Mail Server Mailserver - Diverse Einrichtungsfragen - (MX - FritzBox - Strato - Allinkl)

[stevios]

Hallo zusammen,

leider schaffe ich es nicht, den Mailserver vernünftig zu konfigurieren und würde mich über Hilfe freuen. Ich kann E-Mails ohne Relay senden (wird als Spam erkannt), aber keine E-Mails empfangen. Ich habe mittlerweile so viel gelesen, dass ich den Überblick verloren habe, deshalb zunächst zur Klarstellung für mich ein paar Verständnisfragen:

• Meine Strato-Domain nutze ich für den Zugang von außen. Kann ich trotzdem die Domains bei all-inkl.com für den Mailserver verwenden? Falls ja, muss ich überhaupt was bei dem a-Eintrag eingeben und muss der mx-Eintrag auf die strato-Domain verweisen? Momentan habe ich bei all-inkl den A-Eintrag nicht verändert und unter MX meinestratodomain.de eingetragen.
• Ich habe lediglich Domain-Pakete bei den Anbietern ohne irgendwelchen SchnickSchnack. Ich brauche doch keine Subdomain- oder E-Mail-Pakete, oder? Bei Strato ist glaube ich webmaster@meinestratodomain.de inklusive. Woher weiß Strato, dass E-Mails an diese Adresse nicht auf de Strato-Webmailer gelegt, sondern zur Diskstation durchgeleitet werden sollen?
• Muss der MX-Eintrag mail.meinedomain.de oder meinedomain.de heißen?
• Ich kann E-Mails versenden. Allerdings habe ich nach meiner Erinnerung nirgendwo Zugangsdaten für meine Domain hinterlegen müssen. Wie ist eigentlich sichergestellt, dass kein Dritter über seinen Server E-Mails über meine Domain versenden kann.

Hier meine aktuellen Einstellungen, die ich schon gefühlte tausend Mal verändert habe. Sieht jemand, was ich falsch mache?
Fritz Box
Update-URL: https://dyndns.strato.com/nic/update?system=dyndns&hostname=<domain>&myip=<ipaddr>&mx=meinestratodomain.de
Domainname: meinestratodomain.de
Benutzername: meinestratodomain.de
Passwort: meinpasswort


Strato
A-Record (inaktiv)
AAAA-Record (inaktiv)
MX-Record (inaktiv)
SPF- und TXT-Record (inaktiv)
SRV-Record (inaktiv)
Dynamic DNS aktiviert

All-inkl
MX 10 meinestratodomain.de

Mailserver

Domainname=meineallinkldomain.de
Aliasname: Ich habe einen Aliasnamen angelegt, der genauso heißt wie der entsprechende Benutzer. An diesen Alias sende ich E-Mails, die nicht ankommen.

Roundcube


mxtoolbox zeigt für meinestratodomain folgendes an:
Pref Hostname IP Address TTL
5 smtp.rzone.de XX.XXX.XXX.XX 2 min Blacklist Check SMTP Test
5 smtp.rzone.de XXXX:XXX:XXX:XXX:XXXX::XXXX 2 min Blacklist Check

220 smtp.rzone.de ESMTP RZmta 35.11 ready (mi16)
	Test 	Result
	SMTP Banner Check 	OK - XX.XXX.XXX.XX resolves to smtp.rzone.de
	SMTP Reverse DNS Mismatch 	OK - Reverse DNS matches SMTP Banner
	SMTP TLS 	OK - Supports TLS.
	SMTP Connection Time 	1.030 seconds - Good on Connection time
	SMTP Open Relay 	OK - Not an open relay.
	SMTP Transaction Time 	3.401 seconds - Good on Transaction Time

mxtoolbox zeigt für meineallinkldomain folgendes an:
10 mail.meinestratodomain.de {No A Record} 2 hrs Blacklist Check SMTP Test

Unable to connect after 15 seconds.
	Test 	Result 	
	SMTP Connect 	Failed To Connect 	 More Info
Session Transcript:
Connecting to XX.XX.XXX.X
11/16/2014 4:32:48 AM Connection attempt #1 - Unable to connect after 15 seconds. [15.04 sec]
MXTB-PWS3v2 15038ms

Für ein paar Tipps oder Hinweise wäre ich sehr dankbar, da ich im Grunde seit Februar immer mal wieder erfolglos die Einrichtung verucht habe. Falls es hilft kann ich auch nur die Strato oder die allinkl Domain verwenden oder was ganz neues registrieren. Allerdings müsste die Strato-Domain für die dynamische IP in der Fritzbox bleiben.

