Server-Leitfaden für Self-Hosting: Mailserver (Port 25 / rDNS), Docker, PostgreSQL & Nextcloud

1. Anforderungen an den Server-Anbieter beim Self-Hosting

Wer eigene Dienste produktiv betreibt, benötigt Funktionen, die bei vielen Cloud-Anbietern standardmäßig gesperrt sind — insbesondere ausgehenden TCP-Port 25, frei konfigurierbare IPv4- und IPv6-Reverse-DNS-Einträge (PTR), konstante I/O-Leistung ohne Steal-Time sowie herunterladbare Komplett-Backups:

2. Eigenen Mailserver einrichten (Port 25, FCrDNS, DNS-Zone & Postfix IPv6-Bindung)

Für eine zuverlässige Zustellung an Gmail, Microsoft 365 und deutsche Provider (T-Online, GMX/Web.de) sind drei überprüfbare Konfigurationsschritte erforderlich:

1. Ausgehenden TCP-Port 25 im SCP freischalten & per CLI testen: Öffne auf netcup-Servern SCP → Server wählen → Firewall, entferne die voreingestellte Policy netcup Mail block, klicke auf Speichern und prüfe die Verbindung sowie das Reverse-DNS (FCrDNS) in der Shell:

   # 1. Ausgehende TCP-Verbindung auf Port 25 zum Gmail-MX prüfen
   nc -zv -w 5 gmail-smtp-in.l.google.com 25
   
   # 2. Prüfen, ob IPv4- und IPv6-PTR exakt auf deinen Mail-Hostnamen auflösen
   dig +short -x 203.0.113.45
   dig +short -x 2a03:4000:60:1234::1

2. Pflicht-Einträge in der DNS-Zone & im SCP Reverse-DNS (PTR): Hinterlege unter SCP → Network sowohl für deine IPv4-Adresse als auch für deine gewählte IPv6-Adresse (::1) den PTR-Record mail.example.de und lege die passenden DNS-Records an:

   Typ	Host / Name	Wert / Beispiel-Ziel	Funktion
   A	mail.example.de	203.0.113.45	Verweist den Mail-Hostnamen auf deine IPv4 (muss exakt zum SCP IPv4-PTR passen)
   AAAA	mail.example.de	2a03:4000:60:1234::1	Verweist den Mail-Hostnamen auf die IPv6 (muss exakt zum SCP IPv6-PTR passen)
   MX	example.de	10 mail.example.de.	Leitet eingehende E-Mails deiner Domain an deinen Mail-Host weiter
   TXT (SPF)	example.de	"v=spf1 mx -all"	Erlaubt ausschließlich den im MX-Record genannten Hosts den Mailversand
   TXT (DKIM)	dkim._domainkey	"v=DKIM1; k=rsa; p=MIIBIjANBg..."	Öffentlicher Schlüssel für die kryptografische DKIM-Signatur (Rspamd / OpenDKIM / Stalwart)
   TXT (DMARC)	_dmarc.example.de	"v=DMARC1; p=quarantine; rua=mailto:postmaster@example.de"	Weist empfangende Server an, Mails ohne gültiges SPF/DKIM in Quarantäne zu schieben

3. Postfix fest an die PTR-IPv6-Adresse binden (/etc/postfix/main.cf): Damit der Linux-Kernel beim ausgehenden Versand über ein /64-Subnetz keine zufällige Nebenadresse ohne PTR-Eintrag wählt (was bei Gmail sofort zu IPv6-Ablehnungen führt), binde Postfix explizit an die Hauptadressen:

   # /etc/postfix/main.cf — feste Quell-IP-Bindung für FCrDNS-Konformität
   myhostname = mail.example.de
   inet_protocols = all
   smtp_bind_address = 203.0.113.45
   smtp_bind_address6 = 2a03:4000:60:1234::1
   smtp_helo_name = mail.example.de
   smtp_tls_security_level = may

3. Docker Compose, daemon.json & die SCP-Firewall-Regelmatrix

Ein mit -p 5432:5432 veröffentlichter Container-Port wird von Docker direkt in die nat- / FORWARD-Chains des Linux-Kernels geschrieben und umgeht damit lokale UFW- / iptables INPUT-Regeln. So sicherst du den Host zweistufig ab:

1. Interne Container an 127.0.0.1 binden und Log-Rotation in /etc/docker/daemon.json begrenzen:

   {
     "log-driver": "json-file",
     "log-opts": {
       "max-size": "20m",
       "max-file": "3"
     },
     "live-restore": true
   }

2. Eingehenden Traffic vor der VM in der SCP Stateful Firewall filtern: Da die SCP-Firewall auf dem Host-Hypervisor vor dem Netzwerkinterface der VM sitzt, kann Docker sie nicht umgehen:

   Nr.	Richtung	Protokoll	Port(s)	Quelle / Ziel	Aktion & Zweck
   1	INGRESS	TCP	22	Eigene Admin-IP / VPN-Subnetz (oder 0.0.0.0/0)	ACCEPT — SSH-Zugang
   2	INGRESS	TCP	80, 443	0.0.0.0/0, ::/0	ACCEPT — Reverse-Proxy (Caddy / Traefik / Nginx)
   3	INGRESS	UDP	443	0.0.0.0/0, ::/0	ACCEPT — HTTP/3 (QUIC)
   4	INGRESS	TCP	25, 465, 587, 993	0.0.0.0/0, ::/0	ACCEPT — Mailserver (SMTP + IMAPS)
   5	INGRESS	ICMP / ICMPv6	Alle	0.0.0.0/0, ::/0	ACCEPT — Pflicht für Path-MTU-Discovery & IPv6 Neighbor Discovery
   6	INGRESS	ALL	Alle übrigen Ports	0.0.0.0/0, ::/0	DROP — Blockiert direkten Zugriff auf Docker-Ports (5432, 6379 usw.)

4. PostgreSQL NVMe-Tuning für einen 8-GB-Root-Server (RS 1000 G12.5)

Die Standardwerte von PostgreSQL sind für Magnetfestplatten und 128 MB Shared Memory ausgelegt. Auf einem Server mit 4 dedizierten EPYC-Kernen, 8 GB DDR5 RAM und NVMe-Storage wie dem netcup RS 1000 G12.5 empfiehlt sich folgende postgresql.conf:

# postgresql.conf — optimiert für 4 dedizierte EPYC-Kerne, 8 GB RAM, NVMe-SSD
shared_buffers = 2GB                  # 25 % des Gesamtspeichers
effective_cache_size = 6GB            # 75 % des Gesamtspeichers (OS Page Cache + shared_buffers)
maintenance_work_mem = 512MB          # Beschleunigt VACUUM und CREATE INDEX
work_mem = 16MB                       # Pro Sort-/Hash-Operation
max_worker_processes = 4              # Entspricht den 4 dedizierten EPYC-Kernen
max_parallel_workers_per_gather = 2
max_parallel_workers = 4
random_page_cost = 1.1                # Signalisiert dem Query-Planner schnellen NVMe-Speicher (Standard: 4.0)
effective_io_concurrency = 200        # Parallele asynchrone NVMe-I/O-Anfragen
wal_compression = zstd                # Reduziert WAL-Schreiblast auf der NVMe
checkpoint_completion_target = 0.9

5. Empfohlene Tarife & aktuelle Gutscheincodes