Keine Mails mehr von Microsoftservern an privaten Mailserver

[Bob.Dig]

Welche Firewall war es denn, die von Win? 😉

 

[RockNLol]

opnsense was da genau nicht stimmt versuchen wir gerade herauszufinden.

 

[Bob.Dig]

Nice, habe pfSense vor meinem hmail.

 

[RockNLol]

OK, wir sind wieder beim ursprünglichen Problem gelandet, dass nur Mails von Microsoft nicht ankommen. Port 25 ist offen, @azereus hat Magentas Unschuld bewiesen . Meine Testmethode war der Fehler, habe Telnet auf Port 25 über mein Handy getestet, und mein Mobilfunkbetreiber blockt Port 25 ausgehend...

Beim Versuch Port 25 frei zu bekommen, obwohl er eh frei war habe ich die opnsense firewall wohl durcheinander gebracht. Weiterleitungsregel löschen und wieder hinzufügen hat gereicht.

Trotzdem kommen Mails von outlook.com und Microsoft 365 accounts nicht bei mir an.

Logge mittlerweile alles in hmail, ohne Erfolg. Die Pakete bleiben schon vorher irgendwo hängen.

 

[burglar225]

Ich fürchte ohne Diagnosemöglichkeiten auf der Seite des Senders kommen wir hier nicht weiter.

 

[RockNLol]

Mit meiner outlook.com Adresse kann ich hier nicht viel einsehen. Aber auf einen Microsoft 365 account hätte Administratorzugriff. Damit hab ich aber keine Erfahrung. Was kann ich da denn noch nachschauen was nicht schon in der Fehlermeldung steht?

 

[burglar225]

Da kenne ich mich auch nicht aus, aber ich glaube auch nicht, dass das ausreicht.
Ich hatte vorhin schonmal die Vermutung geäußert, dass es auch ein Problem mit der Route gibt.
Das wäre zwar extrem unwahrscheinlich, aber nicht unmöglich. Dafür würde sprechen, dass es vor kurzem noch funktioniert hat. Und es würde das Fehlerbild erklären.
Aber da kann ich auch nur mutmaßen.

 

[snaxilian]

Dann fang an auf deiner Firewall zu loggen. Immer wieder herlich zu sehen wie sich jeder meint ne dedizierte Firewall zuhause hinstellen zu müssen, eigene Server betreiben will aber kein Troubleshooting betreiben kann kopfschüttel

Sieht du denn den Verbindungsaufbau von MS an der Firewall? Die aktuell gültigen Endpoints siehst du z.B. hier: https://docs.microsoft.com/de-de/office365/enterprise/urls-and-ip-address-ranges
Wenn Logs nix dazu sagen mach dir nen Account bei MS sofern nicht geschehen zum testen, dann finde heraus, wie du auf deiner Firewall per tcpdump mit sniffen kannst und filtere auf eingehende Verbindungen mit Source die Liste der IPs und Netze von MS und Port 25. Im besten Fall solltest du natürlich so mitsniffen bevor irgendwelche von dir konfigurierten Regeln greifen um diese auszuschließen. Dann schick dir ne Mail und warte die Zustellversuche ab, dann siehst du ja ob was kommt oder nicht. Je nach Ergebnis weiß man dann in welcher Richtung man weiter suchen muss.

 

[till69]

Dann fang an auf deiner Firewall zu loggen. Immer wieder herlich zu sehen wie sich jeder meint ne dedizierte Firewall zuhause hinstellen zu müssen, eigene Server betreiben will aber kein Troubleshooting betreiben kann kopfschüttel

Genau so ist es

Andere irre Idee ... MS versucht es über IPv6 ... und der Server/Firewall sind IPv4 only, aber MX Einträge der Domain haben A UND AAAA Einträge...

 

[xexex]

Trotzdem kommen Mails von outlook.com und Microsoft 365 accounts nicht bei mir an.

Dann nochmal die Frage meinerseits, hast du Greylisting aktiv?

 

[Bob.Dig]

IPv6 läuft auch mit hmail, muss man aber erst einrichten. google versucht es erst mit IPv6, wenn es nicht klappt, wird aber auf IPv4 ausgewichen. Wie MS das händelt, keine Ahnung.

