Einleitung
In diesem Dokument wird beschrieben, wie Sie den Status einer Nachricht mithilfe der E-Mail-Protokolle ermitteln, die über verschiedene Befehle der Cisco E-Mail Security Appliance (ESA) abgerufen wurden.
Voraussetzungen
Die Informationen in diesem Dokument basieren auf:
- ESA
- Alle Versionen von AsyncOS
Nachrichtenverfolgung
Wenn Sie AsyncOS für E-Mail 6.0 oder höher ausführen, können Sie am effektivsten feststellen, was mit einer bestimmten Nachricht passiert ist, indem Sie die Seite Nachrichtenverfolgung von der Registerkarte Überwachen verwenden. Dies ermöglicht Ihnen die Suche mit einer Vielzahl von Optionen in einer einfach zu bedienenden Web-Oberfläche.
Wenn Sie eine ältere Version ausführen oder alle Protokollzeilen zur Fehlerbehebung erfassen müssen, verwenden Sie die Befehle grep oder findevent wie in den nächsten Abschnitten beschrieben.
Findevent-Befehl
Wenn Sie AsyncOS für E-Mail Version 5.1.2 oder höher installiert haben, erleichtert der CLI-Befehl findevent die Suche nach einer bestimmten Nachricht. Mit Findevent können Sie nach dem Umschlag von, dem Umschlagempfänger oder der Nachricht Betreff suchen. Dies kann unabhängig vom Fall erfolgen. Sobald Sie Ihre Nachricht gefunden haben, können Sie jede Protokollzeile zurückgeben, die für diese Nachricht relevant ist. Wenn Sie findevent ohne Argumente ausführen, wird ein Assistent gestartet, der Sie durch den Prozess führt. Wie immer können Sie den Befehl help verwenden, um die Kurzform zu lernen:
> help findevent
findevent [-i] [-f from | -s subject | -t to] log_name
findevent -m mid log_name
Das erste Formular führt eine Suche nach einem bestimmten Umschlag von, Betreff oder Umschlag innerhalb des benannten log_name durch und listet die übereinstimmenden Nachrichten-IDs (MIDs) auf. Das -i-Flag kann für Suchen verwendet werden, bei denen nicht zwischen Groß- und Kleinschreibung unterschieden wird.
Im zweiten Formular werden alle Protokollzeilen für die angegebene MID angezeigt.
Wenn Sie über eine ältere Version verfügen, kann der CLI-Befehl grep verwendet werden, um dasselbe zu erreichen. Die Verwendung des Befehls grep erfordert jedoch genauere Kenntnisse darüber, wie ESAs Meldungsereignisse protokollieren.
Grep-Befehl
Die erste Herausforderung bei der Suche nach E-Mail-Protokollen besteht darin, Ihre Nachricht zu finden. Sie können dies tun, wenn Sie nach dem Absender, dem Empfänger oder dem Betreff suchen. Sobald Sie Ihre Nachricht gefunden haben, ist es wichtig zu wissen, wie die Mail-Protokolle organisiert sind. Content Security-E-Mail-Protokollereignisse werden mit Akronymen versehen. Die wichtigsten Ereignisse sind ICID, MID, RID und DCID.
Injection Connection ID (ICID): Wenn ein Remotehost eine Verbindung mit der Appliance herstellt, wird dieser Verbindung eine ICID zugewiesen. Eine ICID kann viele MIDs erzeugen.
Anmerkung: ICID 0 definiert eine Nachricht, die von sich selbst eingeprägt wurde. Die Ziffer 0 nach einer ICID oder DCID bezieht sich auf Sitzungen, die zur oder von der Local-Loop-Adresse des Geräts geöffnet sind.
MITTE: Sobald eine Verbindung hergestellt ist, wird jede erfolgreiche SMTP-Mail von: erstellt eine neue MID. Eine einzelne MID kann viele RIDs erzeugen.
Empfänger-ID (RID): Jeder Empfänger (An: CC: oder Bcc erhält eine RID. RIDs erzeugen nur dann mehrere DCIDs, wenn ein Soft-Bounce (Verbindungsfehler) auftritt und die Übermittlung erneut versucht wird.
