Hallo, nach dem Umzug von HMailserver zu Mailcow habe ich mich mit dem Thema Autoconfig und Autodiscover nicht beschäftigt, da der Client am Desktop und Handy 1:1 weitergelaufen sind. Nachdem ich eine neue Domain registriert hab/e, fiel mir nun auf, dass die beiden Themen nicht funtionieren. Sowohl der bisherige K9 Mail als auch Thunderbird melden immer, dass keine Konfiguration gefunden wurde. Autodiscover_SAN ist aktiv. Der Mailserver steht hinter einer Sophos XG Firewall. Irritierend für mich ist, dass in den Logs der Sophos der Mailclient beim Autodiscover auf eine /mail/config-v1.1.xml zugegriffen werden will. Diese Datei ist aber nicht vorhanden. Auch wenn ich diese erstelle mit den Beispielen hierfür funktioniert es nicht. Ich habe es auch mit Autodiscover.xml im gleichnamigen Verzeichnis probiert, welches ich in anderen Beiträgen gefunden habe. Auch dieses funktioniert nicht. Aktuell steht meine vars.inc.php auf Type imap und EAS aus. Auch mit Type activesync und EAS an funktioniert nicht.

> @"Maik"#p32942 Diese Datei ist aber nicht vorhanden Ist evtl nur eine Rewrite Rule und das File wird dynamisch/virtuell zur Verfügung gestellt. Existieren denn die DNS Einträge für autodiscover und autoconfig für die neue Domain?

Hallo, Ja, die DNS / CNAME Einträge sind vorhanden und zeigen auf den Mailserver. Diese zeigen auf den gleichen Hostnames des Servers, odrr muss dies ein neuer Eintrag mit autodiscover.hostname sein? Auch die SRV Einträge sind gesetzt.

autodiscover und autoconfig Einträge müssen von der neuen Maildomain auf den Mailcow Hostname zeigen. Wie hast du denn die Sophos konfiguriert für die Webservices? DNAT rule oder Webserver Protection (reverse proxy)?

Also kann die Autodiscover auf den regulären Hostnamen bleiben. Ich habe eine DNat Rule, keine WAF.

> @"Maik"#p32947 Also kann die Autodiscover auf den regulären Hostnamen bleiben. Ja, Wenn "regulärer Hostname" den mailcow hostname bezeichnet wie er in der mailcow.conf steht.

Ja genau, das ist damit gemeint.

Autodiscover / Autoconfig funktionieren nicht, keine Config gefunden

esackbauer

Ich glaub du hast zuviel verändert. Ich hab nix verändern müssen für die zusätzlichen Domains, nur den CNAME auf meinen mailcow host für autodiscover und autoconfig.
Versteh ich das richtig, dass autodiscover für deine ursprüngliche Domain nicht geht? Oder nur für die neue nicht geht?

Maik

Auch für die alten, bisherigen Domains funktioniert es nicht. Quasi, für alle Domains.
Ihr habt keinen speziellen autodiscover.mailservername erstellt, sondern autodiscover.domainname zeigt auf den Hostnamen des Mailservers?

esackbauer

Maik autodiscover.domainname zeigt auf den Hostnamen des Mailservers?

Ja, wie ich bereits geschrieben habe. Steht auch so in der Doku:
https://docs.mailcow.email/de/getstarted/prerequisite-dns/#die-minimale-dns-konfiguration

Maik

Soweit ich dies mit der Doku abgleiche, sollte alles richtig sein.
Das mein Host anstelle von mail… mailserver.domain heißt, sollte eigentlich egal sein.
Das einzige was mir auffällt, dass ich bei den Diensten die SRV Einträge im DNS nicht gesetzt habe, welche ich nicht nutzen will. Heißt im Klartext, keine POP3 Dienste und unverschlüsseltes IMAP.
Kann dieses die Ursache sein?

Ansonsten weiß ich sonst nicht mehr, was die Ursache sein soll.

esackbauer

Poste doch bitte alle deine DNS Einträge (von mir aus anonymisiert) die du für die beiden Domains gemacht hast, vielleicht werden wir dann schlauer.
Hilfreich wären auch Logs von den Clients, was die konkret für Probleme melden.

