Logging of all event event is one of the most important functions of any Corporate system. Acta publicani te permittunt ut quaestiones emergentes solvas, operationem rationum notitiarum audias, et etiam incidentes securitatis notitias indagas. Zimbra OSE etiam trabes singulas operationis suae custodit. Includunt omnia notitia e servo perficiendi ad mittendis et recipiendis electronicis ab utentibus. Autem, acta ab Zimbra OSE generata legere negotium non leve est. In hoc articulo, specifico exemplo usus, narrabimus tibi quomodo acta Zimbra OSE legere, et quomodo ea centralizari facias.
Zimbra OSE omnes trabes locales in /opt/zimbra/logo folder reponit, et tigna etiam in /var/log/zimbra.log fasciculi inveniri possunt. Praecipuum horum est mailbox.log. Omnes actiones quae in electronica tabellariorum fiunt, commemorat. Haec includit transmissionem inscriptionem, authenticas usoris datas, login conamina omisit et alia. Viscus in mailbox.log chorda textualis sunt quae tempus continet quo res evenit, planities eventus, numerus filum in quo res gesta est, nomen usoris et IP oratio, necnon descriptio textus eventus. .
Gradus iniuriarum indicat gradum influxus eventi in operando servientis. Defalta factae sunt gradus 4 eventus: INFO, PRAEMONEO, ERROR et EXITIABILIS. Omnes gradus inspiciamus in augendo severitatis ordine.
- INFO - Eventus in hoc gradu de progressu Zimbra OSE certiorem facere solent. Mandata in hoc gradu includunt relationes de creatione vel deletione per mailbox, et sic porro.
- MONITUM - eventus huius ordinis certiorem faciunt de adiunctis in potentia periculosis, sed operationem ministri non afficiunt. Exempli gratia, PRAEMONITIO in gradu notat nuntium de incepto usoris login inrito.
- ERROR - Hic eventus gradus in iniuriarum indicat eventum erroris qui in natura locali est nec impedit operationem ministri. Hoc planum errorem laxare potest quo indicem cuiusque usoris corruptum est.
- FATALIS - Hic gradus indicat errores ob quos minister pergere non potest regulariter operari. Exempli gratia, planum fatale erit testimonium significare posse coniungi cum DBMS.
Tabellae electronicae servo stipes lima cotidie renovatur. Tardus versio tabellae semper nomen habet Mailbox.log, dum tigna ad certum diem diem habent in nomine et in archivo continentur. Exempli gratia mailbox.log.2020-09-29.tar.gz. Inde multo facilius est tigna activitatem recipere et per omnia quaerere.
Ad commoditatem systematis administratoris, /opt/zimbra/log/ folder, alia omnia continet. Solum entries includunt quae ad elementa Zimbra OSE specifica pertinent. Exempli gratia, audit.log solas tabulas continet de usuario authentication, clamd.log notitias continet de operatione antiviri, et sic porro. Viam optimam methodum muniendi Zimbra OSE servo ab interpellatoribus est quae iusta opera ex audit.log. Etiam bene moris est addere munus croni exsequi mandatum grep -ir "invalida password" /opt/zimbra/log/audit.log"Login ad defectum quotidie notitia.
Exemplum quomodo audit.log tesseram ostendit bis perperam ingressam et conatum login feliciter.
Tigna in Zimbra OSE apprime utilia possunt in cognoscendis causis variarum defectuum criticarum. In momento, cum error criticus incidit, administrator non vacat omnia legere. Oportet servo quam primum restituere. Postea tamen, cum servo tergum sursum et multa ligna generans, difficile est invenire ingressum in magna tabula inquisitum. Ut cito errorem electronicum invenias, satis est nosse tempus quo servo repressit et ingressum in tignis ex hoc tempore reperies. Ingressus prior in memoriam erroris qui occurrit. Erroris nuntius invenire etiam potes quaerendo keyword EXITIABILIS.
Zimbra OSE tigna etiam permittunt te defectibus non-criticis cognoscere. Exempli gratia, exceptiones tractantem invenire, exceptionem tractare potes. Saepe errores ab tracto generati per ACERVUM vestigium comitantur, qui explicat quid exceptionem effecit. In casu errorum cum traditione mail, investigationem tuam cum LmtpServer keyword incipias, et errores ad POP vel IMAP protocolla relatos quaerere, ImapServer et Pop3Server keywords uti potes.
Tigna etiam adiuvare possunt cum eventus notitiarum securitatis investigandae. Intueamur exemplum speciale. Die XX Septembris unus ex operariis litteras virus pestilentiae clienti misit. Quam ob rem notitia in computatrum huius encrypted est. Sed molestie jurat se non aliquid mittere. Cum pars investigationis in res incidens, officium securitatis inceptum ab administratore electronico stipendiorum electronicarum ad mensem Septembris 20 associatum cum usore investigato postulavit. Per tempus stamp, administrator ratio lima necessarias tabulas invenit, notitias necessarias extrahit et ad specialitas securitatis transfert. Illi vicissim perquirite et inveniunt quod IP oratio, ex qua hae litterae missae sunt, respondere cum IP inscriptione computatrum usoris. CCTV footage confirmavit operarium in suo workplace esse cum epistula missa est. Haec notitia satis erat accusare eum praecepta securitatis et incendium violandi nuntiandi.
