mailcow auf VPS und Probleme bei unbound im Zusammenhang mit mail.protection.outlook.com

terence

Der Aufruf dig AAAA mail.protection.outlook.com funktioniert auf meinem VPS auch - mit und ohne unbound. Mailcow ist da nicht drauf. Die IPv4-Adresse meines Servers beginnt mit 202.61.

terence

Du hattest im mc-Forum folgendes geschrieben:

Zitat

Andere Domänen wie hotmail.com, outlook.com, microsoft.com … funktionieren ohne Probleme. Es muss irgendiwe mit mail.protection.outlook.com einen Zusammenhang geben.

microsoft.com verwendet aber offenbar auch mail.protection.outlook.com:

Code

$ host microsoft.com
microsoft.com has address 150.171.109.101
microsoft.com has IPv6 address 2603:1061:14:64::1
microsoft.com mail is handled by 10 microsoft-com.mail.protection.outlook.com.

Funktioniert denn der folgende Aufruf ohne forward-zone?

Code

/opt/mailcow-dockerized# docker compose exec postfix-mailcow dig AAAA microsoft-com.mail.protection.outlook.com

Spoils5461

Zitat von terence

Funktioniert denn der folgende Aufruf ohne forward-zone?

Aus dem postfix Container leider nicht, aus dem unbound Container funktioniert es.

postfix

Code

; <<>> DiG 9.20.23-1~deb13u1-Debian <<>> AAAA microsoft-com.mail.protection.outlook.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 32618
;; flags: qr rd; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 0
;; WARNING: recursion requested but not available
;; QUESTION SECTION:
;microsoft-com.mail.protection.outlook.com. IN AAAA
;; Query time: 4000 msec
;; SERVER: 127.0.0.11#53(127.0.0.11) (UDP)
;; WHEN: Fri Jul 31 19:02:06 CEST 2026
;; MSG SIZE  rcvd: 59

Alles anzeigen

unbound

Code

; <<>> DiG 9.20.23 <<>> AAAA microsoft-com.mail.protection.outlook.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 30612
;; flags: qr rd ra; QUERY: 1, ANSWER: 4, AUTHORITY: 0, ADDITIONAL: 1
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;microsoft-com.mail.protection.outlook.com. IN AAAA
;; ANSWER SECTION:
microsoft-com.mail.protection.outlook.com. 10 IN AAAA 2a01:111:f403:c922::
microsoft-com.mail.protection.outlook.com. 10 IN AAAA 2a01:111:f403:c92c::2
microsoft-com.mail.protection.outlook.com. 10 IN AAAA 2a01:111:f403:f805::1
microsoft-com.mail.protection.outlook.com. 10 IN AAAA 2a01:111:f403:c902::1
;; Query time: 32 msec
;; SERVER: 127.0.0.11#53(127.0.0.11) (UDP)
;; WHEN: Fri Jul 31 19:02:32 CEST 2026
;; MSG SIZE  rcvd: 182

Alles anzeigen

Zitat von terence

Die IPv4-Adresse meines Servers beginnt mit 202.61

Meine beginnt mit 92.60

Spoils5461

Zitat von terence

microsoft.com verwendet aber offenbar auch mail.protection.outlook.com

Hier habe ich mich vielleicht irreführen lassen, da ich nur microsoft.com abgefragt habe. Macht für das Mailthema ja keinen Sinn.

Spoils5461

Zitat von terence

dig @ns1-05.azure-dns.com A outlook.com
dig @ns1-proddns.glbdns.o365filtering.com A mail.protection.outlook.com

dig @ns1-05.azure-dns.com A outlook.com

Code

; <<>> DiG 9.20.26-1~deb13u1-Debian <<>> @ns1-05.azure-dns.com A outlook.com
; (2 servers found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 8677
;; flags: qr aa rd ad; QUERY: 1, ANSWER: 9, AUTHORITY: 0, ADDITIONAL: 1
;; WARNING: recursion requested but not available

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;outlook.com.                   IN      A