Edit: Wenn ich die allinkl-Domain außen vor lasse und nur die Strato-Domain einrichte erhalte ich übrigens folgende Fehler-E-Mail:

Delivery to the following recipient failed permanently:

     alias@meinestratodomain.de

Technical details of permanent failure:
Google tried to deliver your message, but it was rejected by the server for the recipient domain meinestratodomain.de by smtp.rzone.de. [XXXX:XXX:XXX:XXX:XXXX::XXXX].

The error that the other server returned was:
550 5.2.0 No such mailbox

 

[Frogman]

• Ich habe lediglich Domain-Pakete bei den Anbietern ohne irgendwelchen SchnickSchnack. Ich brauche doch keine Subdomain- oder E-Mail-Pakete, oder? Bei Strato ist glaube ich webmaster@meinestratodomain.de inklusive. Woher weiß Strato, dass E-Mails an diese Adresse nicht auf de Strato-Webmailer gelegt, sondern zur Diskstation durchgeleitet werden sollen?

Warum Du im Mailserver Deine DDNS-Domain einträgst, verstehe ich nicht - wo Du offenbar doch emails an xxx@DeineStratoDomain.de haben möchtest...
Woher weiß Strato, dass sie das zu Dir schicken sollen? Indem Du bei der Strato-Domain Deine DDNS-Domain als MX-Record einträgst. Damit löst ein Mailserver, der eine Mail an xxx@DeineStratoDomain.de senden will, das Ziel auf die aktuelle IP Deines Anschlusses auf, d.h. landet bei dem SMTP-Server auf Deiner DS.

• Muss der MX-Eintrag mail.meinedomain.de oder meinedomain.de heißen?

Nein - einfach Deine DDNS-Domain, siehe Punkt 1.

• Ich kann E-Mails versenden. Allerdings habe ich nach meiner Erinnerung nirgendwo Zugangsdaten für meine Domain hinterlegen müssen. Wie ist eigentlich sichergestellt, dass kein Dritter über seinen Server E-Mails über meine Domain versenden kann.

In den Einstellungen des Mailservers ist vorgesehen, dass Mails nur nach Authentifizierung vom SMTP angenommen werden. Lokal kann man die Authentifizierung auch deaktivieren. Relaying ist dazu untersagt.

 

[stevios]

Hallo Frogman,

danke für Deine Antwort. Ich habe jetzt nochmal einiges umgestellt und bin insbesondere nach diesem Thread vorgegangen. Der Versand von E-Mails ohne Relay funktioniert weiterhin.

Ich dachte zunächst, dass meine Strato-Zugangsdaten nicht stimmen, aber dann dürfte ich doch auch keine dynamische DNS Verbindung hinkriegen!? Die Daten müssten also stimmen. Im Strato-Kundenmenü sieht es aus wie von luddi hier beschrieben:
Anhang anzeigen 18006
Unter detailierte Informationen steht folgendes:

meinestratodomain.de
Umleitungsziel (Inaktiv): 	 
MX-Record:
Primär: 	meinestratodomain.de. (10)
DynDNS: 	aktiv

nslookup gibt folgendes aus:

> set type=mx
> meinestratodomain.de
Server:  fritz.box
Address:  192.168.x

Nicht autorisierende Antwort:
meinestratodomain.de        MX preference = 10, mail exchanger = meinestratodomain.de

meinestratodomain.de     nameserver = shades02.rzone.de
meinestratodomain.de       nameserver = docks13.rzone.de
meinestratodomain.de      internet address = XX.XX.XXX.XX0
docks13.rzone.de        internet address = XX.XXX.XXX.XX
docks13.rzone.de        AAAA IPv6 address = XXXX:XXX:XXX:XXX:XXXX::XXX
shades02.rzone.de       internet address = XX.XXX.X.XXX
shades02.rzone.de       AAAA IPv6 address = XXXX:XXX:XXX:XX:XXXX::XXX

