Mailu 2024.06.63: исправлена проверка DNS-резолвера

Mailu выпустила корректирующее обновление 2024.06.63. Оно устраняет ситуацию, когда DNS-резолвер Unbound считался работоспособным, хотя на запросы отвечал ошибкой SERVFAIL.

Что изменилось

Ранее проверка состояния опиралась на код завершения утилиты dig. Он мог оставаться успешным даже при ответе SERVFAIL: контейнер отображался как healthy, но имена не разрешались. Новая проверка запрашивает NS-записи корневой зоны DNS и требует ответа NOERROR. При SERVFAIL healthcheck завершается ошибкой.

Почему это важно

DNS нужен почтовому серверу в том числе для поиска MX-записей доменов адресатов. При неработающем резолвере исходящие письма могут оставаться в очереди, несмотря на формально исправный статус контейнера.

В связанном запросе на изменение разработчик описывает случай после смены корневого ключа DNSSEC 11 октября 2026 года: устаревший якорь доверия вызывал SERVFAIL примерно 12 часов, а очередь исходящей почты задерживалась. Это описание конкретного инцидента, а не обязательный сценарий для всех установок.

Что делать администраторам

После обновления проверяйте не только статус контейнеров, но и результаты DNS-запросов, журналы Unbound и очередь исходящей почты. Мониторинг должен реагировать на unhealthy. Исправленная проверка выявляет проблему, но не устраняет причины отказа DNS автоматически.

Обновление Mailu

Как поясняет проект Mailu, тег ветки X.Y указывает на её актуальную сборку, а точный тег X.Y.Z остаётся закреплённым. Для обновляемых тегов в примечании приведены команды docker compose pull и docker compose up -d; при закреплённых тегах нужно явно выбрать новую версию. Перед обновлением рабочего сервера проверьте конфигурацию и резервную копию.

Источники

Официальный релиз: https://github.com/Mailu/Mailu/releases/tag/2024.06.63

Описание исправления и инцидента: https://github.com/Mailu/Mailu/pull/4124