Exim auf die Finger schauen

[Plenz]

Gibt es irgend eine Möglichkeit, genau protokollieren zu lassen, welchen Weg eine Mail durch Exim nimmt? Ich möchte gern detailliert wissen, welche Filter welche Schalter umlegen und welche Transporter die Mail verarbeiten. In den Logfiles sehe ich ja leider nicht viel mehr als "Mail angekommen" und "Mail im Postfach abgelegt".

Zur Erklärung: bei mir nimmt Exim die Mails an, schickt sie zu Spamassassin, der erweitert den Header mit Filterergebnissen und schickt sie noch einmal zu Exim, der die Mails dann je nach Filterergebnissen sofort löscht oder in den Eingangsordner oder in den Spamordner des Empfängers ablegt. Mein Problem ist, dass Mails mit größeren Anhängen sofort zugestellt werden ohne den Umweg über Spamassassin, und ich möchte herausfinden, woran das liegt.

[eggy]

da schonmal reingesehn? http://www.exim.org/exim-html-current/d ... files.html

[scientific]

Option - d im Servicefile ergänzen und dann in den Logfiles suchen.

Die exim-Ligs sind sehr umfangreich... Aber dann auch auskunftsfreudig. Musst dich aber gut einarbeiten.

Lg scientific

[Plenz]

Danke erst mal für die Tipps.

@eggy: ich habe die Zeile "log_selector = +all" in meine config eingebaut und zwei Testmails geschickt, eine mit einem kleinen Anhang und eine mit einem großen. Im mainlog steht zwar jetzt deutlich mehr als vorher, aber ich sehe keine wesentlichen Unterschiede, obwohl wieder nur die Mail mit dem kleinen Anhang zu Spamassassin geschickt wurde und die mit dem großen Anhang nicht.

@ scientific: ehrlich gesagt, weiß ich nicht, was ich mit der Option -d machen soll. Bei mir läuft exim als daemon-heavy. Muss ich die Option -d irgendwo in /etc/init.d/exim4 einbauen?

[scientific]

Danke erst mal für die Tipps.

@eggy: ich habe die Zeile "log_selector = +all" in meine config eingebaut und zwei Testmails geschickt, eine mit einem kleinen Anhang und eine mit einem großen. Im mainlog steht zwar jetzt deutlich mehr als vorher, aber ich sehe keine wesentlichen Unterschiede, obwohl wieder nur die Mail mit dem kleinen Anhang zu Spamassassin geschickt wurde und die mit dem großen Anhang nicht.

@ scientific: ehrlich gesagt, weiß ich nicht, was ich mit der Option -d machen soll. Bei mir läuft exim als daemon-heavy. Muss ich die Option -d irgendwo in /etc/init.d/exim4 einbauen?

Ja. Und zwar in den Optionen mit denen Exim aufgerufen wird.

Ich hab mir eine eigene systemd-unit gebaut, da bei Debian nur das sysv-Startskript gestartet wird, und das so gar nicht dem systemd-Gedanken entspricht.

Aber auch im sysv-Init-Skript musst du die Option -d im Programmaufruf einbauen.

lg scientific

[Plenz]

Ja. Und zwar in den Optionen mit denen Exim aufgerufen wird.

Oha, da fühle ich mich leider etwas überfordert

Ich vermute, ich es geht um die Routine start_exim(), aber ich habe keine Ahnung, was da genau gemacht wird.

Code: Alles auswählen

  [ -e /var/run/exim4 ] || \
    install -d -oDebian-exim -gDebian-exim -m750 /var/run/exim4

Hier ist irgendwas mit exim4, aber das scheint kein Aufruf zu sein, sondern eine Abfrage.

Code: Alles auswählen

  case ${QUEUERUNNER} in
    combined)
      start_daemon -p "$PIDFILE" \
        "$DAEMON" -bd "-q${QFLAGS}${QUEUEINTERVAL}" \ 

Hier wird wohl etwas aufgerufen, aber ob es sich dabei um Exim handelt, kann ich nur vermuten.
Ist das die Stelle, wo weitere Optionen eingefügt werden können?

[scientific]

Ja. Und zwar in den Optionen mit denen Exim aufgerufen wird.

Oha, da fühle ich mich leider etwas überfordert

Ich vermute, ich es geht um die Routine start_exim(), aber ich habe keine Ahnung, was da genau gemacht wird.

