Holger
Privat

Diese Seite ist nicht editierbar. Du kannst den Quelltext sehen, jedoch nicht verändern. Kontaktiere den Administrator, wenn du glaubst, dass hier ein Fehler vorliegt.
====== OmniMail™ · technische Referenz (HPMS-Entwurf) ======
**Stand:** 2026-11-03. **Geltung:** verifizierte M01-Produktionskomponenten auf OMNISRV; M02-Migration ausdrücklich noch ohne Mail-Cutover. Diese Seite ist ein Entwurf und ersetzt keine Betriebsfreigabe.

===== Zweck und Grenzen =====
OmniMail nimmt E-Mail für omnisrv.de an, prüft Empfänger und Inhalt vor der endgültigen Annahme, stellt lokale Post zu und vermittelt autorisierten Ausgangsverkehr. Postfix, Rspamd, ClamAV, Redis und Stalwart sind getrennte Dienste. HOME0 und autorisierte WireGuard-Clients erreichen die freigegebenen internen Clientdienste; die Stalwart-Verwaltung ist nicht öffentlich. BIND, Caddy, Zertifikats-Kurier, Monitoring und Borg-Recovery sind angeschlossene Betriebsdienste.

===== Komponenten und Adressen =====
^ Technischer Dienst ^ Verifizierter Container ^ Netz und Adresse ^ Aufgabe ^
| Postfix (Codename: Alois) | ext-qipu | ext-net 10.0.0.10; inbound-mail-checks 10.0.70.10; int-mailforward 10.0.71.10 | SMTP-Außentor, RCPT-Policy, Milter, Queue, Internet-Relay |
| Postfix (Codename: Hildegard) | int-mailgateway | int-mailforward 10.0.71.20; int-net 10.0.50.10 | Empfängerauskunft und begrenzter Transport zu Stalwart bzw. Alois |
| Rspamd | int-spamcheck | inbound-mail-checks 10.0.70.20 | Spamprüfung und DKIM-Signierung |
| ClamAV | int-viruscheck | inbound-mail-checks 10.0.70.21 | Virenprüfung für Rspamd |
| Redis | int-mailmemcache | inbound-mail-checks 10.0.70.22 | Cache für Prüfungen |
| Stalwart | cdf-stalwart | cdf-mail-net 10.0.40.10 | Konten, lokale Mailboxen, IMAPS/Submission und interne Verwaltung |
| BIND intern | int-bind-internal | int-net 10.0.50.2 | Interne DNS-Antworten und Forward-Zonen |
| BIND extern | ext-bind-public | ext-net 10.0.0.2 | Autoritative öffentliche Zonen |
| Caddy intern | int-caddy | cdf-web-net 10.0.30.10 | Interne HTTPS-Routen |

Die Adressen stammen aus Docker-Inspect vom 03.11.2026; die tatsächliche Freigabe einzelner Wege richtet sich zusätzlich nach Host-/Bridge-Policies. Codenamen weiterer Komponenten werden erst nach aktueller Quellenprüfung ergänzt.

===== Gesamtarchitektur =====
<mermaid>
flowchart LR
  Internet["Internet / externe MX"] -->|"SMTP Eingang TCP 25"| Q["ext-qipu 10.0.0.10\nPostfix (Codename: Alois)"]
  Q -->|"Empfaenger-Policy 10.0.71.20:10031"| H["int-mailgateway 10.0.71.20 / 10.0.50.10\nPostfix (Codename: Hildegard)"]
  Q -->|"Milter 10.0.70.20:11332"| R["int-spamcheck 10.0.70.20\nRspamd"]
  R -->|"Antivirus 10.0.70.21:3310"| C["int-viruscheck 10.0.70.21\nClamAV"]
  R -->|"Cache"| D["int-mailmemcache 10.0.70.22\nRedis"]
  H -->|"SMTP TCP 25"| S["cdf-stalwart 10.0.40.10\nStalwart"]
  Q -->|"Transport nach Policy und Pruefung"| H
  S -->|"Ausgang ueber Hildegard"| H
  H -->|"externes Relay"| Q
  Q -->|"SMTP Ausgang"| Internet
</mermaid>
Die Pfeile beschreiben nur belegte Dienste und Transportbeziehungen. Sie erteilen keine allgemeine Netzfreigabe. VOE-/OM-LINK-Nummern der Mailkette sind noch nicht vollständig verbindlich zugeordnet; deshalb tragen diese Kanten bewusst keine erfundenen Leitungsnummern.

