(Last Updated On: 5. Juni 2015)

Sie haben zu Hause einen Network Attached Storage (NAS) wie etwa eine Synology Diskstation, einen RaspberryPI, BananaPI oder einen Tower-Server wie etwa einen Dell PowerEdge T20 zu Hause stehen, auf dem Sie diverse Services hosten? dann überlegen Sie vielleicht, auf diesem Gerät eventuell auch einen Mailserver zu hosten, damit Sie von diesem Gerät aus E-Mails versenden und empfangen können.

Sinn eines heimgehosteten  Mail-Servers

Es macht in der Regel keinen Sinn, einen heimgehosteten Mailserver zu benutzen, um ein typisches E-Mail-Konto, welches Sie sich normalerweise bei kostenlosen mailanbietern wie web.de oder gmail.com anlegen würden, zu ersetzen. Denn E-Mails sind für unser Leben mittlerweile so dermaßen wichtig geworden, dass Sie sich das Risiko nicht leisten können, dass der Mailserver einmal ausfällt und Sie einen oder sogar mehrere Tage lang keine E-Mails mehr abrufen können. Die Stabilität eines kostenlosen Mailanbieters können Sie mit einem heimgehosteten Server nicht garantieren, weshalb Sie mit einer Home-Hosted-Lösung nicht versuchen sollten, Ihr Mailkonto bei web.de oder Ähnliches zu ersetzen.

Wenn Sie das jedoch vor haben, dann sollten Sie sich lieber ein Webspace-Paket oder einen VServer mit Top Level Domain holen und dort ein E-Mail-konto einrichten. Sie könnten sich beispielsweise bei strato.de die Domain <Ihr-Name>.eu inklusive Webspace-Paket mit E-Mail-Verwaltung sichern und dort dann eine E-Mail-Adresse anlegen, etwa write@<Ihr-Name>.eu. Dieses E-Mail-Konto wäre dann durchaus in der Lage, Ihr web.de oder gmail-Konto zu ersetzen, wenn Sie das wollen, da Sie mit dem Webspace-Paket oder mit dem VServer eine ähnliche Stabilität garantieren können wie ein kostenloser Mailanbieter. Dafür lastet hier mehr Verantwortung auf Ihren Schultern, da Sie sich um die Sicherheit und die Verwaltung Ihrer Domain oder auch Ihres Servers selbst kümmern müssen. Die Vor- und Nachteile einer E-Mail auf einer selbstregistrieren Top Level Domain im Vergleich zu einem kostenlosen Mailkonto bei einem Anbieter habe ich hier aufgeführt.

Nun, wo macht ein selbstgehosteter Heim-Mailserver denn nun dann überhaupt Sinn? Der Mailserver macht Sinn, wenn Sie mit Ihm folgende Zwecke realisieren wollen:

• Sie wollen für eine kleine Gemeinschaft an nutzern auf Ihrem Heim-Servergerät einen kleinen Web-Service hosten, etwa eine MediaWiki oder einen WordPress-Blog. Sie könnten den Mailserver dann nutzen, um den Usern Aktivierungslinks für die Registrierung oder die Passwort-Vergessen-Funktion zu senden.
• Sie sind ein erfahrener Administrator und wollen mit dem Mailserver eine E-Mail an sich selbst verschicken, wenn irgendein alarmkritischer Zustand auf dem System eintritt – etwa wenn ein Serverdienst ausfällt oder sich jemand Fremdes per SSH auf den Server einloggt. Sie können mit dem Mailserver dann sowohl die Alarm-E-Mails verschicken lassen, als auch auf einem extra MAilkonto auf diesem Server empfangen, so dass die E-Mails über Ihren Server nicht auf Ihr „normales“ E-Mail-Konto landen müssen.

Wenn Sie diese beiden Fälle abbilden wollen, dass ist ein selbsteingerichteter Home-Hosted-Mailserver genau das Richtige für Sie. In diesem Post zeige ich Ihnen, wie Sie unter unix/Linux einen einrichten.