Exemplum de commentariis extrahendis unum e rationibus e Mailbox.log in tabella separatum
Omnia multo magis complicata fiunt cum infrastructura multi-servi fit. Cum tigna localiter colliguntur, cum eis in multi-servi infrastructure operando valde incommodum est, et ideo opus est ad collectionem lignorum centralem fieri. Hoc autem fieri potest, ut stipites colligendi exercitum instituens. Nulla maxime necessitas infrastructuram hostiam dedicatam addere. Quaelibet epistularum server potest agere ut nodi ad ligna colligenda. In casu nostro, haec nodi Mailstore01 erit.
De hoc servo necesse est infra mandata ingredi:
sudo su β zimbra
zmcontrol stop
exit
sudo /opt/zimbra/libexec/zmfixperms -e -vTabellam /etc/sysconfig/rsyslogam edit, et SYSLOGD_OPTIONS pone "-r -c 2β³
Edit /etc/rsyslog.conf et uncomment sequentes versus:
$ModLoad imudp
$UDPServerRun 514
Intra haec mandata
sudo /etc/init.d/rsyslog stop
sudo /etc/init.d/rsyslog start
sudo su β zimbra
zmcontrol start
exit
sudo /opt/zimbra/libexec/zmloggerinit
sudo /opt/zimbra/bin/zmsshkeygen
sudo /opt/zimbra/bin/zmupdateauthkeysPotes reprehendo quod omne mandatum zmprov gacf utens laborat | grep zimbraLogHostname. Post iussionem exercitus, qui stipites collecti proponendum est. Ut illud mutes, mandatum zmprov mcf zimbraLogHostname mailstore01.company.ru inire debes.
In omnibus aliis infrastructuris servientibus (LDAP, MTA et aliis thesauris electronicis), mandatum zmprov gacf |grep zimbraLogHostname ad videndum nomen exercitus cui mittuntur, currunt. Ad eam mutandam, etiam imperium inire potes zmprov mcf zimbraLogHostname mailstore01.company.ru
Mandata sequentia inire debes etiam in singulis ministris;
sudo su - zimbra
/opt/zimbra/bin/zmsshkeygen
/opt/zimbra/bin/zmupdateauthkeys
exit
sudo /opt/zimbra/libexec/zmsyslogsetup
sudo service rsyslog restart
sudo su - zimbra
zmcontrol restartPost haec omnia acta scribentur in calculonis servi tui, ubi commode considerari possunt. Etiam, in Zimbra OSE administratoris consolatorium, in screen cum informationibus de statu servientium, servicium currente Logger tantum pro servo mailstore01 proponendum erit.
Alterum capitis dolorem pro administratore vestigia certae electronicae servare potest. Cum inscriptiones in Zimbra OSE per varias eventus statim vadunt: perspiciendo per antivirum, antispam, et sic de aliis, antequam admittantur vel mittantur, administratori, si inscriptio non pervenerit, satis inconveniens est investigare quo in statu. perierat .
Ut hanc quaestionem solvas, speciali scripto uti potes, quod per informationes securitatis Viktor Dukhovny specialist evoluta est et usui a Postfixis tincidunt commendata est. Hoc scriptum viscus concatenat ex lignis ad processum specificum et, ob hoc, permittit te ut cito omnia viscus quae coniunguntur cum missis litteris particularibus in identificatorio suo mittant. Eius opus in omnibus versionibus Zimbra OSE probatum est, inde ab 8.7. Hic est textus scripturae.