;; ANSWER SECTION:
outlook.com.            300     IN      A       52.96.222.226
outlook.com.            300     IN      A       52.96.229.242
outlook.com.            300     IN      A       52.96.222.194
outlook.com.            300     IN      A       52.96.228.130
outlook.com.            300     IN      A       52.96.223.2
outlook.com.            300     IN      A       52.96.91.34
outlook.com.            300     IN      A       52.96.214.50
outlook.com.            300     IN      A       52.96.172.98
outlook.com.            300     IN      A       52.96.111.82

;; Query time: 4 msec
;; SERVER: 2603:1061:0:700::5#53(ns1-05.azure-dns.com) (UDP)
;; WHEN: Fri Jul 31 19:10:46 CEST 2026
;; MSG SIZE  rcvd: 184

Alles anzeigen

dig @ns1-proddns.glbdns.o365filtering.com A mail.protection.outlook.com

Code

;; missing question section

; <<>> DiG 9.20.26-1~deb13u1-Debian <<>> @ns1-proddns.glbdns.o365filtering.com A mail.protection.outlook.com
; (4 servers found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: FORMERR, id: 40940
;; flags: qr rd; QUERY: 0, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 0
;; WARNING: recursion requested but not available

;; WARNING: EDNS query returned status FORMERR - retry with '+noedns'

;; Query time: 12 msec
;; SERVER: 52.102.36.118#53(ns1-proddns.glbdns.o365filtering.com) (UDP)
;; WHEN: Fri Jul 31 19:11:43 CEST 2026
;; MSG SIZE  rcvd: 12

Alles anzeigen

Spoils5461

Zitat von bekenz

ist die abfrage genau diese Domain mail.protection.outlook.com ?
Ich hab mail bei meinen Mails geschaut da kommt z.B. ***********-de02i.mail.protection.outlook.com da bekomme ich dann IPV6 Adressen als Antwort zurück.

Nein, nicht genau mail.protection.outlook.com, sondern wie bei dir ****-de.mail.protection.outlook.com.

Zitat von bekenz

Ich habe bei meiner Mailcow nur diese Regel für DNS.

Das habe ich auch mal so übernommen. Allerdings löst es das Problem nicht (auch nach reboot).

Spoils5461

Meine unbound.conf

Code

server:
  verbosity: 1
  interface: 0.0.0.0
  interface: ::0
  logfile: /dev/console
  verbosity: 1
  log-queries: yes
  do-ip4: yes
  do-ip6: yes
  do-udp: yes
  do-tcp: yes
  do-daemonize: no
  #access-control: 0.0.0.0/0 allow
  access-control: 10.0.0.0/8 allow
  access-control: 172.16.0.0/12 allow
  access-control: 192.168.0.0/16 allow
  access-control: fc00::/7 allow
  access-control: fe80::/10 allow
  #access-control: ::0/0 allow
  directory: "/etc/unbound"
  username: unbound
  auto-trust-anchor-file: trusted-key.key
  #private-address: 10.0.0.0/8
  #private-address: 172.16.0.0/12
  #private-address: 192.168.0.0/16
  #private-address: 169.254.0.0/16
  #private-address: fc00::/7
  #private-address: fe80::/10
  # cache-min-ttl needs to be less or equal to cache-max-negative-ttl
  cache-min-ttl: 5
  cache-max-negative-ttl: 60
  root-hints: "/etc/unbound/root.hints"
  hide-identity: yes
  hide-version: yes
  max-udp-size: 4096
  msg-buffer-size: 65552
  unwanted-reply-threshold: 10000
  ipsecmod-enabled: no
  tcp-upstream: yes
  # https://docs.mailcow.email/de/getstarted/prerequisite-system/#wichtig-fur-hetzr-firewalls
  # outgoing-port-avoid: 0-32767

remote-control:
  control-enable: yes
  control-interface: 127.0.0.1
  control-port: 8953
  server-key-file: "/etc/unbound/unbound_server.key"
  server-cert-file: "/etc/unbound/unbound_server.pem"
  control-key-file: "/etc/unbound/unbound_control.key"
  control-cert-file: "/etc/unbound/unbound_control.pem"

#forward-zone:
#  name: "mail.protection.outlook.com"
#  forward-addr: 5.1.66.255
#  forward-addr: 185.150.99.255

Alles anzeigen

terence

Den FORMERR bekomme ich auch. Mit +noedns bekomme ich NOERROR.

