a01:111:affe:affe::4 ``` Gegenprüfen mit https://mxtoolbox.com/IPv6.aspx > @"Cubicle8970"#p32852 Bei der Empfängeradresse mail_to@example.com handelt es sich nicht direkt um eine outlook.com Adresse, sondern es wird offenbar der Outlookdienst mit einer eigenen Domäne genutzt. Evtl noch zur Erklärung: der Empfänger hostet seine Email Domain bei Exchange Online, da bekommt man dann als MX automatisch so einen FQDN zugewiesen.

Danke das du dich mit meinem Problem beschäftigst. ;-) Da kommt keine IP zurück. ``` root@mailserver:/opt/mailcow-dockerized# docker compose exec unbound-mailcow dig +short AAAA mx domain.de ;; Warning, extra type option 10 domain-de.mail.protection.outlook.com. root@mailserver:/opt/mailcow-dockerized# docker compose exec unbound-mailcow dig +short AAAA mx domain-de.mail.protection.outlook.com ;; Warning, extra type option root@mailserver:/opt/mailcow-dockerized# ``` mxtoolbox.com liefert allerdings was zurück. [upl-image-preview uuid=5d84a897-4ed8-4f59-b1a4-d1cbfa641199 url=https://community.mailcow.email/assets/files/2026-07-30/1785414166-689866-grafik.png alt={TEXT?}] Was kann ich daraus ableiten? Das mein DNS bei netcup das Problem sein könnte?

Hmm, hast Du denn irgendwas an Deiner Mailcow Config DNS-technisch getweaked? Denn Unbound sollte eigentlich gar nicht die Netcup DNS Server nutzen, das ist ja der ganze Sinn von Unbound. Unbound geht immer über die Root Hints und hangelt sich bis zu den für die Domain zuständigen DNS Servern durch Was sagt denn z.B.: `docker compose exec unbound-mailcow dig +trace AAAA domain-de.mail.protection.outlook.com` Das zeigt den ganzen Unbound Weg

Am DNS des Host und bei unbound im Container habe ich nichts verändert. Kannst du eine private Diskussion mit mir starten, damit ich dir den echten Domänennamen des Empfängers senden kann? Ich habe aufgrund meines neuen Accounts vermutlich keine Berechtigungen dafür oder ich weiß nicht wie es geht. Hier die Ausgabe des Kommandos: ``` root@server:/opt/mailcow-dockerized# docker compose exec unbound-mailcow dig +trace AAAA domain-de.mail.protection.outlook.com ; DiG 9.20.23 +trace AAAA domain-de.mail.protection.outlook.com ;; global options: +cmd . 25159 IN NS a.root-servers.net. . 25159 IN NS b.root-servers.net. . 25159 IN NS c.root-servers.net. . 25159 IN NS d.root-servers.net. . 25159 IN NS e.root-servers.net. . 25159 IN NS f.root-servers.net. . 25159 IN NS g.root-servers.net. . 25159 IN NS h.root-servers.net. . 25159 IN NS i.root-servers.net. . 25159 IN NS j.root-servers.net. . 25159 IN NS k.root-servers.net. . 25159 IN NS l.root-servers.net. . 25159 IN NS m.root-servers.net. . 25159 IN RRSIG NS 8 0 518400 20260811170000 20260729160000 57780 . O+fGyOc0WSCul4IpftLnbz5mdpYD3/yo8+JHwrpZr1zgoYvrswSqUThY fsmAoMJiAi/H90BKEMxryRRCjn/WpksMIcQ1jC6M95Hs/Ddpu6oivAv0 s1ai7C3Gzfbe223CKu++tKftpQx+akgvcJPp3sbGPzAQdgT7tGI388Cy qGJgRK5VbpU6Kn/cXy+lU7r0Dm5s9RmB3SVWZu5P7a6SzpcAfra6L/EJ N3KNsh5TAbx6RSwYVJG1DtjlgBVomx+VTjogyzcsJQCQOZ76A2sL+uuq jd0qeYVKN/4dalEGDJDRZSyi7uywPznXYG1c9GdwdLhfCPb4VeLfz5Op KhHVRQ== ;; Received 525 bytes from 127.0.0.11#53(127.0.0.11) in 0 ms ;; communications error to 193.0.14.129#53: timed out ;; communications error to 193.0.14.129#53: timed out ;; communications error to 193.0.14.129#53: timed out ;; communications error to 2001:500:2::c#53: timed out ;; communications error to 198.41.0.4#53: timed out ;; communications error to 202.12.27.33#53: timed out ;; communications error to 192.33.4.12#53: timed out ;; communications error to 2001:dc3::35#53: timed out ;; communications error to 192.203.230.10#53: timed out ^Croot@server:/opt/mailcow-dockerized# ```

