mailcow auf VPS und Probleme bei unbound im Zusammenhang mit mail.protection.outlook.com

Hast du testweise mal die Firewall deaktiviert? Zeig doch mal wie du sie konfigurierst hast

Die netcup Firewall ist stateful für TCP, aber nicht für UDP. UDP betrifft sehr wahrscheinlich auch unbound, außer DNS läuft da nicht über UDP. Es gibt hier im Forum einige Threads, die sich mit dem Thema externe DNS-Server und netcup-Firewall auseinandersetzen. Die netcup DNS-Server funktionieren auch ohne die dortigen Firewall-Regeln, die sind in der Firewall schon von netcup vorkonfiguriert. Aber eben nur für diese Server. Deswegen funktionieren die Abfragen von netcup DNS-Servern auch in deinem Test.

Hast Du das Problem denn nur mit der outlook-Domain oder auch mit anderen? Falls nur die outlook-Domain betroffen ist, könnte es ggf. sein, dass die verantwortlichen Nameserver (direkte) Anfragen Deines Servers blockieren.

Zitat von Spoils5461

im mailcow-Forum habe Unterstützung gesucht, da ich Probleme mit mailcow habe. Warum frage ich noch mal hier nach? Mich interessiert, ob noch jemand ähnlich Probleme hat in der Hoffnung, dass ich die Ursache finde

Ich denke der User DocFraggle hat schon versucht Dir zu helfen. Ich würde so vorgehen:

Netcup Firewall deaktivieren

MC streng nach Anleitung installieren

(dann wird erst mal alles funktionieren)

Erst dann die Netcup FW wieder aktivieren

Zitat von Spoils5461

Wenn ich keine forward-zone in der unbound.conf definiere, funktioniert das Kommando docker compose exec unbound-mailcow dig AAAA mail.protection.outlook.com und liefert "NOERROR" zurück.

Wird dabei denn unbound für den Lookup verwendet oder der Resolver des Container-OS (kenne mich mit Docker nicht aus)? Du könntest dem dig-Aufruf ja mal explizit mitgeben, unbound zu verwenden.

Die beiden TCP-Regeln für unbound sollten in Deiner FW-Policy nicht nötig sein, da die FW für ausgehende TCP-Pakete stateful ist.

(Falls Du keine FW-Regel für NTP hast, solltest Du die ggf. auch noch ergänzen.)

War da nicht was mit der Nutzung von ephemeral Ports?

Unbound schickt je nach Einstellung Queries nicht nur über Port 53 raus, da könnten eventuell Antworten blockiert werden.

Zitat von Spoils5461

Du meinst die eingehenden TCP, oder?

Ja, laut Screenshot hast Du ja nur eingehende Regeln.

Zitat von Spoils5461

Das funktioniert auch nur dann, wenn ich die forward-zone definiert habe.

Ok, also genauso wie beim postfix-Container!?

Habe ich jetzt auch gerade erst gesehen. Du brauchst normalerweise nur eine eingehende UDP-Regel mit Source-Port 53 für die Antworten auf die Anfragen von unbound.

Zitat von Spoils5461

Genau, mit forward-zone liefert docker compose exec postfix-mailcow dig AAAA mail.protection.outlook.com @172.22.1.254 NOERROR zurück.

Dachte ich auch erst. Habe dann allerdings die Firewall deaktiviert, alles neu gestartet und noch mal ohne Erfolg getestet.

Ok, wenn es bei deaktivierter netcup Firewall schon nicht funktioniert, dann scheidet das wohl zumindest fürs Erste aus. An der Front geht es dann allenfalls weiter, wenn es mal bei deaktivierter netcup Firewall funktioniert.

Zitat von Spoils5461

Genau, mit forward-zone liefert docker compose exec postfix-mailcow dig AAAA mail.protection.outlook.com @172.22.1.254 NOERROR zurück.

Hattest Du denn dem dig-Aufruf für den unbound-Container auch explizit unbound als Resolver mitgegeben?

Ich habe bei meiner Mailcow nur diese Regel für DNS.

Screenshot 2026-07-31 144506.png

Das spuckt dann mein Postfix-Container aus

 <<>> DiG 9.20.26-1~deb13u1-Debian <<>> AAAA mail.protection.outlook.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 28591
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;mail.protection.outlook.com.   IN      AAAA

;; AUTHORITY SECTION:
mail.protection.outlook.com. 300 IN     SOA     ns1-proddns.glbdns.o365filtering.com. hostmaster.o365filtering.com. 2013010801 3600 600 86400 3600

ist die abfrage genau diese Domain mail.protection.outlook.com ?

Ich hab mail bei meinen Mails geschaut da kommt z.B. ***********-de02i.mail.protection.outlook.com da bekomme ich dann IPV6 Adressen als Antwort zurück.

Zitat von terence

Du brauchst normalerweise nur eine eingehende UDP-Regel mit Source-Port 53 für die Antworten auf die Anfragen von unbound.

Ich würde bei Regel 19 Source-Port 53 ergänzen und die anderen drei unbound-Regeln entfernen. Die Destination-Ports einzugrenzen macht auf jeden Fall auch Sinn und der Bereich passt ja wohl zu dem, was Du in unbound konfiguriert hast.

Was kommt denn raus, wenn Du direkt auf dem VPS die folgenden Aufrufe machst? Dabei wird der jeweils verantwortliche Name Server verwendet.

dig @ns1-05.azure-dns.com A outlook.com

dig @ns1-proddns.glbdns.o365filtering.com A mail.protection.outlook.com

Ich kann das selbst gerade nicht testen, aber wenn ich nachher daheim bin, probiere ich es mal auf meinem VPS aus und kann dann auch mal meine unbound-Instanz darauf loslassen.

Zitat von Spoils5461

Wenn jemand von euch bei netcup einen VPS hat, funktioniert den docker compose exec postfix-mailcow dig AAAA mail.protection.outlook.com bei euch (also ohne der Hinterlegung eines eigenen DNS bei der forward-zone, so wie es Standard bei mailcow ist)?

/opt/mailcow-dockerized# docker compose exec postfix-mailcow dig AAAA mail.protection.outlook.com

; <<>> DiG 9.20.23-1~deb13u1-Debian <<>> AAAA mail.protection.outlook.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 31837
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;mail.protection.outlook.com.   IN      AAAA

;; AUTHORITY SECTION:
mail.protection.outlook.com. 60 IN      SOA     ns1-proddns.glbdns.o365filtering.com. hostmaster.o365filtering.com. 2013010801 3600 600 86400 3600

;; Query time: 89 msec
;; SERVER: 127.0.0.11#53(127.0.0.11) (UDP)
;; WHEN: Fri Jul 31 16:11:36 CEST 2026
;; MSG SIZE  rcvd: 136