Code

dig @ns1-proddns.glbdns.o365filtering.com AAAA microsoft-com.mail.protection.outlook.com +noedns

Da das ja zu gehen scheint, kann Dein VPS also den Name Server erreichen. Der zweite geht dann ja sicher auch? ns2-proddns.glbdns.o365filtering.com
Theoretisch könnte es noch sein, dass unbound versucht, den Name Server ausschließlich via IPv6 zu erreichen. Da dieser aber nur eine IPv4-Adresse hat, würde das fehlschlagen. Hast Du schon einmal versucht, mit tcpdump den Traffic zu analysieren?

Spoils5461

Zitat von terence

Hast Du schon einmal versucht, mit tcpdump den Traffic zu analysieren?

Das geht mir dann zu weit. Ich werde es versuchen.

Vielleicht sollte ich das mit dem eigenen Mailserver doch noch mal überdenken. Ich bin eingermaßen IT affin, komme glaube langsam an meine Grenzen. Mich verlässt der Mut.

Ich werde die Tag noch mal eine Neuinstallation versuchen - es dann aber bei Misserfolg sein lassen. Trotzdem vielen Dank für die tolle Unterstützung hier.

Ich habe noch mal meine mailcow.conf angefügt.

terence

Zitat von Spoils5461

Mich verlässt der Mut.

Na, nicht zu schnell aufgeben! Man wächst und lernt mit den Herausforderungen! Ich habe heute z. B. gelernt, daß man bei unbound für einzelne Domains forward-zone einrichten kann - das war mir vorher nicht bewusst.
Gönn' Dir eine Pause und dann schaust Du Dir das in ein paar Tagen noch einmal an.

P.S.: Die angehängte Datei sieht mir nicht nach der unbound.conf aus.

P.P.S.: Vielleicht magst Du Becker884 aus dem mc-Forum noch mitgeben, daß die Firewall sehr wohl funktioniert, wenn sie richtig konfiguriert wird. Man muss sich aber halt ein wenig damit befassen. Dabei helfen können die Hilfe und ggf. der Spickzettel von gunnarh. Bei Fragen und/oder Problemen kann man einen Beitrag im Firewall-Forum erstellen.

Spoils5461

Zitat von terence

P.S.: Die angehängte Datei sieht mir nicht nach der unbound.conf aus.

Stimmt, Konzentration lässt nach. Das ist die conf von mailcow.

Zitat von terence

Na, nicht zu schnell aufgeben!

Danke, werde da auch erstmal pausieren. Danke fürs Mut machen.

tab

Worum geht es denn letztlich eigentlich?

M.E. gibt es keine A oder AAAA Records für "mail.protection.outlook.com"

Wie in Beitrag #17 geschrieben, scheint das eher eine Subdomain zu sein, die selbst gar keine Adresse hat aber für zahlreiche Hostnamen (hostirgendwas.mail.protection.outlook.com) genutzt wird, die dann jeweils IP-Adressen haben.

Dass die Query zwar keinen Fehler, aber auch keine IP-Adresse zurückgibt ist völlig normal. Das ist auch bei allen meinen Unbound-Instanzen so. Ungewöhnlich ist nur der Status SERVFAIL im Gegensatz zu NOERROR.

Spoils5461

Zitat von tab

M.E. gibt es keine A oder AAAA Records für "mail.protection.outlook.com"

Stimmt, es geht konkret um einen Empfänger xxx-de.mail.protection.outlook.com. Dort ist es mir aufgefallen, da die Mail nicht angekommen ist und keine DSN Bestätigung zurück kam. mail.protection.outlook.com habe ich u.a. dann immer wieder zum Testen verwendet, da mich eben auch das SERVFAIL gewundert hat. Das Verhalten trifft auf alle Empfänger von mail.protection.outlook.com zu, unabhängig der Subdomain. Mir ist hier bewusst, dass nur für mail.protection.outlook.com keine A oder AAAA zurück kommt.

Nachdem ich mein unbound-Anpassung (forward-zone) vorgenommen habe, wurde prompt die Mail verschickt und es kam die DSN Bestätigung zurück.

Spoils5461

Ich habe eben die Ursache gefunden. Da ich ursprünglich noch nicht verstanden habe, dass bei der FW von netcup bei UDP stateless ist, habe ich in der unbound.conf `tcp-upstream: yes` eingetragen. Das habe ich eben entfernt und jetzt funktioniert es.

