Vier Mailserver, ein moderner Stack: unser Sommerprojekt ist abgeschlossen
Das Upgrade von Maximusconfessor ist abgeschlossen. Damit endet eine wichtige sommerliche Arbeitsphase an den vier großen Mailservern von all2all: Moses, Hermes, Maximusconfessor und Vonmuenchhausen laufen nun alle mit Debian 13 stable und einem modernisierten, harmonisierten Mail-Stack.
Bei diesem Projekt ging es um weit mehr als eine neue Versionsnummer. Wir haben jeden Server umfassend überarbeitet: Betriebssystem, Kernel, Speicher, Sicherheit, Filterung, Webmail, Backups, Überwachung und Kapazitätseinstellungen. Das Ziel ist einfach: zuverlässigeres Mail-Routing, leichtere Wartung und eine solide Grundlage für die kommenden Jahre.
Was bedeutet das für die Nutzerinnen und Nutzer?
Die vier Server folgen nun denselben Konfigurationsprinzipien und verwenden unterstützte Komponenten. SMTP, IMAP, POP und Webmail verhalten sich auf allen Knoten einheitlicher, Viren- und Spamfilter arbeiten wieder mit gepflegten Versionen und Sicherheitsupdates können regelmäßig eingespielt werden.
Bestehende Postfächer, Aliase und Domains blieben während der Arbeiten erhalten. Nach jeder Etappe haben wir Warteschlangen, verschlüsselte Verbindungen, Versand und Empfang, den Postfachzugang und Roundcube geprüft. Für die Nutzerinnen und Nutzer soll die Modernisierung unauffällig bleiben, während sie die technische Altlast hinter dem täglichen Dienst deutlich reduziert.
Für technisch Interessierte
Vonmuenchhausen erlebte die sichtbarste Veränderung: Die alte Hardware wurde durch einen vollständig neuen Server mit schnellem, redundantem NVMe-Speicher ersetzt. Auf bestehenden Servern haben wir SSDs integriert oder Speicherpfade verbessert, soweit es die jeweilige Architektur erlaubte. Hardware-RAID-Controller blieben dort erhalten, wo sie weiterhin sinnvoll sind. Der Zustand von Festplatten, SSDs, RAID-Verbünden und Dateisystemen wird nun einheitlich überwacht.
Alle vier Systeme erhielten aktuelle Debian-13-Kernel und -Pakete. Bootpfade, Speichercontroller und Dienste wurden nach den schrittweisen Upgrades überprüft. Automatische Debian-Sicherheitsupdates sind aktiv, jedoch ohne automatische Neustarts: Ein Reboot eines Mailservers bleibt eine geplante und kontrollierte Maßnahme.
Zum gemeinsamen Stack gehören Postfix, Courier, OpenDKIM, Amavis, ClamAV, SpamAssassin und Roundcube mit PHP-FPM. Wir haben TLS, Authentifizierung, die Filterung ein- und ausgehender Nachrichten, wiederherstellbare Quarantänen, Fail2ban mit nftables, Versandbegrenzungen und Warnmeldungen harmonisiert. Prozessgrenzen bleiben an die Ressourcen der jeweiligen Maschine angepasst: Maximusconfessor hostet beispielsweise fast tausend Mailkonten und verfügt nun über Courier-Grenzwerte, die für diese Last ausgelegt sind.
SQL-Backups liegen in dem Verzeichnisbaum, der tatsächlich auf die Backupserver übertragen wird. Auch SMART-/RAID-Überwachung, Systemwarnungen und die administrative Mailweiterleitung wurden auf allen vier Knoten geprüft.
Von Courier zu Dovecot: eine separate Untersuchung
Wir untersuchen außerdem eine eigenständige Weiterentwicklung des Postfachzugangs: einen möglichen Wechsel von Courier zu Dovecot für IMAP und POP. Dabei geht es um den Server, der die Postfächer den Mailprogrammen bereitstellt, nicht zwingend um das Speicherformat: Dovecot kann die vorhandenen Maildirs weiterhin verwenden.
Courier bleibt derzeit der produktive Dienst, und eine Migration ist noch nicht beschlossen. Vor einem möglichen Piloten müssen Authentifizierung, UID/GID und Berechtigungen, Quotas, Abonnements und Spezialordner, TLS, gleichzeitige Zugriffe, Indizes, die Kompatibilität mit Virtualmin und Roundcube sowie ein verlustfreier Rückweg geprüft werden.
Ein vorsichtiger Rspamd-Pilot
Auf Vonmuenchhausen haben wir außerdem einen Offline-Piloten mit Rspamd gestartet. Er vergleicht die moderne Filterung von Rspamd mit der bestehenden Amavis/SpamAssassin-Kette anhand eines kontrollierten Korpus, ohne die produktive Mailzustellung zu verändern.
Rspamd hat Amavis also noch nicht ersetzt. Wenn die Ergebnisse überzeugen, kann ein schrittweiser und leicht rückgängig zu machender Übergang geprüft werden. Die Antivirusrolle von ClamAV und die Quarantäneverwaltung werden getrennt bewertet: Wir ändern nicht mehrere kritische Mechanismen gleichzeitig.
Die große Harmonisierung ist abgeschlossen, doch Mail-Infrastruktur ist nie endgültig „fertig“. Wir beobachten weiterhin Warteschlangen, Versandreputation, Leistung und Upstream-Updates — nun auf einer gemeinsamen, aktuellen und wesentlich besser wartbaren Grundlage.
Illustration: Baron Münchhausen auf einer Kanonenkugel, Stich von August von Wille, vor 1872, gemeinfrei, via Wikimedia Commons. Für Vorschauen zugeschnitten.