DocFraggle

Du kannst das via curl testen, habe mir da gerade was zusammengebastelt:

curl -s \
  -A "Microsoft Office/16.0 (Windows NT 10.0; Microsoft Outlook 16.0.18827; Pro)" \
  -H "Content-Type: text/xml; charset=utf-8" \
  --data '<?xml version="1.0" encoding="utf-8"?>
<Autodiscover xmlns="http://schemas.microsoft.com/exchange/autodiscover/outlook/requestschema/2006">
  <Request>
    <EMailAddress>VOR.HANDENE@EMAIL.ADRESSE</EMailAddress>
    <AcceptableResponseSchema>
      http://schemas.microsoft.com/exchange/autodiscover/outlook/responseschema/2006a
    </AcceptableResponseSchema>
  </Request>
</Autodiscover>' \
  https://DEIN.MAIL.SERVER.AUTODISCOVER.FQDN/autodiscover/autodiscover.xml

Hier wie hervorgehoben “VOR.HANDENE@EMAIL.ADRESSE” und “DEIN.MAIL.SERVER.AUTODISCOVER.FQDN” mit Deinen Daten austauschen, dann sollte sowas als Ausgabe angezeigt werden:

<?xml version="1.0" encoding="utf-8" ?>
<Autodiscover xmlns="http://schemas.microsoft.com/exchange/autodiscover/responseschema/2006">
  <Response xmlns="http://schemas.microsoft.com/exchange/autodiscover/outlook/responseschema/2006a">
    <User>
      <DisplayName>NAME DEINER MAILBOX</DisplayName>
    </User>
    <Account>
      <AccountType>email</AccountType>
      <Action>settings</Action>
      <Protocol>
        <Type>IMAP</Type>
        <Server>DEIN.MAIL.SERVER.FQDN</Server>
        <Port>993</Port>
        <DomainRequired>off</DomainRequired>
        <LoginName>VOR.HANDENE@EMAIL.ADRESSE</LoginName>
        <SPA>off</SPA>
        <SSL>on</SSL>
        <AuthRequired>on</AuthRequired>
      </Protocol>
      <Protocol>
        <Type>SMTP</Type>
        <Server>DEIN.MAIL.SERVER.FQDN</Server>
        <Port>465</Port>
        <DomainRequired>off</DomainRequired>
        <LoginName>VOR.HANDENE@EMAIL.ADRESSE</LoginName>
        <SPA>off</SPA>
        <SSL>on</SSL>
        <AuthRequired>on</AuthRequired>
        <UsePOPAuth>on</UsePOPAuth>
        <SMTPLast>off</SMTPLast>
      </Protocol>
          <Protocol>
        <Type>CalDAV</Type>
        <Server>https://DEIN.MAIL.SERVER.FQDN/SOGo/dav/VOR.HANDENE@EMAIL.ADRESSE/</Server>
        <DomainRequired>off</DomainRequired>
        <LoginName>VOR.HANDENE@EMAIL.ADRESSE</LoginName>
      </Protocol>
      <Protocol>
        <Type>CardDAV</Type>
        <Server>https://DEIN.MAIL.SERVER.FQDN/SOGo/dav/VOR.HANDENE@EMAIL.ADRESSE/</Server>
        <DomainRequired>off</DomainRequired>
        <LoginName>VOR.HANDENE@EMAIL.ADRESSE</LoginName>
      </Protocol>
        </Account>
  </Response>
</Autodiscover>

Wenn DEIN.MAIL.SERVER.AUTODISCOVER.FQDN also z.B. autodiscover.domain.de ist und auf mailserver.domain.de zeigt wäre die URL

https://autodiscover.domain.de/autodiscover/autodiscover.xml

Maik

Hallo, anbei die Screenshots. [upl-image-preview uuid=2fa9df3b-fb47-4338-a422-dc1919066eb3

Screenshots entfernt Aufgrund nicht vollständig entfernter Domainnamen.

DocFraggle

Maik Leider hast Du die Domain oben rechts nicht verpixelt, insofern war ich mal so frei um weiter zu debuggen. Trotz korrektem DNS CNAME bringt ein curl die Meldung:

curl -v https://autodiscover.nina-******.de/autodiscover/autodiscover.xml
...
subjectAltName does not match hostname autodiscover.nina-*******.de

(habs mal selbst “verpixelt” falls Du die Screenshots noch tauschen möchtest)

Insofern stimmt da noch irgendwas nicht bei Dir

EDIT: vor allem bei dem präsentierten SSL Zertifikat, das hat genau einen SAN: mailserver.****sign.info
Das Zertifikat, das Dein Mailserver auf Port 25 präsentiert, hat zumindest 2 SANs, mailserver.****sign.info und mailserver.maik-******.de
Die SANs für die Domain nina-*******.de fehlen an beiden Stellen

Maik

Die .info Domain ist der alte Name des Mailserver, der in den übernommenen Clients steht. Die DE- Domain der neue Server, der auch im PTR Record steht.
Müssen nicht die SAN Zertifikate für die Maildomain selbst von mailcow erzeugt werden? Der .info Name ist zusätzlich, da ich um die 30 Postfächer auf den Clients habe und nicht jedes manuell bearbeiten wollte.
Ich bin bisher immer davon ausgegangen, dass ich nur die Domain erstellen muss und das andere wird vom mailcow erzeugt.