> @"Cubicle8970"#p32856 Kannst du eine private Diskussion mit mir starten Das geht in diesem Forum leider nicht, ist glaube ich deaktiviert, richtig @"pkernstock"#1 ? > @"Cubicle8970"#p32856 >```asd;; communications error to 193.0.14.129#53: timed out > ;; communications error to 193.0.14.129#53: timed out > ;; communications error to 193.0.14.129#53: timed out > ;; communications error to 2001:500:2::c#53: timed out > ;; communications error to 198.41.0.4#53: timed out > ;; communications error to 202.12.27.33#53: timed out > ;; communications error to 192.33.4.12#53: timed out > ;; communications error to 2001:dc3::35#53: timed out > ;; communications error to 192.203.230.10#53: timed out Also das hier sieht gar nicht gut aus, sieht aus als würde eine Firewall Port 53 nach extern blocken bei Dir... sicher dass Du nichts geändert hast? Sonst würde Deine Mailcow ja eigentlich gar nicht funktionieren wenn DNS nach extern nicht funktioniert

> @"DocFraggle"#p32857 Das geht in diesem Forum leider nicht, ist glaube ich deaktiviert, richtig [@pkernstock](https://community.mailcow.email/u/pkernstock) ? Ehm... "deaktiviert"... quasi. Flarum kann nativ keine privaten DMs - es gibt jedoch eine Extension dafuer - die sogar installiert ist. Aufgrund mangelnden Vertrauen in die Extension, hab ich das nur noch nicht freigeschaltet. Auch aus Sorgen von Verschicken von Spam. Aber abseits dessen: Ich hab es mal eben fuer dich freigeschaltet, @"DocFraggle"#1599. Probier mal ob es geht. :D

Da bin ich ganz sicher, da ich mich strikt an die Doku von mailcow gehalten und die Hinweise dazu gelesen habe. Du liegst scheinbar mit der Firewallvermutung richtig. Ich habe den mal kurz komplett deaktiviert. Danach konnte ich den Trace erfolgreich ausführen. Vielleicht trifft der Teil https://docs.mailcow.email/getstarted/prerequisite-system/#important-for-hetzner-firewalls auch auf mein netcup Firewall zu? Aktuell habe ich wie in den docs beschrieben, nur die eingehenden Regeln definiert. Die ausgehenden Regeln, so dachte ich, habe ich ignoriert, da am Ende bei ausgehend "Accept all" steht. Ich versuche mal die ausgehenden Regeln explizit zu definieren und schaue mir das Ergebnis an.

Host or domain name not found bei *.protection.outlook.com

Cubicle8970

root@server:/opt/mailcow-dockerized# uname -a
Linux v2202607179687488433 6.12.96+deb13-amd64 #1 SMP PREEMPT_DYNAMIC Debian 6.12.96-1 (2026-07-20) x86_64 GNU/Linux

DocFraggle (so langsam möchte ich fast mal so ein 5€ VPS bei Netcup holen und das gründlich debuggen 😃 )

Wenn du das wirklich vor hast, würde ich alles resetten und dir Zugangsdaten senden. Da musst du nichts buchen und ich gebe dir 10 EUR für nen großen Kaffee aus. ;-) Wobei ich da lieber selbst noch mal alles von Null beginnen würde, um wirklich auszuschließen, dass ich nicht Schuld war. Oder ich gebe dir den 10er und wir machen es über eine Remote Session. ;-)

DocFraggle

OK der Kernel ist tatsächlich der Original Debian Kernel wies aussieht…

Cubicle8970 dass ich nicht Schuld war

Also ich glaubs nicht dass Du schuld warst, habe da sehr Netcup in Verdacht… drum würde mich das Ergebnis von @Becker884 interessieren.

Cubicle8970 Wobei ich da lieber selbst noch mal alles von Null beginnen würde

Ist Deine Mailcow denn noch nicht im Produktionsbetrieb? Ich hab leider wenig Zeit jetzt, noch eine Woche arbeiten und dann 3 Wochen Urlaub

Cubicle8970

DocFraggle Ist Deine Mailcow denn noch nicht im Produktionsbetrieb? Ich hab leider wenig Zeit jetzt, noch eine Woche arbeiten und dann 3 Wochen Urlaub

Ja, ist eigentlich schon produktiv. Dann mache erstmal Urlaub. :-) Wenn wir beide dann noch motiviert sind, können wir ja noch mal schreiben. Ich habe auf jeden Fall erstmal einen funktionierenden Workaround. :-)

bekenz762

Ich hänge mich mal ein, hab im Netcup-Forum auch schon geantwortet.
Bei meiner Mailcow kommt raus.