Ergänzung (29. Mai 2020)

Brühend heiß fällt mir da zu hmail auch ein, dass dem MX Record ein A-Record zugrunde legen muss, also kein CNAME, daher vielleicht auch mal prüfen. Und ja, Port 25 in der Firewall loggen. EasyRuleBlockHosts, GEO-IP und Suricata ebenfalls. 😉

 

[till69]

Brühend heiß fällt mir da zu hmail auch ein, dass dem MX Record ein A-Record zugrunde legen muss, also kein CNAME

Das betrifft nicht nur hmail sondern gilt allgemein ( RFC 2181 10.3)

 

[snaxilian]

Wenn du gültige IPv6 MX Records hast aber dein Server darauf nicht reagiert, ist das dein Problem. Das die meisten Anbieter netterweise ein Fallback auf legacy IPV4 fahren ist nett aber afaik kein MUSS oder gar per irgendeinem RFC gefordert. Wer Serverdienste nicht per IPv6 bereit stellen kann oder soll wollte auch tunlichst keine AAAA oder MX Records mit IPv6 Adressen verwenden.

 

[RockNLol]

Dann fang an auf deiner Firewall zu loggen. Immer wieder herlich zu sehen wie sich jeder meint ne dedizierte Firewall zuhause hinstellen zu müssen, eigene Server betreiben will aber kein Troubleshooting betreiben kann kopfschüttel
[...]

Immer wieder herrlich zu sehen, wie Leute nicht verstehen, was ein Hobby ist Ich mache das um zu Lernen und zu Verstehen. Deshalb frage ich auch in einem Forum; damit ich von Leuten mit mehr Erfahrung etwas lernen kann.

Bezüglich greylisting, sorry habe ich vergessen vorhin zu schreiben: Greylisting ist deaktiviert.

Es ist kein AAAA Record eingestellt, IPv6 habe ich bei mir aber auch nicht eingerichtet. In der Fehlermeldung wird aber auch eindeutig meine öffentliche IPv4 auf Port 25 angegeben. Daher denke ich nicht, dass MS es über IPv6 versucht.

Tatsächlich hat mein MX-Record auf einen CNAME gezeigt, darauf hat mich @azereus aufmerksam gemacht. Das habe ich korrigiert und auf einen A-Record umgestellt. Mal sehen ob das hilft.

Danke für die vielen Ideen und Hinweise!

*edit: Ich habe nun um 18:19 eine Mail bekommen, die ich heute Morgen um 8:52 abgesendet habe. Hmail Log ist unaufffällig. Keine vorhergehenden fehlgeschlagenen Versuche. Möglicherweise timet das Ganze einfach irgendwo out.

 

[Bob.Dig]

Immer wieder herrlich zu sehen, wie Leute nicht verstehen, was ein Hobby ist Ich mache das um zu Lernen und zu Verstehen. Deshalb frage ich auch in einem Forum; damit ich von Leuten mit mehr Erfahrung etwas lernen kann.

Full ACK. Wer nicht helfen will, einfach raushalten, statt seine unmaßgebliche Meinung stets und ständig kund zu tun.

 

[azereus]

Ich habe nun um 18:19 eine Mail bekommen, die ich heute Morgen um 8:52 abgesendet habe

Na sehr schön es tut sich etwas nach den ersten Änderungen
Bin gespannt ob übers Wochenende noch etwas passiert. Halte uns auf dem laufenden.

Kann natürlich ein Problem bei MS nicht ausschliessen - da wie du selbst schreibst und wir getestet haben - viele andere Absenderserver normal funktionieren und lediglich MS als Absenderserver problematisch erscheint.

 

[RockNLol]

Kleines Update:
von 23 Testmails von meiner Outlookadresse sind 6 Mails durchgekommen.

