Как вычислить, кто авторизуется на почтовом сервере?

Question

[panikev]

На почтовый сервер mailcow была совершена атака. Я заблокировал ряд адресов в fail2ban, больше активности на наблюдалась. Но в журналах Dovecot каждую секунду происходят попытки авторизации. Скажите, как мне найти IP, с которого отправляется авторизация?

28.05.2023, 09:35:38	info	managesieve-login: Disconnected: Connection closed (no auth attempts in 0 secs): user=<>, rip=172.22.1.2, lip=172.22.1.250
28.05.2023, 09:35:38	info	imap-login: Disconnected: Aborted login by logging out (no auth attempts in 0 secs): user=<>, rip=172.22.1.2, lip=172.22.1.250
28.05.2023, 09:35:38	info	imap-login: Disconnected: Aborted login by logging out (no auth attempts in 0 secs): user=<>, rip=172.22.1.2, lip=172.22.1.250, TLS, TLSv1.3 with cipher TLS_AES_256_GCM_SHA384 (256/256 bits)
28.05.2023, 09:35:38	info	lmtp(6430): Disconnect from 172.22.1.2: Logged out (state=MAIL FROM)
28.05.2023, 09:35:38	info	lmtp(6430): Connect from 172.22.1.2
28.05.2023, 09:35:31	info	imap-login: Disconnected: Aborted login by logging out (no auth attempts in 0 secs): user=<>, rip=172.22.1.2, lip=172.22.1.250, TLS, TLSv1.3 with cipher TLS_AES_256_GCM_SHA384 (256/256 bits)
28.05.2023, 09:34:44	info	managesieve-login: Disconnected: Connection closed (no auth attempts in 0 secs): user=<>, rip=172.22.1.2, lip=172.22.1.250
28.05.2023, 09:34:44	info	imap-login: Disconnected: Aborted login by logging out (no auth attempts in 0 secs): user=<>, rip=172.22.1.2, lip=172.22.1.250
28.05.2023, 09:34:44	info	imap-login: Disconnected: Aborted login by logging out (no auth attempts in 0 secs): user=<>, rip=172.22.1.2, lip=172.22.1.250, TLS, TLSv1.3 with cipher TLS_AES_256_GCM_SHA384 (256/256 bits)
28.05.2023, 09:34:44	info	lmtp(6430): Disconnect from 172.22.1.2: Logged out (state=MAIL FROM)
28.05.2023, 09:34:44	info	lmtp(6430): Connect from 172.22.1.2

Answer 1

[AUser0]

rip= означает Remote IP, то есть IP клиента.
Так же IP подключающегося виден в Connect from 172.22.1.2.
Под каким логином коннектится этот IP - уже не видно, он не авторизуется. А почтовый адрес, с которого отправлено это письмо, написан в MAIL FROM, но Dovecot его не показывает, к сожалению.
Возможно через опции debug можно увидеть все подробности...

Comments

[panikev]

2ip пишет, что это локальная сеть. Сам mailcow развернут на docker-compose

[AUser0]

panikev, локальная сеть находится в одном здании с вами. И docker-compose к этому не имеет никакого отношения.

[panikev]

AUser0, мне кажется имеет. У меня почтовик на 192.168.1.50,а докер как-то подбрасывает свои ip до контейнера

[AUser0]

panikev, тогда выясняйте владельца этого IP.

Answer 2

[CityCat4]

Вот это -

Connect from 172.22.1.2

что?