Am Freitag, 06. Oktober 2017 23:26 CEST, Urs Liska <ul(a)openlilylib.org> schrieb: .... Dein Postfix-Server hat keinen "Hostnamen". Wichtig ist zu vertehen dass ein MX-Eintrag, soll er Standardkonform sein, _nicht_ auf einen CNAME-Eintrag (also einen "Alias") zeigen soll sondern auf den A-Eintrag ... das betrifft erst einmal noch nicht den Reverse-Lookup (Hintergrund und Rationale: wenn der MX auf einen CNAME-Eintrag verweist dann muss der versendende Server noch einen weiteren DNS-Lookup machen um an die IP-Adresse des Empfängers zu kommen. Grosse Provider finden sowas uncool ... ;-) Nein, das mit den Reverse-Einträgen sollte nicht zwingend sein (manche Provider bieten das aber als Service an - so das überhaupt geht. Dazu braucht man ja einen "Root"-Server). Wahrscheinlich ist das eher eine der vielen Spam-Bremsen bei Providern. Wahrscheilich hilft es für Deinen Mailserver zumindest einen SPF-Eintrag zu erstellen (das ist ein TXT-Eintrag den Du ja selbst einrichten kannst). Dann kann der Empfänger im DNS nachsehen ob der Versender überhaupt für eine Domain zuständig ist. Ich könnte mir vorstellen das GMX et al. einen Reverse Lookup machen wenn's für eine Domain _keinen_ SPF-Eintrag gibt. HTH & Gruss RalfD

Am 07.10.2017 um 00:05 schrieb Ralf Mattes: Was dann? "myhostname" ist der Name, mit dem der Server sich gegenüber anderen Servern identifiziert, etwa beim HELO http://www.postfix.org/postconf.5.html#myhostname Der Fehler (siehe LInk oben) deutet darauf hin, dass der PTR-RR nicht korrekt auf den Mailserver zurückführt. Und wenn ich das richtig verstehe, ist das auch klar, denn wenn ich in Postfix z.B. mail.ursliska.de einstelle, wird der Reverse-DNS-Eintrag trotzdem auf XXX.startdedicated.de zurückverweisen. Heißt das, dass manche großen Provider verlangen, dass sich der Mailserver mit dem echten Servernamen vorstellt? Das kann doch eigentlich fast nicht sein - wie ist es denn, wenn ich als ISP auf einem Server mehrere Mailserver laufen lasse? Wenn ich es richtig verstehe, wird der MX-Eintrag auch nur dafür verwendet, den Server zu finden, wenn eine Mail *an* mich geschickt werden soll. Also: Mail-Adresse irgendwas(a)ursliska.de, dann wird aus dem MX-Record für ursliska.de entnommen, bei welchem Mailserver man sich anmelden muss. Hier könnte ja problemlos ein virtueller Servername, der echte Hostname oder auch die IP stehen, nicht? Wenn ich den Mailserver als Subdomain einer "echten" Domain laufen lasse, brauche ich aber einen extra A-Record für diese Subdomain, ja? Der Eintrag mit Subdomain "*" reicht nicht? Also, ich habe einen Server mit eigener IP gemietet, einen Root-Server, ja. Im Web-Interface des Providers kann ich einen beliebigen Reverse-DNS-Eintrag zu der IP vergeben. Der zeigt vorgegeben (und sicher richtig) auf den Hostnamen des Servers. Laut https://postmaster.gmx.net/de/best-practice prüft GMX einen vorhandenen SPF-Eintrag (scheint ihn aber nicht zu fordern) *und* verlangt einen korrekten PTR-RR. Klar, das geht nochmal zurück zu dem, was ich oben geschrieben habe, aber wenn ich es nicht falsch verstehe, erwartet GMX, dass der Reverse-Record meiner IP-Adresse auf den Namen verweist, den Postfix beim HELO angibt. Wenn das stimmt, habe ich zwei Möglichkeiten: * Verwende in Postfix den echten Servernamen als myhostname * Verwende in Postfix einen virtuellen Namen wie mail.ursliska.de und setze den Reverse-DNS-Eintrag auf diesen. Zusätzlich muss es dann für mail.ursliska.de einen A-Record geben, der korrekt auf die IP auflöst. Die erste Lösung scheint ungeeignet, weil ich erstens für diesen Server kein echtes LetsEncrypt-Zertifikat bekomme, und weil ich mit startdedicated.de als Domain wohl auch Gefahr laufe, bei einigen Prüfungen abgelehnt zu werden. Die zweite Lösung dagegen dürfte die Mail-Prüfung zufrieden stellen. Aber dann habe ich ja einen Reverse-DNS-Eintrag, der nur für den Mailserver korrekt ist. Der Reverse-Eintrag sollte doch auf den Server "als solchen" zeigen und nicht auf eine beliebige darauf gehostete Domain, oder nicht? Hm. Aber genau dieser Check beschwert sich unter der Kategorie Mailserver doch über das Fehlen eines DNS-Eintrags. Oder verstehe ich das falsch und DMARC ist nochmal eine ganz andere Baustelle? Diesen SPF-Eintrag hatte ich noch nicht, als das Problem ursprünglich auftrat, das spätere Hinzufügen hat aber nichts mehr geändert. Ich habe es jetzt auch nochmal auf meinem (alten) Server probiert mit ganz sorgfältigen Einstellungen: Postfix-myhostname mail.openlilylib.org SFP-Eintrag in allen Domains MX-Record auf mail.openlilylib.org (ist beim Versenden aber egal) Reverse-Eintrag auf den echten Host. Eine Mail an meine GMail-Adresse kam an (GMail hatte bisher aber auch kein Problem gemacht), und in den Headern stehen mehrere Hinweise auf eine erfolgreiche SPF-Kontrolle sowie Received: from mail.openlilylib.org (orion2208.startdedicated.de. [85.25.93.165]) was auf eine korrekte Auflösung des Mail-Servernamens auf den Host und die IP hindeutet. Ein Versuch, eine Mail an Web.de zu schicken, scheint aber gescheitert zu sein, zumindest habe ich sie noch nicht erhalten. Ich würde ja sonst einfach auf dem neuen Server rumprobieren, aber nach den bisherigen Erfahrungen würde ich es doch start bevorzugen, wenn der erste Kontakt mit dem Netz gleich "richtig" laufen würde, um nicht gleich von vornherein wieder in irgendwelchen Block-Listen zu landen. Herzliche Grüße Urs -- ul(a)openlilylib.org https://openlilylib.org http://lilypondblog.org

