Kapitel 02 Netzwerk, DNS & Kryptografie Admin: #pTls

DNS-Perfektion (10/10), Reverse-DNS (FCrDNS) & Wildcard-DNS-Fallen

Große Provider wie Gmail, Microsoft 365, t-online und GMX/Web.de bewerten die Zustellbarkeit maßgeblich anhand konsistenter DNS-Einträge. Im Bereich TLS & DNS-Berater (#pTls) generiert SharpMailserver für jede angelegte Domain kopierfertige Einträge und prüft sie live gegen öffentliche DNS-Resolver.

Praxis-Tipp & Architektur-Hinweis

Achtung bei Wildcard-DNS (*.firma.de -> Webserver-IP): Ein Wildcard-Eintrag lenkt nicht explizit angelegte Subdomains wie autodiscover.firma.de oder mta-sts.firma.de unbemerkt auf den Webserver statt auf den Mailserver! Lege für autodiscover, autoconfig und mail immer explizite A/AAAA- oder CNAME-Einträge an.

Beispiel-DNS-Zone (BIND / RFC 1035)

Du kannst deine exakte Zone jederzeit auch per 'sharpmail-cli dns firma.de --bind' oder im Admin-Cockpit unter #pTls exportieren.

Referenz / Konfiguration

mail                  3600 IN A     198.51.100.10
mail                  3600 IN AAAA  2001:db8::10
@                     3600 IN MX 10 mail.firma.de.
@                     3600 IN TXT   "v=spf1 mx ip4:198.51.100.10 ip6:2001:db8::10 -all"
s2026._domainkey      3600 IN TXT   "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."
ed2026._domainkey     3600 IN TXT   "v=DKIM1; k=ed25519; p=11qYAYKxCrfVS..."
_dmarc                3600 IN TXT   "v=DMARC1; p=reject; adkim=s; aspf=s; rua=mailto:dmarc@firma.de"
autodiscover          3600 IN CNAME mail.firma.de.
autoconfig            3600 IN CNAME mail.firma.de.
_imaps._tcp           3600 IN SRV   0 1 993 mail.firma.de.
_submission._tcp      3600 IN SRV   0 1 465 mail.firma.de.
_caldavs._tcp         3600 IN SRV   0 1 443 mail.firma.de.
_carddavs._tcp        3600 IN SRV   0 1 443 mail.firma.de.

Einstellungen, Standardwerte & Best Practices

Einstellung / Ort	Funktion	Standardwert	Best Practice im Betrieb
`Reverse-DNS (PTR) & FCrDNS`	Ordnet deiner öffentlichen IPv4- (und IPv6-) Adresse beim Server-Hoster exakt den ServerHostName zu (Forward-Confirmed Reverse DNS).	`Beim Hoster zu setzen / ISP panel`	PTR muss exakt auf mail.firma.de zeigen und mail.firma.de wieder zurück auf dieselbe IP (A/AAAA). Ohne FCrDNS lehnen t-online und GMX Mails sofort ab.
`SPF TXT (v=spf1)`	Legt fest, welche IPv4-/IPv6-Adressen und MX-Hosts im Namen deiner Domain E-Mails versenden dürfen (RFC 7208).	`v=spf1 mx a -all`	Explizite Server-IPs aufnehmen (z. B. v=spf1 mx ip4:198.51.100.10 ip6:2001:db8::10 -all) und maximal 10 DNS-Lookups einhalten. Mit -all scharf schalten.
`Dual-DKIM (RSA-2048 + Ed25519)`	Zwei parallele DKIM-Schlüsselpaare pro Domain (z. B. s2026 für RSA-2048 und ed2026 für Ed25519), um E-Mail-Header per Oversigning kryptografisch zu versiegeln.	`Beide Keys automatisch erzeugt (s2026 + ed2026)`	Beide DNS-TXT-Einträge (s2026._domainkey & ed2026._domainkey) einmalig im DNS hinterlegen, danach jederzeit per Klick am Server zwischen RSA-2048, Ed25519 oder Dual-Signatur (RFC 8463) umschalten.
`DMARC (_dmarc.<domain>)`	Verbindet SPF und DKIM (Alignment) und weist Empfänger an, wie mit gefälschten Absendern verfahren wird, inklusive XML-Berichten an SharpMailserver.	`v=DMARC1; p=quarantine; ...`	In Woche 1-2 mit p=quarantine und rua=mailto:dmarc@firma.de starten, Berichte im Cockpit prüfen und danach auf p=reject umstellen.
`Autodiscover, Autoconfig & DNS-SRV`	Ermöglicht Outlook, Apple Mail, Thunderbird und Smartphones die vollautomatische Kontoeinrichtung allein anhand der E-Mail-Adresse.	`Auf Port 443 integriert`	Expliziten CNAME autodiscover.<domain> -> mail.<domain> sowie SRV-Einträge (_imaps._tcp, _submission._tcp, _caldavs._tcp, _carddavs._tcp) anlegen.