StatusDnsQueryFailed resolving domain

Вероятнее всего, это вызвано тремя причинами:

1. Запрошенный домен не существует. Он не имеет ни MX, ни A записи.
2. Вышестоящий провайдер DNS ограничивает чрезмерные запросы с вашего почтового сервера.
3. Вы достигли предела пропускной способности в любой из сетей WAN (если запрос DNS-преобразователя отправляется через интернет-интерфейс).

Что бы избежать множественных запросов на повторяющиеся домены:

Настройка кеширующего DNS-клиента systemd-resolved в Debian GNU/Linux 9 (Stretch)

В составе systemd, используемой в конфигурации по умолчанию в Debian GNU/Linux 9 имеется отдельная служба, отвечающая за разрешение имён с возможностью кэширования результатов поэтому, если нужно ускорить работу механизма разрешения имён достаточно лишь выполнить настройку systemd-resolved.

В конфигурации по умолчанию данная служба не запущена:

# systemctl status systemd-resolved
● systemd-resolved.service - Network Name Resolution Loaded: loaded (/lib/systemd/system/systemd-resolved.service; disabled...) Drop-In: /lib/systemd/system/systemd-resolved.service.d └─resolvconf.conf Active: inactive (dead)...

# apt-get install libnss-resolve

В процессе установки в конфигурационном файле /etc/nsswitch.conf строка hosts: files dns будет автоматически заменена на следующий вид:

...
hosts:          files resolve [!UNAVAIL=return] dns
...

Настроим конфигурационный файл /etc/systemd/resolved.conf, заполнив параметры секции [Resolve], например следующим образом:

[Resolve]
DNS=77.88.8.8
#FallbackDNS=8.8.8.8 8.8.4.4 2001:4860:4860::8888 2001:4860:4860::8844
Domains=my.holding.com
LLMNR=no
DNSSEC=no
Cache=yes
DNSStubListener=no

Для совместимости с приложениями, которые не используют библиотечные вызовы, а обращаются к DNS серверам напрямую, получая их из /etc/resolv.conf, создадим символическую ссылку на файл /run/systemd/resolve/resolv.conf, контент которого автоматически генерируется исходя из настроек, заданных нами в /etc/systemd/resolved.conf:

# ln -svi /run/systemd/resolve/resolv.conf /etc/resolv.conf
ln: replace '/etc/resolv.conf'? 
y
 '/etc/resolv.conf' -> '/run/systemd/resolve/resolv.conf'

# ls -la /etc/resolv.conf
lrwxrwxrwx 1 root root 32 Dec 11 16:22 /etc/resolv.conf -> /run/systemd/resolve/resolv.conf

# systemctl enable systemd-resolved
# systemctl restart systemd-resolved
# systemctl status systemd-resolved

По материалам сайта https://wiki.it-kb.ru/unix-linux/debian/stretch/systemd-resolved-in-debian-9

……..ERROR: Failed to connect to server: Connection refused (111)…………..

Одна из причин которую мы рассмотрим — блокировка  ip Вашего esp (mailwizz) программой fail2ban на сервере (pmta и т.п.)

Проверяем на наличие ip в правилах блокировки

iptables -vnL

Обратите внимание на правила в Chain fail2ban-MAIL

Найдите в перечисленных правилах ip своего сервера esp (с которого пытаетесь подключиться (mailwizz))

Удалить ip из правил блокировки

Введите команду

iptables -D fail2ban-MAIL -s 01.001.001.01 -j REJECT

где 01.001.001.01 — ip Вашего esp.

Внести ip в белый список (white list)

Отредактируйте файл конфигурации fail2ban:

nano /etc/fail2ban/jail.conf

найдите строку

ignoreip =

если она у Вас закомментирована, раскомментируйте ее, и добавьте в нее свой ip

Пример по умолчанию

# "ignoreip" can be a list of IP addresses, CIDR masks or DNS hosts. Fail2ban
# will not ban a host which matches an address in this list. Several addresses
# can be defined using space (and/or comma) separator.
#ignoreip = 127.0.0.1/8 ::1

вносим 01.001.001.01 в белый список

# "ignoreip" может быть списком IP-адресов, масок CIDR или хостов DNS. Fail2ban
# не будет банить хост, который совпадает с адресом в этом списке. Несколько адресов
# можно определить с помощью разделителя пробелом (и / или запятой).
ignoreip = 01.001.001.01 127.0.0.1/8 ::1

Каждый IP-адрес или диапазон должны быть разделены пробелом.