Der Mailempfang

Der Mailempfang ist eigentlich der weniger wichtige Teil des Mailservers. Denn primär sind Sie ja daran interessiert, dass Sie E-mails an die nutzer der Services auf Ihren Geräten und an sich selbst versenden können. Wenn Sie beispielsweise die oben erwähnten Alarmmeldungen per E-Mail versenden wollen, könnten Sie diese Alarmmeldungen grundsätzlich auch an Ihre web.de E-Mail versenden lassen. Sie wären theoretisch also überhaupt nicht auf den Empfangsteil des Mailservers angewiesen, sondern könnten sich theoretisch mit dem Versandteil des Mailservers begnügen. Dieser Teil ist also nur für Sie interessant, wenn Sie auf Ihrem Heimserver einen extra Empfangsteil einrichten wollen, um sich auf ein lokales E-mail-Konto E-Mail schicken zu lassen. Damit wäre es Ihnen dann möglich, getrennt von Ihrem Web, GMX oder GMail-konto die Alarmmeldungen auf einer extra dafür angelegten E-mail-Adresse zu empfangen, sodass Sie sich nicht selber auf Ihrer Haupt-Email mit Alarmmitteilungen vollspammen müssen.

 nur lokale Mails oder auch Mails aus dem internet empfangen?

Bevor wir nun letztendlich zur Konfiguration des Empfangsteils unseres Mailservers kommen, muss ich Sie noch auf eines Hinweisen. Grundsätzlich können Sie mit dem Empfangsteil des Mailservers, wenn Sie ihn einfach so einrichten wie hier, nur E-Mails empfangen, die aus Ihrem lokalen Netzwerk an die E-Mail-Adressen versendet werden, die Sie sich auf dem Empfangsteil zum Mailempfang einrichten. DAs heißt, sie können sich beispielsweise die Alarmmeldungen vom Server selbst auf den Mailserver, der auf genua dem selben Server läuft, schicken lassen. Und Sie können E-mails von einem anderen Rechner im LAN, der ebenfalls ein auf dem Mailserver eingerichtetes Konto verwendet, E-Mails auf ein anderes E-Mail-Konto auf diesem Mailserver schicken lassen.

Für den unwahrscheinlichen Fall dass Sie wollen, dass Ihnen jemand aus dem Internet, beispielsweise ein Freund von seinem Web.de-Mailkonto aus, ebenfalls eine E-Mail schicken kann, reicht es nicht, wenn Sie den Mailserver einfach nur einrichten. Denn der internetanschluss, auf über welchen Ihr e-Mail-Server die E-Mails aus dem internet abruft, die an Sie geschickt werden, wird von einem Internet Service Provider bereitgestellt, beispielsweise von UnityMedia, 1&1 oder der Telekom. Diese internet SErvice Provider blockieren aus Gründen der Sicherheit und der Bandbreitenauslastung Ihres Netzes eingehende E-Mails, die

• an eine dynamische Ip-Adresse aus Ihrem Netz geschickt werden (etwa 85.67.205.16)
• über den Standard-SMTP-Port 25 geschickt werden (85.67.205.16:25)
• an eine IP-Adresse (dafrk@85.67.205.16) oder an einen DynDNS-Account (dafrk-blog@no-ip.org) geschickt werden

Das heißt, Sie haben mitunter gleich drei Probleme, die dafür sprechen, dass E-Mails aus dem Internet nie bei Ihnen ankommen werden.

Für den Fall, dass Sie jetzt immer noch UNBEDINGT aus dem Internet E-Mails auf ihren Heimserver empfangen wollen (wovon ich Ihnen aus gesundem Menschenverstand abrate, wie oben gesagt sollten Sie dafür entweder ein Webspace-Paket doer einen VServer verwenden), haben Sie drei Möglichkeiten:

• Sie bescahffen sich zusätzlich zu Ihrem DynDNS-Account (etwa dafrk-blog.no-ip.org) zusätzlich einen sogenannten E-Mail-Reflector-Dienst. Dieser kostet Sie bei no-IP.org beispielsweise satte 39,95 USD im Jahr. Der Reflector macht im Endeffekt nichts anderes, als dass der Mailserver von No-IP.org die an Ihren Account-Namen (dafrk-blog@no-ip.org) gesendete E-Mails für Sie entgegen nimmt und diese dann so an ihren eigentlichen, selbst gehosteten Mailserver auf dem Heimserver weiterleitet (so weiterleitet, als würde No-IP in Outlook auf „Weiterleiten“ klicken), sodass Sie den heimgehosteten Mailserver verwenden können. Es gibt wohl kostenlose Varianten davon wie biespielsweise mxguarddog.com, die ich aber noch nicht getestet habe. Vielleicht in der Zukunft mal.
• Sie bestellen sich eine Top Level Domain, wie beispielsweise <IhrName>.eu, die von diesem Anbieter gehostet wird (beispielsweise bei Strato). Sie lassen dann die öffentliche Ip-Adresse ihres Heimservers (bspw. 85.67.205.16) auf einen A-REcord zeigne wie biespielsweise mail.<ihrName>.eu. Wenn Sie eine statische IP-Adresse haben, sich Ihre öffentliche IP-Adresse, die Sie vom Internetprovider bekommen also niemals ändert, dann müssen Sie die IP einfach als A-record eintragen. Wenn sich Ihre Ip-Adresse alle 24 Stunden ändert (meistens der Fall), brauchen Sie ein Paket mit DynDNS, wo also die IP-Adresse für den A-Record mail.<ihrName>.eu jedesmal geändert wird, wenn sich die öffentliche IP-Adresse des mailservers ändert.  Dann konfigurieren Sie noch den MX-Eintrag dieser Domain <IhrName>.eu so, dass er auf den A-Record mail.<IhrName>.eu zeigt. Dann müssen Sie noch mit Ihrem internet Service Provider (also Telekom, 1&1, UnityMedia o. Ä.) telefonieren und sicherstellen, dass Sie einen Business-Tarif haben, bei welchem eingehende E-Mails auf Port 25 nicht geblockt werden. Jetzt können außenstehende vom Internet aus auf den Mailserver E-Mails verschicken, ohne dass Sie vom internet Service Provider geblockt werden. die instajllation und Konfiguration der domain wird hier nicht erklärt.
• Sie bestellen Sich bee einer offiziellen Registrierungsstelle eine Domain und hosten diese komplett selbst, etwa bei der DeNIC. Das ist wesentlich teuerer, als wenn Sie scih die Domain bei einem Partner bestellen, der diese auch für Sie hostet, also beispielsweise bie Strato. Deswegen ist diese option eigentlich nur für kleine bis mittelständische Unternehmen in Betracht zu ziehen. Zum Hosten einer eigenen 2nd Level Domain wie beispielsweise <IhrName.eu> brauchen Sie nämlich zusätzlich zu den höheren Domain-Registrierungskosten noch zwei Internetanschlüsse mit je zwei statischen IP-Adressen,. auf denen jeweils zwei unabhängige DNS-Server laufen. Diese Server müssen Sie selbst hosten und sicherstellen, dass diese immer erreichbar sind. auf den DNS-Servern richten Sie noch einen A-REcord für mail.<ihrName>.eu mit der öffentlichen IP-Adresse des Mailservers ein und konfigurieren den MX-Record der Domain auf mail.<ihrName>.eu. Dann müssen Sie noch mit Ihrem internet Service Provider (also Telekom, 1&1, UnityMedia o. Ä.) telefonieren und sicherstellen, dass Sie einen Business-Tarif haben, bei welchem eingehende E-Mails auf Port 25 nicht geblockt werden. Jetzt können außenstehende vom Internet aus auf den Mailserver E-Mails verschicken, ohne dass Sie vom internet Service Provider geblockt werden. Die instajllation und konfiguration des DNS-Servers wird in diesem Post nicht erklärt.

Installation und Konfiguration des Mailempfangs

kommen wir nun letztendlich zur Konfiguration des Empfangsteils unseres Mailservers.

modprobe ipv6

Bearbeitne Sie die Datei /etc/modules und fügen Sie ganz am Ende ein

ipv6

jetzt installieren wir die Software des Mailservers

apt-get install dovecot-common dovecot-impagd dovecot-pop3d dovecot-sieve dovecot-managesieved postfix

die konfiguration können Sie einfach durchklicken.

