netcup Mail-Server-Firewall blockt Roundcube auf Webhosting

    Hallo netcup Community,

    ich habe da mal ein Problem, das ich zum Einen gerne hier zur Diskussion stellen möchte, zum Anderen hoffe ich auch auf eine Lösung. Entweder durch Netcup oder durch eine Möglichkeit Roundcube anzupassen. Vielleicht hat auch jemand Anderes das gleiche Problem, sucht aber noch nach der Ursache. Dann bitte auch hier rein damit.


    Da ich auch schon Kontakt mit dem Support hatte, möchte ich hier noch lobend erwähnen, dass dieser sehr schnell und kontinuierlich durch regen Austausch bei der Fehlersuche dabei war. Super Support soweit, DICKES DANKE!!! Allerdings konnte man mir nicht weiterhelfen, als der Fehler ausfindig gemacht wurde, daher schreibe ich es mal hier ins Forum.


    Mein Setup:

    Ich habe ein Webhosting-Paket 8000 SE Aktion, mit mehreren Domains. Eine ist meine E-Mail-Domain mit zwei Sub-Domains. Eine für die Cloud und eine für die Web-Mail Oberfläche. Hier verwende ich Roundcube mit einer eigenen Installation. Das ganze Läuft seit mindestens 2 Jahren, wobei ich im Januar 2019 auf das neue Webhosting 8000 SE Aktions Paket umgezogen bin.


    Bis Anfang August 2019 lief alles ohne Probleme. Genau weiß ich es nicht, da ich es nicht täglich nutze.

    Der letzte "sendmail-log" ist vom 01.08.2019 15:55.

    An den DNS Einstellungen der Domain wurde nichts geändert.

    Roundcube läuft noch mit Version 1.38. Die Installation wurde nicht verändert. (Warte auf Version 1.4)


    Mein Problem:

    Anfang der Woche wollte ich per Web-Oberfläche auf mein Roundcube zugreifen und bekam lediglich die Fehlermeldung: "Verbindung zum Speicherserver fehlgeschlagen". Habe dann erstmal erfolglos gegooglet und die Roundcube config gecheckt. Beim IMAP Test kam die Meldung "IMAP connect NOT OK ..." Die IMAP Verbindung per Thunderbird und Smartphone funktionierte aber und der Login per https://webmail01.netcup.net auch. Da ich im Juni eine Mail von netcup erhalten habe, mit der Info mein Mail-Server hatte Probleme, habe ich einen Zusammenhang vermutet und einfach mal an den Support geschrieben.


    Roundcube Error Log: [21-Aug-2019 14:19:03 +0200]: <qrf86vug> IMAP Error: Login failed for email@domain.de from XXX.XXX.XXX.XXX(X-Real-IP: XXX.XXX.XXX.XXX). Could not connect to ssl://XXX.netcup.net:993: Verbindungsaufbau abgelehnt in /var/www/vhosts/hostingXXX.XXX.netcup.net/httpdocs/email/program/lib/Roundcube/rcube_imap.php on line 196 (POST /?_task=login&_action=login)


    Nach einigem konstruktivem hin und her mit dem netcup Support kam folgendes raus:

    Die Firewall des Mailservers blockt die IP welche mein Webhosting hat. Grund dafür ist, dass 10 oder mehr gleichzeitige Zugriffe erfolgen. Die Sicherheitsregel blockt dann die Quell IP für 20 Minuten und die Regel gibt es wohl schon seit 11 Monaten. Leider wird nur die IP geloggt und es ist nicht möglich zu sagen ob meine Roundcube-Installation alleine die 10+ Zugriffe produziert oder ob mehrere Webhosting-Kunden auf dem selben Server die 10+ Zugriffe erzeugen.


    Wenn es mehrere Kunden sind, müssten sich ja noch mehr betroffen fühlen.

    Davon unabhängig ist faktisch meine Roundcube-Installtion nutzlos geworden, weil ich durchgängig die Fehlermeldung: "Verbindung zum Speicherserver fehlgeschlagen" erhalte.


    Fragen:

    Gibt es eine Möglichkeit die Zugriffe von Roundcube zu loggen oder zu regulieren?