Строка должна быть добавлена в раздел [DEFAULT] файла.

Сохраните файл и перезапустите Fail2Ban:

service fail2ban restart

Техническая часть: pmta / vds с 1+ ipv4

Наша конфигурация:

Техническая часть: pmta / vds 1 один ip / vds 2 один ip

Карта: 
vds 1 — основной сервер подключения и ретрансляции трафика mail.ru / yandex.ru / gmail.com
— осуществляем к нему подключение и пересылку всех писем на vds2, принимаем возвращенные письма на публичные почтовые сервера для последующей отправки.
vds 2 — сервер ретрансляции корпоративного трафика
— принимает письма с vds1, распределяет их по mx получателя и возвращает очереди mail.ru / yandex.ru / gmail.com на vds1. Оставшийся трафик рассылается с vds2
— свертка по mx получателя подразумевает все адреса как частные так и корпоративные делегированные на почтовые сервера mail.ru / yandex.ru / gmail.com.

Причина использования карты с возвратом трафика публичных почтовых систем и 2мя vds

1 — при блокировке по abuze причинам vds2 сохранить основной сервер vds1 изолировав его на другой хост аккаунт или дата центр.

2 — для авто «сортировки» и перенаправления трафика мы используем директиву route для домена получателя, «свернуть» по mx в одну очередь «все кроме» — не представляется возможным, при этом использование route глобально для <domain *> переопределяет route для свертки очереди на mx mail.ru / yandex.ru / gmail.com.

Наша конфигурация:

yum -y install nano
yum -y install unzip

Установим лимиты на открытие файлов

подробнее о лимитах на файлы и процессы

Устанавливаем Iptable

В CentOS 7 вместо iptables используется служба firewalld, мы сторонники iptables.

Отключаем firewalld:

systemctl stop firewalld
systemctl mask firewalld

Устанавливаем iptables:

yum install iptables-services

Добавим iptables в автозагрузку

systemctl enable iptables

Добавим наши порты для PMTA

25251 — для подключения (smtp-listener)

5555 — для web консоли (http-mgmt-port)

-A INPUT -p tcp -m tcp --dport 25251 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 5555 -j ACCEPT

systemctl restart iptables.service

systemctl restart iptables

Посмотрим статус iptable

Устанавливаем PMTA

устанавливаем права на файл .rpm и запускаем установку

PowerMTA-4.5r11.rpm — должен соответствовать загруженному Вами файлу в папку root

файлы версий Power Mta можете найти в статье Установка Vesta CP + PowerMTA 4.5r11 и 5r3

chmod 755 /root/PowerMTA-4.5r11.rpm
rpm -ivh /root/PowerMTA-4.5r11.rpm

Если видим ошибку — связанную с отсутствием пакетов perl

Устанавливаем perl

yum install perl

Загрузите папки с файлами из папки FIX PowerMTA-4.5r11 — заменяя существующие (файлы можете скачать в архиве с установкой)

Первый запуск PowerMTA

service pmta start

ошибки и другую дополнительную информацию читайте на основной странице настроек или в других статьях 

Материал по настройки iptable был взят с ресурса www.voipnotes.ru

Для корректной работы PMTA потребуется увеличить данное ограничение

Увеличим лимит до системного ограничения в 65535

Добавляем в файл sysctl.conf следующую строку:

fs.file-max = 65535

Добавляем в файл /etc/security/limits.conf следующее:

* soft nproc 65535
* hard nproc 65535
* soft nofile 65535
* hard nofile 65535

Перезагружаем сервер

reboot

Проверяем результат

ulimit -n
и
ulimit -u

Вывод на обе команды видим

65535

Текущий лимит (Soft limit) открытых файлов на процесс для текущего пользователя

ulimit -Sn

Максимальный лимит (Hard limit) открытых файлов на процесс для текущего пользователя

ulimit -Hn

Посчитать кол-во открытых файлов всеми процессами

lsof | wc -l

Посчитать кол-во открытых файлов всеми процессами (по версии ядра линукс)

cat /proc/sys/fs/file-nr

Максимальный лимит открытых файлов для всей системы

cat /proc/sys/fs/file-max

Режим backoff отвечает за автоматическое изменения настроек очередей писем при получении ошибок в ответ на отправленное письмо.