Jetzt erstellen Sie im Empfangsteil ihres Mailservers die entsprechenden Mailkonten, mit denen Sie die mails empfangen wollen. für diese Mailkonten müssen Sie die entsprechenden User auf Betriebssystemebenee erstellen

useradd -d /home/<username> -m <username>
passwd <username>
<Passwort vergeben>

Führen Sie den oben gelisteten Befehle für alle Mailkonten hinzu, die Sie nutzen wollen.

Jetzt müssen wir noch für diese user ein Verzeichnis erstellen, in dem die empfangenen E-Mails später liegen sollen. Loggen Sie sich dazu als der jeweilige Nutzer auf Betriebssytemebene ein. In unserem Fall heißt das Verzeichnis Maildir.

mkdir /home/<username>/Maildir

Jeztt bearbeiten wir wieder als user root die Datei /etc/dovecot/conf.d/10-ssl.conf

ssl = required (auskommentieren und ändern)

Jetzt bearbeiten wir die Datei /etc/dovecot/conf.d/10-mail.conf

mail_location = ~/Maildir

Jetzt bearbeiten wir die Datei /etc/postfix/main.cf. entfernen Sie alle Zeilen ab myhostname und fügen Sie ab dort ein.

myhostname = <Hostname Mailserver (nicht FQDN!)>
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
mydestination = <Hostname Mailserver (nicht FQDN!)>, localhost.localdomain, localhost, <Domainname (beispielsweise IhrName.eu)>
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
message_size_limit = 50000000
recipient_delimiter = +
home_mailbox = Maildir/
smtpd_sasl_auth_enable = yes
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/dovecot-auth
smtpd_sasl_authenticated_header = yes
smtpd_sasl_local_domain = $myhostname
broken_sasl_auth_clients = yes
smtpd_recipient_restrictions = reject_unknown_sender_domain reject_unknown_recipient_domain reject_unauth_pipelining permit_mynetworks permit_sasl_authenticated reject_unauth_destination
smtpd_sender_restrictions = reject_unknown_sender_domain
mailbox_command = /usr/lib/dovecot/deliver -c /etc/dovecot/conf.d/01-mail-stack-delivery.conf -m "${EXTENSION}"
smtp_use_tls = yes
smtpd_tls_received_header = yes
smtpd_tls_mandatory_protocols = SSLv3, TLSv1
smtpd_tls_mandatory_ciphers = medium
smtpd_tls_auth_only = yes
tls_random_source = dev:/dev/urandom
virtual_alias_maps = hash:/etc/postfix/virtual
inet_interfaces = all

Jetzt bearbeiten wir die Datei /etc/postfix/virtual. Hier leiten Sie sogenannte Aliase auf einen anderen Mailaccount weiter. sie könnten beispielsweise einstellen, dass alle E-mails, die an die Adresse info@<ihrName>.eu geschrieben werden, an das Mailkonto dafrk@<IhrName>.eu weitergeleitet werden. Hierzu wäre der Beispieleintrag

info@<IhrName>.eu dafrk

Mit folgendem Eitnra gkönnen Sie festlegen, dass ein Alias an ALLE Mailkonten auf dem Mailserver wietergeleitet wird.

sammelaccount@<IhrName>.eu <benutzername1>,<benutzername2>, ...

Einlesen der Aliase

postmap /etc/postfix/virtual

Jetzt bearbeiten wir die /etc/dovecot/conf.d/01-mail-stack-delivery.conf

# Some general options
protocols = imap pop3 sieve
disable_plaintext_auth = yes
ssl = yes
ssl_cert = </etc/ssl/certs/ssl-cert-snakeoil.pem
ssl_key = </etc/ssl/private/ssl-cert-snakeoil.key
ssl_cipher_list = ALL:!LOW:!SSLv2:ALL:!aNULL:!ADH:!eNULL:!EXP:RC4+RSA:+HIGH:+MEDIUM
mail_location = maildir:~/Maildir
auth_username_chars = abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ01234567890.-_@

