জিমব্রা ওএসই লগগুলির সাথে কীভাবে কাজ করবেন

সমস্ত ঘটমান ইভেন্টের লগিং করা যে কোনও কর্পোরেট সিস্টেমের অন্যতম গুরুত্বপূর্ণ কাজ। লগগুলি আপনাকে উদীয়মান সমস্যাগুলি সমাধান করতে, তথ্য সিস্টেমের ক্রিয়াকলাপ নিরীক্ষণ করতে এবং তথ্য সুরক্ষা ঘটনাগুলি তদন্ত করতে দেয়। জিমব্রা ওএসই তার অপারেশনের বিস্তারিত লগও রাখে। তারা সার্ভারের কার্যকারিতা থেকে ব্যবহারকারীদের দ্বারা ইমেল পাঠানো এবং গ্রহণ করার সমস্ত ডেটা অন্তর্ভুক্ত করে। যাইহোক, জিমব্রা ওএসই দ্বারা উত্পন্ন লগগুলি পড়া একটি বরং অ-তুচ্ছ কাজ। এই নিবন্ধে, একটি নির্দিষ্ট উদাহরণ ব্যবহার করে, আমরা আপনাকে বলব কীভাবে জিমব্রা ওএসই লগগুলি পড়তে হয়, সেইসাথে কীভাবে সেগুলিকে কেন্দ্রীভূত করা যায়।

Zimbra OSE সমস্ত স্থানীয় লগ /opt/zimbra/log ফোল্ডারে সঞ্চয় করে, এবং লগগুলি /var/log/zimbra.log ফাইলেও পাওয়া যেতে পারে। এর মধ্যে সবচেয়ে গুরুত্বপূর্ণ হল mailbox.log। এটি মেল সার্ভারে ঘটে যাওয়া সমস্ত ক্রিয়া রেকর্ড করে। এর মধ্যে রয়েছে ইমেল প্রেরণ, ব্যবহারকারীর প্রমাণীকরণ ডেটা, ব্যর্থ লগইন প্রচেষ্টা এবং অন্যান্য। mailbox.log এ এন্ট্রিগুলি হল একটি পাঠ্য স্ট্রিং যাতে ইভেন্টটি ঘটার সময়, ইভেন্টের স্তর, থ্রেড নম্বর যেখানে ঘটনাটি ঘটেছে, ব্যবহারকারীর নাম এবং আইপি ঠিকানা, সেইসাথে ইভেন্টের একটি পাঠ্য বিবরণ থাকে .

লগ লেভেল সার্ভারের অপারেশনে ইভেন্টের প্রভাবের মাত্রা নির্দেশ করে। ডিফল্টরূপে 4টি ইভেন্ট স্তর রয়েছে: তথ্য, সতর্কতা, ত্রুটি এবং মারাত্মক৷ আসুন তীব্রতার ক্রমবর্ধমান সমস্ত স্তরের দিকে তাকাই।

• INFO - এই স্তরের ইভেন্টগুলি সাধারণত জিমব্রা OSE-এর অগ্রগতি সম্পর্কে অবহিত করার উদ্দেশ্যে করা হয়। এই স্তরের বার্তাগুলির মধ্যে একটি মেলবক্স তৈরি বা মুছে ফেলার রিপোর্ট এবং আরও অনেক কিছু রয়েছে৷
• সতর্কতা - এই স্তরের ঘটনাগুলি সম্ভাব্য বিপজ্জনক পরিস্থিতি সম্পর্কে অবহিত করে, কিন্তু সার্ভারের ক্রিয়াকলাপকে প্রভাবিত করে না। উদাহরণস্বরূপ, WARN স্তর একটি ব্যর্থ ব্যবহারকারী লগইন প্রচেষ্টা সম্পর্কে একটি বার্তা চিহ্নিত করে৷
• ত্রুটি - লগের এই ইভেন্ট স্তরটি এমন একটি ত্রুটির ঘটনা সম্পর্কে অবহিত করে যা স্থানীয় প্রকৃতির এবং সার্ভারের অপারেশনে হস্তক্ষেপ করে না। এই স্তরটি এমন একটি ত্রুটিকে ফ্ল্যাগ করতে পারে যেখানে একজন স্বতন্ত্র ব্যবহারকারীর সূচক ডেটা দূষিত হয়েছে।
• মারাত্মক - এই স্তরটি ত্রুটিগুলি নির্দেশ করে যার কারণে সার্ভারটি স্বাভাবিকভাবে কাজ চালিয়ে যেতে পারে না। উদাহরণস্বরূপ, FATAL স্তরটি হবে একটি রেকর্ডের জন্য যা DBMS-এর সাথে সংযোগ করতে অক্ষমতা নির্দেশ করে৷