Задачи решаемые режимом backoff

Автоматически остановить рассылку на Х период

1 — Одна из причин «глубокой» блокировки сервера — рассылка после предупреждения почтовой системой о потенциальном спаме. Публичные почтовые сервера уведомляют smtp ответами: 550 spam redjekt и т.п.
Если не остановить сервер во время получения первых ошибок 550 spam redjekt — доля вероятности полной блокировки «ip, domain» сильно возрастает.
— либо сервер уже определен как спам
— либо с сервера идет подозрительный трафик, или трафик распознанный как спам
Рекомендовано заморозить очередь при первом получении ошибки spam для публичных почтовых систем на Х период — которую может выполнить backoff.

2 — Сервер получателя имеет более жесткие политики фильтрации серверов отправителей, либо Ваша конфигурация не настроена должным образом. Что вызовет отказ от приема сообщения — режим backoff позволит Вам сохранить письма в очереди, заморозив ее. После исправления ошибки Вы сможете отправить письма повторно

Автоматически понизить скорость рассылки на Х период

3 — Слишком большая скорость отправки писем для молодого сервера — может так же быть причиной 550 spam либо давать иной отклик. В этом случае режимом можно автоматически понизить скорость отправки писем.

Автоматически временно заморозить рассылку на Х период с последующим возобновлением

4 — Grey list (грей листинг) в основе которого лежит временный отказ от приема сообщения почтовым сервером и подразумевает повторную доставку в тот же адрес повторно через некоторый интервал, к примеру yandex к не доверенным может выдавать временный отказ с формулировкой Sorry, the service is currently unavailable. Please come back later.

5 — сервер получателя временно не доступен или ящик переполнен — повторно отправить через Х часов. Так же если у Вас используется relay и он временно не доступен — позволит сохранить очередь до починки ретранслятора.

К чему можно применить режим backoff:

— К конкретной очереди рассылки (по получателю)
— К ip адресу (дополнительно можно почитать)

Как работает backoff

— в момент отправки писем сервер получателя отвечает PMTA кодами статусов доставки:
250 ….. OK: …… — принято
550 spam message rejected — отклонено по причине спам
451 4.7.1 Sorry, the service is ………… так отвечает грей листинг Yandex.ru
и т.п.

Ваш PMTA при получении кода ошибки — инициализирует режим backoff, и включает особые, заданные Вами настройки для очереди которая получила ошибку.

PMTA устанавливает (при должной настройке) для нашей очереди режим backoff, применяя к очереди установленные нами настройки для данного режима.
Если Вы не используете «mx свертки» rollup или обьеденения очередей queue-to — режим будет применяться для конкретной очереди обьедененной по домену получателю.
Это позволяет сохранить частоту доставки на другие доменные зоны получателей.

Возможности режима backoff:

— Перевод очереди в другую очередь (vmta)
— сбросить очередь в bounce
— перевести очередь в vmta с другими настройками (сменить домен sender или from, убрать DKIM, и т.п.)
— перевести очередь в vmta с ретрансляцией через другой сервер
— перевести очередь в vmta для удаления, сброса в bounce
— Остановить очередь на Х период с последующим возобновлением рассылки
— Остановить очередь и делать попытки отправки через Х интервал времени, после первой успешной доставки — возобновить отправку
— Понизить скорость рассылки на Х период

Как включить режим backoff

Для подключения режима backoff необходимо:

1. Создать список шаблонов на основе отклика SMTP в <smtp-pattern-list NameList>
   к примеру reply /550 spam message rejected/ mode=backoff, где reply — ответ сервера / 550… ошибка / mode= включить режим backoff (по умолчанию режим может быть отключен mode=normal)
2. Подключить список шаблонов для домена,ов на которые мы будем отправлять письма
   Выборочно к примеру <domain mail.ru> — наш шаблон ошибок будет сопаставляться только с ответами mail.ru на наши письма
   Для Всех получателей <domain *>

