Eigenes Projekt: DNSSEC-, DANE- & MTA-STS-Monitor (Flask/LXC) – Weil netcup-DNSSEC manchmal seinen eigenen Kopf hat 😉

#!/bin/bash

DOMAIN="example.com"
RESOLVER="9.9.9.9" # Quad9 unterstützt DNSSEC-Validierung streng
PUSH_URL="https://kuma.example.com/api/push/TOKEN?status=up&msg=OK"

# DNSSEC-Validierung via delv durchführen
# Sucht nach dem Indikator "; fully validated" in der Ausgabe
OUTPUT=$(delv @"$RESOLVER" "$DOMAIN" +multi +dnssec 2>&1)

if echo "$OUTPUT" | grep -q "; fully validated"; then
    # Erfolg: Sende Signal an Uptime Kuma
    curl -s "$PUSH_URL" > /dev/null
    echo "DNSSEC für $DOMAIN erfolgreich validiert."
else
    # Fehler: Skript bricht ab, Kuma erhält keinen Push und geht "Down"
    echo "FAIL: DNSSEC-Validierung für $DOMAIN fehlgeschlagen!"
    echo "$OUTPUT"
    exit 1
fi

#!/bin/bash

DOMAIN="mail.example.com"
KUMA_URL="https://kuma.example.com/api/push/TOKEN"

# DANE-Prüfung über STARTTLS auf Port 25 ausführen
# danetool gibt bei Erfolg 0 zurück, bei Fehlern einen Wert > 0
danetool --check "$DOMAIN" --proto tcp --port 25 --starttls-proto=smtp > /tmp/dane_result.txt 2>&1
STATUS=$?

if [ $STATUS -eq 0 ]; then
    # Erfolg: Kuma mit "up" signalisieren
    curl -s "${KUMA_URL}?status=up&msg=DANE+and+DNSSEC+valid" > /dev/null
    echo "Okay: "$STATUS
else
    # Fehler: Letzte Zeile des Fehlers auslesen und an Kuma senden ("down")
    ERROR_MSG=$(tail -n 1 /tmp/dane_result.txt | tr ' ' '+')
    echo "Error: "$ERROR_MSG
    curl -s "${KUMA_URL}?status=down&msg=DANE+Error:+${ERROR_MSG}" > /dev/null
fi

#!/bin/bash

DOMAIN="example.com"
MX_HOST="mail.example.com"  
KUMA_URL="https://kuma.example.com/api/push/TOKEN"
# ---------------------

# 1. DNS TXT-Eintrag prüfen
echo "[1/3] Prüfe DNS TXT-Eintrag (_mta-sts.$DOMAIN)..."
DNS_CHECK=$(dig +short TXT _mta-sts."$DOMAIN" | grep "v=STSv1")

if [ -z "$DNS_CHECK" ]; then
    echo "-> ERROR: Kein '_mta-sts' TXT-Eintrag im DNS gefunden!"
    echo "Sende Status 'down' an Uptime Kuma."
    curl -s "${KUMA_URL}?status=down&msg=MTA-STS+Error:+Kein+_mta-sts+TXT-Eintrag+im+DNS+gefunden." > /dev/null
    exit 1
fi
echo "-> OK: DNS TXT-Eintrag vorhanden ($DNS_CHECK)."

# 2. HTTPS Policy-Datei herunterladen
echo "[2/3] Rufe Policy-Datei ab (https://mta-sts.$DOMAIN/.well-known/mta-sts.txt)..."
POLICY_CONTENT=$(curl -sSf "https://mta-sts.${DOMAIN}/.well-known/mta-sts.txt" 2>&1)
CURL_STATUS=$?

if [ $CURL_STATUS -ne 0 ]; then
    echo "-> ERROR: Policy-Datei über HTTPS nicht erreichbar oder HTTP-Fehler!"
    echo "Sende Status 'down' an Uptime Kuma."
    curl -s "${KUMA_URL}?status=down&msg=MTA-STS+Error:+Policy-Datei+ueber+HTTPS+nicht+erreichbar." > /dev/null
    exit 1
fi
echo "-> OK: Datei erfolgreich heruntergeladen."

# 3. Inhalt der Policy validieren
echo "[3/3] Validiere den Inhalt der Policy-Datei..."

# Prüfen, ob der Modus auf "enforce" oder "testing" steht
if ! echo "$POLICY_CONTENT" | grep -qE "mode:[[:space:]]*(enforce|testing)"; then
    echo "-> ERROR: Kein gültiger Modus (mode: enforce/testing) in der Datei gefunden!"
    echo "Sende Status 'down' an Uptime Kuma."
    curl -s "${KUMA_URL}?status=down&msg=MTA-STS+Error:+Kein+gueltiger+mode+(enforce/testing)+in+Datei." > /dev/null
    exit 1
fi

 Prüfen, ob Ihr Mailserver als erlaubter MX gelistet ist
if ! echo "$POLICY_CONTENT" | grep -qF "mx: $MX_HOST"; then
    echo "-> ERROR: Der MX-Host '$MX_HOST' ist in der Policy-Datei nicht als 'mx:' erlaubt!"
    echo "Sende Status 'down' an Uptime Kuma."
    curl -s "${KUMA_URL}?status=down&msg=MTA-STS+Error:+MX-Host+${MX_HOST}+nicht+in+der+Policy+erlaubt." > /dev/null
    exit 1
fi

# Wenn alle Prüfungen bestanden wurden
echo "SUCCESS: Alle MTA-STS-Prüfungen bestanden! Sende Status 'up' an Uptime Kuma."
curl -s "${KUMA_URL}?status=up&msg=MTA-STS+vollstaendig+validiert" > /dev/null