Как в логе постфикса отображаются письма, отмеченные как спам в centos7?

Question

[RJ94]

Добрый день!
Пользователь жалуется, что к нему не приходят письма от одного отправителя. Отправитель советует проверять спам-фильтры и исключить его из негодяев. Есть подозрение, что отправитель говорит неправду и ничего не отправлял. Нельзя заставить отправителя прислать письмо для проверки прямо сейчас. Где можно увидеть (в каких логах), что письма метятся как спам? Вижу в /var/log/maillog, что письма от нужного отправителя приходят, но другому адресату. Пользователя-жалобщика не нахожу. Как настроен фильтр не знаю. Знаком с постфиксом вторую неделю. Сейчас нет задачи разрешить\изменить настройки, сейчас надо выяснить - действительно ли кто-то что-то присылал или нет. И если присылал, то где это отразилось.

Answer 1

[CityCat4]

Никак. Постфикс - SMTP-сервер, в его задачу не входит метить или не метить письма. Метить письма может либо отдельный антиспам на сервере, либо сама почтовая программа, причем как правило бывает последнее - почтовая программа отправляет письма в папку "Спам" :)

Comments

[RJ94]

сама почтовая программа - это почтовый клиент на пользовательской машине? тогда в моем случае это ms outlook. там в папке "спам" и "нежелательные" пусто. или это не это? в любом случае, уточните, пожалуйста: в /var/log/maillog (пока будем считать, что настройки по умолчанию и никто специально папку для логов не перемещал) отображаются все действия с письмами (пришло-ушло), или что-то в этом логе может отсутствовать, так как письмо перехвачено спам-фильтром? Или в maillog отображается только то, что точно пришло (допущено) в сеть и ожидает, пока пользователь прочитает?

[CityCat4]

RJ94, в /var/log/maillog отображаются действия, которые предпринимает SMTP-сервер при приеме письма. Это может быть передача его на обработку спамфильтру, антивируснику, черту лысому и соответственно сообщения о том, что письмо вернулось с обработки и передано локальному доставщику. У антиспама, если он есть, может быть свой лог. Все зависит от местных настроек.

[CityCat4]

RJ94, к действиям пользователя /var/log/maillog вообще не имеет никакого отношения, локальной раздачей обычно занимается dovecot или другой IMAP (а может быть даже и POP3) демон. У него обычно свой лог.

[RJ94]

CityCat4, ага! то есть, если что-то в принципе приходило, это можно увидеть в /var/log/maillog и дальше отслеживать по ситуации. Но сначала запись будет в /var/log/maillog, верно?

[CityCat4]

RJ94, да

Answer 2

[Дмитрий]

Смотря какой самфильтр стоит.
Например так:

Feb 14 21:10:14 pmg pmg-smtp-filter[2063]: 182DDE5A847B869856B: new mail message-id=<13dd01d3a5cc$54b6e4a0$104e8c78@uytollr>
Feb 14 21:10:15 pmg pmg-smtp-filter[2063]: 182DDE5A847B869856B: SA score=6/5 time=0.829 bayes=undefined autolearn=no autolearn_force=no hits=FROM_EXCESS_BASE64,HTML_IMAGE_ONLY_08,HTML_IMAGE_RATIO_02,HTML_MESSAGE,HTML_SHORT_LINK_IMG_1,RCVD_IN_MSPIKE_BL,RCVD_IN_MSPIKE_L5,SPF_HELO_PASS,SPF_PASS,T_RP_MATCHES_RCVD,URIBL_BLOCKED
Feb 14 21:10:15 pmg pmg-smtp-filter[2063]: 182DDE5A847B869856B: moved mail for <[e-mail]> to spam quarantine - 182DE15A847B878A5E9

Comments

[Дмитрий]

Для выеяснения факта, было письмо или нет, нужно внимательно смотреть почтовые логи и и искать в них ip/домен/адрес отправителя.

[RJ94]

я от начальника слышал страшное слово "спамассассин", но изучить его пока не успел. если мы предположим, что спам фильтр пометил кого-то из отправителей как негодяя и заблокировал, запись об этом будет только в отдельном логе спамфильтра, а в maillog просто не будет никакого упоминания от отправителе? или все более индивидуально и по моим данным (имея только доступ к /var/log/maillog) определить ничего нельзя?

[Дмитрий]

RJ94, обычно он включается в maillog.
под рукуой нет спамассасина, могли бы вы привести кусок лога?

[RJ94]

Дмитрий, вот примерно так выглядит

Feb 15 12:49:31 mail postfix/smtps/smtpd[21866]: connect from unknown[192.168.254.254]
Feb 15 12:49:31 mail postfix/smtps/smtpd[21866]: Anonymous TLS connection established from unknown[192.168.254.254]: TLSv1 with cipher AES128-SHA (128/128 bits)
Feb 15 12:49:31 mail postfix/smtps/smtpd[21866]: 8420323463C7: client=unknown[192.168.254.254], sasl_method=LOGIN, sasl_username=[e-mail]
Feb 15 12:49:31 mail postfix/cleanup[21845]: 8420323463C7: message-id=<02dd01d3a639$e453ed80$accbc880$@roga-kopyta.ru>
Feb 15 12:49:31 mail postfix/qmgr[6027]: 8420323463C7: from=<[e-mail]>, size=2972, nrcpt=3 (queue active)
Feb 15 12:49:32 mail postfix/pipe[21869]: 8420323463C7: to=<[e-mail]>, relay=dovecot, delay=0.48, delays=0.24/0.02/0/0.22, dsn=2.0.0, status=sent (delivered via dovecot service)
Feb 15 12:49:32 mail postfix/pipe[21848]: 8420323463C7: to=<[e-mail]>, relay=dovecot, delay=0.59, delays=0.24/0/0/0.35, dsn=2.0.0, status=sent (delivered via dovecot service)
Feb 15 12:49:32 mail postfix/pipe[21849]: 8420323463C7: to=<[e-mail]>, relay=dovecot, delay=0.59, delays=0.24/0/0/0.35, dsn=2.0.0, status=sent (delivered via dovecot service)
Feb 15 12:49:32 mail postfix/qmgr[6027]: 8420323463C7: removed
Feb 15 12:49:34 mail postfix/smtps/smtpd[21866]: disconnect from unknown[192.168.254.254]