Code: Alles auswählen

  [ -e /var/run/exim4 ] || \
    install -d -oDebian-exim -gDebian-exim -m750 /var/run/exim4

Hier ist irgendwas mit exim4, aber das scheint kein Aufruf zu sein, sondern eine Abfrage.

Code: Alles auswählen

  case ${QUEUERUNNER} in
    combined)
      start_daemon -p "$PIDFILE" \
        "$DAEMON" -bd "-q${QFLAGS}${QUEUEINTERVAL}" \ 

Hier wird wohl etwas aufgerufen, aber ob es sich dabei um Exim handelt, kann ich nur vermuten.
Ist das die Stelle, wo weitere Optionen eingefügt werden können?

Ja das dürfte genau die Stelle sein.
Ändere es auf SO ab:

Code: Alles auswählen

"$DAEMON" -bd -d "-q${QFLAGS}${QUEUEINTERVAL}"

lg scientific

[Plenz]

Danke erst mal. Hab zur Zeit Probleme mit dem Internet und bin nur über Handy online. Dienstag kommt der Monteur und soll es reparieren. Erst wenn ich eine zuverlässige Verbindung zu meinem Server habe, wage ich mich an diese Operation. Also bitte nicht wundern, wenn ich erst mal nichts dazu sage.

[weshalb]

Ich weiß nicht mehr genau, ob es nun Spamassassin oder ClamAv war, doch irgendwas war da mit einer Anhanggrößenbegrenzung, die ich auch trotz Veränderungen in den Configfiles nicht wegbekam.

http://debianforum.de/forum/viewtopic.p ... 66#p906566

[Plenz]

Ich weiß nicht mehr genau, ob es nun Spamassassin oder ClamAv war, doch irgendwas war da mit einer Anhanggrößenbegrenzung, die ich auch trotz Veränderungen in den Configfiles nicht wegbekam.

http://debianforum.de/forum/viewtopic.p ... 66#p906566

Vielen Dank, dieser Absatz klingt sehr interessant:

Dein Fall spricht eher dafuer, dass Spamassassin kurzzeitig ausser Puste war und die Mail deshalb einfach durchgekommen ist. Der content_filter ist jedenfalls im Default so konfiguriert, dass wenn Spamassassin mal nicht laeuft, die Mails einfach ungefiltert durchkommen.

Fragt sich also: woran merkt Exim, dass der Spamassassin "außer Puste" ist, und wie kann man das protokollieren?

[Plenz]

Liebe Leute, ich habe es heute versucht. Leider ohne Ergebnis.

Ich habe in der Exim-Config die Zeile "log_selector = +all" eingebaut und in init.d/exim4 die Option "-d" an drei Stellen hinzugefügt, wo "$DAEMON" -bd " steht. Anschließend den Server rebootet und wieder eine Mail mit kleinem und eine mit großem Anhang geschickt.

Ich sehe im exim4/mainlog keine Unterschiede. Nur die jeweiligen Header zeigen, dass nur die kleine Mail durch Spamassassin geprüft wurde.

Hier das Log der kleinen Mail (zur Lesbarkeit umgebrochen und die Fantasie-Adressen eingesetzt):

