Soverin mail i.c.m. Vimexx DNS hosting

[Sircuri]

Met enige regelmaat hebben we problemen met de email gehost door Soverin. Bij het versturen van de mail kan dan wel eens de volgende fout optreden:

SMTP Error: [554] 5.7.1 <END-OF-MESSAGE>: End-of-data rejected: SPF Incorrect

Nu hebben we toch maar eens Soverin gemailed om te vragen of ze kunnen nagaan wat er steeds fout gaat. Nu krijgen we onderstaande mail terug.

Herkennen meer mensen dit fenomeen?
We zullen onderstaande mail ook maar eens doorsturen naar Vimexx en vragen of ze er iets van herkennen en hopelijk ook kunnen oplossen.

We merken dat meer klanten die hun domein bij Vimexx hebben soms niet kunnen mailen. Dat is heel vervelend.
Het lijkt te liggen aan de bereikbaarheid van de dns servers bij Vimexx. We merken dat die soms geen of onjuiste informatie doorgeven. Waarom is nog niet duidelijk.

Binnenkort gaan we intern bespreken of wij hier iets mee kunnen. Anders dan klanten vragen om bij Vimexx na te gaan of er verstoringen zijn met DNS servers van het domein.

Een technische reactie van mijn collega is dat hij ziet dat er soms alleen IPv6 server adressen terug komen. Daardoor kunnen we niet de juiste dns gegevens opvragen. Er zijn wereldwijd afspraken gemaakt en vastgelegd in RFC nummers. Wat hier gebeurt zou volgens RFC 3901 niet voor mogen komen.
RFC3901: every DNS zone SHOULD be served by at least one IPv4-reachable authoritative name server.

Dit is helaas iets waar wij op korte termijn niet iets structureel aan kunnen veranderen. Soms vragen we dan handmatig de gegevens op en zetten op je account voor periode dat de instellingen correct zijn. Daardoor kan je dan weer mailen.

[Marc H]

Een paar vragen.

Hebben jullie hosting in gebruik van Vimexx?

Gebruiken jullie de DNS van Vimexx om het MX record van de Soverin mailserver aam jullie domein te koppelen?

Hoe sturen jullie precies de mail naar Soverin?

Gebruiken jullie een webapp op een (web)server van vimexx die mail stuurt via Soverin?

Want op zich vind ik dit een vreemde probleem omschrijving die jullie krijgen van Soverin in relatie van de foutmelding.

Normaal stel je de SMTP van Soverin als volgt in op je mailprogramma:

Server: smtp.soverin.net
Port: 587
Security: STARTTLS
Username: Your full email address
Password: Your password

Daarna communiceert jouw pc rechtstreeks met de server van Soverin en komt Vimexx helemaal niet in het verhaal voor, tenzij je toevallig de DNS bij Vimexx gebruikt op jouw pc/netwerk.

[valkenier]

Ik vat hem ook niet helemaal. De foutmelding is spf incorrect.
Ik vraag me af wat dat betekent, dat je mail verzend via een niet geauthoriseerde smtp, maar dan zou ik een spf fail verwachten ipv incorrect. Het zou kunnen zijn dat het spf record in de DNS niet correct is opgesteld. Maar dat is gissen.
In elk geval is een spf recird een txt in de DNS, en zou het niet uitmaken of je dat nou via ipv6 of ipv4 terug krijgt. Ik vind de soverin reactie dus ook niet goed te begrijpen in het licht van de foutmelding. Ik herken dit probleem ook niet van vimexx.
Als je wilt kun je het domein delen, dan checken we even het spf record, om mee te beginnen.

[mrmrmr]

Ik neem aan dat je een bounce bericht ontvangt met die SMTP melding.

Controleer DNS records voor je eigen domein bij de partij waar je het domein gehost wordt. Die instellingen staan in detail hier: https://soverin.nl/help/dns

code:

@  TXT  v=spf1 include:soverin.net ~all
MX  10  mx.soverin.net.
soverin1._domainkey  CNAME  soverin1._domainkey.soverin.net.
soverin2._domainkey  CNAME  soverin2._domainkey.soverin.net.
soverin3._domainkey  CNAME  soverin3._domainkey.soverin.net.
_dmarc  CNAME  reject._dmarc.soverin.net.

Neem die instellingen letterlijk over van de soverin helppagina: copy/paste.

Controleer enige tijd na instellen of al deze instellingen ook inderdaad opvraagbaar bij de autoritatieve name server van je domeinhoster. Dat kan zo op de command line:

code:

nslookup
server 1.2.3.4
set type=MX
jouwdomein.tld

set type=TXT
jouwdomein.tld

"1.2.3.4" is het ip adres voor de name server voor je domein (die vermeld is in het NS record).

Een dig toont nog meer informatie.

Je kan ook controleren hoe andere partijen het zien bij online DNS checkers.