Delivery Connection ID (DCID): Jeder Empfänger, der an dieselbe Zieldomäne weitergeleitet wird, erhält dieselbe DCID bis zu den Grenzen des empfangenden Systems. Wenn also alle Empfänger einer Nachricht an dieselbe Domain gehen, gibt es eine DCID für alle RIDs. Wenn stattdessen jede RID an eine separate Domäne geht, besteht eine 1:1-Korrelation.
Anmerkung: DCID 0 definiert eine Nachricht, die nie gesendet wurde. Die Ziffer 0 nach einer ICID oder DCID bezieht sich auf Sitzungen, die zur oder von der Local-Loop-Adresse des Geräts geöffnet sind.
Im Allgemeinen, wenn Sie Ihre Nachricht finden, finden Sie ihre MID. Dann suchst du nach der MID und bestimmst die ICID und die RID. Mit der ICID können Sie die SenderBase Reputation Score (SBRS) für den Absender ermitteln. Mit der RID und dann der DCID können Sie feststellen, was passierte, als die ESA die Lieferung versuchte.
Anmerkung: Sobald Sie die MID, ICID und DCID haben, können Sie alle Zeilen für diese Nachricht in einem Grep abrufen, wenn der Ursprung der Nachricht nicht älter ist als Ihr ältestes Mail-Protokoll.
example.com> grep -e " MID 11123" -e " ICID 11092" -e " DCID 23349" mail_logs
Beispiel
- Nach Betreff der Nachricht suchen:
example.com> grep
Currently configured logs:
16. "mail_logs" Type: "IronPort Text Mail Logs" Retrieval: FTP Poll
Enter the number of the log you wish to grep.
[]> 16
Enter the regular expression to grep.
[]> test
Do you want this search to be case insensitive? [Y]>
Do you want to tail the logs? [N]>
Do you want to paginate the output? [N]>
Mon Jan 23 10:25:03 2006 Info: SMTP listener testpairlist starting
Tue Jan 24 12:10:15 2006 Info: Message aborted MID 8 Dropped by filter
'testdrop'
Tue Jan 31 23:55:38 2006 Info: MID 32 Subject 'testmsgquarantine'
Wed Feb 1 00:23:59 2006 Info: MID 62 Subject 'testmsgquarantine'
Wed Feb 1 00:27:48 2006 Info: MID 64 Subject 'testmsg2'
Wed Feb 1 22:30:37 2006 Info: MID 80 Subject 'test zip'
Wed Feb 1 22:37:51 2006 Info: MID 83 Subject 'FW: test zip'
Wed Feb 1 22:41:50 2006 Info: MID 84 Subject 'FW: test zip'
Fri Feb 3 15:17:47 2006 Info: MID 94 Subject 'test'
Fri Feb 3 15:42:06 2006 Info: MID 96 Subject 'test'
Dadurch wurden mehrere Übereinstimmungen mit dem Test im Betreff generiert. Die Nachricht wurde um ca. 15:42 Uhr gesendet, sodass Sie diese MID für die nächste Suche verwenden können.
Hier einige wichtige Punkte zu den Fragen:
- Soll bei dieser Suche die Groß-/Kleinschreibung beachtet werden? [J]>
Wenn Sie diese Frage mit Ja beantworten, werden Einträge unabhängig von der Groß- und Kleinschreibung gefunden.
- Möchten Sie die Protokolle verfolgen? [N]>
Wenn Sie diese Frage mit Ja beantworten, werden nur neue Einträge gefunden, die generiert werden. Es werden nicht alle Protokolldateien durchsucht. Wählen Sie Nein, um alle Protokolle zu durchsuchen.
- Möchten Sie die Ausgabe paginieren? [N]>
Wenn Sie diese Frage mit Ja beantworten, werden die Einträge seitenweise angezeigt. Dies ist nützlich, wenn Sie eine allgemeine Suche durchführen müssen und erwarten, viele Einträge abzurufen. Dadurch wird verhindert, dass die Einträge vom Display heruntergescrollt werden.