/opt/mailcow-dockerized# docker compose exec postfix-mailcow dig +short AAAA contoso-de.mail.protection.outlook.com 2a01:111:f403:ca04::7 2a01:111:f403:ca09::8 2a01:111:f403:ca04::a 2a01:111:f403:ca04::1

DocFraggle

bekenz762 @Cubicle8970 na dann müsst ihr beide jetzt wohl mal Eure Server vergleichen…

Becker884

Cubicle8970 Echt? Das ist zum verrückt werden. Sieht deine Firewallkonfiguration bei netcup auch so aus?

Nein, die ist deaktiviert

Cubicle8970 Ach ja, und hast du outgoing-port-avoid: 0-32767 in deiner unbound.conf hinterlegt oder wirklich, wie du geschrieben hast, nichts angepasst?

nichts angepasst !

DocFraggle und bei dir @Becker884 ?

root@mail:/opt/mailcow-dockerized# docker compose exec postfix-mailcow dig +short AAAA contoso-de.mail.protection.outlook.com
2a01:111:f403:ca09::2
2a01:111:f403:ca04::4
2a01:111:f403:ca04::d
2a01:111:f403:ca04::a

Ich verwende übrigens Ubuntu 24 (Netcup Image)

Damals beim Einrichten des Netcup Servers, bin ich leicht verrückt geworden mit der Firewall von Netcup, da nicht mal die Zeit Synchronisierung funktionierte. Diese läuft über UDP und wie ihr auch schon festgestellt habt, funktioniert die Netcup Firewall nicht. Weiß nicht warum man sowas anbietet.

Also wieder deaktiviert und nftables scharf gestellt, kann ich dir auch nur empfehlen !
Kann dir gern meine config zeigen wenn sie dich interessiert.
Die Regeln von Mailcow/Docker vertragen sich damit übrigens.

Cubicle8970

Becker884
Wie fängt deine IP bei netcup an? Meine startet mit 92.60.

Becker884

Cubicle8970

159.195.42.x (Nürnberg)

Wenn du die Feuerwand abschaltest, ändert das aber nichts oder?

Cubicle8970

Becker884 Wenn du die Feuerwand abschaltest, ändert das aber nichts oder?

Leider nein.

Becker884

Kannst du mal nft list ruleset zeigen? Dann können wir das noch mal vergleichen.

Wenn du die unbound config zurück setzt und die Netcup Feuerwand deaktivierst bringt das auch nichts?
Bin leider kein Docker Experte 😵‍💫

Klappt: ping -6 -c 4 -M do -s 1452 2606:4700:4700::1111 ohne Paketverlust?

was sagt:

docker compose exec postfix-mailcow cat /etc/resolv.conf würde mich auch noch interessieren

Cubicle8970

@Becker884 Vielen Dank! :-)

Becker884 Kannst du mal nft list ruleset zeigen?

# Warning: table ip nat is managed by iptables-nft, do not touch!
table ip nat {
        chain DOCKER {
                iifname != "br-mailcow" tcp dport 110 counter packets 93 bytes 5288 dnat to 172.22.1.250:110
                iifname != "br-mailcow" tcp dport 143 counter packets 30 bytes 1568 dnat to 172.22.1.250:143
                iifname != "br-mailcow" tcp dport 993 counter packets 335 bytes 19768 dnat to 172.22.1.250:993
                iifname != "br-mailcow" tcp dport 995 counter packets 30 bytes 1684 dnat to 172.22.1.250:995
                iifname != "br-mailcow" tcp dport 4190 counter packets 6 bytes 340 dnat to 172.22.1.250:4190
                ip daddr 127.0.0.1 iifname != "br-mailcow" tcp dport 19991 counter packets 0 bytes 0 dnat to 172.22.1.250:12345
                ip daddr 92.60.x.x iifname != "br-mailcow" tcp dport 80 counter packets 233 bytes 12362 dnat to 172.22.1.4:80
                ip daddr 92.60.x.x iifname != "br-mailcow" tcp dport 443 counter packets 629 bytes 36430 dnat to 172.22.1.4:443
                iifname != "br-mailcow" tcp dport 25 counter packets 100 bytes 5532 dnat to 172.22.1.253:25
                iifname != "br-mailcow" tcp dport 465 counter packets 31 bytes 1788 dnat to 172.22.1.253:465
                iifname != "br-mailcow" tcp dport 587 counter packets 22 bytes 1244 dnat to 172.22.1.253:587
                ip daddr 127.0.0.1 iifname != "br-mailcow" tcp dport 7654 counter packets 0 bytes 0 dnat to 172.22.1.249:6379
                ip daddr 127.0.0.1 iifname != "br-mailcow" tcp dport 13306 counter packets 0 bytes 0 dnat to 172.22.1.9:3306
        }

