Mails kommen nicht am Mailserver an

@supertux Moin, der Fehler 530 4.7.0 Connection refused ist hier entscheidend. Das bedeutet, dein Server nimmt die Verbindung an, verweigert aber sofort die weitere Kommunikation. Es kommt also was an, nur wird es direkt abgewiesen. Die Aussage von Hetzner ist technisch korrekt, das Problem liegt auf deinem Server. DivideByZero hat recht, der erste Blick gehört ins Log. Wenn im MDaemon SMTP-(In).log wirklich nichts zu finden ist, ist das seltsam, aber nicht unmöglich. Schau mal gezielt in die Sicherheitsfeatures von MDaemon. Ich wette, die IP von www1.your-server.de ist auf einer deiner internen Listen gelandet. Prüf mal unter Sicherheit -> Screening die Konfiguration von IP Screening, Host Screening und vor allem dem Dynamic Screening. Letzteres sperrt IPs temporär, wenn sie sich verdächtig verhalten. Das würde erklären, warum es mal geht und mal nicht. Ein Blick in die Logs dieser Features hilft sicher weiter. Die Windows Firewall schließe ich fast aus, die würde die Verbindung eher still verwerfen (Timeout beim Sender) statt sie aktiv mit einem Refused zu quittieren.

Quellen:
Fehlermeldung 5.0.0 SMTP
patents.google.com/patent/US8347088B2/en
SMTP-Error 503
patentimages.storage.googleapis.com/86/5a/19/adb92f8ea2fd25/US82 ...
Anfänger Probleme mit Postfix und Bounces

Ich bin auch der Meinung, dass man eigentlich alles immer irgendwo in einem Log findet.

Aber falls das halt hier nicht so ist und aufgrund der Fehlermeldung "530 4.7.0 Connection refused" beim Verbindungsaufbau würde ich erstmal mit Wireshark das Netzwerk sniffen.

Dann weisst du zumindest, ob und wann genau da was eintrifft.

Oder sich einfach mit telnet öder openssl auf den Zielserver verbinden und die Mailkommandos manuell eintippen. Da kann man wunderbar direkt die Antworten sehen.

lks

Dann müsste er sich aber vom Hetzner-Server mit seinem Mailserver verbinden. Aber ja, auch eine Möglichkeit.

Mich würde jetzt noch interessieren, wie denn die Mails vom Hetzner-Server abgeschickt werden. Z. B. mit einem PHP-Script oder sowas? Und wird dann direkt eine SMTP-Verbindung aufgebaut? Oder läuft das über einen Hetzner-Spooler, ev. mit wechselnden IPs? Sind die IPs auf dem empfangenden Mail-Server in der Whitelist?

Ohne Logs ist halt alles schon etwas Glaskugelraten.

Doch, klar macht das Sinn, denn MDaemon hat durchaus sinnvolle Sicherheitsfeatures, und dazu gehört auch, einzelne IP-Adressen vorübergehend oder dauerhaft zu sperren, wenn er meint, dass von da Müll kommt. Und die anderen kommen halt durch.

Mir ist bei Deinen Schilderngen immer noch unklar, wer denn wo da Mails aufbaut.

Zu Deiner Zone:

Das ist technisch so nicht ganz richtig, da eine Domain verwaltet wird und einen Nameserver hat. Ab da kann alles woanders liegen. Insofern würde die Zone Deiner Domain auf ns1. your-server.de liegen.

xx.xxx.xxx.xxx ist dann Deine feste IPv4 bei der Telekom?
Und auch mail.meinedomain.de, und das ist der remote Mailserver, der zurückgibt:

Dann bedeutet das rein technisch eben sehr wohl, dass der MDaemon abweist, und das findest Du bei MDaemon immer in den Logs. Ggf. Detailstufe höher schrauben: Server-Einstellungen > Protokollierung.

Da zunächst Betriebsart des Protokolls = Verbindungen zur Übermittlung von Nachrichten im Detail protokollieren. Und dann in Protokollierung/Einstellungen mal alles auswählen bis auf die "aber nur, falls..."-Einträge, die nicht. Dann hast Du maximale Protokollierung und solltest sehen, was das Problem ist.