Code: Alles auswählen

2017-05-09 23:00:41 [3178] ident connection to 151.189.21.54 timed out
2017-05-09 23:00:41 [3178] 1d8CFN-0000pG-Mm DKIM: d=arcor.de s=mail-in c=simple/simple a=rsa-sha256 t=1494363636 [verification succeeded]
2017-05-09 23:00:41 [3178] 1d8CFN-0000pG-Mm <= abs@arcor.de H=mail-in-14.arcor-online.net [151.189.21.54]:51087 
                           I=[77.37.6.35]:25 P=esmtp S=8242 id=1188191650.124578.1494363636488.JavaMail.ngmail@webmail14.arcor-online.net 
                           T="Test Eins klein" from <abs@arcor.de> for emp@lenz-online.de
2017-05-09 23:00:41 [3178] SMTP connection from mail-in-14.arcor-online.net [151.189.21.54]:51087 I=[77.37.6.35]:25 closed by QUIT
2017-05-09 23:00:41 [3179] cwd=/var/spool/exim4 4 args: /usr/sbin/exim4 -d=0xfbbd5cfd -Mc 1d8CFN-0000pG-Mm
2017-05-09 23:00:41 [3182] cwd=/tmp 4 args: /usr/sbin/exim4 -oMr spam-scanned -bS
2017-05-09 23:00:41 [3182] SMTP connection from mail
2017-05-09 23:00:45 [3182] 1d8CFN-0000pK-RE <= abs@arcor.de U=mail P=spam-scanned S=8724
                           id=1188191650.124578.1494363636488.JavaMail.ngmail@webmail14.arcor-online.net
                           T="Test Eins klein" from <abs@arcor.de> for emp@lenz-online.de
2017-05-09 23:00:45 [3182] no MAIL in SMTP connection from mail D=4s
2017-05-09 23:00:46 [3188] cwd=/var/spool/exim4 3 args: /usr/sbin/exim4 -Mc 1d8CFN-0000pK-RE
2017-05-09 23:00:46 [3188] 1d8CFN-0000pK-RE => lenzemp <emp@lenz-online.de> F=<abs@arcor.de> P=<abs@arcor.de> 
                           R=localuser T=local_delivery S=8833 QT=5s DT=0s
2017-05-09 23:00:46 [3188] 1d8CFN-0000pK-RE Completed QT=5s
2017-05-09 23:00:46 [3179] 1d8CFN-0000pG-Mm => emp <emp@lenz-online.de> F=<abs@arcor.de> P=<abs@arcor.de> 
                           R=spamcheck_director T=spamcheck S=8650 QT=5s DT=5s
2017-05-09 23:00:46 [3179] 1d8CFN-0000pG-Mm Completed QT=5s

und das Log der großen Mail:

Code: Alles auswählen

2017-05-09 23:01:41 [3205] ident connection to 151.189.21.57 timed out
2017-05-09 23:01:46 [3205] 1d8CGL-0000ph-LU DKIM: d=arcor.de s=mail-in c=simple/simple a=rsa-sha256 t=1494363696 [verification succeeded]
2017-05-09 23:01:46 [3205] 1d8CGL-0000ph-LU <= abs@arcor.de H=mail-in-17.arcor-online.net [151.189.21.57]:48658
                           I=[77.37.6.35]:25 P=esmtp S=569710 id=463225986.124585.1494363696206.JavaMail.ngmail@webmail14.arcor-online.net
                           T="Test zwei gro\303\237" from <abs@arcor.de> for emp@lenz-online.de
2017-05-09 23:01:46 [3205] SMTP connection from mail-in-17.arcor-online.net [151.189.21.57]:48658 I=[77.37.6.35]:25 closed by QUIT
2017-05-09 23:01:46 [3206] cwd=/var/spool/exim4 4 args: /usr/sbin/exim4 -d=0xfbbd5cfd -Mc 1d8CGL-0000ph-LU
2017-05-09 23:01:46 [3209] cwd=/tmp 4 args: /usr/sbin/exim4 -oMr spam-scanned -bS
2017-05-09 23:01:46 [3209] SMTP connection from mail
2017-05-09 23:01:47 [3209] 1d8CGQ-0000pl-T5 <= abs@arcor.de U=mail P=spam-scanned S=569881
                           id=463225986.124585.1494363696206.JavaMail.ngmail@webmail14.arcor-online.net
                           T="Test zwei gro\303\237" from <abs@arcor.de> for emp@lenz-online.de
2017-05-09 23:01:47 [3209] no MAIL in SMTP connection from mail D=1s
2017-05-09 23:01:47 [3214] cwd=/var/spool/exim4 3 args: /usr/sbin/exim4 -Mc 1d8CGQ-0000pl-T5
2017-05-09 23:01:47 [3214] 1d8CGQ-0000pl-T5 => lenzemp <emp@lenz-online.de> F=<abs@arcor.de> P=<abs@arcor.de>
                           R=localuser T=local_delivery S=569990 QT=1s DT=0s
2017-05-09 23:01:47 [3214] 1d8CGQ-0000pl-T5 Completed QT=1s
2017-05-09 23:01:47 [3206] 1d8CGL-0000ph-LU => emp <emp@lenz-online.de> F=<abs@arcor.de> P=<abs@arcor.de>
                           R=spamcheck_director T=spamcheck S=569807 QT=6s DT=1s
2017-05-09 23:01:47 [3206] 1d8CGL-0000ph-LU Completed QT=6s