In einem anderen Beitrag habe ich noch etwas gefunden, weil bei jemand relay all aktiv gewesen ist.
Aber das ist bei mir nicht aktiv.

DocFraggle

Maik Müssen nicht die SAN Zertifikate für die Maildomain selbst von mailcow erzeugt werden?

Ja, insofern Du mit Deiner Sophos alles richtig konfiguriert hast. Der ACME Container kümmert sich darum, braucht aber auch Port 80 von extern freigeschaltet. Evtl hast Du das ja noch nicht mit drin.
Schau doch mal in die Logs vom ACME Container

Maik

DocFraggle
Port 80 ist offen. Getestet mit mxtoolbox und http check. Außerdem wir bei explizitem http auf https umgeleitet. Ohne dem wäre auch nicht das Zertifikat für den Webmail ausgestellt worden.

Das Log von acme zeigt an, dass sowohl für Autodiscover als auch Autoconfig ansprechende Einträge gefunden wurden. Allerdings keine MTA-STS. Aber meines Verständnisses wird das nur für Kommunikation zwischen Mailserver und nicht Autodiscover benötigt.

Ich sehe aber gerade folgende Zeile:

Confirmed A record with IP 109.91.xxx.xxx, but HTTP validation failed

DocFraggle

Maik Confirmed A record with IP 109.91.xxx.xxx, but HTTP validation failed

Maik Außerdem wir bei explizitem http auf https umgeleitet

Also je nachdem wie Du das konfiguriert hast: für ACME muss Port 80 von extern auch auf Port 80 auf der Mailcow enden, sonst klappt das Ausstellen des Zertifikats nämlich nicht mit o.g. Fehler

Sonst gerne auch mal in die Doku schauen zum Thema SSL und Reverse Proxy

https://docs.mailcow.email/de/post_installation/firststeps-ssl/

Maik

Ich glaube, dass ich die Lösung gefunden habe. Aber nicht durch mich, sondern die vielen Hinweise durch euch.
Ich würde gerne jedem ein Bier spendieren, wenn ich könnte.

Wie immer, liegt das Problem zwischen Tastatur und Rückenlehne.
Als ich NAT auf der Sophos auch für HTTP und HTTPS aktiviert habe, funktionierte die WAF nicht mehr, weil alles zum Webserver des Mailcow geleitet wurde und nicht mehr an die einzelnen Domains neben diesem Webserver.
Somit hatte ich nur die Maildienste zum Mailcow geleitet und Webmail über die WAF der Sophos.
Nachdem ich für die Autodiscover und Autoconfig Zertifikate in der Sophos erstellen lassen und und diese mit einer weiteren WAF-Regel umgeleitet habe, funktioniert es.

Herzlichen Dank euch allen.

esackbauer

Maik Somit hatte ich nur die Maildienste zum Mailcow geleitet und Webmail über die WAF der Sophos.

Das war meine erste Frage 😉

Maik

esackbauer
Ich schrieb ja schon, Fehler zwischen Tastatur und Rückenlehne.
Wenn man denkt alles genau im Kopf zu haben und nicht 100%ig nachsieht.

🙄

esackbauer

Maik Wie machst du das mit den Zertifikaten? Mailcow braucht ja auch gültige Zertifikate für Postfix und Dovecot, wenn sich Clients via IMAP oder SMTP/STARTTLS verbinden. Ich habe das mit einem LE-Zertifikat gelöst, dass ich an der Sophos erzeuge, da ist dann alles drin, mailcow hostname und autodiscover etc für alle domains. Das verwende ich dann zum einen in der WAF rule, und zum anderen extrahiere ich es dann aus der Sophos und kopiere es zur Mailcow mittels script. Damit habe ich auch den Port 80 auf der Sophos frei, weil keine NAT regel den verwendet.

Maik

Es gibt mehrere WAF Regeln. Eine einzelne for den reinen Hostnamen (Webmail).
Für die einzelnen Domains habe ich jeweils nur autodiscover und autoconfig pro Domain. Alle Regeln zeigen intern zum mailcow.
Port 80 und 443 beides aktiv.

Alles nicht in einem Zertifikat zu machen ist für mich leichter, dass ich einzelne Zertifikate zurückziehen und bei ausstellen kann. Auch eine weitere Domain neu hinzufügen macht es leichter.