মেইল সার্ভার লগ ফাইল প্রতিদিন আপডেট করা হয়. ফাইলের সর্বশেষ সংস্করণে সর্বদা Mailbox.log নাম থাকে, যখন একটি নির্দিষ্ট তারিখের লগের নামে একটি তারিখ থাকে এবং সংরক্ষণাগারে থাকে। যেমন mailbox.log.2020-09-29.tar.gz। এটি কার্যকলাপ লগ ব্যাক আপ এবং লগ মাধ্যমে অনুসন্ধান অনেক সহজ করে তোলে.

সিস্টেম অ্যাডমিনিস্ট্রেটরের সুবিধার জন্য, /opt/zimbra/log/ ফোল্ডারে অন্যান্য লগ রয়েছে। তারা শুধুমাত্র নির্দিষ্ট Zimbra OSE উপাদানের সাথে সম্পর্কিত এন্ট্রি অন্তর্ভুক্ত করে। উদাহরণস্বরূপ, audit.log-এ শুধুমাত্র ব্যবহারকারীর প্রমাণীকরণ সংক্রান্ত রেকর্ড রয়েছে, clamd.log-এ অ্যান্টিভাইরাস পরিচালনা সম্পর্কে ডেটা রয়েছে এবং আরও অনেক কিছু। যাইহোক, অনুপ্রবেশকারীদের থেকে জিমব্রা ওএসই সার্ভারকে রক্ষা করার একটি দুর্দান্ত পদ্ধতি Fail2Ban ব্যবহার করে সার্ভার সুরক্ষা, যা শুধুমাত্র audit.log এর উপর ভিত্তি করে কাজ করে। কমান্ডটি চালানোর জন্য একটি ক্রন টাস্ক যুক্ত করাও একটি ভাল অভ্যাস grep -ir "অবৈধ পাসওয়ার্ড" /opt/zimbra/log/audit.logদৈনিক লগইন ব্যর্থতার তথ্য পেতে.

কিভাবে audit.log দুইবার ভুলভাবে প্রবেশ করা একটি পাসওয়ার্ড এবং একটি সফল লগইন প্রচেষ্টা দেখায় তার একটি উদাহরণ।

জিমব্রা OSE-তে লগগুলি বিভিন্ন জটিল ব্যর্থতার কারণ চিহ্নিত করতে অত্যন্ত কার্যকর হতে পারে। এই মুহুর্তে যখন একটি গুরুতর ত্রুটি ঘটে, প্রশাসকের সাধারণত লগগুলি পড়ার সময় থাকে না। যত তাড়াতাড়ি সম্ভব সার্ভার পুনরুদ্ধার করা প্রয়োজন। যাইহোক, পরে, যখন সার্ভার ব্যাক আপ হয় এবং প্রচুর লগ তৈরি করে, তখন একটি বড় ফাইলে প্রয়োজনীয় এন্ট্রি খুঁজে পাওয়া কঠিন হতে পারে। একটি ত্রুটি রেকর্ড দ্রুত খুঁজে বের করার জন্য, সার্ভারটি কোন সময়ে পুনরায় চালু করা হয়েছিল তা জানা এবং এই সময় থেকে ডেটিং করা লগগুলিতে একটি এন্ট্রি খুঁজে পাওয়া যথেষ্ট। আগের এন্ট্রিটি যে ত্রুটি ঘটেছে তার একটি রেকর্ড হবে। আপনি FATAL কীওয়ার্ডটি অনুসন্ধান করে ত্রুটি বার্তাটিও খুঁজে পেতে পারেন।

