Probleme beim Mailserver (IMAP SSL und Fail2Ban) [GELÖST]

[Luukullus]

Ich bin sicher, dass die Ursache des Problems bei KeyHelp liegt
Es geht um den Mailserver im Keyhelp. Dieser ist Standard belassen und es gibt keine extra Konfigurationen mehr.
Ob Keyhelp der Grund ist, das kann ich leider nicht mit Sicherheit behaupten. Aber es betrifft Keyhelp.

Server-Betriebssystem + Version
Ubuntu 22.04 (64-bit)

Eingesetzte Server-Virtualisierung-Technologie
keine

KeyHelp-Version + Build-Nummer
24.2 (Build 3326)

Problembeschreibung / Fehlermeldungen
Das Einbinden von Postfächern in externe Mail-Clients (Apple Mail, Outlook etc.) funktioniert nicht richtig.
Von den angezeigten Konfigurationen zum Verbinden funktioniert nur IMAP mit Ports für STARTTLS. Bei allen anderen wird in den Apps gemeldet, das es nicht möglich ist das Konto hinzuzufügen. Via STARTTLS IMAP Ports 143 und SMTP 587 jedoch funktioniert alles (auch der Email-Versand sowie Empfang sind OK)

Zudem werden von vielen Kunden und uns selbst häufig die IPs durch F2B geblockt. Oft sogar mehrfach am Tag.
Gerade heute ist es erneut bei meinem Boss passiert. Das Konto war eingerichtet (Iphone 15, neustes IOS in der MS Outlook APP) und wurde nicht angerührt. Von jetzt auf gleich ist seine IP geblockt und er kann keine Mails mehr empfangen.

Das passiert wie gesagt sehr häufig und wir können es einfach nicht nachvollziehen. Wir haben Fail2Ban bereits auf Standard zurückgesetzt (wir hatten einige Verschärfungen durch häufige Angriffe). Es handelt sich dabei um einen von drei Keyhelp Servern und dieses Verhalten haben wir lediglich auf dieser einen Maschine. Die beiden anderen laufen 1A und haben keinerlei ähnliche Einschränkungen. Sowohl bezogen auf die Anmeldungen in Email-Clients, als auch bezogen auf die IP Blocks.

Erwartetes Ergebnis
Keine häufigen IP sperren bei bereits eingerichteten Clients (ich rede hier nicht von Leuten die Kennwörter falsch eingeben).
Einrichtung von Postfächern mit denen im Keyhelp angegebenen Konfigurationsdaten (IMAP via SSL und sowas)

Tatsächliches Ergebnis
IPs werden durch F2B oft blockiert (gefühlt ohne Zusammenhang).
Einrichtung von Email-Clients via SSL nicht möglich

Schritte zur Reproduktion
Den IP Block kann ich leider nicht aktiv nachproduzieren. Es passiert ab und zu einfach so. Ohne sichtbaren Grund.
Bezüglich der Email Clients: Neue Email Adresse anlegen -> Beliebige App öffnen -> Serverkonfiguration eingeben -> Problem (bei den beiden anderen Servern wird nicht einmal nach Server Konfigurationen gefragt. Findet einfach alles selbst).

Zusätzliche Informationen
Fail to Ban auf Standardkonfiguration zurückgesetzt und neu gestartet.


Wenn noch weitere Informationen benötigt werden, gern Bescheid geben.
Ich hoffe hier kann jemand helfen, leider ist der Server genau der, auf dem die meisten Kunden liegen und die Beschwerden überlaufen uns gerade.
Die Probleme haben wir schon lange, allerdings sind diese nicht so stark aufgefallen, bis es nun bei uns selbst oft passiert und mehr Kundenbeschwerden reinkommen.
Leider kann ich nicht mehr genau sagen, wann es begann.

Lieben Gruß,
Luuk

EDIT:
Wichtig zu erwähnen wäre noch, wenn so ein IP Block passiert (zum Beispiel am Handy), man WiFi ausschaltet und mit Mobilen Daten erneut testet, geht plötzlich wieder alles. Ohne irgendwas zu ändern.

Ich bin einfach verzweifelt xD

[Florian]

Hallo,

schau doch mal ins Mail-Log was passiert wenn das Konto mit dem betreffenden Gerät abgefragt wird.

Das gleichst du mit dem Fail2ban Log ab und siehst dann was den Block triggert.

Ansonsten ist das hier nur ein Raten.

[Tobi]

man WiFi ausschaltet und mit Mobilen Daten erneut testet, geht plötzlich wieder alles. Ohne irgendwas zu ändern.