        chain PREROUTING {
                type nat hook prerouting priority dstnat; policy accept;
                fib daddr type local counter packets 4807 bytes 294203 jump DOCKER
        }

        chain OUTPUT {
                type nat hook output priority dstnat; policy accept;
                ip daddr != 127.0.0.0/8 fib daddr type local counter packets 1 bytes 60 jump DOCKER
        }

        chain POSTROUTING {
                type nat hook postrouting priority srcnat; policy accept;
                ip saddr 172.17.0.0/16 oifname != "docker0" counter packets 0 bytes 0 masquerade
                ip saddr 172.22.1.0/24 oifname != "br-mailcow" counter packets 39913 bytes 2518899 masquerade
        }
}
# Warning: table ip filter is managed by iptables-nft, do not touch!
table ip filter {
        chain DOCKER {
                ip daddr 172.22.1.9 iifname != "br-mailcow" oifname "br-mailcow" tcp dport 3306 counter packets 0 bytes 0 accept
                ip daddr 172.22.1.249 iifname != "br-mailcow" oifname "br-mailcow" tcp dport 6379 counter packets 0 bytes 0 accept
                ip daddr 172.22.1.253 iifname != "br-mailcow" oifname "br-mailcow" tcp dport 587 counter packets 22 bytes 1244 accept
                ip daddr 172.22.1.253 iifname != "br-mailcow" oifname "br-mailcow" tcp dport 465 counter packets 31 bytes 1788 accept
                ip daddr 172.22.1.253 iifname != "br-mailcow" oifname "br-mailcow" tcp dport 25 counter packets 99 bytes 5472 accept
                ip daddr 172.22.1.4 iifname != "br-mailcow" oifname "br-mailcow" tcp dport 443 counter packets 629 bytes 36430 accept
                ip daddr 172.22.1.4 iifname != "br-mailcow" oifname "br-mailcow" tcp dport 80 counter packets 233 bytes 12362 accept
                ip daddr 172.22.1.250 iifname != "br-mailcow" oifname "br-mailcow" tcp dport 12345 counter packets 0 bytes 0 accept
                ip daddr 172.22.1.250 iifname != "br-mailcow" oifname "br-mailcow" tcp dport 4190 counter packets 6 bytes 340 accept
                ip daddr 172.22.1.250 iifname != "br-mailcow" oifname "br-mailcow" tcp dport 995 counter packets 30 bytes 1684 accept
                ip daddr 172.22.1.250 iifname != "br-mailcow" oifname "br-mailcow" tcp dport 993 counter packets 335 bytes 19768 accept
                ip daddr 172.22.1.250 iifname != "br-mailcow" oifname "br-mailcow" tcp dport 143 counter packets 30 bytes 1568 accept
                ip daddr 172.22.1.250 iifname != "br-mailcow" oifname "br-mailcow" tcp dport 110 counter packets 93 bytes 5288 accept
                iifname != "br-mailcow" oifname "br-mailcow" counter packets 0 bytes 0 drop
                iifname != "docker0" oifname "docker0" counter packets 0 bytes 0 drop
        }

        chain DOCKER-FORWARD {
                counter packets 418584 bytes 415452625 jump DOCKER-CT
                counter packets 246197 bytes 230961163 jump DOCKER-INTERNAL
                counter packets 246197 bytes 230961163 jump DOCKER-BRIDGE
                iifname "br-mailcow" counter packets 244689 bytes 230875219 accept
                iifname "docker0" counter packets 0 bytes 0 accept
        }

        chain DOCKER-BRIDGE {
                oifname "br-mailcow" counter packets 1508 bytes 85944 jump DOCKER
                oifname "docker0" counter packets 0 bytes 0 jump DOCKER
        }

        chain DOCKER-CT {
                oifname "br-mailcow" ct state related,established counter packets 172387 bytes 184491462 accept
                oifname "docker0" ct state related,established counter packets 0 bytes 0 accept
        }