Ich kann da als Laie keine Fehler erkennen. Wenn ich nun aber via mxtoolbox.com die Domain abfrage und den SMTP Test starte, kommt eine Fehlermeldung:

Unable to connect after 15 seconds.
	Test 	Result 	
	SMTP Connect 	Failed To Connect 	 More Info
Session Transcript:
Connecting to XX.XX.XXX.XX
11/16/2014 7:20:55 AM Connection attempt #1 - Unable to connect after 15 seconds. [15.04 sec]

MXTB-PWS3v2 15475ms

Das sieht für mich so aus, als ob der DNS Server nicht erreichbar ist. Nur warum?

edit: Wenn ich E-Mails von meiner GMail-Adresse versende kommt übrigens keine Fehlermeldung bzw. keine Fehler-E-Mail zurück. Die E-Mails scheinen irgendwo im Niemansland des Internet zu verschwinden!?!?

edit2: Wenn ich das SMTP-Relay aktiviere und eine E-Mail versende kommt keine Fehlermeldung, Roundcube teilt mit, dass die E-Mail versendet wurde, tatsächlich kommt aber nichts an. Puh, das ist echt ganz schon nervig

 

[stevios]

Mmmhh, jetzt habe ich eine komische Entdeckung gemacht. Unter Info-Center -> Dienst heißt es als Verbidungsstatus für den Mail Server "LAN zugänglich".

Müsste dort nicht "Internet zugänglich" stehen? Kann mal jemand mit einem funktionierenden Server nachsehen? Vielen Dank

edit: Ich glaube das hat doch nichts zu bedeuten. Bin mit meinem Latein am Ende. blöd :-(

 

[jahlives]

meinestratodomain.de zeigt mit dem MX nicht auf deinen dyndns Namen. Also wird nicht probiert dir Mails zu deiner DS zu schicken. Oder zeigt meinestratodomain.de mit der IP auf deinen Router zu Hause?

 

[stevios]

Hallo jahlives,
Du beziehst Dich auf die nslookup-Einträge? Die Adresse in der folgenden Zeile entspricht meiner IP-Adresse Zuhause:

meinestratodomain.de      internet address = XX.XX.XXX.XX0

edit: Unter mxtoolbox.com wird zu der Domain auch meine IP-Adresse zuhause angezeigt. Der SMTP-Test schlägt weiterhin fehl.

 

[stevios]

Mmmh, ich habe mal den Port von 25 auf 27 geändert. Dann bekomme ich über den smtp-Test bei mxtoolbox ein Ergebnis:

Connecting to XX.XX.XXX.XXX

220 meinestratodomain.de ESMTP Postfix [2028 ms]
EHLO MXTB-PWS3.mxtoolbox.com
250-meinestratodomain
250-PIPELINING
250-SIZE 26214400
250-ETRN
250-STARTTLS
250-AUTH PLAIN LOGIN
250-AUTH=PLAIN LOGIN
250-ENHANCEDSTATUSCODES
250-8BITMIME
250 DSN [827 ms]
MAIL FROM: <supertool@mxtoolbox.com>
250 2.1.0 Ok [952 ms]
RCPT TO: <test@example.com>
554 5.7.1 <test@example.com>: Relay access denied [842 ms]

MXTB-PWS3v2 6037ms

 

[Frogman]

Wozu?

 

[stevios]

Wozu?

Um zu sehen, ob es vielleicht ein Problem mit der Fritz Box sein kann. Ich hatte irgendwie die Vermutung, dass Port 25 nicht richtig geöffnet ist. Dafür spricht doch auch, dass Port 27 ein Ergebnis liefert, oder?

 

[Frogman]

... den Du jetzt weitergeleitet hattest? Das wird dann nicht anders sein wie Port 25 - wenn Du den zuvor auch eingetragen hattest. Das Problem scheint doch dann eher die Server-Konfig zu sein. Was passiert denn nun, wenn Du stattdessen wieder alles auf 25 zurückstellst?

