Zimbra OSE लगहरूसँग कसरी काम गर्ने

सबै घटित घटनाहरूको लगिङ कुनै पनि कर्पोरेट प्रणालीको सबैभन्दा महत्त्वपूर्ण कार्यहरू मध्ये एक हो। लगहरूले तपाईंलाई उदीयमान समस्याहरू समाधान गर्न, सूचना प्रणालीहरूको सञ्चालनको लेखा परीक्षण गर्न र सूचना सुरक्षा घटनाहरूको अनुसन्धान गर्न अनुमति दिन्छ। Zimbra OSE ले यसको सञ्चालनको विस्तृत लगहरू पनि राख्छ। तिनीहरूले सर्भर प्रदर्शनबाट प्रयोगकर्ताहरूद्वारा इमेलहरू पठाउने र प्राप्त गर्ने सबै डेटा समावेश गर्दछ। जे होस्, Zimbra OSE द्वारा उत्पन्न लगहरू पढ्नु बरु गैर-तुच्छ कार्य हो। यस लेखमा, एक विशिष्ट उदाहरण प्रयोग गरेर, हामी तपाईंलाई Zimbra OSE लगहरू कसरी पढ्ने, साथै तिनीहरूलाई केन्द्रीकृत कसरी बनाउने भनेर बताउनेछौं।

Zimbra OSE ले /opt/zimbra/log फोल्डरमा सबै स्थानीय लगहरू भण्डार गर्दछ, र लगहरू /var/log/zimbra.log फाइलमा पनि फेला पार्न सकिन्छ। यी मध्ये सबैभन्दा महत्त्वपूर्ण mailbox.log हो। यसले मेल सर्भरमा हुने सबै कार्यहरू रेकर्ड गर्दछ। यसमा इमेलहरूको प्रसारण, प्रयोगकर्ता प्रमाणीकरण डाटा, असफल लगइन प्रयासहरू, र अन्य समावेश छन्। mailbox.log मा प्रविष्टिहरू एउटा पाठ स्ट्रिङ हो जसमा घटना घटेको समय, घटनाको स्तर, घटना भएको थ्रेड नम्बर, प्रयोगकर्ता नाम र IP ठेगाना, साथै घटनाको पाठ विवरण समावेश हुन्छ। ।

लग स्तरले सर्भरको सञ्चालनमा घटनाको प्रभावको डिग्रीलाई संकेत गर्छ। पूर्वनिर्धारित रूपमा त्यहाँ 4 घटना स्तरहरू छन्: जानकारी, चेतावनी, त्रुटि र घातक। गम्भीरताको बढ्दो क्रममा सबै स्तरहरूमा हेरौं।

• INFO - यस स्तरका घटनाहरू सामान्यतया Zimbra OSE को प्रगतिको बारेमा जानकारी गराउने उद्देश्यले गरिन्छ। यस स्तरमा सन्देशहरूले मेलबक्सको सिर्जना वा मेटाउने रिपोर्टहरू समावेश गर्दछ, र यस्तै।
• चेतावनी - यस स्तरका घटनाहरूले सम्भावित रूपमा खतरनाक अवस्थाहरूको बारेमा जानकारी दिन्छ, तर सर्भरको सञ्चालनलाई असर गर्दैन। उदाहरणका लागि, WARN लेभलले असफल प्रयोगकर्ता लगइन प्रयासको बारेमा सन्देश चिन्ह लगाउँछ।
• त्रुटि - लग मा यो घटना स्तर एक त्रुटि को घटना को बारे मा सूचित गर्दछ जुन प्रकृति मा स्थानीय छ र सर्भर को संचालन मा हस्तक्षेप गर्दैन। यो स्तरले त्रुटिलाई फ्ल्याग गर्न सक्छ जसमा व्यक्तिगत प्रयोगकर्ताको अनुक्रमणिका डाटा भ्रष्ट भएको छ।
• FATAL - यो स्तरले त्रुटिहरू संकेत गर्दछ जसको कारणले सर्भरले सामान्य रूपमा काम गर्न जारी राख्न सक्दैन। उदाहरण को लागी, FATAL स्तर DBMS मा जडान गर्न असक्षमता को संकेत को लागी एक रेकर्ड को लागी हुनेछ।

मेल सर्भर लग फाइल हरेक दिन अपडेट हुन्छ। फाइलको पछिल्लो संस्करणमा सधैं Mailbox.log नाम हुन्छ, जबकि निश्चित मितिका लगहरूमा नाममा मिति हुन्छ र अभिलेखमा समावेश हुन्छ। उदाहरण को लागी mailbox.log.2020-09-29.tar.gz। यसले गतिविधि लगहरू जगेडा गर्न र लगहरू मार्फत खोजी गर्न धेरै सजिलो बनाउँछ।