# IMAP configuration
protocol imap {
        mail_max_userip_connections = 10
        imap_client_workarounds = delay-newmail
}

# POP3 configuration
protocol pop3 {
        mail_max_userip_connections = 10
        pop3_client_workarounds = outlook-no-nuls oe-ns-eoh
}

# LDA configuration
protocol lda {
        postmaster_address = postmaster
        mail_plugins = sieve
        quota_full_tempfail = yes
        deliver_log_format = msgid=%m: %$
        rejection_reason = Your message to <%t> was automatically rejected:%n%r
}

# Plugins configuration
plugin {
        sieve=~/.dovecot.sieve
        sieve_dir=~/sieve
}

# Authentication configuration
auth_mechanisms = plain login

service auth {
  # Postfix smtp-auth
  unix_listener /var/spool/postfix/private/dovecot-auth {
    mode = 0660
    user = postfix
    group = postfix
  }
}

Neu starten über

service postfix restart
service dovecot restart

Abrufen der Mails von dem Mailserver

Sie können ein angelegtes E-Mail-konto auf dem Mailserver in einem Mail-Client wie beispielsweise Thunderbird hinzufügen.

 Versandteil des Mailservers

Der Versandteil des Mailservers ist eigentlich der interessante Teil dieses Posts, da Sie eher daran interessiert sein müssten, Alarm-E-Mails an sich selbst und Aktivierungs- und Passwort-Vergessen-mails an Ihre nutzer zu verschicken, als Mails zu empfangen. Alarm-Emails können Sie auch an ihre gewöhnliche Web.de- oder Gmail-Email verschicken und sind daher theoretisch auch dann nicht an den Empfangsteil des Mailservers angewiesen.

 Versenden von Mails über das lokale Netz hinweg

Bevor wir zur Installation und Konfiguration des Versandteils kommen, hier ein bisschen Theorie. Sie können, wenn Sie einfach nur die Schritte aus dem Empfangsteil des Mailservers befolgt haben, bereits jetzt schon E-Mails über den postfix-Server verschicken, den wir installiert haben. Allerdings nur an Mailaccounts, die entweder auf dem Mailserver selbst angelegt wurden, oder an andere Mail Server im selben lokalen Netzwerk. Beim Verschicken von E-Mails in das große weite Internet haben Sie ähnliche Probleme wie beim Empfang von E-Mails aus dem internet

• der Internet Service Provider des Mailempfängers prüft, ob die E-mail von einer statischen oder dynamischen Ip-Adresse kommt. E-mails von dynamischen IP-Adressen werden automatisch geblockt, da in den frühen Tagen des internets viele Spammer vom heimischen PC aus Spam-Mails verschickt haben
• Ihr eigener Internet Service Provider verhindert oft, dass Sie selbst von Ihrem mailserver aus E-Mails über SMTP-port 25 verschicken können. Damit will der ISP verhindern, dass seine Kunden die Leitung missbruachen, um massenhaft Dateien und Spam-Werbung über die Leitung des Providers zu versenden.
• Ip-Adressen, die öffentlich von Internet Service Providern an ihre Kunden vergeben werden, finden sich häufig auf Spam-Backlisten von Spamhaus. Eine IP-Adresse, die auf dieser Liste steht, kann Ihnen zugeteilt werden, wenn Sie alle 24 Stunden eine neue dynamische IP von ihrem ISP bekommen. Senden sie dann von dieser IP aus E-mails in das Internet, werden diese von Mailprovidern und E-Mail Clients wie outlook oder Thunderbird automatisch blockiert.