        chain DOCKER-INTERNAL {
        }

        chain FORWARD {
                type filter hook forward priority filter; policy drop;
                counter packets 418582 bytes 415451444 jump MAILCOW comment "mailcow"
                counter packets 418584 bytes 415452625 jump DOCKER-USER
                counter packets 418584 bytes 415452625 jump DOCKER-FORWARD
        }

        chain DOCKER-USER {
        }

        chain MAILCOW {
                iifname != "br-mailcow" oifname "br-mailcow" tcp dport { 3306, 6379, 8983, 12345 } counter packets 0 bytes 0 drop comment "mailcow isolation"
        }
}
# Warning: table ip6 nat is managed by iptables-nft, do not touch!
table ip6 nat {
        chain DOCKER {
                ip6 saddr != fe80::/10 iifname != "br-mailcow" tcp dport 110 counter packets 0 bytes 0 # Warning: XT target DNAT not found
xt target "DNAT"
                ip6 saddr != fe80::/10 iifname != "br-mailcow" tcp dport 143 counter packets 0 bytes 0 # Warning: XT target DNAT not found
xt target "DNAT"
                ip6 saddr != fe80::/10 iifname != "br-mailcow" tcp dport 993 counter packets 40 bytes 3184 # Warning: XT target DNAT not found
xt target "DNAT"
                ip6 saddr != fe80::/10 iifname != "br-mailcow" tcp dport 995 counter packets 0 bytes 0 # Warning: XT target DNAT not found
xt target "DNAT"
                ip6 saddr != fe80::/10 iifname != "br-mailcow" tcp dport 4190 counter packets 0 bytes 0 # Warning: XT target DNAT not found
xt target "DNAT"
                ip6 saddr != fe80::/10 iifname != "br-mailcow" tcp dport 25 counter packets 6 bytes 456 # Warning: XT target DNAT not found
xt target "DNAT"
                ip6 saddr != fe80::/10 iifname != "br-mailcow" tcp dport 465 counter packets 0 bytes 0 # Warning: XT target DNAT not found
xt target "DNAT"
                ip6 saddr != fe80::/10 iifname != "br-mailcow" tcp dport 587 counter packets 2 bytes 144 # Warning: XT target DNAT not found
xt target "DNAT"
        }

        chain PREROUTING {
                type nat hook prerouting priority dstnat; policy accept;
                fib daddr type local counter packets 55 bytes 4312 jump DOCKER
        }

        chain OUTPUT {
                type nat hook output priority dstnat; policy accept;
                ip6 daddr != ::1 fib daddr type local counter packets 0 bytes 0 jump DOCKER
        }

        chain POSTROUTING {
                type nat hook postrouting priority srcnat; policy accept;
                ip6 saddr fde4:145f:5473::/64 oifname != "docker0" counter packets 0 bytes 0 # Warning: XT target MASQUERADE not found
xt target "MASQUERADE"
                ip6 saddr fd4d:6169:6c63:6f77::/64 oifname != "br-mailcow" counter packets 20813 bytes 1669642 # Warning: XT target MASQUERADE not found
xt target "MASQUERADE"
        }
}
# Warning: table ip6 filter is managed by iptables-nft, do not touch!
table ip6 filter {
        chain DOCKER {
                ip6 daddr fd4d:6169:6c63:6f77::b iifname != "br-mailcow" oifname "br-mailcow" tcp dport 587 counter packets 2 bytes 144 accept
                ip6 daddr fd4d:6169:6c63:6f77::b iifname != "br-mailcow" oifname "br-mailcow" tcp dport 465 counter packets 0 bytes 0 accept
                ip6 daddr fd4d:6169:6c63:6f77::b iifname != "br-mailcow" oifname "br-mailcow" tcp dport 25 counter packets 6 bytes 456 accept
                ip6 daddr fd4d:6169:6c63:6f77::4 iifname != "br-mailcow" oifname "br-mailcow" tcp dport 4190 counter packets 0 bytes 0 accept
                ip6 daddr fd4d:6169:6c63:6f77::4 iifname != "br-mailcow" oifname "br-mailcow" tcp dport 995 counter packets 0 bytes 0 accept
                ip6 daddr fd4d:6169:6c63:6f77::4 iifname != "br-mailcow" oifname "br-mailcow" tcp dport 993 counter packets 40 bytes 3184 accept
                ip6 daddr fd4d:6169:6c63:6f77::4 iifname != "br-mailcow" oifname "br-mailcow" tcp dport 143 counter packets 0 bytes 0 accept
                ip6 daddr fd4d:6169:6c63:6f77::4 iifname != "br-mailcow" oifname "br-mailcow" tcp dport 110 counter packets 0 bytes 0 accept
                iifname != "br-mailcow" oifname "br-mailcow" counter packets 0 bytes 0 drop
                iifname != "docker0" oifname "docker0" counter packets 0 bytes 0 drop
        }