Am 7. Oktober 2017 21:03:12 MESZ schrieb "Uwe Kleine-König" <uwe(a)kleine-koenig.org>rg>: Ok. Ich kann hier demnach einen Fantasienamen angeben, aber nur für die *Sub*domain. Als Domain kommen nur die in Frage, die ich tatsächlich registriert habe? Ok. Blöde Frage: kann ich in meinem Linux den Hostnamen des Servers ändern? D.h. ändern kann ich ihn natürlich, aber stört das nicht die "Findbarkeit"? Noch nicht, aber das lässt sich ja ändern ;-) Bin allerdings unterwegs und weiß nicht, wann ich mich wieder online gehen kann. Gruß Urs

Am 08.10.2017 um 00:11 schrieb Uwe Kleine-König: Bin grade auf dem Heimweg und werde mich demnächst wieder an die Sache machen. Bevor ich mcih auf die Suche nach dem IRC mache, habe ich es richtig verstanden, kann ich Folgendes machen: * In /etc/hostname einen neuen, von meinen Domains abgedeckten Namen wie z.B. delta.ursliska.de eintragen * Diesen Namen als myhostname für Postfix eintragen * Prüfen, ob irgendwo sonst unter /etc noch der bisherige Hostname hartcodiert ist und ggfs. aktualisieren * Reverse-DNS-Eintrag für meine Server-IP auf diesen Namen setzen * Für diesen Namen einen A-Record eintragen, der auf die IP des Servers verweist * Diesen Namen auch als MX-Record für alle meine Domains eintragen * Server neustarten. Damit ggfs. warten, bis die DNS-Server aktualisiert worden sind. Dann müsste ich mich wieder per SSH einloggen können, unter dem neuen Servernamen und zur Not über die IP, richtig? Dafür hätte ich gerne eine Bestätigung, bevor ich mich aus meinem Server aussperre und eine Neuinstallation beauftragen muss ;-) Gruß Urs