 

[stevios]

Das Ergebnis wenn der normale Port 25 gesetzt ist steht unter Beitrag #3 am Ende:

Unable to connect after 15 seconds.
	Test 	Result 	
	SMTP Connect 	Failed To Connect 	 More Info
Session Transcript:
Connecting to XX.XX.XXX.XX
11/16/2014 7:20:55 AM Connection attempt #1 - Unable to connect after 15 seconds. [15.04 sec]

MXTB-PWS3v2 15475ms

 

[jahlives]

schick mir mal deine externe IP in einer PN. Da versuch ich mich von meinen Servern her zu verbinden. Vielleicht auch den Domainnamen damit ich Probleme im DNS ausschliessen könnte

 

[stevios]

Danke für das Angebot, aber ich glaube, dass ich das Problem gefunden habe. Unter D7 der Leistungsbeschreibung der EWE TEL GmbH
für Telefon-und Internetdienstleistungen (http://www.ewe.de/kunden/download/formularcenter/LB_PK_FN_DSL_e_03_00_010114.pdf) heißt es wie folgt:

7 Abweichende Leistungen bei LWL-Anschlüssen
Die Beschreibungen in den Abschnitten D.1 bis D.6 gelten auch für die LWL-Pakete EWE LWL 50 premium und EWE LWL 100 premium, jedoch mit der Abweichung,dass die nachfolgend aufgezählten UDP/TCP Ports dauerhaft gesperrt sind und daher nicht für kundeneigene Serversysteme genutzt werden können:
Port Dienst Port Dienst
21 FTP (FTP-Server) 80 HTTP (Webserver)
25 SMTP (Mail-Server) 119 NNTP (Newsserver)
53 DNS (DNS-Server)

Ich werde wohl morgen bei EWE anrufen und das hinterfragen.

 

[stevios]

Kurze Rückmeldung: EWE hat mich viele Monate damit vertröstet, dass man keine Ports sperrt oder blockiert. Habe ich sogar schriftlich bekommen:

(...)vielen Dank für Ihre E-Mail.
Sie benötigen unsere Hilfe bei der Einrichtung Ihres NAS-Mail-Servers - gerne!
Ein SMTP-Block für den Port 25 ist auf Ihrem Anschluss nicht eingerichtet. Die Ports für POP3 und IMAP werden durch uns grundsätzlich nicht gesperrt.(...)

Ich habe dann über viele Monate unzählige Stunden mit der Fehlersuche zugebracht. Nachdem ich mich dann in den letzten Wochen nochmal intensiv mit EWE auseinandergesetzt habe, bekam ich plötzlich die SMS, das man nun Port 25 freigeschaltet hat. Um das hier für die Nachwelt nochmal festzuhalten: Port 25 wird definitiv für EWE-Privatkunden blockiert.

Nachdem es nun endlich funktioniert, sind neue Fragen aufgetaucht:

• Ich habe eine Domain mit Zertifikat, die per Dyndns auf die Diskstation umleitet. Als E-Mailadresse nutze ich aber eine andere Domain. Kann ich einfach den mx-Eintrag im Domain-Kundencenter auf meine Diskstation-Domain setzen und damit umleiten? Oder kann es zu Problemen kommen, weil es unterschiedliche Domains sind?
• Kennt jemand eine einfache Möglichkeit, um E-Mails im mbox-Format in den Server zu importieren? Ich will weg von GMail und habe eine recht große mbox-Datei (3GB) exportiert. Per Roundcube hat das Importieren nicht geklappt wegen dem 32MB- Limit und das schlichte übertragen in Thunderbird via IMAP ist auch fehlgeschlagen.

 

[Frogman]

• Ich habe eine Domain mit Zertifikat, die per Dyndns auf die Diskstation umleitet. Als E-Mailadresse nutze ich aber eine andere Domain. Kann ich einfach den mx-Eintrag im Domain-Kundencenter auf meine Diskstation-Domain setzen und damit umleiten? Oder kann es zu Problemen kommen, weil es unterschiedliche Domains sind?