        chain DOCKER-FORWARD {
                counter packets 145911 bytes 15951981 jump DOCKER-CT
                counter packets 83258 bytes 7002758 jump DOCKER-INTERNAL
                counter packets 83258 bytes 7002758 jump DOCKER-BRIDGE
                iifname "br-mailcow" counter packets 83210 bytes 6998974 accept
                iifname "docker0" counter packets 0 bytes 0 accept
        }

        chain DOCKER-BRIDGE {
                oifname "br-mailcow" counter packets 48 bytes 3784 jump DOCKER
                oifname "docker0" counter packets 0 bytes 0 jump DOCKER
        }

        chain DOCKER-CT {
                oifname "br-mailcow" ct state related,established counter packets 62653 bytes 8949223 accept
                oifname "docker0" ct state related,established counter packets 0 bytes 0 accept
        }

        chain DOCKER-INTERNAL {
        }

        chain FORWARD {
                type filter hook forward priority filter; policy drop;
                counter packets 145876 bytes 15934892 jump MAILCOW comment "mailcow"
                counter packets 145911 bytes 15951981 jump DOCKER-USER
                counter packets 145911 bytes 15951981 jump DOCKER-FORWARD
        }

        chain DOCKER-USER {
        }

        chain MAILCOW {
        }
}
table ip raw {
        chain PREROUTING {
                type filter hook prerouting priority raw; policy accept;
                ip daddr 172.22.1.2 iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip daddr 172.22.1.3 iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip daddr 172.22.1.250 iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip daddr 172.22.1.4 iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip daddr 172.22.1.5 iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip daddr 172.22.1.6 iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip daddr 172.22.1.7 iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip daddr 172.22.1.248 iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip daddr 172.22.1.253 iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip daddr 172.22.1.249 iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip daddr 172.22.1.8 iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip daddr 172.22.1.9 iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip daddr 172.22.1.10 iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip daddr 172.22.1.11 iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip daddr 172.22.1.12 iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip daddr 127.0.0.1 iifname != "lo" tcp dport 19991 counter packets 0 bytes 0 drop
                ip daddr 172.22.1.13 iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip daddr 127.0.0.1 iifname != "lo" tcp dport 7654 counter packets 0 bytes 0 drop
                ip daddr 127.0.0.1 iifname != "lo" tcp dport 13306 counter packets 0 bytes 0 drop
                ip daddr 172.22.1.254 iifname != "br-mailcow" counter packets 0 bytes 0 drop
        }
}
table ip6 raw {
        chain PREROUTING {
                type filter hook prerouting priority raw; policy accept;
                ip6 daddr fd4d:6169:6c63:6f77::2 iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip6 daddr fd4d:6169:6c63:6f77::3 iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip6 daddr fd4d:6169:6c63:6f77::4 iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip6 daddr fd4d:6169:6c63:6f77::6 iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip6 daddr fd4d:6169:6c63:6f77::7 iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip6 daddr fd4d:6169:6c63:6f77::8 iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip6 daddr fd4d:6169:6c63:6f77::9 iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip6 daddr fd4d:6169:6c63:6f77::a iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip6 daddr fd4d:6169:6c63:6f77::b iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip6 daddr fd4d:6169:6c63:6f77::c iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip6 daddr fd4d:6169:6c63:6f77::d iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip6 daddr fd4d:6169:6c63:6f77::e iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip6 daddr fd4d:6169:6c63:6f77::f iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip6 daddr fd4d:6169:6c63:6f77::10 iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip6 daddr fd4d:6169:6c63:6f77::11 iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip6 daddr fd4d:6169:6c63:6f77::12 iifname != "br-mailcow" counter packets 0 bytes 0 drop
                ip6 daddr fd4d:6169:6c63:6f77::5 iifname != "br-mailcow" counter packets 0 bytes 0 drop
        }
}

Becker884 Klappt: ping -6 -c 4 -M do -s 1452 2606:4700:4700::1111 ohne Paketverlust?