Um diese Probleme zu umgehen haben Sie vier Möglichkeiten

1. Sie richten als SMTP-Server gar nicht erst den Postfix-Server ein, der auf unserem Mailserver läuft, sondern tragen den SMTP-Server eines e-Mail-providers ein, bie dem Sie ienen Account haben, also beispielsweise web.de oder gmail.com. Sie können dann beispielsweise in den Einstellungen Ihrer WordPress-Installation oder ihrer MediaWiki die Verbindungsdaten Ihres Googlemail-Kontos hinterlegen und dann über Ihr GoogleMail-konto E-Mails an nutzer verschicken, die sich auf Ihrem Blog / Ihjrem Wiki registrieren oder ihr Passwort vergessen haben.
2. Sie richten ein sogenanntes SMTP Relay ein (empfohlen). Damit konfigurieren Sie, dass Anwendungen wie biespielsweise Ihre monitoring-Lösung, die Alarm-Emails an Ihre Googlemail-Adresse schicken soll, zwar den auf dem Server laufenden Postfix Server nutzt – dieser verschickt die ALarm-E-mail jedoch nicht direkt an Ihr Googlemail-konto, sondern leitet die E-mail an einen Server von einem Mailprovider wie Web.de oder Gmail weiter, der die E-Mail vom Postfix akzeptiert. der SMTP-Server von Web.de oder Gmail ist dann der Server, der die E-Mail stellvertretend für den Postfix-Server verschickt. der Vorteil im Vergleich zur ersten lösung ist, dass es Ihnen wesentlich leichter fällt, nur einmalig eine Verbindung vom postfix-SMTP auf dem heimgehosteten Mailserver zum Mailprovider-SMTP herzustellen, als für jede Anwendung immer wieder die direkte Verbindung zum Mailprovider-SMTP einzurichten. Bei einigen Tools ist dies unter Umständen sogar sehr schwierig.
3.  und 4. sind wieder die Möglichkeiten, in denen Sie sich entweder bei Strato und co. eine 2nd Level Domain kaufen und dazu ein Webspace-Paket mit E-Mail-Service buchen. Oder Sie kaufen sich wieder eine 2nd Level Domain bei der DENIC und hosten die 2nd Level Domain selber über zwei statische IPs und zwei DNS-Server.

Im Folgenden werde ich Ihnen das einrichten eines SMTP-Relays auf ein Googlemail-Konto zeigen.

 

Installation

apt-get install postfix mailutils libsasl2-2 ca-certificates libsasl2-modules

Jetzt bearbeiten wir die config datei von postfix.

vi /etc/postfix/main.cf #(oder master.cf)

dabei fügen wir die folgenden Zeilen hinzu.

relayhost = [smtp.gmail.com]:587
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
smtp_tls_CAfile = /etc/postfix/cacert.pem
smtp_use_tls = yes
smtp_sasl_security_options = #leer lassen

jetzt erstellen wri die Datei /etc/postfix/sasl_passwd und fügen dort folgende Zeile ein

[smtp.gmail.com]:587 USERNAME@gmail.com:PASSWORD 

Berechitgungen fixen

sudo chmod 400 /etc/postfix/sasl_passwd
sudo postmap /etc/postfix/sasl_passwd

Als nächstes validierten wir die Zertifikate um zu verhindern dass wir in einen Fehler laufen.

cat /etc/ssl/certs/Thawte_Premium_Server_CA.pem | sudo tee -a /etc/postfix/cacert.pem

Postfix neu laden

/etc/init.d/postfix reload

Als nächstes wollen wir die Funktionalität testen. Wenn wir alles sauber konfiguriert haben, sollten wir über foglenddes Kommando eine Test-Mail vom Testserver an unsere heim-mailbox schicken können

echo "test mail from postfix" | mail -s "Test Postfix" <deine private email zum testen>

wenn es nicht funktioniert, könnt ihr in der main.cf für das Troublehsotting debugging optinen anschalten

debug_peer_list=smtp.gmail.com
debug_peer_level=3

Die Fehlerursache ist im Fall von Gmail meistens, dass ihr euch erst in einem beliebigen webbrowser in euer google konto einloggen und dann unter https://accounts.google.com/DisplayUnlockCaptcha das unlcok captcha deaktiiveren ,müsst. Und danach müst ihr noch unter  https://www.google.com/settings/security/lesssecureapps den Zugriff für weniger sichere apps zulassen. Danach sollte es definitiv gehen.

 

 

 

 

Wenn Ihnen dieser Post gefallen hat, teilen Sie ihn doch auf Social Media, abonnieren und folgen mir per E-Mail, RSS-Feed, Social Media.