Jump to content
Froxlor Forum

rseffner

Members
 View Profile  See their activity

  • Posts

    219

  • Joined

  • Last visited

  • Days Won

    9

 Content Type 

Posts posted by rseffner

    Froxlor als Backup Mailserver

    in German / Deutsch

    Posted

    Das kann per RFC so nicht funktionieren.

    Im DNS hinterlegst Du MX Records, wo die Mail an diese Domain hin soll, alle MXe (wenn mehrere eingetragen sind) sollten versuchen die Mail dem MX mit der höchsten Priorität zu geben. der weiß dann wo die Postfächer sind.

    Wenn du einem weiteren MX-Server Postfächer für die Domain gibst, obwohl der nicht die höchste Priorität hat, kommt der je nach Software und Konfiguration in einen Zielkonflikt : lokal ablegen oder dem MX mit hoher Priorität geben. Man könnte das als "split brain" bezeichnen, denn je nachdem wo Absender Mails einliefern, liegen die dann auf dem einen oder anderen Mailserver.

    Wenn du ein Backup a la "dann lese ich im Störungsfall meine Mails halt dort" haben willst, sollte Froxlor "bester" MX sein und Postfächer haben. Der Exchange holt dann per POPconn ab (oder so was auch immer Du einsetzen willst). Das hat auch den Charme, dass die den Exchange nicht ins Internet stellen musst (aber vermutlich will man haute ja auch OWA). Wenn der Exchange mal nicht geht, kannst Du per Webmail in die Postfächer auf dem Froxlor gucken. Aber das wird nie hübsch synchron - Du sieht keine bereits zugestellten Mails, schaltest Du "keep" ein hast Du keinen synchronen gelesen/gelöscht-Status.

    Dafür sind eigentlich dovecot- oder Exchangecluster da.

    Henne-Ei Problem bei DocumentRoot = URI und LE

    in German / Deutsch

    Posted

    Quote

    es greift doch erstmal der globale alias auf /.well-known/acme-challenge/ - hast du den nicht eingerichtet (/etc/apache2/conf-enabled/acme.conf)

    Doch, der globale Alias IST eingerichtet als acme.conf in /etc/apache2/conf-available und verlinkt nach conf-enabled. apache2ctl --configtest hat auch nichts zu meckern. ohne diese acme.conf hat die Validierung ja nicht geklappt, weil man per http-Requst nicht ans secret kam.

    Quote

    Hast du "SSL Redirect" nicht aktiviert? Normal legt er natürlich erst den vhost an und versucht dann ein Certificate zu bekommen - macht ja sonst keinen Sinn.

    Nein ich habe SSL-Redirect nicht aktiviert in dem Zustand in dem ich das Verhalten hatte und beschrieb.

    Quote

    "config neuschreiben" ist nichts anderes als ein cronlauf...außer das er natürlich forciert das die vhosts neu erstellt werden durch das einfügen einen entsprechenden Tasks

    Das ist der entscheidende Unterschied dann, dass das Flag gesetzt ist "mach wirklich was". Denn nur den Job zu triggern führt beim n-ten Durchluaf ja nur zu Erkenntnis es wäre nichts zu tun.

    Quote

    ja, da die AliasDomain bestandteil des vhosts der "haupt"domain ist, die wird mit in die SAN Liste eingetragen

    Dann kann ich mir die ganze Zertifikate sparen und einfach 20 mal die selbe AliasDomain setzen und die bekommt dann ein Zertifikat für 21 Namen?

     

    Dennoch habe ich reproduzierbar beobachtet, dass:

    - wenn eine http-only domain bereits angelegt ist
    - man SSL und LE aktiviert
    - dabei als DocumentRoot eine URI einstellt
    - der cron-job läuft
    - ZUERST LE gefragt wird und nicht verifizieren kann weil am Ziel (DocumentRoot) keiner das secret hat
    - DANN erst die VHosts neu gebaut werden und die RedirectAusnahme enthalten
    - der globale well-known Alias offenbar einem Redirect nachgeordnet behandelt wird

    Ohne weitere Abhängigkeiten zu kennen, sollte die LE-Routine im cron-job meiner Meinung nach erst laufen, wenn die VHosts erstellt sind und apache2 reloaded wurde.

    Quote

    Eh nein, das ist nicht so. Das hängt allein von der Option "SSL Redirect" ab

    Ein "einfacherer" Weg ist in so einem Fall einfach: Leg die Domain an, warte bis der Vhost erstellt ist, aktiviere dann Let's Encrypt. 

    Hier reden wir wohl aneinander vorbei. Der http-only-VHost WAR bereits erstellt.