[Дмитрий]

RJ94, тут у вас лог с внутренними клиентами. покажите лог прохождения внешнего письма.

[RJ94]

Дмитрий, извините, переволновался ) но пока искал, кажется, понял, как оно выглядит:

Feb 13 11:01:22 mail postfix/smtpd[20902]: connect from forward104o.mail.yandex.net[37.140.190.179]
Feb 13 11:01:23 mail postfix/smtpd[20902]: Anonymous TLS connection established from forward104o.mail.yandex.net[37.140.190.179]: TLSv1.2 with cipher AECDH-AES256-SHA (256/256 bits)
Feb 13 11:01:26 mail postfix/smtpd[20902]: 9ED5A2346AA1: client=forward104o.mail.yandex.net[37.140.190.179]
Feb 13 11:01:26 mail postfix/cleanup[20836]: 9ED5A2346AA1: message-id=<[e-mail]>
Feb 13 11:01:26 mail postfix/qmgr[6027]: 9ED5A2346AA1: from=<[e-mail]>, size=265296, nrcpt=2 (queue active)
Feb 13 11:01:26 mail postfix/smtpd[20902]: disconnect from forward104o.mail.yandex.net[37.140.190.179]
Feb 13 11:01:27 mail postfix/pipe[20840]: 9ED5A2346AA1: to=<[e-mail]>, relay=dovecot, delay=4, delays=3.8/0/0/0.21, dsn=2.0.0, status=sent (delivered via dovecot service)
Feb 13 11:01:27 mail postfix/pipe[20839]: 9ED5A2346AA1: to=<[e-mail]>, relay=dovecot, delay=4.1, delays=3.8/0/0/0.37, dsn=2.0.0, status=sent (delivered via dovecot service)
Feb 13 11:01:27 mail postfix/qmgr[6027]: 9ED5A2346AA1: removed
Feb 13 11:01:54 mail postfix/smtpd[20902]: connect from mail.lleo.aha.ru[213.189.197.20]
Feb 13 11:01:54 mail postfix/smtpd[20902]: Anonymous TLS connection established from mail.lleo.aha.ru[213.189.197.20]: TLSv1 with cipher DHE-RSA-AES256-SHA (256/256 bits)
Feb 13 11:01:54 mail postfix/smtpd[20902]: D96052346AA1: client=mail.lleo.aha.ru[213.189.197.20]
Feb 13 11:01:55 mail postfix/cleanup[20836]: D96052346AA1: message-id=<000001d3a498$880c2d40$982487c0$@aha.ru>
Feb 13 11:01:55 mail postfix/qmgr[6027]: D96052346AA1: from=<[e-mail]>, size=70275, nrcpt=2 (queue active)
Feb 13 11:01:55 mail postfix/smtpd[20902]: disconnect from mail.lleo.aha.ru[213.189.197.20]
Feb 13 11:01:55 mail postfix/pipe[20840]: D96052346AA1: to=<[e-mail]>, relay=dovecot, delay=0.62, delays=0.36/0/0/0.26, dsn=2.0.0, status=sent (delivered via dovecot service)
Feb 13 11:01:55 mail postfix/pipe[20842]: D96052346AA1: to=<[e-mail]>, relay=dovecot, delay=0.71, delays=0.36/0/0/0.34, dsn=2.0.0, status=sent (delivered via dovecot service)
Feb 13 11:01:55 mail postfix/qmgr[6027]: D96052346AA1: removed

здесь приходят письма со сторонних адресов на внутренние и благополучно отправляются адресатам.
а теперь тут

connect from mxout.safaricombusiness.co.ke[197.248.255.8]
NOQUEUE: reject: RCPT from mxout.safaricombusiness.co.ke[197.248.255.8]: 450 4.1.8 <[e-mail]>: Sender address rejected: Domain not found; from=<[e-mail]> to=<[e-mail]> proto=ESMTP helo=<mxout.safaricombusine
disconnect from mxout.safaricombusiness.co.ke[197.248.255.8]

что-то происходит и кого-то извне не пускают внутрь. верно?

[Дмитрий]

RJ94, во втором логе у отправителя нет PTR-записи в DNS и его отклонили.

попробуйте найти в логе что-то вроде:

Jan 29 15:10:15 mx1 amavis[37485]: (37485-07) Blocked SPAM {DiscardedOpenRelay,Quarantined}, [195.209.52.23]:37839 [195.209.52.23] <> -> <[e-mail]>, quarantine: spam-23pR5S_umN6x.gz, Queue-ID: D08D5DF69A, Message-ID: <[e-mail]>, mail_id: 23pR5S_umN6x, Hits: 19.709, size: 563127, 4270 ms