Comment déterminer quel utilisateur a envoyé un e-mail spécifique avec postfix?

9

Nous avons un serveur postfix qui nécessite une authentification sur le relais SMTP à travers lui. Nous utilisons des boîtes aux lettres virtuelles dans la base de données MySQL.

Un message a été relayé via notre système et nous devons déterminer lequel de nos comptes d'utilisateurs a été utilisé pour l'envoyer.

Les en-têtes de message contiennent:

Received: from User (c-76-109-241-139.hsd1.fl.comcast.net [xx.109.xxx.139]) 
    by ourserver.com (Postfix) with ESMTPA id 7BA184B4AD4; 
    Tue,  3 Jul 2012 05:42:59 -0400 (EDT)

Nous n'avons pas d'utilisateur appelé "Utilisateur", et l'adresse IP n'est pas celle à partir de laquelle nous enverrions du courrier. Je voudrais savoir sur quels comptes d'utilisateurs l'expéditeur s'est authentifié lors de l'envoi du message.

Existe-t-il un moyen de suivre cela?

email postfix security pseudo
la source
Dans ce qui précède, Userest le nom d'hôte de votre serveur de messagerie. Avez-vous vu quelque chose comme ça Authenticated sender:?
quanta

Réponses:

15

Si vous recherchez l'ID du message (7BA184B4AD4 dans votre cas), /var/log/mail.logvous devriez trouver une ligne de journal indiquant le sasl_username. Par exemple:

% zgrep 07A1753F /var/log/mail.log*
Jul  4 19:47:58 mammon postfix/smtpd[4936]: 07A1753F: client=c-69-181-123-456.hsd1.ca.comcast.net[69.181.123.456], sasl_method=PLAIN, sasl_username=mgorven

Modifier: Si vous définissez l' smtpd_sasl_authenticated_header option dans /etc/postfix/main.cfPostfix, le nom d'utilisateur SASL sera ajouté à l'en- Receivedtête des courriers. Notez que cet en-tête peut être altéré, donc ce qui précède est le seul moyen fiable de déterminer quel utilisateur a soumis le message.

smtpd_sasl_authenticated_header = yes
mgorven
la source
1
Je ne vois pas cela dans mes journaux, toutes ces entrées ont est client = xxx et aucune information sasl, que sasl soit utilisé ou non. Je suppose que c'est parce que j'utilise Dovecot pour l'authentification sasl, pas Cyrus SASL. Je peux demander à Dovecot de consigner ses propres enregistrements d'authentifications, mais il est difficile de les comparer de manière fiable avec les messages de journal de postfix.
gogoud
Utilisateurs WHM / cPanel:/var/log/maillog
rinogo