Подключать можно как глобально в файле конфигурации так и персонально для конкретного vmta (очереди)
Кол-во <smtp-pattern-list NameList> — не ограничено

Какие задачи решает режим backoff

Основные функции режима: заморозка очереди на Х время, перевод очереди (ретрансляция) в другую очередь, изменения дозировки очереди писем.
Режим перспективно применяется при проблемах:
— Грейлистинг (к Вашим письмам относятся с подозрением, временно отклонено)
— При rejected (к Вашим письмам относятся негативно, отклонено как спам)

Директивы backoff в PMTA

backoff-max-msg-rate
Область: domain
Тип: значение/время (1/h )
Атрибуты: необязательный
Значение по умолчанию: безлимитно
Директива ограничения скорости отправки писем.
В ограничение входит как успешные доставки писем, так и попытки доставки. Когда будет достигнут лимит, в веб-мониторе будет показана следующая ошибка:
“message rate limit reached (based on backoff-max-msg-rate in configuration)”

backoff-retry-after
Область: domain
Тип: временной интервал
Атрибуты: optional
Значение по умолчанию: 10 минут
Устанавливает интервал или интервалы между повторами попыток для домена/virtualMTA, когда они в режиме повтора попыток.

backoff-notify
Область: domain
Тип: e-mail адрес
Атрибуты: необязательный
Значение по умолчанию: «» (no notification sent)
Указывает электронные адреса, на которые будут приходить оповещения о том, что заданный
домен заходит в или выходит из режима отката. Несколько адресов можно указать в виде
списка, разделённого запятыми.

Пример:
<domain *>
backoff-notify two@host.domain,one@host.domain
</domain>

backoff-to-normal-after
Область: domain
Тип: значение время (1h )
Атрибуты: необязательный
Значение по умолчанию: never
Временной интервал, по истечению которого, очередь автоматически возвращается в обычный режим.

Пример:
<domain *>
backoff-to-normal-after 6h
</domain>

backoff-to-normal-after-delivery
Область: domain
Тип: логический
Атрибуты: необязательный
Значение по умолчанию: false (отключено)
Если активна, эта директива возвращает очередь отправки в нормальный режим после успешной доставки.

backoff-upon-all-sources-disabled
Область: domain
Тип: логический
Атрибуты: необязательный
Значение по умолчанию: false (отключено)
Если включено, переключает очередь в режим отката, когда исходные IP-адреса отключаются
либо через командную строку, либо использованием функции <smtp-pattern-list> “disable-source-ip».
!!! Рекомендуется использовать директиву «backoff-to-normal-after» в сочетании с этой директивой, так как PowerMTA не переводит очередь в нормальный режим автоматически при включении IP-адреса.

backoff-reroute-to-virtual-mta
Область: домен
Тип: VirtualMTA name
Атрибуты: необязательный
Значение по умолчанию: none
Указывает, что PMTA должен перенаправлять письма в выбранный VirtualMTA в случае вхождения очереди в режим отката. Например, если письма стоят в очереди для example.com/vmta1 и эта очередь входит в режим отката, а директива backoffreroute-to-virtual-mta имеет значение vmta2, все письма из этой очереди будут перенаправлены в очередь example.com/vmta2. Новые письма будут также перенаправляться, пока очередь не выйдет из режима отката.

Пример:
<virtual-mta vmta1>
<domain *> 
backoff-reroute-to-virtual-mta vmta2 
</domain>
</virtual-mta>

<virtual-mta vmta2>
...
</virtual-mta>

!!! Внимание: При обнаружении цикла, сообщения остаются в последней очереди цикла, а в лог будет записана ошибка.
Перенаправление с одного виртуального MTA на себя автоматически игнорируется, а перенаправление в пул VirtualMTA не поддерживается.

backoff-max-smtp-out
Область: домен
Тип: цифровое значение
Атрибуты: необязательный
Значение по умолчанию: 20
Указывает максимальное количество одновременных подключений для этого домена. 

backoff-max-connect-rate
Область: domain
Тип: {unlimited|0|N/{h|hr|m|min|s|sec} «значение/время (1/h )»
Атрибуты: необязательный
Значение по умолчанию: безлимитно
Указывает максимальное количество подключений, открытых для этого домена в течении определённого периода времени в режиме отката.

