So überprüfen Sie den Mailserver

Die Diagnose von Mailservern trägt maßgeblich zum reibungslosen E-Mail-Betrieb bei. Sie ermöglicht die Identifizierung und Behebung von Problemen beim Senden, Empfangen und Verarbeiten von E-Mail-Nachrichten. Ein Schlüsselfaktor der Diagnose ist der Einsatz von Filtern auf Mailservern, die Schutz vor Spam, Viren und anderen Sicherheitsbedrohungen bieten.

Dieser Artikel behandelt sowohl externe Dienste zur Überwachung des Mailserverbetriebs als auch interne Tools zur direkten Serverdiagnose. Alle Aktionen werden beispielhaft auf einem privaten Server mit Ubuntu 20.04.6 und der Konfiguration Postfix und Dovecot durchgeführt. Die vorgestellten Methoden sind jedoch auf nahezu jedes Betriebssystem und jeden Mailclient anwendbar.

Online-Dienste zur Mailserver-Prüfung

Der erste und wichtigste Schritt ist die Verifizierung mithilfe externer Online-Dienste. So können Sie Mailserver auf Schwachstellen, SPF-, DKIM- und DMARC-Einstellungen prüfen und die Reputation der IP-Adressen, von denen E-Mails gesendet werden, überprüfen. In den meisten Fällen führt die alleinige Verwendung dieser Tools zum gewünschten Ergebnis.

Lassen Sie uns die wichtigsten Verifizierungsdienste und ihre Funktionen im Detail betrachten:

MxToolBox ermöglicht die Überprüfung nahezu aller verfügbaren Mailserver-Parameter. Der Dienst bietet Tools zur Prüfung aller Domain-Einträge, der allgemeinen Domain-Verfügbarkeit, von SSL-Zertifikaten, des IP-Adressstatus und vielem mehr. Zur Diagnose rufen Sie die Dienstseite auf , geben die IP-Adresse oder Domain ein, wählen das gewünschte Tool aus und führen die Prüfung durch.

Eine detaillierte Liste aller verfügbaren Tools wird im Screenshot angezeigt:

Wie oben gezeigt, prüft die Website auch, ob eine IP/Domäne in Blacklists vorhanden ist. Alle wichtigen Quellen werden überprüft: Spamhaus, Barracuda, SURBL und viele andere. Sollte die Adresse in einer Datenbank enthalten sein, informiert der Dienst über die Gründe für die Blacklist-Aufnahme. So können Sie Maßnahmen zur Behebung des Problems ergreifen.

MailTester ist das zweitbeliebteste Tool zur Überprüfung von Mailservern. Mit diesem Dienst können Nutzer eine Test-E-Mail an eine eindeutige Adresse senden und erhalten anschließend einen detaillierten Bericht über die Qualität der gesendeten Nachricht. Im Gegensatz zu MxToolBox konzentriert sich MailTester weniger auf die Diagnose des Mailservers, sondern vielmehr auf mögliche Verbesserungen des E-Mail-Versands. Dies bedeutet jedoch nicht, dass der Dienst keine umfassende Analyse des Absenderservers durchführen kann. Er testet die E-Mail-Zustellung, führt Untersuchungen durch und gibt Empfehlungen zur Optimierung des gesamten Maildienstes.

Um die Überprüfung abzuschließen, rufen Sie einfach die Website der Ressource auf und generieren Sie eine eindeutige E-Mail-Adresse, an die Sie eine E-Mail senden möchten. Nach dem Absenden wählen Sie „Bewertung überprüfen“ und warten, bis die Seite aktualisiert wird. Ein korrektes Ergebnis sieht folgendermaßen aus:

Bei Problemen oder Empfehlungen weist der Service im entsprechenden Abschnitt des Berichts darauf hin.

Die oben genannten Dienste reichen für eine vollständige Überprüfung des Mailservers von außen aus. Sie ermöglichen es Ihnen, potenzielle Probleme bei der E-Mail-Zustellung zu identifizieren, Ihre Sicherheitseinstellungen zu überprüfen und Empfehlungen zur Behebung möglicher Fehler zu erhalten. Anschließend führen wir serverseitige Tests durch.