জিমব্রা ওএসই লগগুলি আপনাকে অ-গুরুত্বপূর্ণ ব্যর্থতাগুলি সনাক্ত করার অনুমতি দেয়। উদাহরণস্বরূপ, হ্যান্ডলার ব্যতিক্রমগুলি খুঁজতে, আপনি হ্যান্ডলার ব্যতিক্রম অনুসন্ধান করতে পারেন। প্রায়শই, হ্যান্ডলারদের দ্বারা উত্পন্ন ত্রুটিগুলির সাথে একটি স্ট্যাক ট্রেস থাকে যা ব্যাখ্যা করে যে ব্যতিক্রমের কারণ কী। মেইল ডেলিভারিতে ত্রুটির ক্ষেত্রে, আপনার LmtpServer কীওয়ার্ড দিয়ে আপনার অনুসন্ধান শুরু করা উচিত এবং POP বা IMAP প্রোটোকল সম্পর্কিত ত্রুটিগুলি অনুসন্ধান করতে, আপনি ImapServer এবং Pop3Server কীওয়ার্ড ব্যবহার করতে পারেন।

তথ্য নিরাপত্তা ঘটনা তদন্ত করার সময় লগ সাহায্য করতে পারে. এর একটি নির্দিষ্ট উদাহরণ তাকান. 20 সেপ্টেম্বর, একজন কর্মচারী একটি ক্লায়েন্টকে একটি ভাইরাস-সংক্রমিত চিঠি পাঠিয়েছিলেন। ফলস্বরূপ, ক্লায়েন্টের কম্পিউটারে ডেটা এনক্রিপ্ট করা হয়েছিল। তবে কর্মচারী শপথ করে বলেন, তিনি কিছুই পাঠাননি। ঘটনার তদন্তের অংশ হিসেবে, এন্টারপ্রাইজ সিকিউরিটি সার্ভিস সিস্টেম অ্যাডমিনিস্ট্রেটরের কাছ থেকে 20 সেপ্টেম্বরের জন্য মেল সার্ভার লগের জন্য অনুরোধ করে যে ব্যবহারকারীর তদন্ত করা হচ্ছে। টাইম স্ট্যাম্পের জন্য ধন্যবাদ, সিস্টেম অ্যাডমিনিস্ট্রেটর প্রয়োজনীয় লগ ফাইল খুঁজে পায়, প্রয়োজনীয় তথ্য বের করে এবং নিরাপত্তা বিশেষজ্ঞদের কাছে স্থানান্তর করে। তারা, ঘুরে, এটি দেখেন এবং খুঁজে পান যে আইপি ঠিকানাটি যেখান থেকে এই চিঠিটি পাঠানো হয়েছিল সেটি ব্যবহারকারীর কম্পিউটারের আইপি ঠিকানার সাথে মিলে যায়। সিসিটিভি ফুটেজ নিশ্চিত করেছে যে চিঠিটি পাঠানোর সময় কর্মচারী তার কর্মস্থলে ছিলেন। তথ্য নিরাপত্তা বিধি লঙ্ঘন এবং তাকে বরখাস্ত করার জন্য এই তথ্য যথেষ্ট ছিল। 

একটি পৃথক ফাইলে Mailbox.log লগ থেকে অ্যাকাউন্টগুলির একটি সম্পর্কে রেকর্ড বের করার একটি উদাহরণ৷

মাল্টি-সার্ভার অবকাঠামোর ক্ষেত্রে সবকিছু আরও জটিল হয়ে ওঠে। যেহেতু লগগুলি স্থানীয়ভাবে সংগ্রহ করা হয়, তাই মাল্টি-সার্ভার পরিকাঠামোতে তাদের সাথে কাজ করা খুব অসুবিধাজনক এবং তাই লগগুলির সংগ্রহকে কেন্দ্রীভূত করার প্রয়োজন রয়েছে৷ লগ সংগ্রহ করার জন্য একটি হোস্ট সেট আপ করে এটি করা যেতে পারে। পরিকাঠামোতে একটি ডেডিকেটেড হোস্ট যোগ করার কোন বিশেষ প্রয়োজন নেই। যে কোনো মেইল ​​সার্ভার লগ সংগ্রহের জন্য একটি নোড হিসেবে কাজ করতে পারে। আমাদের ক্ষেত্রে, এটি Mailstore01 নোড হবে।