    Henne-Ei Problem bei DocumentRoot = URI und LE

    in German / Deutsch

    Posted

    Guten Morgen,

    wenn ich eine Domain nur für http angelegt habe und im DocumentRoot statt einem absoluten/relativen Pfad eine URI (https://domain.tld/" steht und ich dann SSL mit LetsEncrypt machen lassen möchte, wird durch den cron-Job zuerst LE gefragt - was scheitert, weil domain.tld das verify nicht bedient - und dann erst im VHost die rewrite-Ausnahme für die challenge bei Redirect eingetragen. Ein erneuter cron-Lauf oder der acme.sh-Job allein lösen das Problem nicht auf. Erst die Funktion "config neuschreiben" löst den Knoten.

    Vielleicht könnte man hier die Reihenfolge der Arbeitsschritte überdenken. Erst VHost, dann zu LE anfragen.

     

    btw.

    Trage ich hingegen das Weiterleitungsziel selber in die VHost-Einstellungen ein (z.B. "Redirect 301 / https://domain.tld/"), dann legt Froxlor NICHT automagisch eine Ausnahme an, wenn man LE aktiviert. Das muss wohl so sein, weil es ja nicht weiß, was der admin da im VHost verzapft hat und ob das vielleicht Sinn macht und auch die challange mit abdecken kann.

    Was passiert eigentlich, wenn man sich für AliasDomain entscheidet und dann für Quelle und Ziel LE aktiviert? Wird da ein entsprechendes SAN-Zertifikat generiert?

     

    Ich danke für Aufklärung.

    CAA record manuell hinzufügen gelingt mir nicht

    in German / Deutsch

    Posted

    Ich habe eine Domain DOMAIN.TLD im Froxlor mit LetsEncrypt angelegt. Die globale Option CAA-records anzulegen ist aktiviert, darus resultieren im zonefile:

    @       172800  IN  CAA  0 issue "letsencrypt.org"
    www  172800  IN  CAA  0 issue "letsencrypt.org"

    Nun möchte ich für eine Subdomain, die auf einen anderen Host zeigen soll ein Zertifikat einer anderen Authority ausstellen, was am existierenden CAA scheitert.

    Ich habe dazu die Domain SUB-DOMAIN.TLD mit der Option "ist Subdomiain von ..." ohne Namenserver-Häkchen angelegt und in der DOMAIN.TLD mit dem DNS-Editor

    SUB  18000  IN  A           xx.xx.xx.xx
    SUB  18000  IN  MX  10  mail.OTHERDOMAIN.TLD
    SUB  18000  IN  TXT      "SSLvalidateSECRET"

    angelegt.

    Wenn ich jetzt den CAA "digicert.com" hinzufügen möchte, meldet der DNS-Editor "DNS Eintrag ungültig".

    Versucht habe ich: record=SUB, type=CAA, priority=0, content=digicert.com, TTL=18000. Muss ich vielleicht den vorgegebenen CAA überschreiben und im content "letsencrypt.org, digicert.com" schreiben? Was mache ich falsch?

    chown sporadically / very randomly failing on tasks cron job

    in General Discussion

    Posted

    Same here using libnss-extrausers. So this should only happen in moments cron is running WHILE froxlor is writing new passwd/groups to /var/lib/libextrausers.

    But why happens froxlor jobs in parallel (writing extrausers and doing someting in scope of these users).

    Maybe it shoud not be:
    - deleting files
    - generating files new from SQL using a query (consuming some time)

    instead
    - generating files new from SQL using a query as FILE.NEW
    - delete old ones and rename/move FILE.NEW

    or
    - nscd may help (I removed this with migrating libnss-mysql to libnss-extrausers becauso of seldom problems nscd used 100% CPU)

    Dateien löschen bei Mailkonto löschen funktioniert in 0.10.21 nicht (mehr)

    in German / Deutsch

    Posted

    Ich kann das ja reproduzieren: Konto anlegen, Konto löschen, Ordner + Dateien noch da.

    "panel_tasks" ist leer nach dem Löschauftrag mit Häkchen

    Natürlich hatte ich ein --debug drin, allerdings kein --force. Entschuldige bitte. Die knapp 1.500 Zeilen möchte ich hier nicht anhängen. Um alle [debug], [information] und [notice] befreit, bleibt da kein [error] übrig. Genügt das als Info?

    Wurde etwas am Format der DKIM-Keys geändert?

    in German / Deutsch

    Posted

    Der Entwickler von rspamd hat mir geantwortet: auf die Fehlermeldung hin wusste der sofort "es muss ein Punkt in den Dateinamen".

    Es ist also so, dass rspamd nicht mit dkimXYZ als private DKIM key umgehen kann/will sondern lieber dkimXYZ.privat oder sonstwas mit einem Punkt (.) drin haben mag. Könnten wir FROXLOR bitte so anpassen, dass es nicht dkimXYZ und dkimXYZ.public sondern dkimXYZ.private und dkimXYZ.public anlegt? Das sind nur zwei Anpassungen in der lib/Froxlor/Cron/Dns/DnsBase.php (die dann wieder alles brechen, was Leute wie ich hintendran gehangen haben ;-( )

    Danke.

