ORF LOG Viewer 记录大量发件人为空的邮件日志处理方法一例

钉子

今天有一个在Exchange 2007环境下，在边缘传输服务器（Edge）上运行ORF的客户向我们反映，他们在ORF LOG Viewer 中发现有大量发件人为空的邮件日志记录，不知道是什么情况，在客户允许的情况下我们远程协助客户寻找原因。相关处理过程及方法分享如下：

一.现象：

ORF LOG Viewer 中发现有大量发件人为空的邮件日志记录，如下图




二。分析过程：

1.起初我们以为垃圾邮件发送方式利用Exchange 2007的服务器在中继垃圾邮件，所以，我们先从Exchange的邮件跟踪工具开始找这个收件人的邮件记录：





2.通过邮件跟踪工具的分析，这个发件人并不为空，而是Postmaster@xx.com，也就是系统本身的退信。我们接下来需要通过SMTP的协议日志进行进一步的分析：

A.首先需要确认协议日志是否开启，及存放位置：



B.找到相关日志：


C.打开日志后，能过邮件地址查找，发现了这个地址原来发送邮件时的记录，这里记录着原来收件是一位chenhongxi@xx.com的用户。




D.通过这个信息，我们在ORF LOG Viewer 中也找到了相关的日志信息：



3.然后，我们咨询客户是否有一位chenhongxi@xx.com的用户，他经过在AD中查询后发现没有这样的地址。


三。问题原因：

1.根据上面的分析和排查，我们分析的原因是：这类日志产生的原因是因为，外部有一个垃圾邮件发件人，向Exchange发送一封收件人为chenhongxi@xx.com的邮件，当Exchange 接收到这封邮件后发现收件人不存在于Exchange中，然后进行了退信，而ORF的自动发件人白名单（Auto Sender Whirtlist）功能会记录这次的邮件的发送（因为收件人地址不存在于自动发件人白名单数据库），但因为是系统内部的退信，所以无法记录发件人地址，但会记录是由系统内验证的信息。

2.为什么ORF会放行一个收件人不存在于Exchange的邮件呢？大家一定记得ORF有一个收件人验证（Recipient Validation）的功能，它对无效收件人的邮件过滤掉，但因为ORF默认使用的直接查询AD的方式，而这位客户是将ORF 安装在边缘传输服务器上，大家也应该知道边缘服务器并没有加入域，所以ORF也就无法查询AD，所以当在ORF安装在Exchange 2007或是2010的边缘传输服务器上时，当你想启用收件人验证（Recipient Validation）的过滤策略时，ORF会出现如下图的提示信息。




四。解决办法：

1.可以将ORF的收件人验证（Recipient Validation）的过策略开启，然后配置ORF使用Text File或是SQL DATABASE的数据源来验证收件人，这样的话，需要将所以Exchange的收件人导出一份每行一个邮件地址的文本文件，或是将收件人信息写入到一个SQL数据库里。

2.另外，我认为比较简单易行的方式是启用Exchange 边缘传输服务器内置的反垃圾功能里的收件人过滤，设置如下：

A.选项“收件人过滤”属性，如果没有启用，请先启用



B.找到“阻止发件人”选项卡，并点选“阻止发送到全球地址列表中未列出的收件人的邮件”选项


C.最后建议重启 Exchange 传输服务：

pater

實用的好東西

jhonlone

好贴要顶

EC_MAC

这段写的太好了，我昨天刚看到，今天就用到了。感谢啊！

lefyou

感谢大侠分享！