    Nach einem Login kann man unter Einstellungen / Benutzeroberfläche / den Aktualisierungsintervall einstellen. Trifft das nur zu, wenn der Benutzer eingeloggt ist oder auch wenn Roundcube ungenutzt ist?

    Kann man diesen Intervall auch über phpAdmin anpassen? (Komme ja sonst nicht mehr rein)

    Ich weiß Google ist dein freund, aber der Fall ist ja nun sehr speziell und ich bin noch nicht fündig geworden.

    netcup: Warum müssen Zugriffe von eigenen Servern auf einen anderen geblockt werden? Wenn X Kunden auf einem Server liegen wieso dürfen es dann nur 10 gleichzeitig sein? Ich bin noch immer etwas Fassungslos, dass etwas von heute auf morgen nicht mehr funktioniert, auf das ich keinen Einfluss habe.



    Es wird die Frage kommen, warum ich eine eigene Roundcube-Installtion brauche.

    Ich brauche Sie nicht, aber die von https://webmail01.netcup.net hat Version 1.2.3 und ich möchte gern die Web-Mail-Oberfläche selber anpassen und die nötigen Plugins-Verwalten können. Ein einfaches Beispiel ist das zentrale Verwalten der Kontakte in meiner Cloud, welche ohne passendes Plugin händisch doppelt geführt werden müssen.


    Sanfte Grüße

    Christoph

    Zitat von ChrisFragt

    Warum müssen Zugriffe von eigenen Servern auf einen anderen geblockt werden? Wenn X Kunden auf einem Server liegen wieso dürfen es dann nur 10 gleichzeitig sein? Ich bin noch immer etwas Fassungslos, dass etwas von heute auf morgen nicht mehr funktioniert, auf das ich keinen Einfluss habe.

    Die E-Mail Situation bei Netcup ist unschön.

    Ich meine, hier wird auf einen BruteForce Angriff geblockt, und nicht bei zehn parallelen Verbindungen?


    Beim Webhosting hat ja jeder Tenant seine eigene IPv6 Adresse, leider haben die Mailserver keine IPv6 Adresse im DNS hinterlegt, so könnte man sonst das Problem lösen.

    Der netcup Support hat sich hat sich nochmals bei mir gemeldet. Der Fall hat Ihn nicht losgelassen. Offenbar wurde das Problem gelöst. Die Firewall löst bei 10 falschen Logins aus in einem bestimmten Zeitraum. Der Verursacher wurde ermittelt und gesperrt und meine Installation geht wieder.


    Hier nochmal ein DICKES DANKE! netcup kann echt stolz auf seinen Support sein!


    Damit hat sich der Beitrag wohl erledigt.


    Sanfte Grüße
    Christoph

    Mich würde ja nun interessieren, ob das nun eine Einzelfalllösung ist und andere Kunden mit ähnlichem Setup erneut auf derartige Probleme stoßen könnten - oder ob Netcup hier vorsorglich eine allgemeine Lösung gefunden hat? :/


    So oder so, freut mich, dass der Support hier sehr engagiert war. :thumbup:

    Ich würde vermuten, das diese Problem auch wieder auftreten kann und auch andere Kunden betreffen könnte. Vielleicht ist es deshalb ganz gut, dass es hier im Forum dokumentiert ist. :)


    Letzt endlich kann nur netcup sehen wie und woher die falschen Logins (IMAP Bruteforce) gekommen sind.

    Hallo zusammen,


    gerne möchte ich mich an dieses Thema anschließen.

    Vielen Dank an dieser Stelle an ChrisFragt, für die tolle Analyse und Darstellung des Problemes :)


    Ich habe hier ungefähr den gleichen Fall:

    Und zwar ist es hier so, dass jedes Familienmitglied ein eigenes Postfach, z.T. sogar noch 1-2 weitere Adressen besitzt.

    Diese Postfächer sind dann einmal am Notebook, einmal am PC und zusätzlich nochmal an den Smartphones(...) eingerichtet. Alle bei netcup.

    Dazu kommen noch ein paar IP-Kameras + Smarthome-Devices mit E-Mail-Notification, FritzBox, etc.... Alles versendet auf jeden Fall viele E-Mails ;)

    Sprich... zusammen kommen da jede Menge gleichzeitige IMAP/SMTP-Verbindungen...