प्रणाली प्रशासकको सुविधाको लागि, /opt/zimbra/log/ फोल्डरले अन्य लगहरू समावेश गर्दछ। तिनीहरूले विशेष Zimbra OSE तत्वहरूसँग सम्बन्धित प्रविष्टिहरू मात्र समावेश गर्दछ। उदाहरण को लागी, audit.log मा प्रयोगकर्ता प्रमाणीकरण को बारे मा मात्र रेकर्ड शामिल छ, clamd.log मा एन्टिभाइरस को संचालन को बारे मा डेटा शामिल छ, र यस्तै। वैसे, घुसपैठहरूबाट Zimbra OSE सर्भरलाई जोगाउने उत्कृष्ट विधि हो Fail2Ban प्रयोग गरेर सर्भर सुरक्षा, जुन केवल audit.log मा आधारित काम गर्दछ। आदेश कार्यान्वयन गर्न क्रोन कार्य थप्न यो पनि राम्रो अभ्यास हो grep -ir "अमान्य पासवर्ड" /opt/zimbra/log/audit.logदैनिक लगइन विफलता जानकारी प्राप्त गर्न।

audit.log ले दुई पटक गलत तरिकाले प्रविष्ट गरेको पासवर्ड र सफल लगइन प्रयास कसरी देखाउँछ भन्ने उदाहरण।

Zimbra OSE मा लगहरू विभिन्न महत्वपूर्ण विफलताहरूको कारणहरू पहिचान गर्न अत्यन्त उपयोगी हुन सक्छ। यस समयमा जब एक महत्वपूर्ण त्रुटि हुन्छ, प्रशासकसँग सामान्यतया लगहरू पढ्नको लागि समय हुँदैन। सकेसम्म चाँडो सर्भर पुनर्स्थापना गर्न आवश्यक छ। यद्यपि, पछि, जब सर्भर ब्याकअप हुन्छ र धेरै लगहरू उत्पन्न गर्दैछ, ठूलो फाइलमा आवश्यक प्रविष्टि फेला पार्न गाह्रो हुन सक्छ। त्रुटि रेकर्ड चाँडै फेला पार्नको लागि, सर्भर पुन: सुरु भएको समय थाहा पाउनु र यस समयदेखि मिति लगहरूमा प्रविष्टि फेला पार्न पर्याप्त छ। अघिल्लो प्रविष्टि त्रुटि भएको रेकर्ड हुनेछ। तपाईले FATAL कुञ्जी शब्द खोजी गरेर त्रुटि सन्देश पनि फेला पार्न सक्नुहुन्छ।

Zimbra OSE लगहरूले तपाईंलाई गैर-महत्वपूर्ण विफलताहरू पहिचान गर्न अनुमति दिन्छ। उदाहरणका लागि, ह्यान्डलर अपवादहरू फेला पार्न, तपाईंले ह्यान्डलर अपवाद खोज्न सक्नुहुन्छ। अक्सर, ह्यान्डलरहरू द्वारा उत्पन्न त्रुटिहरू स्ट्याक ट्रेसको साथमा हुन्छन् जसले अपवाद के कारणले बताउँछ। मेल डेलिभरीमा त्रुटिहरू भएमा, तपाईंले आफ्नो खोज LmtpServer कीवर्डबाट सुरु गर्नुपर्छ, र POP वा IMAP प्रोटोकलहरूसँग सम्बन्धित त्रुटिहरूको खोजी गर्न, तपाईंले ImapServer र Pop3Server किवर्डहरू प्रयोग गर्न सक्नुहुन्छ।

सूचना सुरक्षा घटनाहरूको अनुसन्धान गर्दा लगहरूले पनि मद्दत गर्न सक्छ। एक विशिष्ट उदाहरण हेरौं। सेप्टेम्बर २० मा, एक कर्मचारीले एक ग्राहकलाई भाइरस-संक्रमित पत्र पठाए। नतिजाको रूपमा, ग्राहकको कम्प्युटरमा डेटा इन्क्रिप्ट गरिएको थियो। तर, कर्मचारीले आफूले केही नपठाएको कसम खान्छ । घटनाको अनुसन्धानको भागको रूपमा, इन्टरप्राइज सुरक्षा सेवाले प्रणाली प्रशासकबाट सेप्टेम्बर 20 को लागि मेल सर्भर लगहरू प्रयोगकर्तासँग सम्बन्धित अनुसन्धान भइरहेको अनुरोध गर्दछ। टाइम स्ट्याम्पको लागि धन्यवाद, प्रणाली प्रशासकले आवश्यक लग फाइल फेला पार्छ, आवश्यक जानकारी निकाल्छ र सुरक्षा विशेषज्ञहरूलाई स्थानान्तरण गर्दछ। तिनीहरू, बारीमा, यसलाई हेर्छन् र पत्ता लगाउँछन् कि यो पत्र पठाइएको IP ठेगाना प्रयोगकर्ताको कम्प्युटरको IP ठेगानासँग मेल खान्छ। पत्र पठाउँदा कर्मचारी आफ्नो कार्यस्थलमा रहेको सीसीटीभी फुटेजले पुष्टि गरेको छ । यो डाटा उसलाई सूचना सुरक्षा नियम उल्लङ्घन गरेको आरोप र उसलाई बर्खास्त गर्न पर्याप्त थियो। 