Ich könnte mich selbst .... vielen Dank noch mal an euch

terence

Schön, daß es nun funktioniert!
Da ich den folgenden Text schon geschrieben hatte, poste ich ihn trotzdem noch - vielleicht ist er ja für andere hilfreich.

Du könntest noch in das Log von unbound schauen, wenn Du das noch nicht getan hast.

Dazu macht es vermutlich Sinn, die unbound.conf anzupassen, damit weitere Infos protokolliert werden:

Code

        log-queries: yes
        log-replies: yes
        log-tag-queryreply: yes

Und diese Option klingt für Dein Problem auch vielversprechend:

Code

     log-servfail: <yes or no>
            Print log lines that say why queries return SERVFAIL to clients.
            This is separate from the verbosity debug logs, much smaller, and
            printed at the error level, not the info level of debug info from
            verbosity.

            Default: no

terence

Ach ja... wie ist das mit NTP? Hast Du das in der netcup-Firewall konfiguriert, so daß Du keine Probleme mit der Systemzeit bekommst?

Spoils5461

Zitat von terence

Ach ja... wie ist das mit NTP? Hast Du das in der netcup-Firewall konfiguriert, so daß Du keine Probleme mit der Systemzeit bekommst?

Ja, da habe ich mich an dem Spickzettel von deinem Hinweis auf RE: Ab sofort: Firewall für netcup vServer verfügbar orientiert und es genau so angepasst.

terence

Ich kann den SRVFAIL übrigens mit meinem unbound erwartungsgemäß nachstellen, wenn ich tcp-upstream: yes einstelle und sehe dann im unbound-Log Fehlermeldungen wie diese (mit den o. g. Log-Einstellungen):

Code

error: SERVFAIL <microsoft-com.mail.protection.outlook.com. A IN>: all servers for this domain failed, at zone mail.protection.outlook.com. upstream server timeout

dig meldet bei mir dann auch einen Timeout - ich bekomme also keine Antwort wie es bei Dir der Fall war. Aber Query time: 4000 msec bei Dir deutet m. E. auch auf einen Timeout hin. Vielleicht sind die timeout-Einstellungen von unbound bei uns unterschiedlich, so daß Dein unbound nach 4 Sekunden abbricht und SRVFAIL zurückmeldet. Bei mir versucht er es länger und dig bricht dann wohl selbst ab.

Soweit so gut. Mir ist allerdings (immer noch) nicht klar, warum der Aufruf mit Deinem unbound-Container funktioniert hat, obwohl laut Beitrag #23 ja offensichlich auch unbound als Resolver verwendet wurde (SERVER: 127.0.0.11#53(127.0.0.11) (UDP)). Das hätte doch genauso fehlschlagen müssen. Da wäre es dann mal interessant, die Logs zu sehen... Wenn Du also noch mal Lust hast, das auszuprobieren, würde mich das Ergebnis interessieren. Wenn nicht, ist es aber auch nicht schlimm.

Spoils5461

Zitat von terence

Ich kann den SRVFAIL übrigens mit meinem unbound erwartungsgemäß nachstellen, wenn ich tcp-upstream: yes einstelle und sehe dann im unbound-Log Fehlermeldungen wie diese (mit den o. g. Log-Einstellungen):

Hast du es aus dem postfix und dem unbound Container heraus probiert?

Zitat von terence

Das hätte doch genauso fehlschlagen müssen. Da wäre es dann mal interessant, die Logs zu sehen... Wenn Du also noch mal Lust hast, das auszuprobieren, würde mich das Ergebnis interessieren. Wenn nicht, ist es aber auch nicht schlimm.

So richtig motiviert bin ich da aktuell nicht. Vielleicht in den nächsten Tagen, um der Hitze zu entfliehen.

terence

Zitat von Spoils5461

Hast du es aus dem postfix und dem unbound Container heraus probiert?

Ich habe kein mailcow. Das ist eine „normale“ unbound-Instanz, die direkt auf dem VPS läuft.

mailcow auf VPS und Probleme bei unbound im Zusammenhang mit mail.protection.outlook.com

Tags

Benutzer online in diesem Thema