    Jetzt passiert hier das selbe, wie bei ChrisFragt und die IP-Adresse des gemeinsam genutzten DSL-Anschlusses wird regelmäßig gesperrt.

    Das ist wirklich sehr schade und führt regelmäßig zu Diskussionen ;) Gar nicht schön.


    Vorher waren wir bei einem anderen Provider, bei dem das Problem nicht existierte. Und diesen Zustand würde ich gerne wieder erreichen, da ich als nahezu einzige IT-Affine Person im Haus mir jeden Abend etwas anhören muss ;)


    Was ich mich frage... Gibt es noch weitere netcup-Kunden, die dieses "Problem" haben ?

    Ich kann mir vorstellen, dass es einige kleinere, bis mittlere Firmen gibt mit mehreren Mitarbeitern und demnentsprechend vielen IMAP-Verbindungen zum MX ?


    Über eine Anpassung des Limits, oder noch besser eine Aufhebung würde ich mich sehr freuen.
    Sollte dies so bleiben, sehe ich gerade in Zeiten von SmartHome usw. in Zukunft echte Probleme für netcup...


    Danke und viele Grüße

    Wolfgang

    Eigentlich sollte die Sperrung ja nur passieren, wenn von einer IP mehrfach mit falschen Login-Informationen versucht wird sich am IMAP-Server anzumelden. Ansonsten dürfen dann wohl schon mehr Verbindungen bestehen. Also eventuell ein "Smarthome" -Device oder sonstiger User, der falsch konfiguriert ist (wie beim Thread-Ersteller)

    Zitat von DerWolle

    Dazu kommen noch ein paar IP-Kameras + Smarthome-Devices mit E-Mail-Notification, FritzBox, etc.... Alles versendet auf jeden Fall viele E-Mails ;)

    Sprich... zusammen kommen da jede Menge gleichzeitige IMAP/SMTP-Verbindungen...

    Die Begrenzung dürfte auf die Login-Sessionanzahl greifen, nicht auf empfangene Mails pro IP. Zum Emailversand von IoT-Devices braucht man keinen Login. Das ist ja gerade das schöne an SMTP.

    "Security is like an onion - the more you dig in the more you want to cry"

    Zitat von vmk

    Die Begrenzung dürfte auf die Login-Sessionanzahl greifen, nicht auf empfangene Mails pro IP. Zum Emailversand von IoT-Devices braucht man keinen Login. Das ist ja gerade das schöne an SMTP.

    Hey :)


    Ja so sehe ich das auch. Vielleicht habe ich mich etwas falsch ausgedrückt ;)


    Also wenn ich mal ganz grob rechne:

    1x Notebook mit ~6 E-Mail Accounts

    1x PC mit ~6 E-Mail-Accounts

    2x Smartphone mit ~6 E-Mail-Accounts

    Macht schon ~24 gleichzeitige IMAP-Verbindungen...


    Und manche E-mail-Clients bauen ja sogar mehrere, gleichzeitige Verbindungen auf...


    Und wenn dann ein Thunderbird / Outlook meint er müsste das alles ziemlich zeitnah tun, dann wertet die Firewall von netcup dies höchstwahrscheinlich als ein TCP-Flood / BruteForcem oder wie auch immer.


    Ich sehe das Problem nicht beim Mailserver, oder zu vielen Logins, sondern eher auf der Paket-Ebene der Firewall...


    Vielleicht liest ja noch jemand mit vom netcup-Team und kann dazu etwas sagen.


    LG

    Wolle

    Zitat von tab

    Mein Home ist nicht so smart. Wenn das so ist, dann ist es eben einer der User, der auf irgendeinem seiner Geräte falsche Login-Daten hinterlegt hat.

    Die Kennwörter habe ich alle überprüft. Sind alle korrekt ;) Trotzdem Danke für den Tipp!

    Dann hast du vielleicht uneingeladene Gäste in deinem Smarthome. Frag doch einfach mal beim Support nach, wie die Sperrung zustande kommt, welches Kriterium ihr gerissen habt. Vielleicht gibt es ja tatsächlich eine Maximalzahl an Verbindungen, die ihr auch ohne Geräte überschritten habt.