Überprüfung der Mailserver-Einstellungen

DNS-Einträge prüfen

Eines der häufigsten Probleme auf Mailservern ist eine fehlerhafte DNS-Konfiguration. Sie können die Korrektheit der Einträge mithilfe der oben genannten Drittanbieterdienste überprüfen. In manchen Fällen wird eine E-Mail jedoch einfach nicht an das Postfach eines Drittanbieters zugestellt. Dann sollten Sie alle Einträge manuell überprüfen. Öffnen Sie dazu den DNS-Editor und starten Sie die Überprüfung. Nehmen wir als Beispiel folgende Quelldaten: Domain profit.com, IP-Adresse 11.22.33.44. Ersetzen Sie dabei @ durch den Domainnamen, falls Ihr Registrar die Eingabe in diesem Feld nicht zulässt. Vergessen Sie nicht, die Werte entsprechend anzupassen.

A- Records definieren die IP-Adressen von Mailservern. Vereinfacht gesagt, leiten sie die Domain an die Adresse des Mailservers weiter. Das sollte folgendermaßen aussehen:

MX- Einträge sind für einen Mailserver von größter Bedeutung; sie sind für den Zustellungsweg der E-Mails verantwortlich. Anders ausgedrückt: Sie leiten die E-Mails an die jeweiligen Postfächer weiter.

SPF-Einträge verweisen auf Server, die E-Mails von einer bestimmten Domain versenden können . Bitte beachten Sie: Sie werden im TXT-Format veröffentlicht. Es wird jeweils nur einer der möglichen Werte angezeigt.

Ein DKIM-Eintrag dient zur Überprüfung der Authentizität einer E-Mail. Er muss den generierten öffentlichen Schlüssel enthalten. Ebenso ist nur eine der Wertoptionen angegeben.

Die DMARC- Aufzeichnung ist die nächste und letzte Schutzstufe. Sie kommt bei E-Mails zum Tragen, die die SPF- und DKIM- Prüfungen nicht bestanden haben.

Einer der wichtigsten Einträge für einen Mailserver ist der PTR-Eintrag . Er funktioniert umgekehrt zum A-Eintrag und verknüpft eine IP-Adresse mit einer Domain. Dieser Eintrag kann nur über den technischen Support des Hosting-Anbieters hinzugefügt werden und lässt sich mit dem Befehl `nslookup IP` überprüfen , wobei IP die Adresse Ihres Servers ist. Die Antwort sollte die verknüpfte Domain anzeigen.

Portprüfung

Probleme mit geschlossenen Ports können auch zu einem kompletten Ausfall des Mailservers führen. Zunächst sollte man mit dem Provider klären, ob es seitens des Providers Beschränkungen hinsichtlich der benötigten Ports gibt. Wir beschränken die Anzahl offener Ports auf unseren dedizierten und virtuellen Servern nicht . Viele Hosting-Anbieter handhaben dies jedoch anders.

Sie können die offenen Ports mit dem vorinstallierten Dienstprogramm netstat überprüfen . Es genügt, folgenden Befehl einzugeben:

netstat – nat

Wenn der SMTP/IMAP/POP3-Server installiert und konfiguriert ist, sehen wir die entsprechenden offenen Ports:

Wie wir im Screenshot sehen können, sind die wichtigsten Ports für E-Mail-Clients geöffnet, nämlich: SMTP (25) / IMAPS (143, 993) / POP3S (110, 995). Sie können den E-Mail-Dienst auch auf jedem Port einzeln überprüfen. Das Telnet- Tool hilft Ihnen dabei. Betrachten wir das Beispiel von POP3, also Port 110:

telnet mail.yourdomain.com 110

Wir beenden das Tool mit dem Befehl `exit` und überprüfen die verbleibenden benötigten Ports nach demselben Prinzip. Beachten Sie, dass dieses Tool auch die Möglichkeit bietet, den E-Mail-Versand ohne zusätzliche Schnittstelle zu testen. Dies kann hilfreich sein, wenn der Benutzer lediglich den Server einrichten und E-Mails lokal versenden möchte.

Sollten beim Öffnen von Ports Probleme auftreten, überprüfen Sie bitte die installierte Firewall. Die meisten Distributionen werden mit vorinstalliertem Iptables/Firewalld ausgeliefert.