Mailbox.log लग इनबाट कुनै एक खाताको बारेमा अभिलेखहरू अलग फाइलमा निकाल्ने उदाहरण

बहु-सर्भर पूर्वाधारको कुरा गर्दा सबै कुरा धेरै जटिल हुन्छ। लगहरू स्थानीय रूपमा सङ्कलन गरिएकाले, तिनीहरूसँग बहु-सर्भर पूर्वाधारमा काम गर्न धेरै असुविधाजनक छ र त्यसैले लगहरूको सङ्कलन केन्द्रीकृत गर्न आवश्यक छ। यो लगहरू सङ्कलन गर्न होस्ट सेटअप गरेर गर्न सकिन्छ। पूर्वाधारमा समर्पित होस्ट थप्न कुनै विशेष आवश्यकता छैन। कुनै पनि मेल सर्भरले लगहरू सङ्कलन गर्न नोडको रूपमा काम गर्न सक्छ। हाम्रो मामला मा, यो Mailstore01 नोड हुनेछ।

यस सर्भरमा हामीले निम्न आदेशहरू प्रविष्ट गर्न आवश्यक छ:

sudo su – zimbra 
zmcontrol stop
exit
sudo /opt/zimbra/libexec/zmfixperms -e -v

/etc/sysconfig/rsyslog फाइल सम्पादन गर्नुहोस्, र SYSLOGD_OPTIONS=”-r -c 2″ सेट ​​गर्नुहोस्।

सम्पादन गर्नुहोस् /etc/rsyslog.conf र निम्न लाइनहरू अनकमेन्ट गर्नुहोस्:
$ModLoad imudp
$UDPServerRun 514

निम्न आदेशहरू प्रविष्ट गर्नुहोस्:

sudo /etc/init.d/rsyslog stop
sudo /etc/init.d/rsyslog start
sudo su – zimbra
zmcontrol start
exit
sudo /opt/zimbra/libexec/zmloggerinit
sudo /opt/zimbra/bin/zmsshkeygen
sudo /opt/zimbra/bin/zmupdateauthkeys

तपाईले जाँच गर्न सक्नुहुन्छ कि सबै कुरा zmprov gacf | आदेश प्रयोग गरेर काम गरिरहेको छ grep zimbraLogHostname। आदेश कार्यान्वयन गरेपछि, लगहरू सङ्कलन गर्ने होस्टको नाम प्रदर्शित हुनुपर्छ। यसलाई परिवर्तन गर्नको लागि, तपाईंले zmprov mcf zimbraLogHostname mailstore01.company.ru आदेश प्रविष्ट गर्नुपर्छ।

अन्य सबै पूर्वाधार सर्भरहरूमा (LDAP, MTA र अन्य मेल स्टोरहरू), लगहरू पठाइएका होस्टको नाम हेर्न zmprov gacf |grep zimbraLogHostname आदेश चलाउनुहोस्। यसलाई परिवर्तन गर्न, तपाइँ zmprov mcf zimbraLogHostname mailstore01.company.ru आदेश पनि प्रविष्ट गर्न सक्नुहुन्छ।

तपाईंले प्रत्येक सर्भरमा निम्न आदेशहरू पनि प्रविष्ट गर्नुपर्छ:

sudo su - zimbra
/opt/zimbra/bin/zmsshkeygen
/opt/zimbra/bin/zmupdateauthkeys
exit
sudo /opt/zimbra/libexec/zmsyslogsetup
sudo service rsyslog restart
sudo su - zimbra
zmcontrol restart

