Onderwerp: Niet alle mail wordt ontvangen...

Ik zit met een nogal raar probleem.
Niet alle mail wordt door mijn server ontvangen, waar onder dus ook de mail van webhostingtalk.nl niet.
In de logfiles zie ik niet dat er een verbinding gemaakt wordt, dus vraag mij af waar ik mijn probleem moet gaan zoeken.
De reverse DNS staat naar mijn hostname
77.243.225.87 resolves to "srv1.funnymedia.nl" Top Level Domain: "funnymedia.nl" Country IP Address: NETHERLANDS
De test op http://mxtoolbox.com geeft ook geen grote problemen:
SMTP Transaction Time 5.210 seconds - Warning on Transaction Time More Info
SMTP Banner Check OK - 77.243.225.87 resolves to srv1.funnymedia.nl

SMTP Reverse DNS Mismatch OK - Reverse DNS matches SMTP Banner
SMTP TLS OK - Supports TLS.
SMTP Connection Time 2.886 seconds - Good on Connection time
SMTP Open Relay OK - Not an open relay.
Session Transcript:

Connecting to 77.243.225.87

220 srv1.funnymedia.nl ESMTP Exim 4.84 Wed, 14 Jan 2015 17:33:43 +0100 [2699 ms]
EHLO MXTB-PWS3.mxtoolbox.com
250-srv1.funnymedia.nl Hello mxtb-pws3.mxtoolbox.com [64.20.227.133]
250-SIZE 20971520
250-8BITMIME
250-PIPELINING
250-AUTH PLAIN LOGIN
250-STARTTLS
250 HELP [733 ms]
MAIL FROM: <supertool@mxtoolbox.com>
250 OK [733 ms]
RCPT TO: <test@example.com>
550 authentication required [749 ms]

MXTB-PWS3v2 6224ms

Dus iemand een idee waar ik moet gaan zoeken?
Mail van o.a webhostingtalk komt niet aan op mijn server en das best lastig zeker omdat je het dus niet weet...

Kan je eens een mailbox aanmaken (bvb whtspam@funnymedia.nl) waarom we wat mails kunnen afvuren?

http://www.intodns.com/funnymedia.nl

DNS probleem dus...

PS : ik zie 2 opeenvolgende ip's. Staan deze op een aparte server/netwerk/datacenter? Zo niet : vraag hier even in het aanbiedingenforum of men je hier mee kan helpen. Er zijn partijen die hiervoor oplossingen bieden.

Hoi IT-Works, ik heb de mailbox aangemaakt dus voor maar raak.
Ik heb de nameservers idd op 1 server staan (dus beide IP adressen staan op 1 server)
Ik weet dat het niet geweldig is echter het is een non commercial server dus echt nodig om het te splitsen vindt ik het nog niet.
Wie weet voor de toekomst.

De andere dns fouten kan ik helaas niet snel herleiden, waar kan ik bijvoorbeeld het soa record instellen?
Vreemd alleen dat de ene test zeg dat het OK is mxtoolbox.com
Tips zij erg welkom

Gokje dat het om funnymedia.nl gaat. De DNS servers resolven hier nog niet naar je IP adres. Als ik bij de whois kijk dan heb je vandaag pas een change gedaan, mogelijk heeft dat er mee te maken. Als je een aanpassing maakt aan een domeinnaam dan kan het even duren voordat het er overal door heen gekomen is.

Dit zal ook verklaren waarom de ene mail wel en de andere mail niet aan komt. Mocht het over - pak n beet 24 uur na de wijziging - nog niet goed werken dan kan je verder kijken wat er aan de hand is.

Oorspronkelijk geplaatst door FunnyMedia

Hoi IT-Works, ik heb de mailbox aangemaakt dus voor maar raak.
Ik heb de nameservers idd op 1 server staan (dus beide IP adressen staan op 1 server)
Ik weet dat het niet geweldig is echter het is een non commercial server dus echt nodig om het te splitsen vindt ik het nog niet.
Wie weet voor de toekomst.

De andere dns fouten kan ik helaas niet snel herleiden, waar kan ik bijvoorbeeld het soa record instellen?
Vreemd alleen dat de ene test zeg dat het OK is mxtoolbox.com
Tips zij erg welkom

Hoe heb je de zonefile gemaakt ?

Als dat gewoon een tekstfile is, post die eens, dan wijzen we wel aan wat er bij moet.

Ik ben ondertussen iets verder...
Als ik CSF uitzet komt de test op http://www.intodns.com/funnymedia.nl wel OK
Nu ik CSF weer aan zet mis ik het een en ander...
Ik vermoed dat ik een poortje mis...
@Yourwebhoster , wat ik vandaag heb aangepast is de ipv6 vermelding verwijderd.
IPv6 heeft in het verleden wat problemen gegeven.
Ik verwacht niet dat het daar in zit maar ik laat me graag verrassen.
@visser , de zonefile is door DA zelf aangemaakt, gezien het verhaal hierboven verwacht ik dat ik de "error" in CSF moet gaan zoeken...

Mijn TCP_IN: 20,21,22,25,53,80,110,143,443,465,587,993,995,2222
TCP_OUT: 20,21,22,25,53,80,110,113,443,993,995,2222
UPD_IN: 20,21,53
UDP_OUT: 20,21,53,113,123

Welke mis ik?
Tips welkom!

Vreemd dat de NS servers niet in IP adressen resolven bij de DNS servers van Google en bij UPC wel. Toch vermoed ik dat het er iets mee te maken heeft en dat de instelling tijdelijk weg is.