#! /usr/bin/perl
use strict;
use warnings;
# Postfix delivery agents
my @agents = qw(discard error lmtp local pipe smtp virtual);
my $instre = qr{(?x)
A # Absolute line start
(?:S+ s+){3} # Timestamp, adjust for other time formats
S+ s+ # Hostname
(postfix(?:-[^/s]+)?) # Capture instance name stopping before first '/'
(?:/S+)* # Optional non-captured '/'-delimited qualifiers
/ # Final '/' before the daemon program name
};
my $cmdpidre = qr{(?x)
G # Continue from previous match
(S+)[(d+)]:s+ # command[pid]:
};
my %smtpd;
my %smtp;
my %transaction;
my $i = 0;
my %seqno;
my %isagent = map { ($_, 1) } @agents;
while (<>) {
next unless m{$instre}ogc; my $inst = $1;
next unless m{$cmdpidre}ogc; my $command = $1; my $pid = $2;
if ($command eq "smtpd") {
if (m{Gconnect from }gc) {
# Start new log
$smtpd{$pid}->{"log"} = $_; next;
}
$smtpd{$pid}->{"log"} .= $_;
if (m{G(w+): client=}gc) {
# Fresh transaction
my $qid = "$inst/$1";
$smtpd{$pid}->{"qid"} = $qid;
$transaction{$qid} = $smtpd{$pid}->{"log"};
$seqno{$qid} = ++$i;
next;
}
my $qid = $smtpd{$pid}->{"qid"};
$transaction{$qid} .= $_
if (defined($qid) && exists $transaction{$qid});
delete $smtpd{$pid} if (m{Gdisconnect from}gc);
next;
}
if ($command eq "pickup") {
if (m{G(w+): uid=}gc) {
my $qid = "$inst/$1";
$transaction{$qid} = $_;
$seqno{$qid} = ++$i;
}
next;
}
# bounce(8) logs transaction start after cleanup(8) already logged
# the message-id, so the cleanup log entry may be first
#
if ($command eq "cleanup") {
next unless (m{G(w+): }gc);
my $qid = "$inst/$1";
$transaction{$qid} .= $_;
$seqno{$qid} = ++$i if (! exists $seqno{$qid});
next;
}
if ($command eq "qmgr") {
next unless (m{G(w+): }gc);
my $qid = "$inst/$1";
if (defined($transaction{$qid})) {
$transaction{$qid} .= $_;
if (m{Gremoved$}gc) {
print delete $transaction{$qid}, "n";
}
}
next;
}
# Save pre-delivery messages for smtp(8) and lmtp(8)
#
if ($command eq "smtp" || $command eq "lmtp") {
$smtp{$pid} .= $_;
if (m{G(w+): to=}gc) {
my $qid = "$inst/$1";
if (defined($transaction{$qid})) {
$transaction{$qid} .= $smtp{$pid};
}
delete $smtp{$pid};
}
next;
}
if ($command eq "bounce") {
if (m{G(w+): .*? notification: (w+)$}gc) {
my $qid = "$inst/$1";
my $newid = "$inst/$2";
if (defined($transaction{$qid})) {
$transaction{$qid} .= $_;
}
$transaction{$newid} =
$_ . $transaction{$newid};
$seqno{$newid} = ++$i if (! exists $seqno{$newid});
}
next;
}
if ($isagent{$command}) {
if (m{G(w+): to=}gc) {
my $qid = "$inst/$1";
if (defined($transaction{$qid})) {
$transaction{$qid} .= $_;
}
}
next;
}
}
# Dump logs of incomplete transactions.
foreach my $qid (sort {$seqno{$a} <=> $seqno{$b}} keys %transaction) {
print $transaction{$qid}, "n";
}Scriptum in Perl scriptum est et ut eam currere debes ut eam ad fasciculum serves collate.plfac illud exsecutabile, ac deinde tabella currite ut stipes lima exprimat ac pgrep utens ad identitatis informationes litterarum quas quaeris extrahere collate.pl /var/log/zimbra.log | pgrep'[Inscriptio protected]>'. Eventus sequentialis erit linearum in quibus notitias de motu litterae in calculonis.
# collate.pl /var/log/zimbra.log | pgrep '<[email protected]>'
Oct 13 10:17:00 mail postfix/pickup[4089]: 4FF14284F45: uid=1034 from=********
Oct 13 10:17:00 mail postfix/cleanup[26776]: 4FF14284F45: message-id=*******
Oct 13 10:17:00 mail postfix/qmgr[9946]: 4FF14284F45: from=********, size=1387, nrcpt=1 (queue active)
Oct 13 10:17:00 mail postfix/smtp[7516]: Anonymous TLS connection established to mail.*******[168.*.*.4]:25: TLSv1 with cipher ADH-AES256-SHA (256/256 bits)
Oct 13 10:17:00 mail postfix/smtp[7516]: 4FF14284F45: to=*********, relay=mail.*******[168.*.*.4]:25, delay=0.25, delays=0.02/0.02/0.16/0.06, dsn=2.0.0, status=sent (250 2.0.0 Ok: queued as 878833424CF)
Oct 13 10:17:00 mail postfix/qmgr[9946]: 4FF14284F45: removed
Oct 13 10:17:07 mail postfix/smtpd[21777]: connect from zimbra.******[168.*.*.4]
Oct 13 10:17:07 mail postfix/smtpd[21777]: Anonymous TLS connection established from zimbra.******[168.*.*.4]: TLSv1 with cipher ADH-AES256-SHA (256/256 bits)
Oct 13 10:17:08 mail postfix/smtpd[21777]: 0CB69282F4E: client=zimbra.******[168.*.*.4]
Oct 13 10:17:08 mail postfix/cleanup[26776]: 0CB69282F4E: message-id=zimbra.******
Oct 13 10:17:08 mail postfix/qmgr[9946]: 0CB69282F4E: from=zimbra.******, size=3606, nrcpt=1 (queue active)
Oct 13 10:17:08 mail postfix/virtual[5291]: 0CB69282F4E: to=zimbra.******, orig_to=zimbra.******, relay=virtual, delay=0.03, delays=0.02/0/0/0.01, dsn=2.0.0, status=sent (delivered to maildir)
Oct 13 10:17:08 mail postfix/qmgr[9946]: 0CB69282F4E: removedPro omnibus quaestionibus ad Zextras Suite pertinentibus, Repraesentativas Zextas Ekaterinae Triandafilidi contactum potes ab inscriptione electronica. [Inscriptio protected]
Source: www.habr.com