===== SMTP-Eingang und Zustellung =====
<mermaid>
flowchart LR
  I["Externer SMTP-Client"] -->|"TCP 25"| Q["ext-qipu / Postfix"]
  Q -->|"RCPT-Policy 10031"| P["int-mailgateway / Policy"]
  P -->|"SMTP RCPT TCP 25"| S["cdf-stalwart / Empfaengerautoritaet"]
  S -->|"Antwort"| P
  P -->|"zulassen oder ablehnen"| Q
  Q -->|"Milter 11332"| R["int-spamcheck / Rspamd"]
  R -->|"ClamAV 3310"| V["int-viruscheck"]
  R -->|"Redis Cache"| C["int-mailmemcache"]
  R -->|"Pruefergebnis"| Q
  Q -->|"angenommene Nachricht: Queue und Transport"| H["int-mailgateway / Postfix"]
  H -->|"SMTP TCP 25"| S
  S --> M["lokale Mailbox omnisrv.de"]
</mermaid>
Die aktive Alois-Konfiguration ruft die Empfänger-Policy bei 10.0.71.20:10031 auf und Rspamd als Milter bei 10.0.70.20:11332. Der laufende Hildegard-Policy-Code prüft RCPT gegen Stalwart 10.0.40.10:25. Rspamd bindet ClamAV 10.0.70.21:3310 ein. Der Postfix-Transport führt omnisrv.de von Alois zu Hildegard und von dort zu Stalwart. Unbekannte Empfänger und unerlaubtes Relay werden abgewiesen; die Schutzregeln bleiben maßgeblich.

===== Ausgang, DNS und M02-Grenze =====
Autorisierte Stalwart-Sendungen gehen über Hildegard zu Alois und von dort zu externen MX. Die bestehenden Ausgangstests an iCloud, Outlook und STRATO sowie SPF/DKIM/DMARC wurden in M01-DEPLOY-010 protokolliert; das ist kein Freibrief für beliebige Absender oder Ziele.

Die öffentlichen Zonen für wehrs.berlin und moewe.berlin werden von ns1.omnisrv.de und ns2.omnisrv.de bedient. Beim direkten Parent-Readback vom 03.11.2026 16:41 CET führte wehrs.berlin zusätzlich sns.serverkompetenz.de, das für die Zone REFUSED lieferte. Der MX-Cutover beider Berliner Domains bleibt gesperrt; bisherige STRATO-Mailzustellung nicht als umgestellt darstellen. Interne DNS-Zonen und Forwarder sind getrennt von öffentlichen Zonen.

===== TLS, Verwaltung und Betrieb =====
Der Zertifikats-Kurier prüft und verteilt Zertifikate an geschützte Zielverzeichnisse; private Schlüssel gehören nicht in dieses Wiki oder Git. Stalwart-IMAPS und Submission sind über die autorisierten internen Wege erreichbar. Die Adminoberfläche liegt intern auf stalwart.cdf.omnisrv.de; HOME0 und ein echter WireGuard-Mobilfunkzugang wurden in M01-DEPLOY-012D getestet. Hostdienste übernehmen Boot-Gates, Netzregeln, Zertifikatskontrolle, Update-Zyklen, Monitoring und Missbrauchsschutz. Alarmierung erfolgt über das bestehende System-Meister-Konto; Zugangsdateien bleiben ausschließlich im Secret-Bereich.

===== Backup und Recovery =====
Die OmniMail-Mailbox- und Konfigurationsdaten werden über die vorhandenen Borg-Verträge gesichert. Der isolierte Recovery-Versuch M01-DEPLOY-015C-B wies wichtige Daten und den Wiederanlauf nach; sein Gesamtstatus blieb PARTIAL_WITH_OPEN_ISSUES. Ein vollständiger produktiver Host-Recovery-Nachweis ist daraus nicht abzuleiten. Keine Archivdaten oder Passwörter in dieser Dokumentation ablegen.

===== Quellen und offene Punkte =====
  * Produktivquellen: OmniMail-Feature-Branch feature/m00-gazette-implementation-20261103, Manifest 70-PRODUKTIONSQUELLEN/SOURCE-MANIFEST.md.
  * Live-Belege: Docker-Inspect, Postfix-Konfiguration und Bind-Mounts vom 03.11.2026; M01-DEPLOY-010, M01-DEPLOY-012D, M01-DEPLOY-015C-B sowie M02-003/004 und aktueller Parent-Readback.
  * Offen: vollständiger dynamischer Konfigurationsabzug von Stalwart/Caddy/BIND ohne Secrets, lückenlose VOE-Leitungsnummern, Berliner Delegationskorrektur und gesonderte Mail-Cutover-Abnahme.