¿Cómo determinar qué usuario envió un correo electrónico específico con postfix?

9

Tenemos un servidor postfix que requiere autenticación para retransmitir SMTP a través de él. Utilizamos buzones virtuales en la base de datos MySQL.

Se transmitió un mensaje a través de nuestro sistema, y ​​debemos determinar cuál de nuestras cuentas de usuario se utilizó para enviarlo.

El encabezado del mensaje contiene:

Received: from User (c-76-109-241-139.hsd1.fl.comcast.net [xx.109.xxx.139]) 
    by ourserver.com (Postfix) with ESMTPA id 7BA184B4AD4; 
    Tue,  3 Jul 2012 05:42:59 -0400 (EDT)

No tenemos un usuario llamado "Usuario", y la dirección IP no es aquella desde la que estaríamos enviando correo. Me gustaría saber en cuál de nuestras cuentas de usuario se autenticó el remitente al enviar el mensaje.

¿Hay alguna manera de rastrear esto?

email postfix security Mella
fuente
En lo anterior, Useres el nombre de host de su servidor de correo. ¿Viste algo como esto Authenticated sender:?
quanta

Respuestas:

15

Si busca el ID del mensaje (7BA184B4AD4 en su caso) /var/log/mail.log, debe encontrar una línea de registro que indique el sasl_username. Por ejemplo:

% zgrep 07A1753F /var/log/mail.log*
Jul  4 19:47:58 mammon postfix/smtpd[4936]: 07A1753F: client=c-69-181-123-456.hsd1.ca.comcast.net[69.181.123.456], sasl_method=PLAIN, sasl_username=mgorven

Editar: Si configura la smtpd_sasl_authenticated_header opción en /etc/postfix/main.cfPostfix, agregará el nombre de usuario SASL al Receivedencabezado en los correos. Tenga en cuenta que este encabezado se puede alterar, por lo que lo anterior es la única forma confiable de determinar qué usuario envió el mensaje.

smtpd_sasl_authenticated_header = yes
mgorven
fuente
1
No veo esto en mis registros, todas estas entradas tienen es client = xxx y no hay información sasl, se use o no sasl. Supongo que esto se debe a que uso Dovecot para la autenticación sasl, no Cyrus SASL. Puedo hacer que Dovecot registre sus propios registros de autenticaciones, pero estos son difíciles de comparar de manera confiable con los mensajes de registro de postfix.
gogoud
Usuarios de WHM / cPanel:/var/log/maillog
rinogo