Доступно для VIP пользователей

• Консольные команды управления режимами backoff
• Базовые списки шаблонов backoff
• Примеры для чего нужен режим
  backoff при блокировке redjekt
  backoff для грей листинга
  backoff удаляем плохую очередь

Если Вы нашли ошибку или не точности пишите в нашу телеграмм группу my-mails.ru/telegramm

версия PowerMTA 4.5r1

Установка Vesta CP + PowerMTA 4.5r11

Скачать PowerMTA 5r3

PowerMTA / PMTA: профессиональный Mail Transfer Agent (почтовый агент).
Отличительная особенность: высокая производительность, масштабируемость, конфигурационная и аналитическая панель, деликатная и тонкая настройка пересылки писем, авто управление ошибками bounce, контроль и деликатная настройка дозировки писем и другое.

оф. лицензия: платная ~ 1000$ год
ключ активации: не требуется / активирован (fix null)
правообладатель: Port25 / web ресурс / форум / блог разработчика

Установку PMTA делаем на ОС: centos-7-x86_64 преимущественно в minimal редакции

Cостав инсталлируемой сборки:
Состав файлов: Инсталлятор PowerMTA-5.0r3.rpm / FIX файлы

Скачать PowerMTA 5r3

Установку смотрите в статье Установка Vesta CP + PowerMTA 4.5r11 и 5r3

Что нового в версии 5r3

Возможности новой версии смотрите в документации распространяемой с программным обеспечением.

Пункт 10 и его подпункты. Доступна после установки в Вашем web мониторе domain.ru:5555/getFile?file=UsersGuide.html&disposition=inline#advanced-features

Если на Вашем сервере включена поддержка ipv6 и адреса добавлены, в конфигурацию PMTA добавить можно так:

Для web монитора

smtp-listener [0000::0202:0303:0404:0505:00]:25

Cброс очереди на ip 

<domain test.port25.com>
route [0000::000:000:000:000:00]:25
</domain>

smtp-source-host virtual host

<virtual-mta ipv6-3.m-salecraft.ru>
smtp-source-host 0000::000:000:000:000:00 sub.domain.ru
domain-key mail,domain.ru,/etc/pmta/dkim.pem
max-smtp-out 850
<domain *>
</domain>
</virtual-mta>

Если Вы добавляете ipv6 адреса на сервер без панели:

Включаем поддержку IPv6 в /etc/sysconfig/network добавить

NETWORKING_IPV6=yes

В конфигурационный файл сетевого интерфейса /etc/sysconfig/network-scripts/ifcfg-eth0 добавить

IPV6INIT=yes

IPV6ADDR="0000::000:000:000:000:00/64"
IPV6ADDR_SECONDARIES="0000::000:000:000:000:01/64 0000::000:000:000:000:02/64 0000::000:000:000:000:03/64"
IPV6_DEFAULTGW="2a07:14c0:3000::1"

IPV6ADDR=»Ваш ipv6/маска»
IPV6ADDR_SECONDARIES=»первый_ipv6/маска второй_ipv6/маска третий_ipv6/маска и_так_далее»
IPV6_DEFAULTGW=»шлюз»

Перегружаем сеть

service network restart

Resolv.conf

Добавьте настройки преобразования DNS для ipv6

nameserver 2001:4860:4860::8888
nameserver 2001:4860:4860::8844

Проблемы и ошибки:

Если система выдает ошибку:

CRITICAL : [ipv6_test] Kernel is not compiled with IPv6 support
то в файле /etc/modprobe.conf комментируем следующие строки

#alias net-pf-10 off
#alias ipv6 off

также меняем значение с 1 на 0

options ipv6 disable=0

Вы прописали ip адреса но при перегрузке конфигурации pmta выдает ошибку
Error in line 154 of /etc/pmta/virtualhost.txt: specification does not match any valid local IP addresses.
Это означает что в Вашей сети не виден ip адрес проверьте правильность внесение адресов, перезагрузите сеть.

Проверьте подключение с указанного ip в Вашей конфигурации к примеру на yandex.ru

pmta resolve --connect --source=sub.domain.ru,0000::0202:0303:0404:0505:00 yandex.ru

Руководство пользователя PMTA v4.5