Ik denk niet dat je naar de server moet kijken maar toch even moet wachten op de juiste DNS instelling. Je Firewall staat wel goed:

Trying 77.243.225.88...
Connected to srv1.funnymedia.nl (77.243.225.88).
Escape character is '^]'.
220 srv1.funnymedia.nl ESMTP Exim 4.84 Wed, 14 Jan 2015 19:28:43 +0100

Wat ik vreemd blijf vinden als ik CSF uit zet de check goed is...
(op het gezeur dat beide nameservers op 1 server staan na dan)
Dat is een warning en geen error.
Met firewall errors...

Oorspronkelijk geplaatst door FunnyMedia

Ik ben ondertussen iets verder...
Als ik CSF uitzet komt de test op http://www.intodns.com/funnymedia.nl wel OK
Nu ik CSF weer aan zet mis ik het een en ander...
Ik vermoed dat ik een poortje mis...
@Yourwebhoster , wat ik vandaag heb aangepast is de ipv6 vermelding verwijderd.
IPv6 heeft in het verleden wat problemen gegeven.
Ik verwacht niet dat het daar in zit maar ik laat me graag verrassen.
@visser , de zonefile is door DA zelf aangemaakt, gezien het verhaal hierboven verwacht ik dat ik de "error" in CSF moet gaan zoeken...

Mijn TCP_IN: 20,21,22,25,53,80,110,143,443,465,587,993,995,2222
TCP_OUT: 20,21,22,25,53,80,110,113,443,993,995,2222
UPD_IN: 20,21,53
UDP_OUT: 20,21,53,113,123

Welke mis ik?
Tips welkom!

Voor authoritive DNS moet je inkomend DST UDP 53 en uitgaand SRC UDP 53 accepteren.
Als je records wat groter zijn (DNSSEC) hetzelfde voor TCP, dus hou dat er ook maar bij.

Ik ken de details van CSF niet, maar ik vermoed dat bovenstaande regels de uitzonderingen zijn die CSF niet mag blokkeren ?
Dan gok ik een beetje dat er ergens een foutje zit waardoor die files/poorten niet gebruikt worden als 'mag niet blokkeren' lijst.

Kijk eens nadat je CSF (weer) hebt aangezet hoe iptables er op de computer echt uitziet.

(/sbin/iptables -nvL )

Oorspronkelijk geplaatst door Yourwebhoster

Gokje dat het om funnymedia.nl gaat. De DNS servers resolven hier nog niet naar je IP adres. Als ik bij de whois kijk dan heb je vandaag pas een change gedaan, mogelijk heeft dat er mee te maken. Als je een aanpassing maakt aan een domeinnaam dan kan het even duren voordat het er overal door heen gekomen is.

Dit zal ook verklaren waarom de ene mail wel en de andere mail niet aan komt. Mocht het over - pak n beet 24 uur na de wijziging - nog niet goed werken dan kan je verder kijken wat er aan de hand is.

"DNS kan tot 24 uur duren" is de *laatste* verklaring die je moet geven voor 'soms een probleem', en pas nadat alle andere controles die je meteen kunt doen goed zijn.

Een wijziging op een authoritive server is 'meteen' zichtbaar voor een (nette) check tool, en zeker als je een controle zelf doet met dig of nslookup naar de server.
Een wijziging van de domein naam/glue records is na maximaal 2 uur zichtbaar (.nl ) .

Negatieve caching duurt veel korter dan (de TTL van) positieve caching, dus iets wat je *aangevuld* hebt is zelfs voor resolvers die het negatieve antwoord gecached hadden vrij snel opgelost.

Eigenlijk is het alleen positieve caching (antwoord gegeven, zoals een A record) wat voor de duur van de TTL in een caching resolver kan blijven staan , en dan voor de gebruikers van die caching resolver 'het' antwoord is wat misschien niet actueel is.

Ik heb een output van CSF gemaakt van de actieve tabellen...
Een groot gedeelte tekst van IP`s die worden geblokkeerd heb verwijderd.
Zijn IP`s die zichzelf een plaatsje hebben toegeëigend op de lijst.
Zie lijstje: http://www.funnymedia.nl/csf.txt

Als Google dns niet werkt en UPC wel gok ik zomaar dat DNSSEC onterecht aan staat bij SIDN voor dit domein...


Sent from my iPhone using webhostingtalk mobile app

Oorspronkelijk geplaatst door Bart L

Als Google dns niet werkt en UPC wel gok ik zomaar dat DNSSEC onterecht aan staat bij SIDN voor dit domein...

De DNS check van SIDN gaf gisteravond inderdaad aan voor het domein:
'Inconsistent security for funnymedia.nl - DS found at parent, but no DNSKEY found at child.'

Vanochtend is die vermelding verwijderd en komt ie ongeschonden door de check.
Een tip: check even of DNSSEC bij de andere domeinnamen die je op dezelfde server draait ook goed staat. Anders heb je daar dezelfde problemen. Zelf wacht bewust met het 'upgraden' naar DNSSEC totdat a) de domeinboer het via API aanbiedt en b) het onderhoud van de keys ook op orde is. Anders krijg je later weer problemen.

En verder: wat IT-Worx zegt: Je ns2 in aparte netwerken zetten op a) een aparte vps of b) via DNS oplossing. Bij een VPS zou je zelfs ook een fallback dienst kunnen aanbieden of extern bereikbaar NOC.