Wie gesagt, es ist vollkommen normal, dass einzelne Hosts abgewiesen werden und der überwiegende Teil durchgeht.

Ich glaub, ich hab ein Verständnisproblem.

vorname.nachname@meinedomain.de ist eine normale öffentliche E-Mail Adresse, an die jedermann schreiben kann? Und ihr hostet euren Mail-Server selber inhouse?

Warum sollte denn dann das Problem bei Hetzner und dem Web-Server liegen?

Wenn man euch eine Mail schickt und euer Server lehnt die Verbindung ab, liegt es doch an eurem System, oder nicht?

Als ich von 'eurem System' geschrieben habe, meinte ich nicht explizit den MDaemon, sondern schon das Gesamtsystem. Also angefangen von eurem Router/Firewall bis zum Server mit allen seinen Diensten.

So wie du es beschreibst, kommt die Mail tatsächlich nicht beim MDaemon an und deshalb hast du dort keine Log-Einträge.

Ich vermute, die Mail wird vorher durch etwas geblockt. Und diese Blockierung sorgt auch dafür, dass der Sender sofort eine Fehlermeldung erhält. Genauer: Der MTA merkt, dass er die Mail definitv nicht zustellen kann und erzeugt eine Fehlermeldung.

SMTP error from remote mail server after initial connection: 530 4.7.0 Connection refused

Sinngemäss heisst das ja, dass schon beim Verbindungsaufbau ein Fehler passiert, also noch vor dem Handshake.

Deshalb würde ich nach wie vor mit Wireshark schauen, was denn da so im Netz bei euch abgeht.

Ein Tipp wäre: Firewall (entweder Hardware-Firewall oder Betriebsystem-Firewall) oder andere Filter-Dienste, sowas wie Fail2Ban bei Linux.

Moin,


Natürlich nicht, die kommt vom MTA bei Hetzner.
Steht ja auch in der Meldung: SMTP Error from remote Server.

Der Hetzner MTA schickt dir also eine Mail und teilt dir mit, was er von deinem MDaemon als Antwort bekommen hat und das ist Connection refused.

Gruß,
Avoton

Um präzise zu sein: Nicht zwangsläufig der MTA von Hetzner, sondern der MTA des Versenders.

Also wenn z.B. jemand mit einer @gmail.com Adresse sendet, wird der MTA von Google die Fehlermeldung erzeugen.

Wenn das wirklich so ist, also MDaemon länger deaktiviert und während dieser Zeit kommt die Fehlermeldung, dann - logischerweise - wird eine Software in der uns unbekannten Kette auf dem Weg zu Deinem Mailserver im Spiel sein.

Bedeutet: wenn Du den MX direkt auf die feste IP gesetzt hast, kann da weder Hetzner, noch sonst was (erst recht kein Webserver) im Spiel sein, sondern nur Eure Infrastruktur vor Ort. Die Mails gehen überhaupt nicht über Hetzner (soweit es Euren Eingang betrifft und nicht der Absender auch die Hetznerinfrastruktur nutzt).

Und wenn da nicht direkt der Mailserver ist, kann das ja eigentlich nur ein Proxy oder eine Firewall sein, die dazwischen hängen, den Datenverkehr inspizieren und die Mails durchleiten oder eben abweisen. Was das ist, kannst nur Du wissen. Da dann in den Logdateien nachschauen. Professionelle Software lässt es immer zu, das Debuglevel so weit hochzuschrauben, dass auch abgewiesene Versuche (wenn nicht schon standardmäßig) geloggt werden.

Das ist sowieso klar. Die Fehlermeldung kommt nicht von MDaemon. Fraglich ist, wer hier abweist.

Moin,

Genau das sollte im Mail-Header zu finden sein. Dort sind (sofern man nichts manipuliert) alle Beteiligten enthalten. Mann muss nur „von unten nach oben“ lesen…