Eigenen Mailserver anbinden: mailcow

Bei einer mailcow-Installation bleiben die Postfächer auf dem eigenen Server, Conbool sitzt als Gateway davor. Eingehende Nachrichten nimmt Conbool an, prüft sie und stellt an mailcow zu. Ausgehend nimmt Conbool die Nachrichten von mailcow an, setzt Signatur, Disclaimer oder Verschlüsselung und stellt weiter zu.

In mailcow sind dafür im Kern zwei Einstellungen nötig: Die Domäne darf keine Relay-Domäne sein, und der ausgehende Weg führt über einen senderabhängigen Transport. Die allgemeine Anbindung eines eigenbetriebenen Servers beschreibt Eigenen Mailserver anbinden.

DNS

• MX der Domäne auf mail.conbool.com.
• SPF um include:mail.conbool.com ergänzen. Die Adresse des eigenen Servers bleibt im Eintrag erhalten.
• DKIM: Den Selector conbool1 stellt Conbool bereit, den Wert zeigt das Portal. Der eigene mailcow-Selector kann bestehen bleiben, eine zweite Signatur stört nicht.

Partner- und On-Premise-Installationen stellen aus ihrer eigenen Instanz zu und zeigen im Portal entsprechend abweichende Werte.

Die Domäne darf keine Relay-Domäne sein

Menüpfad: E-Mail, Konfiguration, Domains, bei der Domäne auf Bearbeiten. Unter Relay-Optionen bleibt Diese Domain relayen ausgeschaltet, ebenso die beiden Unterpunkte Alle Empfänger-Adressen relayen und Nur nicht-lokale Mailboxen relayen.

Ist der Haken gesetzt, stellt mailcow die Domäne nicht mehr in die lokalen Postfächer zu, sondern schlägt den MX nach und schickt die Nachricht an das Gateway zurück. Das Gateway liefert sie erneut an mailcow aus, und die Nachricht kreist zwischen beiden Seiten, bis eine davon mit too many hops abbricht. Das ist der mit Abstand häufigste Fehler bei dieser Einrichtung.

Außerdem muss jede Adresse der Domäne als echte Mailbox vorhanden sein, zu finden unter E-Mail, Konfiguration, Mailboxen.

Ausgehenden Weg einrichten

Zwei Schritte, beide sind nötig.

Schritt 1, Transport anlegen. System, Konfiguration, Routing, Senderabhängige Transport Maps, dort einen Eintrag hinzufügen.

• Host: [mail.conbool.com]:25
• Benutzername und Passwort bleiben leer, die Autorisierung läuft über die Adresse des eigenen Servers
• Aktiv einschalten

Port 25 ist richtig, der Transport fordert STARTTLS selbst an. TLS-gekapselte Ports wie 465 sind nicht vorgesehen. Die eckigen Klammern unterdrücken die MX-Abfrage für den Zielhost.

Schritt 2, Transport zuweisen. Zurück nach E-Mail, Konfiguration, Domains, Domäne bearbeiten, im Auswahlfeld Senderabhängige Transport Maps den neuen Eintrag wählen und speichern. Ohne diesen Schritt bleibt der Eintrag unter Routing eine reine Definition und wird nicht wirksam.

Das Auswahlfeld erscheint nur für Konten mit der Berechtigung Relayhost für eine Domain setzen. Fehlt das Recht, bleibt das Feld verborgen. Dann wird das Recht ergänzt, oder die Zuweisung übernimmt ein Konto mit vollen Administratorrechten.

Transport-Maps sind der falsche Ort

Die Rubrik Transport-Maps unter Routing passt nicht zu dieser Anbindung. Sie ordnet nach dem Ziel einer Nachricht zu, nicht nach dem Absender. Ein Eintrag mit dem Ziel * führt deshalb auch die Post aller weiteren auf derselben mailcow gehosteten Domänen über das Gateway und kann zusätzlich die lokale Zustellung aushebeln. Für die Anbindung einer einzelnen Domäne ist ausschließlich der senderabhängige Transport richtig.

Weiterleitende Hosts

Unter System, Konfiguration, Routing steht der Abschnitt Weiterleitende Hosts. Ein Eintrag für mail.conbool.com sorgt dafür, dass die vom Gateway zugestellte Post nicht zusätzlich durch den lokalen Spamfilter läuft. Empfohlen, aber nicht zwingend.

Einrichtung prüfen

• Eine Testnachricht von außen an eine Adresse der Domäne. Sie kommt im Postfach an und trifft genau einmal ein.
• Eine Testnachricht aus dem Postfach nach außen. Im Portal erscheint sie in der Nachrichtenablaufverfolgung als ausgehend und trägt die Conbool-DKIM-Signatur.

Was nicht über das Gateway läuft

Nachrichten zwischen zwei Postfächern derselben Domäne stellt mailcow direkt zu. Sie erreichen das Gateway nie und erscheinen deshalb nicht in der Nachrichtenablaufverfolgung. Wer auch diesen Verkehr erfassen will, bindet ihn über das Journaling im Archiv an, beschrieben in der Archiv-Einrichtung.

Weiter geht es mit dem eingehenden Schutz unter MailGuard und mit der Archivierung unter Archiv.