Как читать exim лог?

Question

[testzsrees]

Добрый день.
Подскажите как читать exim лог?
В голове опилки, совсем ничего не понимаю.

2019-12-17 06:35:24 no host name found for IP address 185.234.218.210
2019-12-17 06:35:27 dovecot_login authenticator failed for (User) [185.234.218.210]: 535 Incorrect authentication data (set_id=[e-mail])
2019-12-17 06:35:55 1ih3ba-0006Zy-CM H=okorderclub.com [204.11.56.48] Connection timed out
2019-12-17 06:35:59 1ih3ba-0006Zy-CM == [e-mail] <[e-mail]> R=dnslookup T=remote_smtp defer (110): Connection timed out
2019-12-17 06:36:01 1ih3ba-0006Zy-CM => [e-mail] <[e-mail]> R=dnslookup T=remote_smtp H=mid-nl.mail.protection.outlook.com [104.47.0.36] X=TLS1.2:ECDHE_RSA_AES_256_GCM_SHA384:256 CV=yes C="250 2.6.0 <226101d5b470$9eb9c810$1f05e064@itpokvw> [InternalId=21247203214440, Hostname=VI1PR08MB3280.eurprd08.prod.outlook.com] 174960 bytes in 0.384, 444.537 KB/sec Queued mail for delivery"
2019-12-17 06:36:03 1ih3ba-0006Zy-CM H=postduif.natuurpark.nl [212.79.243.200] Connection timed out
2019-12-17 06:36:04 1ih3ba-0006Zy-CM == [e-mail] <[e-mail]> R=dnslookup T=remote_smtp defer (110): Connection timed out
2019-12-17 06:36:04 1ih3ba-0006Zy-CM ** [e-mail] <[e-mail]>: retry timeout exceeded
2019-12-17 06:36:04 1ih3ba-0006Zy-CM ** [e-mail] <[e-mail]>: retry timeout exceeded
2019-12-17 06:36:04 1ih3ba-0006Zy-CM ** [e-mail] <[e-mail]>: retry timeout exceeded
2019-12-17 06:36:04 WARNING: purging the environment.
 Suggested action: use keep_environment and add_environment.

Answer 1

[neol]

https://www.lissyara.su/doc/exim/4.62/log_files/ тут даже на русском описание есть

Comments

[testzsrees]

Читал. Толку ноль, не понимаю.

[neol]

testzsrees, С объяснениями у меня не очень, но давайте попробуем начать со строки попроще:

2019-12-17 06:35:59 1ih3ba-0006Zy-CM == [e-mail] R=dnslookup T=remote_smtp defer (110): Connection timed out

1. время - 2019-12-17 06:35:59
   
2. идентификатор сообщения - 1ih3ba-0006Zy-CM
   
3. флаг строки логов ( https://www.lissyara.su/doc/exim/4.62/log_files/#48.5 ) - ==
   Если флага нет, то строка содержит просто более подробное сообщение об ошибке (и при желании это строки можно отключить в конфиге)
   
4. адрес получателя сообщения - [e-mail]
   
5. адрес отправителя сообщения - [e-mail]
   
6. используемый роутер (R) - R=dnslookup
   
7. используемый транспорт (T) - T=remote_smtp
   

Что из этого не понятно? Какие вопросы остались?

[testzsrees]

neol, спасибо. Не понятно значение

==

оно трактуется как попытка отправки или приема письма?
Дальше индификатор 1ih3ba-0006Zy-CM указывается несколько раз на разных строчках
Например здесь
1ih3ba-0006Zy-CM => [e-mail] - я понимаю это как отправка от нас сообщения на этот адрес.
А дальше идут другие адреса, как их понимать, откуда взялся например вот этот [e-mail]

2019-12-17 06:36:04 1ih3ba-0006Zy-CM == [e-mail] <[e-mail]> R=dnslookup T=remote_smtp defer (110): Connection timed out
2019-12-17 06:36:04 1ih3ba-0006Zy-CM ** [e-mail] <[e-mail]>: retry timeout exceeded

И вот с этой строчкой не ясно

dovecot_login authenticator failed for (User) [185.234.218.210]: 535 Incorrect authentication data (set_id=[e-mail])