এই সার্ভারে আমাদের নিম্নলিখিত কমান্ডগুলি প্রবেশ করতে হবে:

sudo su – zimbra 
zmcontrol stop
exit
sudo /opt/zimbra/libexec/zmfixperms -e -v

/etc/sysconfig/rsyslog ফাইলটি সম্পাদনা করুন এবং SYSLOGD_OPTIONS=”-r -c 2″ সেট করুন

/etc/rsyslog.conf সম্পাদনা করুন এবং নিম্নলিখিত লাইনগুলিকে মন্তব্য করুন:
$ModLoad imudp
$UDPServerRun 514

নিম্নলিখিত কমান্ড লিখুন:

sudo /etc/init.d/rsyslog stop
sudo /etc/init.d/rsyslog start
sudo su – zimbra
zmcontrol start
exit
sudo /opt/zimbra/libexec/zmloggerinit
sudo /opt/zimbra/bin/zmsshkeygen
sudo /opt/zimbra/bin/zmupdateauthkeys

আপনি zmprov gacf | কমান্ড ব্যবহার করে সবকিছু কাজ করছে কিনা তা পরীক্ষা করতে পারেন grep zimbraLogHostname. কমান্ড কার্যকর করার পরে, লগ সংগ্রহকারী হোস্টের নাম প্রদর্শন করা উচিত। এটি পরিবর্তন করার জন্য, আপনাকে অবশ্যই zmprov mcf zimbraLogHostname mailstore01.company.ru কমান্ডটি লিখতে হবে।

অন্যান্য সমস্ত অবকাঠামো সার্ভারে (LDAP, MTA এবং অন্যান্য মেল স্টোর), যে হোস্টে লগ পাঠানো হয়েছে তার নাম দেখতে zmprov gacf |grep zimbraLogHostname কমান্ডটি চালান। এটি পরিবর্তন করতে, আপনি zmprov mcf zimbraLogHostname mailstore01.company.ru কমান্ডটিও প্রবেশ করতে পারেন

আপনাকে অবশ্যই প্রতিটি সার্ভারে নিম্নলিখিত কমান্ডগুলি লিখতে হবে:

sudo su - zimbra
/opt/zimbra/bin/zmsshkeygen
/opt/zimbra/bin/zmupdateauthkeys
exit
sudo /opt/zimbra/libexec/zmsyslogsetup
sudo service rsyslog restart
sudo su - zimbra
zmcontrol restart

এর পরে, সমস্ত লগগুলি আপনার নির্দিষ্ট করা সার্ভারে রেকর্ড করা হবে, যেখানে সেগুলি সুবিধাজনকভাবে দেখা যাবে। এছাড়াও, জিমব্রা OSE অ্যাডমিনিস্ট্রেটর কনসোলে, সার্ভারের অবস্থা সম্পর্কে তথ্য সহ স্ক্রিনে, চলমান লগার পরিষেবাটি শুধুমাত্র mailstore01 সার্ভারের জন্য প্রদর্শিত হবে।

একজন প্রশাসকের জন্য আরেকটি মাথাব্যথা একটি নির্দিষ্ট ইমেলের ট্র্যাক রাখা হতে পারে। যেহেতু জিমব্রা ওএসই-তে ইমেলগুলি একসাথে বেশ কয়েকটি বিভিন্ন ইভেন্টের মধ্য দিয়ে যায়: অ্যান্টিভাইরাস, অ্যান্টিস্প্যাম ইত্যাদি দ্বারা স্ক্যান করা, গ্রহণ করা বা পাঠানোর আগে, অ্যাডমিনিস্ট্রেটরের জন্য, যদি ইমেলটি না আসে, তাহলে কোন পর্যায়ে এটি ট্রেস করা বেশ সমস্যাযুক্ত হতে পারে এটা হারিয়ে গেছে