यस पछि, तपाईंले निर्दिष्ट गर्नुभएको सर्भरमा सबै लगहरू रेकर्ड हुनेछन्, जहाँ तिनीहरू सहज रूपमा हेर्न सकिन्छ। साथै, Zimbra OSE प्रशासक कन्सोलमा, सर्भरहरूको स्थितिको बारेमा जानकारीको साथ स्क्रिनमा, चलिरहेको लगर सेवा mailstore01 सर्भरको लागि मात्र प्रदर्शित हुनेछ।

प्रशासकको लागि अर्को टाउको दुखाइ एक विशिष्ट इमेल ट्रयाक राख्नु हुन सक्छ। Zimbra OSE मा इमेलहरू एकैचोटि धेरै फरक घटनाहरू मार्फत जान्छन्: एन्टिभाइरस, एन्टिस्प्याम, र यस्तै अन्य द्वारा स्क्यानिङ, स्वीकार वा पठाउनु अघि, प्रशासकको लागि, यदि इमेल आइपुग्दैन भने, कुन चरणमा ट्रेस गर्न यो धेरै समस्याग्रस्त हुन सक्छ। यो हराएको थियो।

यो समस्या समाधान गर्नको लागि, तपाइँ एक विशेष स्क्रिप्ट प्रयोग गर्न सक्नुहुन्छ, जुन सूचना सुरक्षा विशेषज्ञ विक्टर दुखोभनी द्वारा विकसित गरिएको थियो र पोस्टफिक्स विकासकर्ताहरू द्वारा प्रयोगको लागि सिफारिस गरिएको थियो। यो लिपिले कुनै विशेष प्रक्रियाको लागि लगहरूबाट प्रविष्टिहरू जोड्दछ र, यसको कारणले, तपाइँलाई यसको पहिचानकर्ताको आधारमा कुनै विशेष अक्षर पठाउन सम्बन्धित सबै प्रविष्टिहरू द्रुत रूपमा प्रदर्शन गर्न अनुमति दिन्छ। यसको काम Zimbra OSE को सबै संस्करणहरूमा परीक्षण गरिएको छ, 8.7 बाट सुरु हुँदै। लिपिको पाठ यहाँ छ।

#! /usr/bin/perl

use strict;
use warnings;

# Postfix delivery agents
my @agents = qw(discard error lmtp local pipe smtp virtual);

my $instre = qr{(?x)
	A			# Absolute line start
	(?:S+ s+){3} 		# Timestamp, adjust for other time formats
	S+ s+ 		# Hostname
	(postfix(?:-[^/s]+)?)	# Capture instance name stopping before first '/'
	(?:/S+)*		# Optional non-captured '/'-delimited qualifiers
	/			# Final '/' before the daemon program name
	};

my $cmdpidre = qr{(?x)
	G			# Continue from previous match
	(S+)[(d+)]:s+	# command[pid]:
};

my %smtpd;
my %smtp;
my %transaction;
my $i = 0;
my %seqno;

my %isagent = map { ($_, 1) } @agents;

while (<>) {
	next unless m{$instre}ogc; my $inst = $1;
	next unless m{$cmdpidre}ogc; my $command = $1; my $pid = $2;

	if ($command eq "smtpd") {
		if (m{Gconnect from }gc) {
			# Start new log
			$smtpd{$pid}->{"log"} = $_; next;
		}

		$smtpd{$pid}->{"log"} .= $_;

		if (m{G(w+): client=}gc) {
			# Fresh transaction 
			my $qid = "$inst/$1";
			$smtpd{$pid}->{"qid"} = $qid;
			$transaction{$qid} = $smtpd{$pid}->{"log"};
			$seqno{$qid} = ++$i;
			next;
		}

		my $qid = $smtpd{$pid}->{"qid"};
		$transaction{$qid} .= $_
			if (defined($qid) && exists $transaction{$qid});
		delete $smtpd{$pid} if (m{Gdisconnect from}gc);
		next;
	}

	if ($command eq "pickup") {
		if (m{G(w+): uid=}gc) {
			my $qid = "$inst/$1";
			$transaction{$qid} = $_;
			$seqno{$qid} = ++$i;
		}
		next;
	}

	# bounce(8) logs transaction start after cleanup(8) already logged
	# the message-id, so the cleanup log entry may be first
	#
	if ($command eq "cleanup") {
		next unless (m{G(w+): }gc);
		my $qid = "$inst/$1";
		$transaction{$qid} .= $_;
		$seqno{$qid} = ++$i if (! exists $seqno{$qid});
		next;
	}

	if ($command eq "qmgr") {
		next unless (m{G(w+): }gc);
		my $qid = "$inst/$1";
		if (defined($transaction{$qid})) {
			$transaction{$qid} .= $_;
			if (m{Gremoved$}gc) {
				print delete $transaction{$qid}, "n";
			}
		}
		next;
	}