Daarnaast moeten de soverin servers zijn ingesteld zijn om mail voor jouw domein af te handelen. Jouw domein moet dus voorkomen in de configuratie van de Soverin mail servers. Zij kunnen dat controleren.

Soverin moet ook eens kijken of het IP van de name server van jouw name server provider soms op een ip-blocklist voorkomt die zij gebruiken.

Uitgaande mailinstellingen voor soverin staan hier. Dit is voor techneut karig omdat niet wordt beschreven precies welke inlogmethoden worden ondersteund. Je kan ten behoeve van debugging met telnet ook zelf een sessie opzetten. Dat moet vanwege de veiligheidseisen via TLS. Sommige gewone GUI mail clients kunnen debug informatie geven.

[Sircuri]

Marc H schreef op woensdag 6 november 2024 @ 20:50:
Een paar vragen.

Hebben jullie hosting in gebruik van Vimexx?

Nee, enkel de domeinhosting service

Gebruiken jullie de DNS van Vimexx om het MX record van de Soverin mailserver aam jullie domein te koppelen?

Klopt, ik heb een record met 'mx.sovering.net.' erin

Hoe sturen jullie precies de mail naar Soverin?

Via alle mogelijke manieren werkt het dan niet. Zelfs niet via de webmail interface van Soverin zelf.

Gebruiken jullie een webapp op een (web)server van vimexx die mail stuurt via Soverin?

Nee

Want op zich vind ik dit een vreemde probleem omschrijving die jullie krijgen van Soverin in relatie van de foutmelding.

Ja, ik ook. Normaal zou een SPF error moeten wijzen naar verkeerd ingesteld SPF record. Het probleem is ook niet altijd. Na zoveel tijd lijkt het zich voor te doen. Ene keer duurt het dagen en andere keer gaat het maanden goed. Dan rommelen we wat met de DNS records en dan werkt het weer. De DNS aanpassingen lijken dan een refresh te forceren richting Soverin, waardoor die weer onze mail accepteerd.

Normaal stel je de SMTP van Soverin als volgt in op je mailprogramma:

[...]


Daarna communiceert jouw pc rechtstreeks met de server van Soverin en komt Vimexx helemaal niet in het verhaal voor, tenzij je toevallig de DNS bij Vimexx gebruikt op jouw pc/netwerk.

[Sircuri]

mrmrmr schreef op woensdag 6 november 2024 @ 23:46:
Ik neem aan dat je een bounce bericht ontvangt met die SMTP melding.

Nee, we krijgen direct een error in het SMTP verkeer. De mail wordt in zijn geheel niet geaccepteerd en de SMTP verbinding wordt verbroken.

Controleer DNS records voor je eigen domein bij de partij waar je het domein gehost wordt. Die instellingen staan in detail hier: https://soverin.nl/help/dns

code:

@  TXT  v=spf1 include:soverin.net ~all
MX  10  mx.soverin.net.
soverin1._domainkey  CNAME  soverin1._domainkey.soverin.net.
soverin2._domainkey  CNAME  soverin2._domainkey.soverin.net.
soverin3._domainkey  CNAME  soverin3._domainkey.soverin.net.
_dmarc  CNAME  reject._dmarc.soverin.net.

Neem die instellingen letterlijk over van de soverin helppagina: copy/paste.

Dan gaat mijn digi-brein werken en zou ik zeggen dat het OF wel moet werken OF niet. Maar niet meestal wel en soms gaat het fout.

Controleer enige tijd na instellen of al deze instellingen ook inderdaad opvraagbaar bij de autoritatieve name server van je domeinhoster. Dat kan zo op de command line:

code:

nslookup
server 1.2.3.4
set type=MX
jouwdomein.tld

set type=TXT
jouwdomein.tld

"1.2.3.4" is het ip adres voor de name server voor je domein (die vermeld is in het NS record).

Een dig toont nog meer informatie.

Je kan ook controleren hoe andere partijen het zien bij online DNS checkers.

Daarnaast moeten de soverin servers zijn ingesteld zijn om mail voor jouw domein af te handelen. Jouw domein moet dus voorkomen in de configuratie van de Soverin mail servers. Zij kunnen dat controleren.

Soverin moet ook eens kijken of het IP van de name server van jouw name server provider soms op een ip-blocklist voorkomt die zij gebruiken.

Uitgaande mailinstellingen voor soverin staan hier. Dit is voor techneut karig omdat niet wordt beschreven precies welke inlogmethoden worden ondersteund. Je kan ten behoeve van debugging met telnet ook zelf een sessie opzetten. Dat moet vanwege de veiligheidseisen via TLS. Sommige gewone GUI mail clients kunnen debug informatie geven.