এই সমস্যাটি সমাধান করার জন্য, আপনি একটি বিশেষ স্ক্রিপ্ট ব্যবহার করতে পারেন, যা তথ্য সুরক্ষা বিশেষজ্ঞ ভিক্টর দুখভনি দ্বারা তৈরি করা হয়েছিল এবং পোস্টফিক্স বিকাশকারীদের দ্বারা ব্যবহারের জন্য সুপারিশ করা হয়েছিল। এই স্ক্রিপ্টটি একটি নির্দিষ্ট প্রক্রিয়ার জন্য লগ থেকে এন্ট্রিগুলিকে একত্রিত করে এবং এর কারণে, এটির শনাক্তকারীর উপর ভিত্তি করে একটি নির্দিষ্ট অক্ষর পাঠানোর সাথে যুক্ত সমস্ত এন্ট্রি আপনাকে দ্রুত প্রদর্শন করতে দেয়৷ এটির কাজটি 8.7 থেকে শুরু করে জিমব্রা OSE-এর সমস্ত সংস্করণে পরীক্ষা করা হয়েছে। এখানে স্ক্রিপ্টের পাঠ্য রয়েছে।

#! /usr/bin/perl

use strict;
use warnings;

# Postfix delivery agents
my @agents = qw(discard error lmtp local pipe smtp virtual);

my $instre = qr{(?x)
	A			# Absolute line start
	(?:S+ s+){3} 		# Timestamp, adjust for other time formats
	S+ s+ 		# Hostname
	(postfix(?:-[^/s]+)?)	# Capture instance name stopping before first '/'
	(?:/S+)*		# Optional non-captured '/'-delimited qualifiers
	/			# Final '/' before the daemon program name
	};

my $cmdpidre = qr{(?x)
	G			# Continue from previous match
	(S+)[(d+)]:s+	# command[pid]:
};

my %smtpd;
my %smtp;
my %transaction;
my $i = 0;
my %seqno;

my %isagent = map { ($_, 1) } @agents;

while (<>) {
	next unless m{$instre}ogc; my $inst = $1;
	next unless m{$cmdpidre}ogc; my $command = $1; my $pid = $2;

	if ($command eq "smtpd") {
		if (m{Gconnect from }gc) {
			# Start new log
			$smtpd{$pid}->{"log"} = $_; next;
		}

		$smtpd{$pid}->{"log"} .= $_;

		if (m{G(w+): client=}gc) {
			# Fresh transaction 
			my $qid = "$inst/$1";
			$smtpd{$pid}->{"qid"} = $qid;
			$transaction{$qid} = $smtpd{$pid}->{"log"};
			$seqno{$qid} = ++$i;
			next;
		}

		my $qid = $smtpd{$pid}->{"qid"};
		$transaction{$qid} .= $_
			if (defined($qid) && exists $transaction{$qid});
		delete $smtpd{$pid} if (m{Gdisconnect from}gc);
		next;
	}

	if ($command eq "pickup") {
		if (m{G(w+): uid=}gc) {
			my $qid = "$inst/$1";
			$transaction{$qid} = $_;
			$seqno{$qid} = ++$i;
		}
		next;
	}

	# bounce(8) logs transaction start after cleanup(8) already logged
	# the message-id, so the cleanup log entry may be first
	#
	if ($command eq "cleanup") {
		next unless (m{G(w+): }gc);
		my $qid = "$inst/$1";
		$transaction{$qid} .= $_;
		$seqno{$qid} = ++$i if (! exists $seqno{$qid});
		next;
	}

	if ($command eq "qmgr") {
		next unless (m{G(w+): }gc);
		my $qid = "$inst/$1";
		if (defined($transaction{$qid})) {
			$transaction{$qid} .= $_;
			if (m{Gremoved$}gc) {
				print delete $transaction{$qid}, "n";
			}
		}
		next;
	}

