Kapitel 04 Netzwerk, DNS & Kryptografie Admin: #pNetwork

pfSense, OPNsense, HAProxy & SSL-Gateways richtig betreiben

In vielen Unternehmensnetzen laufen Webserver und SharpMailserver in getrennten VLANs oder VMs hinter derselben Firewall (z. B. pfSense, OPNsense, Sophos) oder hinter einem zentralen SSL-/HAProxy-Gateway. Fehlt dort NAT-Reflection (Hairpin-NAT), verwirft die Firewall Pakete, die von innen an die eigene öffentliche WAN-IP adressiert werden.

Praxis-Tipp & Architektur-Hinweis

Warum zeigte ein Port-Check früher 'Blocked / Timeout'? Wenn der Prüf-Endpunkt hinter derselben pfSense stand wie der Mailserver, lief der Check in eine Hairpin-NAT-Blockade, obwohl aus dem echten Internet (Mobilfunk / Kundennetze) alle Ports offen waren. SharpMailserver v1.2.4 erkennt dieses Muster automatisch und kompensiert es transparent.

pfSense / OPNsense Empfohlene Split-DNS & Proxy-Einstellungen

Split-DNS vermeidet unnötige WAN-Loopbacks im LAN und erhält die echten internen Client-IPs.

Referenz / Konfiguration

# 1. pfSense -> Services -> DNS Resolver -> Host Overrides:
Host: mail    Domain: firma.de    IP: 172.16.0.55 (Interne LAN/DMZ-IP)

# 2. Reverse-Proxy (Nginx / HAProxy) Timeout für ActiveSync Ping (TCP 443):
proxy_read_timeout 960s;
proxy_send_timeout 960s;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;

Einstellungen, Standardwerte & Best Practices

Einstellung / Ort	Funktion	Standardwert	Best Practice im Betrieb
`pfSense / OPNsense: Split-DNS (DNS Resolver)`	Löst mail.firma.de für interne Clients und Nachbar-Server direkt auf die interne LAN/DMZ-IP (z. B. 172.16.0.55) statt auf die öffentliche WAN-IP auf.	`Im Gateway konfigurieren`	Empfohlene Königslösung! Unter Services -> DNS Resolver -> Host Overrides mail.firma.de auf die interne Mailserver-IP setzen (maximale Geschwindigkeit, echte Quell-IPs).
`pfSense: NAT Reflection (Pure NAT)`	Erlaubt internen Geräten den Zugriff auf Port-Weiterleitungen über die öffentliche WAN-IP, falls kein Split-DNS genutzt wird.	`Deaktiviert in pfSense`	Falls interne Geräte die WAN-IP ansprechen müssen: System -> Advanced -> Firewall & NAT -> NAT Reflection mode = Pure NAT + Automatic outbound NAT for Reflection aktivieren.
`SSL-Gateway / Reverse-Proxy für Port 443`	Terminiert HTTPS zentral am Gateway (z. B. HAProxy / Nginx / IIS ARR) und leitet Webmail, Admin, DAV und ActiveSync an SharpMailserver weiter.	`Direkt oder Reverse-Proxy`	Bei ActiveSync-Langzeit-Pings Proxy-Read-Timeout auf mindestens 900 Sekunden erhöhen und X-Forwarded-For / X-Forwarded-Proto sauber durchreichen.
`Smtp/Imap:EnableProxyProtocol (HAProxy v2)`	Liest bei vorgeschaltetem TCP-Loadbalancer (HAProxy) die echte öffentliche Client-IP aus dem PROXY-Protokoll-v1/v2-Header aus.	`false (Direktes NAT)`	Bei klassischem pfSense Port-Forwarding (DNAT) UNBEDINGT auf false lassen (sonst schlagen Verbindungen fehl)! Nur aktivieren, wenn HAProxy send-proxy-v2 sendet.