- Nach MID suchen:
mail.example.com> grep
Currently configured logs:
16. "mail_logs" Type: "IronPort Text Mail Logs" Retrieval: FTP Poll
Enter the number of the log you wish to grep.
[]> 16
Enter the regular expression to grep.
[]> MID 96
Do you want this search to be case insensitive? [Y]>
Do you want to tail the logs? [N]>
Do you want to paginate the output? [N]>
Fri Feb 3 15:41:43 2006 Info: Start MID 96 ICID 10394
Fri Feb 3 15:41:43 2006 Info: MID 96 ICID 10394 From: <bob@example.net>
Fri Feb 3 15:41:58 2006 Info: MID 96 ICID 10394 RID 0 To:
<nasir@example.com>
Fri Feb 3 15:42:06 2006 Info: MID 96 Message-ID
<4o8836$30@mail.example.com>
Fri Feb 3 15:42:06 2006 Info: MID 96 Subject 'test'
Fri Feb 3 15:42:06 2006 Info: MID 96 ready 23 bytes from
<bob@example.net>
Fri Feb 3 15:42:06 2006 Info: MID 96 matched all recipients for
per-recipient policy DEFAULT in the outbound table
Fri Feb 3 15:42:06 2006 Info: MID 96 antivirus negative
Fri Feb 3 15:42:06 2006 Info: MID 96 queued for delivery
Fri Feb 3 15:42:06 2006 Info: Delivery start DCID 14 MID 96 to RID [0]
Fri Feb 3 15:42:06 2006 Info: Message done DCID 14 MID 96 to RID [0]
Fri Feb 3 15:42:06 2006 Info: MID 96 RID [0] Response '2.6.0
<4o8836$30@mail.example.com> Queued mail for delivery'
Fri Feb 3 15:42:06 2006 Info: Message finished MID 96 done
Beachten Sie, dass die MID-Einträge weitere Informationen darüber liefern, wie die Nachricht verarbeitet wird. Die MID-Einträge referenzieren auch die ICID und die DCID. Wenn Sie mehr über die eingehende Verbindung wissen wollen, grep für die ICID. Wenn Sie mehr darüber erfahren möchten, was passierte, als die ESA die Lieferung versuchte, lesen Sie die DCID.
- Um festzustellen, wohin die Nachricht gesendet wurde, suchen Sie nach der DCID.
mail.example.com> grep
Currently configured logs:
16. "mail_logs" Type: "IronPort Text Mail Logs" Retrieval: FTP Poll
Enter the number of the log you wish to grep.
[]> 16
Enter the regular expression to grep.
[]> DCID 14
Do you want this search to be case insensitive? [Y]>
Do you want to tail the logs? [N]>
Do you want to paginate the output? [N]>
Fri Feb 3 15:42:06 2006 Info: New SMTP DCID 14 interface 192.168.0.199
address 10.1.1.112 port 25
Fri Feb 3 15:42:06 2006 Info: Delivery start DCID 14 MID 96 to RID [0]
Fri Feb 3 15:42:06 2006 Info: Message done DCID 14 MID 96 to RID [0]
Fri Feb 3 15:42:11 2006 Info: DCID 14 close
Beachten Sie, dass die Nachricht von der Schnittstelle 192.168.0.199 an den Host mit der IP-Adresse 10.1.1.112 über Port 25 übermittelt wurde.
Wenn die Zustellung nicht versucht wurde, die Nachricht jedoch in die Warteschlange gestellt wurde, weist dies darauf hin, dass das System möglicherweise Probleme bei der Kommunikation mit dem Zielserver hat. Sie können den Hoststatus aus der CLI verwenden, um festzustellen, ob der Status des Empfängerhosts "Down" lautet, und um zu überprüfen, ob die bestellten IP-Adressen entweder mit Ihren SMTP-Routen für die Zieldomäne oder den öffentlichen MX-Datensätzen übereinstimmen.
Feedback