	# Save pre-delivery messages for smtp(8) and lmtp(8)
	#
	if ($command eq "smtp" || $command eq "lmtp") {
		$smtp{$pid} .= $_;

		if (m{G(w+): to=}gc) {
			my $qid = "$inst/$1";
			if (defined($transaction{$qid})) {
				$transaction{$qid} .= $smtp{$pid};
			}
			delete $smtp{$pid};
		}
		next;
	}

	if ($command eq "bounce") {
		if (m{G(w+): .*? notification: (w+)$}gc) {
			my $qid = "$inst/$1";
			my $newid = "$inst/$2";
			if (defined($transaction{$qid})) {
				$transaction{$qid} .= $_;
			}
			$transaction{$newid} =
				$_ . $transaction{$newid};
			$seqno{$newid} = ++$i if (! exists $seqno{$newid});
		}
		next;
	}

	if ($isagent{$command}) {
		if (m{G(w+): to=}gc) {
			my $qid = "$inst/$1";
			if (defined($transaction{$qid})) {
				$transaction{$qid} .= $_;
			}
		}
		next;
	}
}

# Dump logs of incomplete transactions.
foreach my $qid (sort {$seqno{$a} <=> $seqno{$b}} keys %transaction) {
    print $transaction{$qid}, "n";
}

স্ক্রিপ্টটি পার্লে লেখা এবং এটি চালানোর জন্য আপনাকে এটি একটি ফাইলে সংরক্ষণ করতে হবে collate.pl, এটিকে এক্সিকিউটেবল করুন, এবং তারপর লগ ফাইলটি নির্দিষ্ট করে ফাইলটি চালান এবং আপনি যে চিঠিটি খুঁজছেন তার সনাক্তকরণ তথ্য বের করতে pgrep ব্যবহার করুন। collate.pl /var/log/zimbra.log | pgrep'[ইমেল সুরক্ষিত]> '. ফলাফল সার্ভারে চিঠির গতিবিধি সম্পর্কে তথ্য ধারণকারী লাইনগুলির একটি ক্রমিক আউটপুট হবে।

# collate.pl /var/log/zimbra.log | pgrep '<[email protected]>'
Oct 13 10:17:00 mail postfix/pickup[4089]: 4FF14284F45: uid=1034 from=********
Oct 13 10:17:00 mail postfix/cleanup[26776]: 4FF14284F45: message-id=*******
Oct 13 10:17:00 mail postfix/qmgr[9946]: 4FF14284F45: from=********, size=1387, nrcpt=1 (queue active)
Oct 13 10:17:00 mail postfix/smtp[7516]: Anonymous TLS connection established to mail.*******[168.*.*.4]:25: TLSv1 with cipher ADH-AES256-SHA (256/256 bits)
Oct 13 10:17:00 mail postfix/smtp[7516]: 4FF14284F45: to=*********, relay=mail.*******[168.*.*.4]:25, delay=0.25, delays=0.02/0.02/0.16/0.06, dsn=2.0.0, status=sent (250 2.0.0 Ok: queued as 878833424CF)
Oct 13 10:17:00 mail postfix/qmgr[9946]: 4FF14284F45: removed
Oct 13 10:17:07 mail postfix/smtpd[21777]: connect from zimbra.******[168.*.*.4]
Oct 13 10:17:07 mail postfix/smtpd[21777]: Anonymous TLS connection established from zimbra.******[168.*.*.4]: TLSv1 with cipher ADH-AES256-SHA (256/256 bits)
Oct 13 10:17:08 mail postfix/smtpd[21777]: 0CB69282F4E: client=zimbra.******[168.*.*.4]
Oct 13 10:17:08 mail postfix/cleanup[26776]: 0CB69282F4E: message-id=zimbra.******
Oct 13 10:17:08 mail postfix/qmgr[9946]: 0CB69282F4E: from=zimbra.******, size=3606, nrcpt=1 (queue active)
Oct 13 10:17:08 mail postfix/virtual[5291]: 0CB69282F4E: to=zimbra.******, orig_to=zimbra.******, relay=virtual, delay=0.03, delays=0.02/0/0/0.01, dsn=2.0.0, status=sent (delivered to maildir)
Oct 13 10:17:08 mail postfix/qmgr[9946]: 0CB69282F4E: removed

জেক্সট্রাস সুইট সম্পর্কিত সমস্ত প্রশ্নের জন্য, আপনি ই-মেইলের মাধ্যমে জেক্সট্রাস একাতেরিনা ট্রায়ান্ডাফিলিদির প্রতিনিধির সাথে যোগাযোগ করতে পারেন [ইমেল সুরক্ষিত]

উত্স: www.habr.com