Zumindest dieses Mysterium vermag ich zu erklären.

Du hast mit mobilen Daten eine andere IP als mit Wifi.
Kannst du ganz einfach auf https://www.wieistmeineip.de/ testen.

[KeksDipp]

Ich habe das gleiche Problem. Bei aktuellen Outlook Versionen wird beim Einrichten einer E-Mail Adresse die IP durch Fail2Ban blockiert. Ich schalte für die Einrichtung Fail2Ban Temporär ab und danach wieder an um mir zu helfen.

[Alexander]

@Luukullus

Ich hatte es bei meinem privaten Server auch einmal beobachtet - Irgendwie senden manche Mailprogramme manchmal komische Sachen . Versuche einmal das Folgende:

Unter /etc/fail2ban/jail.d/keyhelp.local (bzw. /etc/fail2ban/jail.d/keyhelp.conf):

in der Konfiguration mit dem Titel "[kh-dovecot]"
Setzte den Wert von maxretry auf 8, oder deaktiviere die diesen Filter gleich mit enabled = false.

Anschließend starte Fail2ban neu.

[Ralph]

Es gibt viele mögliche Ursachen z.b. wenn die TLS Version der Client Systeme nicht mit denen des Servers kompatibel sind oder ganz einfach outdated ... es gibt aber auch Kunden die ein Mailkonto im Panel löschen aber die Transporte im Email Client nicht löschen und somit laufend Fail logins produzieren.

[Justman10000]

aber die Transporte im Email Client nicht löschen und somit laufend Fail logins produzieren.

Dann müssten die Mail Clients ja immer wieder versuchen, sich neu zu verbinden...

[Luukullus]

Moin Ihr lieben und ein frohes neues!

Vielen Dank für die ganzen Anworten. Ich werde mal versuchen auf alle einzugehen .

@Luukullus

Ich hatte es bei meinem privaten Server auch einmal beobachtet - Irgendwie senden manche Mailprogramme manchmal komische Sachen . Versuche einmal das Folgende:

Unter /etc/fail2ban/jail.d/keyhelp.local (bzw. /etc/fail2ban/jail.d/keyhelp.conf):

in der Konfiguration mit dem Titel "[kh-dovecot]"
Setzte den Wert von maxretry auf 8, oder deaktiviere die diesen Filter gleich mit enabled = false.

Anschließend starte Fail2ban neu.

Vielen Dank Alex, ich habe dies jetzt umgesetzt und werde es weiter beobachten.
Ich hoffe sehr das damit ruhe im Karton ist.
Werde natürlich berichten wie es weitergeht .

------------------------------------------------------------------------------

Es gibt viele mögliche Ursachen z.b. wenn die TLS Version der Client Systeme nicht mit denen des Servers kompatibel sind oder ganz einfach outdated ... es gibt aber auch Kunden die ein Mailkonto im Panel löschen aber die Transporte im Email Client nicht löschen und somit laufend Fail logins produzieren.

Hallo Ralph, vielen Dank für deine Hilfe.
Das merkwürdige an der ganzen Sache ist, das es durch die Bank weg passiert. Egal ob von mir nur ein Testaccount ganz neu oder bei Kunden die seit Tag 1 ein Mailkonto hatten. Es hört einfach nicht auf.

Sicher sind da auch Kunden bei die selbst schuld sind. Aber viele der Kunden mit Problemen sind von uns eingerichtet (sowohl in Keyhelp, als auch der Computer im Büro.). Diese Kunden werden dann eingerichtet, einmal und laufen dann bis zur nächsten Migration durch.

Ich beobachte allerdings nun mal wie es aussieht mit dem deaktivierten dovecot filter. Ich hoffe damit ist dann erstmal alles wieder im Lot.

------------------------------------------------------------------------------

Ich habe das gleiche Problem. Bei aktuellen Outlook Versionen wird beim Einrichten einer E-Mail Adresse die IP durch Fail2Ban blockiert. Ich schalte für die Einrichtung Fail2Ban Temporär ab und danach wieder an um mir zu helfen.

Moin Keks .
Das ist natürlich auch ne Möglichkeit. Allerdings haben wir viele Kunden auf dem Server und würden dann den ganzen Tag nur drauf warten bis einer Outlook einrichten will xD.

Ich hoffe das mit Abschaltung des dovcot Filters hier Besserung einzieht.

------------------------------------------------------------------------------

man WiFi ausschaltet und mit Mobilen Daten erneut testet, geht plötzlich wieder alles. Ohne irgendwas zu ändern.

Zumindest dieses Mysterium vermag ich zu erklären.

