Notfall-Checkliste & Schnelldiagnose

Diese Checkliste dient der schnellen Störungsbehebung bei Ausfällen von Webserver, E-Mail-Diensten oder Netzwerkverbindungen für epping-haus.de.

Überblick

Bei Problemen mit externem Zugriff, Mail oder DNS gilt immer: erst prüfen, dann ändern. Bei der Infrastruktur ist eine saubere Reihenfolge entscheidend, damit keine falschen Firewall- oder NAT-Regeln eingefügt werden.

Wichtigste Grundregeln vor jeder Störungsbehebung

1. Smart Meter Gateway (SMGW) niemals anfassen! Die smgw_zone und zugehörige Routing-/Firewall-Regeln sind separat und dürfen bei Mail- oder Webserver-Problemen keinesfalls verändert werden.

2. Vor jeder Firewall-Änderung sichern: Vor Eingriffen auf OpenWrt immer ein Backup anlegen: cp /etc/config/firewall /root/firewall.backup-before-change.

3. Keine Blindversuche: Zuerst Logs und Mitschnitte analysieren, bevor NAT- oder Paketfilterregeln angepasst werden.

Fall 1: Webseiten oder Wiki offline (HTTPS / Caddy)

Wenn epping-haus.de oder wiki.epping-haus.de im Browser nicht erreichbar sind:

Schritt	Prüfung	Befehl / Ausführung	Soll-Ergebnis / Lösung
1	Läuft Container 150?	`pct status 150` (auf Proxmox-Host)	`status: running` (falls stopped: `pct start 150`)
2	Läuft Caddy-Dienst?	`pct exec 150 -- systemctl is-active caddy`	`active` (falls failed: Logs in Schritt 5 prüfen)
3	Caddyfile gültig?	`pct exec 150 -- caddy validate --config /etc/caddy/Caddyfile`	`Valid configuration`
4	Lauscht Port 443	`pct exec 150 -- ss -tulpn \| grep :443`	Caddy lauscht auf TCP/443
5	Caddy-Logs prüfen	`pct exec 150 -- journalctl -u caddy --no-pager -n 50`	Auf TLS-Handshake-Fehler oder ACME-Probleme achten
6	DNS-Auflösung prüfen	`nslookup epping-haus.de 8.8.8.8` `nslookup wiki.epping-haus.de 8.8.8.8`	Gibt aktuelle öffentliche WAN-IP zurück (falls falsch: siehe Szenario 4)
7	Router DNAT aktiv?	`nft list chain inet fw4 dstnat_wan` (auf OpenWrt)	Regel leitet Port 443 an 192.168.178.150 weiter

Fall 2: E-Mail-Empfang gestört (Inbound Mailcow)

Wenn von extern gesendete E-Mails nicht im Postfach ankommen:

1. Mailcow Container prüfen

Auf dem Mailcow-Server (192.168.178.146):

cd /opt/mailcow-dockerized
docker compose ps

Alle Container (insbesondere postfix-mailcow, dovecot-mailcow, rspamd-mailcow) müssen den Status Up bzw. healthy haben.

2. Erreicht eingehender SMTP-Traffic den Server?

Prüfe auf dem Mailcow-Server, ob Verbindungen aus dem Internet ankommen:

tcpdump -ni ens18 tcp port 25

* Wenn hier nichts ankommt: OpenWrt-Portweiterleitung prüfen: uci show firewall | grep -A12 -B2 'Mailcow-SMTP'

3. Spamfilter & Postfix auf Ablehnungen (Rejects) prüfen

cd /opt/mailcow-dockerized
docker compose logs --since=30m postfix-mailcow | grep -iE 'reject|milter|status=bounced|status=deferred'

* Bekannter Fehler: milter-reject: END-OF-MESSAGE ... 5.7.1 This message does not meet our delivery requirements -> Rspamd-Scores / Reject-Regeln zu scharf eingestellt.

4. Erfolgreiche Postfachablage prüfen

docker compose logs --since=30m postfix-mailcow | grep -E 'to=<berthold@epping-haus\.de>|status=sent'

* Soll-Zustand: Eine Zeile mit relay=dovecot[...]:24 ... dsn=2.0.0, status=sent (... Saved) bestätigt, dass Dovecot die Mail lokal gespeichert hat.

Fall 3: E-Mail-Versand schlägt fehl (Outbound / Brevo Relay)

Wenn E-Mails nicht versendet werden können:

cd /opt/mailcow-dockerized
docker compose logs --tail=100 postfix-mailcow | grep -iE 'brevo|smtp-relay|sasl|authentication|bounced|deferred'

Erfolgreicher Versand:
Trusted TLS connection established to smtp-relay.brevo.com
relay=smtp-relay.brevo.com[...]:587 ... status=sent
Fehler "535 5.7.8 SASL authentication failed":
Brevo-Zugangsdaten (API-Key / SMTP-Passwort) sind ungültig oder abgelaufen -> In Mailcow-Weboberfläche unter Routing aktualisieren.

Fall 4: DynDNS / Falsche IP-Adresse bei Netcup

Wenn Dienste von außen nicht erreichbar sind, weil der Router eine neue IP erhalten hat:

1. Manuelle DynDNS-Aktualisierung ausführen

Auf dem OpenWrt-Router (192.168.178.10):

/root/bin/netcup-mail-ddns
logread | grep netcup-mail-ddns | tail -5

Soll-Ausgabe:
Update mail.epping-haus.de -> <IP> : {"status":"success",...}
Update epping-haus.de -> <IP> : {"status":"success",...}

2. Externe DNS-Prüfung gegen Google DNS

nslookup epping-haus.de 8.8.8.8
nslookup mail.epping-haus.de 8.8.8.8

3. Bei Timeout um 04:00 Uhr

Prüfen, ob in /etc/crontabs/root der tägliche Reconnect auskommentiert ist (verhindert Kollision mit DynDNS):

# 0 4 * * * /sbin/ifdown wan && sleep 15 && /sbin/ifup wan
*/5 * * * * /root/bin/netcup-mail-ddns

Schnelle Wiederherstellung (Rollback)

OpenWrt Firewall auf letzten bekannten Arbeitsstand zurücksetzen

cp /root/firewall.mailcow-working.* /etc/config/firewall
/etc/init.d/firewall restart

Caddy-Konfiguration zurücksetzen

cp /root/caddyfile.before-https-20260904-123628 /etc/caddy/Caddyfile
caddy validate --config /etc/caddy/Caddyfile
systemctl reload caddy