    Wurde etwas am Format der DKIM-Keys geändert?

    in German / Deutsch

    Posted

    Ich nutze die durch FROXLOR generierten und im Dateisystem abgelegten DKMI-Schlüsselpaare durch rspamd. Seit der Aktualisierung von FROXLOR 0.10.19 auf 01.10.21 nörgelt rspamd aber wegen dem Format:

    2020-10-20 12:41:12 #27314(rspamd_proxy) <5bae90>; proxy; dkim_module_load_key_format: cannot load dkim key /etc/postfix/dkim/dkim258: cannot parse raw private key: error:0D06B08E:asn1 encoding routines:asn1_d2i_read_bio:not enough data

    Rein visuell sieht so ein Key aber erstmal gut aus. Was ist da passiert?

    Sind außer bei meinen Installationen in der 0.10.21 noch anderswo die DKIM-Einstellungen kaputt

    in German / Deutsch

    Posted

    Egal welche Einstellungen ich im Kontext DKIM ändern will, quittiert mir das FROXLOR ungefähr so:

    Fehlermeldung
    Bei dem Speichern des Feldes "dkim_enabled" trat ein Fehler auf

    oder

    Fehlermeldung
    Bei dem Speichern des Feldes "dkim_keylength" trat ein Fehler auf

    Interessant dabei, die Änderung des Parameters ist aber zumindest in der Datenbank dann trotzdem nachvollziehbar.

    Wenn das jemand bestätigen kann, wäre das ein Fall für den Bugtracker.

    teilweise fehlende HTTP-traffic-Statistik

    in German / Deutsch

    Posted

    Hallo,

    bei einigen meiner Kunden fehlen seit unterschiedlich vielen Monaten die HTTP-traffic-Werte im Froxlor-Graph. Manche sind schon 12 Monate auf 0, andere erst seit 3 Monaten (vorher war da noch was). Ich habe zuerst die Threads hier gelesen, die irgendwie damit zu tun haben und kann daher schon etwas Vorarbeit liefern.

    Der cron-Job läuft einmal täglich. Auch mit --debug --no-fork liefert der keine Fehler. Es entsteht dabei unter anderem eine TXT-Datei im awstats-Verzeichnis mit Werten in den "bandwith"-Spalten. Auch ein Browseraufruf von awstats zeugt für die 14 Tage im September Werte - der Froxlor-Graph bleibt aber brav bei Null.

    Daraus schließe ich jetzt, dass Froxlor die TXT-Datei irgendwie doch nicht (richtig) verarbeitet.

     

    ns1:~# /usr/bin/php7.3 /var/www/webs/its/froxlor1.ANDEREDOAMIN.de/scripts/froxlor_master_cronjob.php --traffic --debug --no-fork
    [information] PHP compiled with pcntl but pcntl_fork function is not available. Not forking traffic-cron, this may take a long time!
    [information] Traffic run started...
    [warning] Cannot get usage for database sucharskisql3.    <-- die ist neu angelegt und noch leer, vielleicht deshalb
    ...
    [information] http traffic for rabo started...
    [information] Running awstats_buildstaticpages.pl for domain 'DOMAIN.de' (Output: '/var/www/webs/rabo/awstats/DOMAIN.de/2020-09/')
    [information] Gathering traffic information from '/var/www/webs/rabo/awstats/DOMAIN.de/awstats092020.DOMAIN.de.txt'
    [information] ftp traffic for rabo started...
    [information] mail traffic usage for rabo started...
    [information] total traffic for rabo started
    [information] calculating webspace usage for rabo
    [information] calculating mailspace usage for rabo
    [information] calculating mysqlspace usage for rabo
    ...
    [notice] Checking system's last guid

    Ich vermute, wir können Dank der Daten in der TXT darauf verzichten die Log-Rotation oder Größe der access-Logs zu hinterfragen. Traffic-Daten kommen ja bis awstats, nur nicht ins Froxlor.

    Was kann ich noch tun um einer Lösungsfindung dienlich zu sein?

    Gruß und Dank, Ronny
     

    php-fcgi-starter genau um 0 Uhr nicht vorhanden

    in German / Deutsch

    Posted

    Wenn doch der tas-cron alle 5 Minuten ohne den letzten Fix lief, dann auch genau 0 Uhr. 0 Uhr laufen auch viele nicht-FROXLOR-Sachen an und erzeugen vielleicht hinreichend Load, so dass der task-cron von FROXLOR nicht so schnell fertig wird, wie sonst. Das zumindest ist meine vage Theorie, die nur dann funktioniert, wenn irgendetwas den apache reloaded, während FROXLOR noch dabei ist die Konfigurationen zu erstellen.

    Wie eingangs erwähnt habe ich die Scheduler durch und keinen apache2 reload/restart gefunden, der auch auf 0 Uhr matched. Auch auf das logrotate trifft das zu.

     

×
×
  • Create New...