Für iptables verwenden wir die folgenden Befehle:

iptables -A INPUT -p tcp --dport 25 -j ACCEPT
iptables -A INPUT -p tcp --dport 110 -j ACCEPT
iptables -A INPUT -p tcp --dport 995 -j ACCEPT
iptables -A INPUT -p tcp --dport 143 -j ACCEPT
iptables -A INPUT -p tcp --dport 993 -j ACCEPT

Für Firewalld:

firewall-cmd --permanent --add-port=25/tcp
firewall-cmd --permanent --add-port=110/tcp
firewall-cmd --permanent --add-port=995/tcp
firewall-cmd --permanent --add-port=143/tcp
firewall-cmd --permanent --add-port=993/tcp

In manchen Fällen benötigt der SMTP-Dienst für den korrekten Betrieb auch die geöffneten Ports 465 und 587. Das Öffnen dieser Ports erfolgt auf die gleiche Weise. Starten Sie den Firewall-Dienst nach dem Hinzufügen neuer Regeln neu.

Überprüfung der SSL/TLS-Zertifikate des Mailservers

SSL/TLS-Zertifikate werden auf dem Mailserver verwendet, um eine sichere Datenübertragung zwischen Mail-Client und Server zu gewährleisten. Sie bestätigen zudem die Authentizität des Mailservers des Absenders und eliminieren so Man-in-the-Middle-Angriffe. Sie können jedoch auch Probleme beim Senden und Empfangen von E-Mails verursachen. Um eine Diagnose zu starten, müssen Sie prüfen, ob serverseitig Zertifikate installiert sind. Überprüfen wir dies mit dem folgenden Befehl:

openssl s_client -showcerts -server mail.profit.com -connect IP:port

In diesem Befehl müssen Sie die Werte durch Ihre eigenen ersetzen: „ mail.profit.com “ ist die Adresse des Mailservers; IP:Port sind die Serverdaten. Prüfen wir beispielsweise Port 993 , der zum IMAP- Protokoll gehört. Andere Protokolle werden auf die gleiche Weise geprüft.

Als Antwort muss der Server die Zertifikatsdaten senden:

Die meisten E-Mail-Clients installieren Zertifikate automatisch. In manchen Fällen ist es jedoch notwendig, diese manuell freizugeben und dem jeweiligen Client hinzuzufügen. Da verschiedene Plattformen möglicherweise eine individuelle Installation und Konfiguration erfordern, empfehlen wir Ihnen, die Anweisungen für die jeweilige Lösung zu beachten. Wir empfehlen die Verwendung von Let's Encrypt als Zertifikat und Certbot als Hilfsmittel für dessen Installation und Konfiguration.

Protokollprüfung

Schließlich haben wir eine Lösung gefunden, die in den meisten Fällen hilft: die Überprüfung der Mailserver-Protokolle. Die meisten Benutzer machen sich etwas vor, weil sie glauben, es gäbe keine Lösung für ihr Problem. Moderne Mail-Clients speichern jedoch eine große Menge an Informationen in Protokollen:

1. Datum und Uhrzeit des Sendens und Empfangens von E-Mails.
2. Adresse des Absenders und des Empfängers.
3. Filterergebnisse für Spam und Viren.
4. Der Status der Warteschlange zum Senden und Empfangen von E-Mails.
5. Aktionen von Administratoren und Benutzern im Zusammenhang mit dem Mailserver (z. B. Erstellen, Löschen von Postfächern, Ändern von Einstellungen).
6. Fehler und Probleme, die bei der Verarbeitung und Zustellung von E-Mails aufgetreten sind.

Das Standardverzeichnis, in dem die Protokolle der meisten Befehle gespeichert werden, befindet sich unter: / var/log/. Je nach verwendeter Lösung kann der Name der jeweiligen Protokolldatei variieren. Beispielsweise befindet sich die Datei mail.log bei Postfix im selben Verzeichnis. Wir empfehlen Ihnen dringend, diese Diagnosemethode zu nutzen und die Protokolle zu überprüfen, sobald erste Anzeichen einer beeinträchtigten Leistung Ihres E-Mail-Clients auftreten. Bitte lesen Sie dazu unsere Anleitung zum Lesen von Linux-Protokollen.

So überprüfen Sie den Mailserver

Wir haben eine detaillierte Diagnose des Mailservers durchgeführt. Dabei kamen sowohl Online-Tools zur detaillierten Recherche als auch lokale Lösungen zur Erkennung möglicher Probleme zum Einsatz. Nach Durchführung aller erforderlichen Tests erhielten wir ein vollständiges Bild des aktuellen Zustands des Mailservers sowie Empfehlungen zur Behebung potenzieller Probleme.