ping -6 -c 4 -M do -s 1452 2606:4700:4700::1111
PING 2606:4700:4700::1111 (2606:4700:4700::1111) 1452 data bytes
1460 bytes from 2606:4700:4700::1111: icmp_seq=1 ttl=56 time=13.1 ms
1460 bytes from 2606:4700:4700::1111: icmp_seq=2 ttl=56 time=13.1 ms
1460 bytes from 2606:4700:4700::1111: icmp_seq=3 ttl=56 time=13.2 ms
1460 bytes from 2606:4700:4700::1111: icmp_seq=4 ttl=56 time=13.1 ms

--- 2606:4700:4700::1111 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3003ms
rtt min/avg/max/mdev = 13.087/13.125/13.170/0.030 ms

Becker884 docker compose exec postfix-mailcow cat /etc/resolv.conf würde mich auch noch interessieren

/opt/mailcow-dockerized# docker compose exec postfix-mailcow cat /etc/resolv.conf
# Generated by Docker Engine.
# This file can be edited; Docker Engine will not make further changes once it
# has been modified.

nameserver 127.0.0.11
options ndots:0

# Based on host file: '/etc/resolv.conf' (internal resolver)
# ExtServers: [172.22.1.254]
# Overrides: [nameservers]
# Option ndots from: internal

Becker884 Wenn du die unbound config zurück setzt und die Netcup Feuerwand deaktivierst bringt das auch nichts?

Nein, aber hier sollte ich dich aus dem netcup Forum grüßen und mitteilen, dass eine FW Config wichtig ist und auch mit mailcow funktioniert. ;-) Scheinbar haben ein paar quer gelesen.
https://forum.netcup.de/thread/22575-mailcow-auf-vps-und-probleme-bei-unbound-im-zusammenhang-mit-mail-protection-out/?postID=270394#post270394

P.P.S.: Vielleicht magst Du Becker884 aus dem mc-Forum noch mitgeben, daß die Firewall sehr wohl funktioniert, wenn sie richtig konfiguriert wird. Man muss sich aber halt ein wenig damit befassen. Dabei helfen können die Hilfe und ggf. der Spickzettel von gunnarh. Bei Fragen und/oder Problemen kann man einen Beitrag im Firewall-Forum erstellen.

Becker884

Alles so wie bei mir was den Mailcow/Docker Teil betrifft 🤕
nun hab ich auch keine Idee mehr.

Cubicle8970 sollte ich dich aus dem netcup Forum grüßen und mitteilen, dass eine FW Config wichtig ist

danke, aber ich bleibe bei meiner eigenen in nftables (stateful).

Cubicle8970

Ich habe eben die Ursache gefunden. Da ich ursprünglich noch nicht verstanden habe, dass bei der FW von netcup bei UDP stateless ist, habe ich in der unbound.conf tcp-upstream: yes eingetragen. Das habe ich eben entfernt und jetzt funktioniert es.

Ich könnte mich selbst …. vielen Dank noch mal an euch :-)

Becker884

Cubicle8970 kannst du mir das erklären? du sagtest doch mehrfach, dass es keinen Unterschied macht, ob die FW aus oder an ist ?!

Cubicle8970

@Becker884
Ich hoffe wir haben uns da nicht missverstanden, da ich mich immer auf die netcup Firewall bezogen habe. Da hat es wirklich keine Rolle gespielt, ob sie aktiv oder inaktiv war. In beiden Fällen hat es innerhalb des postfix-Containers nicht funktioniert (docker compose exec postfix-mailcow dig AAAA ####-de.mail.protection.outlook.com), aber allerdings im unbound-Container.

Oder meinst du das im Zusammenhang mit nft auf dem Host? firewalld/ufw nutze ich nicht und habe dort auch nichts angefasst. Dabei gehe ich davon aus, dass die DOCKER-USER chain alles “regelt” und die Host Firewall von Debian nichts blockiert.

Wie funktioniert das mit der FW innerhalb vom Docker-Netz? Scheinbar konnte postfix nicht via TCP den unbound Container speziell für das *-de.mail.protection.outlook.com abfragen. Mit anderen Domänen hat es ja funktioniert.

Hast du die Möglichkeit, bei dir tcp-upstream: yes in der unbound.conf zu hinterlegen und es dann noch mal zu testen? Ich hatte mich ursprünglich aufgrund des Beitrags https://community.mailcow.email/d/5787-secure-dns-configuration-with-firewall-in-front-of-mailcow/9 dazu verleiten lassen.