Nr.	Absendedatum	Absendeuhrzeit	Ankunftsdatum	Ankunftsuhrzeit
1	29.5.	8:45	30.5.	00:42
2	29.5.	8:52	?	?
3	29.5.	9:12	?	?
4	29.5.	9:22	?	?
5	29.5.	11:28	?	?
6	31.5.	23:31	1.6.	1:50

Bei Mails 1 und 6 konnte ich den Betreff eindeutig im Log von hmail identifizieren, daher habe ich eine genaue Ankunftszeit. Bei der ersten Mail hat es also 16h vom senden bis zum Empfangen gedauert. Die sechste "nur" 2h 20...

Wird da jemand schlau daraus? Ich werde morgen mal bei Microsoft fragen, wenn ich wo eine supportnummer finde.

*edit: Neue Facette des Problems: Mein Mailserver kann keinerlei ausgehende Verbindungen über Port 25 herstellen. Alle anderen Geräte im selben Netzwerk sehr wohl. Windows Firewall des Server deaktivieren hat nichts gebracht, ist "Richtung raus" sowieso offen. Bisher habe ich den Mailserver von Magenta als Mail Relay über Port 465 verwendet.
Ich migriere hmail mal testweise auf eine andere Windows VM, auf der Port 25 auswärts funktioniert.

 

[up.whatever]

*edit: Neue Facette des Problems: Mein Mailserver kann keinerlei ausgehende Verbindungen über Port 25 herstellen. Alle anderen Geräte im selben Netzwerk sehr wohl. Windows Firewall des Server deaktivieren hat nichts gebracht, ist "Richtung raus" sowieso offen. Bisher habe ich den Mailserver von Magenta als Mail Relay über Port 465 verwendet.
Ich migriere hmail mal testweise auf eine andere Windows VM, auf der Port 25 auswärts funktioniert.

So langsam kommt der ganze Murks ans Tageslicht.
Unabhängig davon, wo genau die Ursache jetzt liegt; es macht keinen Sinn einen Mail-Server zu betreiben, wenn

• der Server eine IP aus einem bekannterweise dynamisch zugeteilten Bereich verwendet,
• keine sauberen DNS-Records in der Forward-Zone gesetzt sind,
• der dazu passende Eintrag in der Reverse-Zone fehlt.

Das hat schon seinen Grund, dass du nur über ein Relay Mails nach draußen versenden kannst.

 

[RockNLol]

Mal sehen, ob das so bleibt, aber möglicherweise habe ich es gelöst ohne das eigentliche Problem zu kennen.

Ich habe wie im edit angekündigt den hmailserver auf eine neue VM migriert. Diese kann im Gegensatz zur alten VM nun über port 25 nach außen kommunizieren; keine Ahnung warum das bei der Alten nicht geht, es liegt nicht an der Firewall. Das dürfte aber nicht das einzige Problem dieser VM sein.

Das Senden über das Relay des Providers habe ich nun wieder rausgenommen, es funktioniert auch direkt von meiner IP. Die Ausnahme bei Spamhaus PBL habe ich ja. Den SPF Record muss ich noch anpassen, auch wenn ich (noch) nicht im Spamfilter lande.

*edit: nochmals, das ist nur ein Hobby und ich mache das nur, um zu etwas dabei zu lernen. Es ist eine rein private E-Mail-Adresse unter meiner privaten Domain. Und wenn noch so viele Leute schreiben, dass das so nicht geht, es hat 2 Jahre gut funktionioniert.

 

[burglar225]

nochmals, das ist nur ein Hobby und ich mache das nur, um zu etwas dabei zu lernen. Es ist eine rein private E-Mail-Adresse unter meiner privaten Domain. Und wenn noch so viele Leute schreiben, dass das so nicht geht, es hat 2 Jahre gut funktionioniert.

Keiner sagt, dass du das nicht tun kannst oder sollst. Die Bedingungen sind es, die hier völlig zurecht kritisiert werden. Miete dir für 2€ einen VPS bei einem Hoster, damit wirst du die ganzen Probleme relativ sicher nicht haben. Und der Lernfaktor ist dann vermutlich sogar noch größer. Mache ich auch genauso, und mir geht es auch ausschließlich darum etwas zu lernen.
Und nur, weil es zwei Jahre funktioniert hat, heißt das noch lange gar nichts. Sicherheitsvorkehrungen können verstärkt werden und dann kann es auch mal aufhören zu funktionieren (wie wir sehen).