Du hast mit mobilen Daten eine andere IP als mit Wifi.
Kannst du ganz einfach auf https://www.wieistmeineip.de/ testen.

Hallo Tobi,
vielen Dank für deine Aufklärung.

Mir ging es dabei allerdings weniger um den Wechsel der IP, sondern um Bestätigung, das die Einstellungen im Client nicht falsch sind. Ich habe schon bei ein zwei bekannten um Hilfe gebeten und die bleiben in Ihrer Meinung steif: Es sei 100% ein Userfehler.
Vermutlich haben die keine Lust zu helfen xD.

------------------------------------------------------------------------------

Hallo,

schau doch mal ins Mail-Log was passiert wenn das Konto mit dem betreffenden Gerät abgefragt wird.

Das gleichst du mit dem Fail2ban Log ab und siehst dann was den Block triggert.

Ansonsten ist das hier nur ein Raten.

Hallo Florian,

vielen Dank auch dir für den Tipp. Witziger weise habe ich noch nie ein Log für das F2B gefunden.
Im Mail Log gibts keine Auffälligkeiten. Ich sehe hier lediglich eine Authentifizierung und dann ist gut.

------------------------------------------------------------------------------

Vielen Dank an euch alle!
Echt eine freundliche zuverlässige Community. Wirklich wirklich sehr selten!

Danke!
Luuk

[Alexander]

Witziger weise habe ich noch nie ein Log für das F2B gefunden.

Wenn du das Fail2Ban Log suchst, es befindet sich hier: /var/log/fail2ban.log

[Ralph]

Ich habe das gleiche Problem. Bei aktuellen Outlook Versionen wird beim Einrichten einer E-Mail Adresse die IP durch Fail2Ban blockiert

Hm, das kenne ich bisher nur von veralteten Versionen ... aber es würde mich jetzt nicht überraschen bei Outlook.

musst halt schauen was den F2B Filter hierbei triggered ...

Code: Select all

grep kh-dovecot /var/log/fail2ban.log

Code: Select all

journalctl -n 5000 -u dovecot.service | grep "auth failed"

Code: Select all

journalctl -u dovecot.service | grep "auth failed"

Code: Select all

journalctl -n 5000 -u dovecot.service | grep error

Es kommt nicht selten vor dass User nicht mehr vorhandene Emailkonten auf vergessenen Geräten im Netz weiterhin abrufen ...
Eventl. auch mal versuchen den echten Hostname im Client zu verwenden eingehend/ausgehend ... zu viele SSL_accept errors könnten das blocking eventl. auch auslösen, so wie ich das in Erinnerung habe ...

[mhagge]

Wird der Mailverkehr bei den neuen Outlook-Versionen nicht über Microsoft-Server geleitet, also nicht mehr von Outlook selbst abgefragt? Irgend so was habe ich im Hinterkopf. In dem Fall könnte unter Umständen ein User mit einer Fehlkonfiguration auch andere User blocken, weil sie auf dem Server mit der gleichen (Microsoft)-IP rauskommen.

[Ralph]

Wird der Mailverkehr bei den neuen Outlook-Versionen nicht über Microsoft-Server geleitet, also nicht mehr von Outlook selbst abgefragt? Irgend so was habe ich im Hinterkopf. In dem Fall könnte unter Umständen ein User mit einer Fehlkonfiguration auch andere User blocken, weil sie auf dem Server mit der gleichen (Microsoft)-IP rauskommen.

Gute Überlegung
wäre für mich nicht unvorstellbar wenn solche Fehl Logins nicht von den Usern selbst produziert werden ... aber auch Attacken habe ich massenhaft von diesen Kisten gesehen. Die IPs kann man ja mal testweise auf ein mögliches Blacklisting checken ...
https://www.abuseipdb.com/

[Luukullus]

Hey Leute,
Frohes neues Jahr!

Kurze Wasserstandsmeldung. Stand jetzt ist es noch nicht wieder aufgetaucht.
Bleibt also erstmal nur zu hoffen das es damit erledigt ist.

Ich habe die dovecot filter disabled.

Wird der Mailverkehr bei den neuen Outlook-Versionen nicht über Microsoft-Server geleitet, also nicht mehr von Outlook selbst abgefragt? Irgend so was habe ich im Hinterkopf. In dem Fall könnte unter Umständen ein User mit einer Fehlkonfiguration auch andere User blocken, weil sie auf dem Server mit der gleichen (Microsoft)-IP rauskommen.

Ich habe so etwas auch schon mitbekommen. Aber in unserem Fall waren es immer die Client IPs die gesperrt waren und nicht immer die selben .