Becker884

Cubicle8970 Wie funktioniert das mit der FW innerhalb vom Docker-Netz? Scheinbar konnte postfix nicht via TCP den unbound Container speziell für das *-de.mail.protection.outlook.com abfragen. Mit anderen Domänen hat es ja funktioniert.

Genau das frage ich mich gerade. Wenn andere Domänen über TCP abgefragt werden können, kann es ja schlecht am tcp-upstream liegen.

Du hattest weiter oben aber auch geschrieben auf meine Frage hin, ob du die unbound.conf zurückgesetzt hast: ja. Das war dann wohl falsch.

Ki sagt dazu:

Große Zonen & TCP-Fallback:
Einige der autoritativen Nameserver von Microsoft (oder vorgeschaltete CDNs/DDoS-Schutzsysteme) sind so konfiguriert, dass sie primär auf UDP ausgelegt sind. Wenn ein Resolver (Unbound) eine DNS-Anfrage sofort per TCP initiiert, ohne vorher ein UDP-Paket mit TC (Truncated) Flag gesehen zu haben, verwerfen manche vorgeschalteten Microsoft-Anycast-Knoten diese TCP-Anfragen schlichtweg (Stichwort: TCP SYN Drop / Rate Limiting auf Port 53).

Path MTU Discovery & IPv6 Fragmentierung:
IPv6 erlaubt keine Paket-Fragmentierung auf Routern unterwegs. TCP-Pakete für große DNS-Antworten über IPv6 geraten bei erzwungenem TCP-Upstream oft in ein Path MTU Blackhole, wenn die Netcup-Firewall zusätzlich ICMPv6 (Packet Too Big) blockiert.

DNS-Timeout im Postfix:
Während einfache Domains über TCP in 20 ms antworteten, lief Unbound bei den komplexen Microsoft-NS-Servern wegen der verweigerten/dropenden TCP-53-Verbindungen in einen Timeout. Postfix bekam von Unbound ein SERVFAIL oder Timeout gemeldet.

Ist natürlich Unsinn, wenn es direkt in Unbound läuft.

Noch mal zur Netcup Firewall: Du lebst jetzt mit einer komplett offenen UDP FW oder sehe ich das auch falsch?

Cubicle8970

Becker884 Du hattest weiter oben aber auch geschrieben auf meine Frage hin, ob du die unbound.conf zurückgesetzt hast: ja. Das war dann wohl falsch.
Ja, ich bin / war daran schuld. ;-) Das Thema tcp-upstream habe ich ja schon vorher eingebaut und es beim zurücksetzen nicht mit berücksichtigt. Insofern hast du natürlich recht, dass ich kein Original Ur-Zustand hatte. Meintest du damit, dass ich generate_config.sh noch mal neu hätte ausführen müssen, damit alle Konfigurationen überschrieben werden? Das wollte ich eigentlich vermeiden. Allerdings hätte ich einfach die unbound.conf aus dem Repo nehmen können.

Becker884 Noch mal zur Netcup Firewall: Du lebst jetzt mit einer komplett offenen UDP FW oder sehe ich das auch falsch?

Nein, hier sind die eingehenen UDP-Freigaben. Der Rest wird geblockt. Das habe ich allerdings erst nach der Ursachenfindung tcp-upstream angepasst. Vorher war nur Port 53 mit Regeln vorhanden.

Danke für die KI Abfrage. Dort könnte man noch mal bzgl. Ursachenforschung ansetzen. Da es nun aber funktioniert, fehlt mir ehrlich gesagt die Motivation.

Du hast auch noch nicht auf meine Frage geantwortet, ob es bei dir möglich ist, das tcp-upstream zu testen? Dann sollte es sich ja so verhalten wie bei mir (postfix nein, unbound ja).

Bei netcup hat es noch mal jemand mit dem “upstream” getestet und bekommt ebenfalls einen “SERVFAIL” zurück.
https://forum.netcup.de/thread/22575-mailcow-auf-vps-und-probleme-bei-unbound-im-zusammenhang-mit-mail-protection-out/?postID=270489#post270489

Becker884

Cubicle8970 Du hast auch noch nicht auf meine Frage geantwortet, ob es bei dir möglich ist, das tcp-upstream zu testen? Dann sollte es sich ja so verhalten wie bei mir (postfix nein, unbound ja).

Bei netcup hat es noch mal jemand mit dem “upstream” getestet und bekommt ebenfalls einen “SERVFAIL” zurück.

Hab ich nicht so die Motivation zu 🥸 vor allem wenn es schon jemand für dich getestet hat mit dem gleichen Ergebnis.

« Previous Page