Re: Fehlender MX-Eintrag für Relayer?

[Markus Schönhaber]

Am 12.10.26 um 13:21 schrieb Lars Behrens:

> Hallo, Kollegen,

Hallo Tim-Ole Lars Behrens!

> wollte mal sichergehen, ob ich das richtig einschätze: Kundin beschwert sich, weil eine angeforderte Mail nicht ankommt (Bestätigungscode einer Behörde). Auf unserem Mailrelay (Kundenserver sitzt dahinter) kommen alle Mails für die Userin an, ausser der von der Behörde:
> 
> connect from rz-out-smtp-171.behoerden-dienstleister.de[11.22.33.44]
> 
> 2026-10-12T13:01:05.703506+02:00 mailin postfix/smtpd[267155]: NOQUEUE: reject: RCPT from rz-out-smtp-171.behoerden-dienstleister.de[11.22.33.44]: 450 4.1.7 <no-reply at deppen.bremen.de>: Sender address rejected: unverified address: host mx2-hb.behoerden-dienstleister-mail.de[141.91.18.202] said: 550 5.1.1 <no-reply at deppen.bremen.de>: Recipient address rejected: REJECT User unknown in relay recipient table (in reply to RCPT TO command); from=<no-reply at deppen.bremen.de> to=<armer.user at kundenserver.de> proto=ESMTP helo=<rz-out-smtp-171.behoerden-dienstleister.de>
> 
> = wenn ich das richtig sehe, lehnt unser Mailserver das zu Recht ab, weil:
> 
> rz-out-smtp-171.behoerden-dienstleister.de <http://rz-out-smtp-171.behoerden-dienstleister.de/> = eröffnet die Verbindung (ist ja erstmal OK)
> mx2-hb.behoerden-dienstleister-mail.de <http://mx2-hb.behoerden-dienstleister-mail.de/> = will seine Mail loswerden. Zu behoerden-dienstleister.de <http://behoerden-dienstleister.de/> gibt es aber einen A-Record, aber keinen MX-Eintrag. Also tschüss:

Es ist nichts falsch daran, wenn für eine Domain kein MX-Record
existiert. In diesem Fall wird eben die Zieladresse für Mailzustellung
aus dem A-Record genommen.

> 2026-10-12T13:01:05.720013+02:00 mailin postfix/smtpd[267155]: disconnect from rz-out-smtp-171.behoerden-dienstleister.de[11.22.33.44] ehlo=2 starttls=1 mail=1 rcpt=0/1 data=0/1 rset=1 quit=1 commands=6/8
> 
> Mich irritiert nur, dass wir dann selber das "REJECT User unknown in relay recipient table (in reply to RCPT TO command)” bekommen - weil unsere Ablehnung selber wiederum nicht angenommen wurde?

Vermutlich hast Du address verification eingeschaltet[1]. Das auch für
(externe) Absenderadressen zu verwenden ist keine gute Idee. Denn wenn
der Absender Fake ist, wirst Du unbeteiligte Dritte mit den verfication
probes belästigen. Das kann übrigens u. U. jemand ausnutzen, um Deinen
Server auf eine Blacklist zu schießen.

[1]: https://www.postfix.org/ADDRESS_VERIFICATION_README.html

Insgesamt: Ja, wenn jemand von einer Adresse sendet, an die man keine
Antwort schicken kann, ist das nicht schön. Ich sehe darin aber erst mal
keinen Grund, die Mail deswegen abzulehnen.
Noch weniger schön finde ich allerdings, wenn man *generell* für externe
Sender address verification macht (s. o.).

> Vielen Dank im Voraus für kurze Rückmeldung!
> 
> Beste Grüße
> 
> Tim-Ole

-- 
Gruß
  mks