So, ein Zwischenbericht: Ich habe jetzt erfolgreich den Hostnamen meines Servers geändert, alle DNS-Einträge geändert und erstmal eine Domain mit den korrekten Einstellungen für den Mailserver versehen. Interessanterweise kommen nach über einem Tag immer noch vereinzelte Mails am alten Server an, die TTL der DNS-Server scheinen also nicht unbedingt jeden zu interessieren ... Das wesentliche Ergebnis ist erstmal, dass ich erfolgreich Mails an GMX- und hotmail-Adressen verschicken konnte, demnach habe ich wohl alles richtig gemacht. Die Detailarbeit kommt noch, derzeit rödelt offlineIMAP (das ich nebenbei auch noch "anpacken" musste (https://github.com/OfflineIMAP/offlineimap/blob/master/Changelog.md)) dabei, etliche GB an Mails vom alten auf den neuen Server zu ziehen. Eine Frage ist dabei noch verblieben: MXToolbox (https://mxtoolbox.com/domain/ursliska.de/) bemängelt noch das Fehlen eines DMARC-EIntrags für den Mailserver. Hat jemand dazu Erfahrungen oder eine Meinung, sollte ich das auch noch einrichten, bevor ich meinen Postfix in größerem Umfang auf die Öffentlichkeit loslasse? Ich denke, daran hängt noch etwas größerer Aufwand, da wohl zunächst noch ein DKIM-Server eingerichtet werden will. Außerdem habe ich gelesen, dass DMARC u.U. Probleme bei Mailinglisten verursachen kann. Wenn ich nämlich einen DMARC-Eintrag habe und der Server eines Empfängers diesen auswertet, würde der feststellen, dass die Mail von einem Server kommt (z.B. gnu.org), der eben *nicht* in meiner ursliska.de-Domain genannt ist. Das gleiche soll angeblich auch schon bei SPF-EInträgen passieren können. Wie gesagt, weiß da jemand noch mehr zu? Fürs erste auf jeden Fall mal schon herzlichen Dank für den Zuspruch bisher. Ich denke, ich bin auf einem guten Weg. HG Urs Am 10.10.2017 um 08:29 schrieb Uwe Kleine-König: -- ul(a)openlilylib.org https://openlilylib.org http://lilypondblog.org

Am 12.10.2017 um 09:24 schrieb Uwe Kleine-König: Wenn ich das richtig sehe, habe ich auch keine. Ich nehme an, das wäre eine Sache des Hosting-Vertrages - man hat doch nicht automatisch durch die IPv4 auch eine IPv6-Adresse, oder? Ja, ich denke, mein Problem war nicht das *Fehlen* eines SPF-Eintrags (auch wenn ich gelesen habe, dass die großen Provider solche Mails tendenziell bevorzugen (es gilt aber auch, dass man keine Mails auf Grund des Fehlens von SPF ablehnen darf), sondern der Mismatch zwischen Postfix-Hostnamen und Reverse-DNS In dem Artikel, den ich gelesen habe, stand, dass man auf diese Weise sogar dafür sorgen kann, dass *andere* Mailinglisten-Nutzer zwangsabgemeldet werden. Wenn nämlich deren Provider die Mail ablehnt, geht sie als Bounce zurück an die ML, die dann irgendwann allergisch reagiert ... Der Vorwurf an SPF und DMARC lautet demnach auch, dass diese die Mailinglisten zwingen würden, die Mails umzuschreiben. Ich warte mal ab, ob mit dem SPF-Eintrag irgendwelche Probleme auftauchen und lasse das mit DMARC erstmal. Vielen Dank und herzliche Grüße Urs -- ul(a)openlilylib.org https://openlilylib.org http://lilypondblog.org

Hallo Urs, On 10/12/2017 09:41 AM, Urs Liska wrote: Du hast konfiguriert: v=spf1 ip4:85.25.3.15 ip4:85.25.93.165 -all d.h., wenn jemand eine Mail von *(a)ursliska.de bekommt und die nicht von einer der beiden legacy-IPs oben kommt, soll er die kommentarlos wegwerfen. Das wird z.B. passieren, wenn Du eine Mail an info(a)handwerkerdeinesvertrauens.de schickst, und der Mailserver für handwerkerdeinesvertrauens.de leitet das weiter an kalle(a)gmx.de, weil das die Adresse ist, die Dein Klempner liest. Der GMX-Mailserver schmeißt Deine Mail dann weg, weil sie von dir@ursliska kommt, aber vom MX der Domain handwerkerdeinesvertrauens.de eingeliefert wird. Du bekommst dann u.U. keine Rückmeldung darüber, dass Kalle Deine Mail nicht gekriegt hat. Liebe Grüße Uwe