	# Save pre-delivery messages for smtp(8) and lmtp(8)
	#
	if ($command eq "smtp" || $command eq "lmtp") {
		$smtp{$pid} .= $_;

		if (m{G(w+): to=}gc) {
			my $qid = "$inst/$1";
			if (defined($transaction{$qid})) {
				$transaction{$qid} .= $smtp{$pid};
			}
			delete $smtp{$pid};
		}
		next;
	}

	if ($command eq "bounce") {
		if (m{G(w+): .*? notification: (w+)$}gc) {
			my $qid = "$inst/$1";
			my $newid = "$inst/$2";
			if (defined($transaction{$qid})) {
				$transaction{$qid} .= $_;
			}
			$transaction{$newid} =
				$_ . $transaction{$newid};
			$seqno{$newid} = ++$i if (! exists $seqno{$newid});
		}
		next;
	}

	if ($isagent{$command}) {
		if (m{G(w+): to=}gc) {
			my $qid = "$inst/$1";
			if (defined($transaction{$qid})) {
				$transaction{$qid} .= $_;
			}
		}
		next;
	}
}

# Dump logs of incomplete transactions.
foreach my $qid (sort {$seqno{$a} <=> $seqno{$b}} keys %transaction) {
    print $transaction{$qid}, "n";
}

स्क्रिप्ट पर्लमा लेखिएको छ र यसलाई चलाउनको लागि तपाईंले यसलाई फाइलमा बचत गर्न आवश्यक छ collate.pl, यसलाई कार्यान्वयनयोग्य बनाउनुहोस्, र त्यसपछि लग फाइल निर्दिष्ट गरी फाइल चलाउनुहोस् र तपाईंले खोजिरहनुभएको पत्रको पहिचान जानकारी निकाल्न pgrep प्रयोग गर्नुहोस्। collate.pl /var/log/zimbra.log | pgrep'[ईमेल सुरक्षित]>'। परिणाम सर्भरमा पत्र को चाल को बारे मा जानकारी सहित लाइनहरु को एक क्रमिक आउटपुट हुनेछ।

# collate.pl /var/log/zimbra.log | pgrep '<[email protected]>'
Oct 13 10:17:00 mail postfix/pickup[4089]: 4FF14284F45: uid=1034 from=********
Oct 13 10:17:00 mail postfix/cleanup[26776]: 4FF14284F45: message-id=*******
Oct 13 10:17:00 mail postfix/qmgr[9946]: 4FF14284F45: from=********, size=1387, nrcpt=1 (queue active)
Oct 13 10:17:00 mail postfix/smtp[7516]: Anonymous TLS connection established to mail.*******[168.*.*.4]:25: TLSv1 with cipher ADH-AES256-SHA (256/256 bits)
Oct 13 10:17:00 mail postfix/smtp[7516]: 4FF14284F45: to=*********, relay=mail.*******[168.*.*.4]:25, delay=0.25, delays=0.02/0.02/0.16/0.06, dsn=2.0.0, status=sent (250 2.0.0 Ok: queued as 878833424CF)
Oct 13 10:17:00 mail postfix/qmgr[9946]: 4FF14284F45: removed
Oct 13 10:17:07 mail postfix/smtpd[21777]: connect from zimbra.******[168.*.*.4]
Oct 13 10:17:07 mail postfix/smtpd[21777]: Anonymous TLS connection established from zimbra.******[168.*.*.4]: TLSv1 with cipher ADH-AES256-SHA (256/256 bits)
Oct 13 10:17:08 mail postfix/smtpd[21777]: 0CB69282F4E: client=zimbra.******[168.*.*.4]
Oct 13 10:17:08 mail postfix/cleanup[26776]: 0CB69282F4E: message-id=zimbra.******
Oct 13 10:17:08 mail postfix/qmgr[9946]: 0CB69282F4E: from=zimbra.******, size=3606, nrcpt=1 (queue active)
Oct 13 10:17:08 mail postfix/virtual[5291]: 0CB69282F4E: to=zimbra.******, orig_to=zimbra.******, relay=virtual, delay=0.03, delays=0.02/0/0/0.01, dsn=2.0.0, status=sent (delivered to maildir)
Oct 13 10:17:08 mail postfix/qmgr[9946]: 0CB69282F4E: removed

Zextras Suite सम्बन्धी सबै प्रश्नहरूको लागि, तपाईंले Zextras Ekaterina Triandafilidi को प्रतिनिधिलाई इ-मेलद्वारा सम्पर्क गर्न सक्नुहुन्छ। [ईमेल सुरक्षित]

स्रोत: www.habr.com