Ik gebruik regelmatig mxtoolbox.com voor dit soort zaken en kan dan ook geen problemen vinden. Alle records komen overeen zoals deze beschreven staan op de site van Soverin. Ik heb tevens de domeinen gecheckt die genoemd staan in de SPF en DMARC records. Alles resolved.
Ik kan zelf de mail van Soverin ook niet goed plaatsen. Ik begrijp niet wat het een met het ander te maken heeft. Een DNS server moet toch alleen maar informatie teruggeven. Of het nou IPv4 of IPv6 is. Dat maakt voor de inhoud van het antwoord toch niet uit.
Ik begrijp ook niet zo goed wat ze bedoelen met "dan zetten we de informatie handmatig op je account en kun je weer mailen". Over welke informatie hebben ze het dan?

[mrmrmr]

Sircuri schreef op donderdag 7 november 2024 @ 19:34:
Nee, we krijgen direct een error in het SMTP verkeer. De mail wordt in zijn geheel niet geaccepteerd en de SMTP verbinding wordt verbroken.

Dat de mail niet geaccepteerd wordt is duidelijk omdat de SMTP code 554 weigering plaatsvind na het afsluiten van DATA (met CRLF.CRLF), dus nadat de volledige mail is aangekomen bij de server die deze SMTP code teruggeeft. Wat vreemd is dat soverin een SPF check zou doen voor een domein dat gerechtigd is te mail te versturen via de servers. Heb je dan wel ingelogd?

Sommige mail servers proberen de email direct - tijdens de SMTP sessie - te bezorgen naar de MX server van de ontvanger, en soms geven ze de foutmelding dan direct door aan de client. Dat is tamelijk onhandig want dan zie je te weinig van wat er gebeurt, bij een non delivery notification zou je dat wel zien. Je hebt in dit geval geen logs. Je kan Soverin vragen je mail te tracken, bijvoorbeeld door aan de telefoon meermaals een bericht te verzenden vanaf jouw IP. Controleer of het steeds dezelfde ontvangerdomein of dezelfde mailhoster betreft, bijvoorbeeld Microsoft (365) of Gmail.

Dan gaat mijn digi-brein werken en zou ik zeggen dat het OF wel moet werken OF niet. Maar niet meestal wel en soms gaat het fout.

Dat het soms wel en niet werkt kan allerlei oorzaken hebben. "smtp.soverin.net" resolved naar twee IPv4 adressen en twee IPv6 adressen. Het kan zijn dat deze servers door een of andere oorzaak een verschillende configuratie hebben. Ook: een enkel IP kan meerdere servers bevatten (round-robin/load balancing).

Ik begrijp niet wat het een met het ander te maken heeft. Een DNS server moet toch alleen maar informatie teruggeven. Of het nou IPv4 of IPv6 is. Dat maakt voor de inhoud van het antwoord toch niet uit.

Ja, eens. Een DNS server blijft een DNS server ongeacht of het verkeer verloopt via IPv4 of IPv6.

RFC "SHOULD" betekent "zou moeten hebben" in dit verband. Dat is wat anders dan RFC "MUST", wat een duidelijke vereiste is. De implementatie moet dus rekening ermee houden met het geval er geen IPv4 DNS server is. Er zijn op dit moment voorstellen voor een update van deze verouderde RFC (2004) naar zowel IPv4 als IPv6. Dat is nog een gegeven dat er op wijst dat het moet gaan werken met IPv6, het kan niet dienen als excuus.

Er zijn soms wel andere problemen met IPv4 en IPv6 van een andere aard. Namelijk PTR records. Sommige hosters bieden geen IPv6 PTR records aan, en alleen IPv4. Sommige mail servers (gmail bijvoorbeeld) eisen dat er een PTR record is, als een soort van antispam maatregel. In zo'n geval kan zo'n mailserver niet op IPv6 mail bezorgen naar MX servers.

Ook zijn IPv6 adressen gevoeliger voor weigeren door mail servers in de wereld als het IPv6 /64 gedeeld wordt met anderen, bijvoorbeeld in het geval van VPS hosting. Spamhaus bijvoorbeeld zet een complete /64 op een
blocklist als er maar 1 IPv6 adres een spamprobleem heeft.

Ik begrijp ook niet zo goed wat ze bedoelen met "dan zetten we de informatie handmatig op je account en kun je weer mailen". Over welke informatie hebben ze het dan?

Misschien harde referentie naar een DNS record of server IP. Maar ik heb verder geen idee wat dit met jouw probleem te maken heeft.

[erjeve]

Ik krijg dezelfde intermitterende foutmelding bij gebruik van de mailservers van soverin voor het verzenden van mail vanaf een eigen domein waarvan de dns records op nameservers van cloudns.net staan.
Mijn internetprovider, die de mailservers van soverin gebruikt, kan via ip4 en ip6 wel het juiste spf record opvragen en heeft hierover zojuist bij soverin een ticket aangemaakt.

[Sircuri]

Word er ondertussen redelijk simpel van. Vandaag doet mijn mail het weer niet. Dan lijkt het probleem toch bij Soverin te liggen als ook het gebruik van Cloudns.net dezelfde fouten geeft zoals @erjeve hierboven aangeeft.

Tijd om dan toch maar een andere mailhoster te zoeken.