Postfix, ongewenste mail?

[Baarsjes]

Ik maak gebruik van RH 9 met een combinatie van Amavis, Spamassassin en Postfix om mail te bezorgen in een netwerk van enkele tientallen gebruikers.

Nu heb ik al geruime tijd regels in mijn maillog die er zo uit zien:

code:

connect to *.*.net[xxx.xx.xxx.xxx]: Connection timed out (port 25)

Adres en ip adres niet neergezet omdat ik niet zeker weet of dit binnen de policy valt, het gaat in ieder geval om een site waar zeker geen mail heen hoeft vanuit het netwerk, naast deze site zijn er nog een aantal van gelijke entry's die zo vaak terug komen dat het zeker niet lijkt te kloppen.

Nu is mijn vermoeden dat er een van de werkstations fungeert als soort van spam-machine (wat is de technische term daarvoor?). Mijn eigenlijke vraag is dus, hoe kom ik erachter welk ip adres deze mails probeert te verzenden? Of is het wellicht iets anders of maak ik me wellicht zorgen over niets?

Het lijkt verder geen effect te hebben aangezien er altijd een time out plaats vind. Toch wil ik hier graag een verklaring voor vinden.

[MSalters]

Heb je al een DNS query gedraaid op dat adres? Iets bijzonders? En als je zelf naar die machine telnet? Al een google op IP of hostname gedaan? Is www.*.net of www.*.*.net een website? Van wie? En staat daar een contact op?

De term die je zoekt is afaik "zombie". Ook DDOS zou je als term verder kunnen helpen, het zou kunnen dat een client bezig is met een mailflood. Ook een pw-sniffer trojan of virus is niet uit te sluiten.

[Baarsjes]

Ik kan dat adres gewoon bezoeken, maar spaanstalige sites met een doodshoofd en "blog" (?) erop lijken mij niet de sites die open staan voor wat vraagjes over eventuele mailflood. Zie btw dat de desbetreffende site sinds vandaag een spaanse 404 is geworden, gister deed ie het nog wel.

Ben dus nog steeds opzoek naar een linux tooltje om te bekijken welk IP die boodschappen probeert te verzenden. Zal iig met de termen die je heir noemt wat verder zoeken.

[arikkert]

staat er niet meer op die maillog-regel die je aangaf ?
Waarschijnlijk ook wel de queue-id, die er bijv zo uitziet : A4A4EC9471

grep daarop in je maillog file, dan kun je zien van wie het kwam, voor wie het bestemd was en wat postfix ermee gedaan heeft.

[Baarsjes]

Er staat idd meer op de regels, als ik op dat ID grep dan vind ik weer een berg regels die er zo uitzien:

code:

Jul 14 06:47:42 mail postfix/nqmgr[13917]: 6F4C619C: from=<>, size=4186, nrcpt=1 (queue active)

Het from adres is dus leeg, is er nog een alternatieve manier?

[bakkerl]

Kijk eens met mailq welke mails er nog allemaal in de uitgaande queue staan.
Ook hier staat from to adressen bij en een redenen waarom die nog in de queue staan. Hier zal waarschijnlijk wel een paar keer voor komen dar poort 25 een time out geeft gehad. Om deze mails gaat het dus.

[arikkert]

staat toch allemaal in de maillog. mailtje wordt eerst geaccepteerd van een bestemming, dan ge-queued, dan verzonden naar de destination. Die 3 stappen staan elk in de maillog, maar afzonderlijke stappen niet altijd met dezelfde queue-id. Handig voor postfix maillog overzicht zijn progjes als pflogsumm en pflogstats. Moet je even op googlen waar te halen en te installeren.