User c ip адреса 185.234.218.210 не смог авторизоваться на сервере почты, так?
И set_id=[e-mail] - это откуда и почему? - gbnhost.com - здесь хостинг сервера почты находится

еще есть rejectlog
Я так понимаю в нем написано, что мы не смогли отправить по этим адресам, потому что ip адреса в спам листе, но эти ip не соответствуют нашему ip сервера. Или это что-то другое?
И в чем отличие адресов в круглых скобках и квадратных? здесь - dovecot_login authenticator failed for (185.234.219.98) [185.234.219.74]

2019-12-16 06:29:39 dovecot_login authenticator failed for (185.234.219.98) [185.234.219.74]: 535 Incorrect authentication data (set_id=scanner)
2019-12-16 06:34:46 H=(mail.axily.ru) [77.221.144.107] X=TLS1.2:DHE_RSA_AES_256_GCM_SHA384:256 CV=no F=<[e-mail]> rejected RCPT <[e-mail]>: Rejected because 77.221.144.107 is in a black list at bl.spamcop.net
2019-12-16 06:35:03 H=(mail.xopih.ru) [162.247.13.7] X=TLS1.2:DHE_RSA_AES_256_GCM_SHA384:256 CV=no F=<[e-mail]> rejected RCPT <[e-mail]>: Rejected because 162.247.13.7 is in a black list at bl.spamcop.net
2019-12-16 06:35:07 H=(mail.xopih.ru) [162.247.13.7] X=TLS1.2:DHE_RSA_AES_256_GCM_SHA384:256 CV=no F=<[e-mail]> rejected RCPT <[e-mail]>: Rejected because 162.247.13.7 is in a black list at bl.spamcop.net
2019-12-16 06:37:16 H=(powerducks.net) [80.254.121.138] sender verify fail for <[e-mail]>: all relevant MX records point to non-existent hosts
2019-12-16 06:37:16 H=(powerducks.net) [80.254.121.138] X=TLS1.2:ECDHE_RSA_AES_256_GCM_SHA384:256 CV=no F=<[e-mail]> rejected RCPT <[e-mail]>: Sender verify failed

[neol]

testzsrees,

оно трактуется как попытка отправки или приема письма?

Может быть и то, и другое. Смотрите по отправителю. В данном случае отправка.

Например здесь
1ih3ba-0006Zy-CM => [e-mail] - я понимаю это как отправка от нас сообщения на этот адрес.
А дальше идут другие адреса, как их понимать, откуда взялся например вот этот [e-mail]

В сообщении было указано несколько получателей, для каждого получателя отдельная строка доставки.

И вот с этой строчкой не ясно

Неудачная аутентификация. Я не знаю, что тут пояснять.
К последующим строкам это не имеет никакого отношения.

[testzsrees]

Неудачная аутентификация. Я не знаю, что тут пояснять.

Вот эта строчка не понятна

(set_id=[e-mail])

и разница ip адреса в скобках

authenticator failed for (185.234.219.98) [185.234.219.74]

[neol]

testzsrees,

(set_id=[e-mail])

[e-mail] - это логин с которым пытались войти

и разница ip адреса в скобках

Если не ошибаюсь, то в круглых скобках HELO и там можно что угодно нарисовать

[testzsrees]

neol, ещё один вопрос

H=(mail.xopih.ru) [162.247.13.7] X=TLS1.2:DHE_RSA_AES_256_GCM_SHA384:256 CV=no F=<[e-mail]> rejected RCPT <[e-mail]>: Rejected because 162.247.13.7 is in a black list at bl.spamcop.net

Здесь указывается, что сообщение с ip адреса 162.247.13.7 и почтового ящика [e-mail] отклонено, потому что ip адрес в спам листе?

[neol]

testzsrees,
F тут означает FROM, так что
сообщение с ip адреса 162.247.13.7 и почтового ящика [e-mail] на [e-mail] отклонено из-за spamcop.

ЗЫ Кстати не стоит блокировать письма только из-за того, что сервер попал в какой-то блэклист, т. к. эти блэклисты работают довольно хреново. Использовать как один из факторов - ок.