Das hängt davon ab, ob in Deinem Zertifikat beide Domains enthalten sind. Ist das nicht der Fall, wirst Du bei einer verschlüsselten Mailübertragung Probleme bekommen, wenn bei Aufbau einer Verbindung von Deinem SMTP ein nicht zur Domain passendes Zertifikat ausgeliefert wird. Hier kann Dir nur ein Zertiifikat helfen, was beide Domains enthält - üblichweise ein Multidomain-Zertifikat (die teurer sind). Eine Alternative wäre bspw. ein kostenloses Class1-Zertifikat von StartSSL, welches standardmäßig die beantragte Subdomain und die dazugehörige Domain enthält. Auf diese Weise kannst Du die Subdomain per CNAME auf den Webserver der DS leiten und die Domain per MX-Record auf den SMTP - dafür muss aber eben alles über die Domain bzw. die eine Subdomain davon laufen.

 

[heavy]

Abgesehen vom certifikat musst du natürlich die domain im Mailserver eintragen (sonst lehnt der Mailserver die Mails ab), ohne certificat geht es auf jedenfall. Habe bei meiner domain bei 1und1 einfach als MX record meine Dyndns adresse eingetragen.

 

[Frogman]

Eine solche Lösung ohne Zertifikat für die verwendete email-Domain wird aber in der Regel alle vom SMTP auf die Domain angenommenen emails unverschlüsselt bekommen - nichts, was man empfehlen sollte.

 

[heavy]

Ich habe ihm ja nicht empfohlen es so zu machen ich habe ihm nur mitgeteilt, dass es auf jedenfall ohne Zertifikat geht. Sollte er keine Mails empfangen können weiß er es liegt an der Verschlüsselung und nicht an der allgemeinen Weiterleitung. Aber nur ein kleiner Hinweis auch eine AES 265 verschlüsselung ist nicht unknackbar.

 

[JudgeDredd]

Möglich ist es sicherlich, aber die Vorgehensweise verstößt gegen RFC2181 10.3

10.3. MX and NS records

The domain name used as the value of a NS resource record, or part of
the value of a MX resource record must not be an alias.

Soweit mir bekannt ist, wird diese Richtlinie neuerdings von allen Unternehmen die mit dem Marketing Begriff "Email made in Germany" werben, auch restriktiv umgesetzt.
Bedeutet, das z.B. bei 1und1 ein MX Record auf eine DynDNS URL nicht erlaubt ist.

 

[Frogman]

Aber nur ein kleiner Hinweis auch eine AES 265 verschlüsselung ist nicht unknackbar.

Du scheinst nicht zu wissen, wovon Du da schreibst - jedenfalls ist Deine Simplifizierung unzulässig. Wenngleich an dieser Stelle Offtopic, kann ich diese Aussage so nicht stehenlassen...
Einen 256bit-Schlüssel zu "knacken", also per einfachem Durchrechnen des Schlüsselraumes zu kompromittieren, würde mit einem Computer, der 1 Milliarde Schlüssel pro Sekunde berechnen könnte, mehr als 3*10[SUP]51[/SUP] Jahre dauern - aber bereits in 4*10[SUP]9[/SUP] wird vermutlich unsere Sonne erlöschen. Der volle AES mit seinen 14 Runden im Speziellen bietet keine wirklichen Schwächen oder Anfälligkeiten für Nebenkanalattacken, also selbst mit algebraischen und numerischen Angriffsszenarien läßt sich die Zeit bis zum "Knacken" nur ungefähr um den Faktor 4-10 verkürzen. Nun ja, muss man kaum weiter kommentieren - solange also keine Quantenrechner mit Qubits in Größenordnungen gebaut werden, eine mehr akademische Diskussion. Als kleine Anregung sei Dir einmal dieser Artikel in allgemeinverständlicher Form empfohlen.
Darüber hinaus verwechselst Du grundsätzlich auch noch die Sicherheit einer Verschlüsselungsciphre mit der Maßgabe zur Stärke des Passworts - denn jede Verschlüsselung ist nur so gut wie das gewählte Passwort. Nicht umsonst wird immer wieder darauf hingewiesen, man möge ein "starkes" Passwort verwenden - wobei 'stark' bedeutet, mindestens 8 Zeichen aus Groß- und Kleinbuchstaben, Zahlen sowie den zulässigen Sonderzeichen. Auch zu diesem Thema sei Dir einmal ein kleiner Artikel zur Aufklärung empfohlen.