Der Header der kleinen Mail:

Code: Alles auswählen

Return-path: <abs@arcor.de>
Envelope-to: emp@lenz-online.de
Received: from mail by 77-37-6-35.xl-server.org with spam-scanned (Exim 4.80 #2 (Debian))
	id 1d8CFN-0000pK-RE
	for <emp@lenz-online.de>; Tue, 09 May 2017 23:00:45 +0200
X-Spam-Checker-Version: SpamAssassin 3.3.2 (2011-06-06) on
	77-37-6-35.xl-server.org
X-Spam-Level:
X-Spam-Status: No, score=0.3 required=7.0 tests=BODY_URI_ONLY,FREEMAIL_FROM,
	RCVD_IN_DNSWL_LOW,T_DKIM_INVALID,T_FREEMAIL_DOC_PDF autolearn=disabled
	version=3.3.2
Received: from mail-in-14.arcor-online.net ([151.189.21.54]:51087)
	by 77-37-6-35.xl-server.org with esmtp (Exim 4.80 #2 (Debian))
	id 1d8CFN-0000pG-Mm
	for <emp@lenz-online.de>; Tue, 09 May 2017 23:00:41 +0200
Received: from mail-in-14-z2.arcor-online.net (mail-in-14-z2.arcor-online.net [151.189.8.31])
	by mx.arcor.de (Postfix) with ESMTP id 3wMsGD3x7Bz8FF6
	for <emp@lenz-online.de>; Tue,  9 May 2017 23:00:36 +0200 (CEST)
Received: from mail-in-14.arcor-online.net (mail-in-14.arcor-online.net [151.189.21.54])
	by mail-in-14-z2.arcor-online.net (Postfix) with ESMTP id 8492B208A96
	for <emp@lenz-online.de>; Tue,  9 May 2017 23:00:36 +0200 (CEST)
Received: from webmail14.arcor-online.net (webmail14.arcor-online.net [151.189.8.67])
	by mail-in-14.arcor-online.net (Postfix) with ESMTP id 3wMsGD3dYZz7VTH
	for <emp@lenz-online.de>; Tue,  9 May 2017 23:00:36 +0200 (CEST)
X-DKIM: Sendmail DKIM Filter v2.8.2 mail-in-14.arcor-online.net 3wMsGD3dYZz7VTH
DKIM-Signature: v=1; a=rsa-sha256; c=simple/simple; d=arcor.de; s=mail-in;
	t=1494363636; bh=L5j7zNXbd6s1pZqjhR5a9qoVt0U3GkHPJEbybPlMRNk=;
	h=Date:From:To:Message-ID:Subject:MIME-Version:Content-Type;
	b=KdzeY+Cr1+dDJJCjIm+vClYKpkak/F5rlNGj1sz3w12F72ubAjs0Q2FEfq7H2PlyV
	 CnWOPIpXWKRHHqI3gzZpmxW/OtiL8UkZwE8fJoNuXjZRNYZEoCaQu/kOFGnOqZDRvN
	 gdKqNQix2rcAEU63bNJ298Ji5Ya3wOOMMBtlSSQM=
Received: from [37.24.98.250] by webmail14.arcor-online.net (151.189.8.67) 
        with HTTP (Arcor Webmail); Tue, 9 May 2017 23:00:36 +0200 (CEST)
Date: Tue, 9 May 2017 23:00:36 +0200 (CEST)
From: abs@arcor.de
To: emp@lenz-online.de
Message-ID: <1188191650.124578.1494363636488.JavaMail.ngmail@webmail14.arcor-online.net>
Subject: Test Eins klein
MIME-Version: 1.0
Content-Type: multipart/mixed;
	boundary="----=_Part_124576_1490548346.1494363636481"
X-ngMessageSubType: MessageSubType_MAIL
X-WebmailclientIP: 37.24.98.250

und der Header der großen Mail:

Code: Alles auswählen

Return-path: <abs@arcor.de>
Envelope-to: emp@lenz-online.de
Received: from mail by 77-37-6-35.xl-server.org with spam-scanned (Exim 4.80 #2 (Debian))
	id 1d8CGQ-0000pl-T5
	for <emp@lenz-online.de>; Tue, 09 May 2017 23:01:46 +0200
Received: from mail-in-17.arcor-online.net ([151.189.21.57]:48658)
	by 77-37-6-35.xl-server.org with esmtp (Exim 4.80 #2 (Debian))
	id 1d8CGL-0000ph-LU
	for <emp@lenz-online.de>; Tue, 09 May 2017 23:01:46 +0200
Received: from mail-in-11-z2.arcor-online.net (mail-in-11-z2.arcor-online.net [151.189.8.28])
	by mx.arcor.de (Postfix) with ESMTP id 3wMsHN30Vnz4QKr
	for <emp@lenz-online.de>; Tue,  9 May 2017 23:01:36 +0200 (CEST)
Received: from mail-in-13.arcor-online.net (mail-in-13.arcor-online.net [151.189.21.53])
	by mail-in-11-z2.arcor-online.net (Postfix) with ESMTP id 5D0DE3260D9
	for <emp@lenz-online.de>; Tue,  9 May 2017 23:01:36 +0200 (CEST)
Received: from webmail14.arcor-online.net (webmail14.arcor-online.net [151.189.8.67])
	by mail-in-13.arcor-online.net (Postfix) with ESMTP id 3wMsHN1d0Bz3pGG
	for <emp@lenz-online.de>; Tue,  9 May 2017 23:01:36 +0200 (CEST)
X-DKIM: Sendmail DKIM Filter v2.8.2 mail-in-13.arcor-online.net 3wMsHN1d0Bz3pGG
DKIM-Signature: v=1; a=rsa-sha256; c=simple/simple; d=arcor.de; s=mail-in;
	t=1494363696; bh=+PIQ64a6U43EkBEdy34VAzIacEG5SrS/gpMzsTBSYCk=;
	h=Date:From:To:Message-ID:Subject:MIME-Version:Content-Type;
	b=YiPvhfTzbGFl/ymuWYbQN/GJ8WDYoSvW6vBd9ScRCsZx1fU+2gXlg5TAwT8W13nyL
	 vI4Uq3LGipqg49F/z548QDFF0gKk45Djk4LGzyJWb6Z49J5wsdu9vQ1wSsy56Xtdhu
	 kyPUXTvZ+1EI0o/LZGqeJYVzYI7gclkFWIpEk+go=
Received: from [37.24.98.250] by webmail14.arcor-online.net (151.189.8.67) 
        with HTTP (Arcor Webmail); Tue, 9 May 2017 23:01:36 +0200 (CEST)
Date: Tue, 9 May 2017 23:01:36 +0200 (CEST)
From: abs@arcor.de
To: emp@lenz-online.de
Message-ID: <463225986.124585.1494363696206.JavaMail.ngmail@webmail14.arcor-online.net>
Subject: =?ISO-8859-1?Q?Test_zwei_gro=DF?=
MIME-Version: 1.0
Content-Type: multipart/mixed; 
	boundary="----=_Part_124583_625549345.1494363696199"
X-ngMessageSubType: MessageSubType_MAIL
X-WebmailclientIP: 37.24.98.250

Kann hier irgend jemand sehen, warum die beiden Mails verschiedene Wege gegangen sind und welche Wege das waren?
Wenn nicht: was kann ich noch tun, um diese Wege irgendwie sichtbar zu machen?

Kann ich vielleicht irgendwie in der Exim-Config zusätzliche Befehlszeilen in alle möglichen Filter oder Transporter einbauen, die zusätzliche Header-Zeilen in die Mail einfügen, sodass ich hinterher im Header sehen kann, welche Filter und Transporter durchlaufen wurden?

[weshalb]

Ich sehe im exim4/mainlog keine Unterschiede. Nur die jeweiligen Header zeigen, dass nur die kleine Mail durch Spamassassin geprüft wurde.

Doch noch den richtigen gefunden:

viewtopic.php?f=8&t=160281

Du kannst ja an der Stelle weiter experemtieren, wobei ich mich schlussendlich dann doch mit den 500KB zufrieden gegeben habe.

[Plenz]

Danke für den Link, sehr interessant. Ist das denn wirklich nirgendwo dokumentiert?

Du kannst ja an der Stelle weiter experemtieren, wobei ich mich schlussendlich dann doch mit den 500KB zufrieden gegeben habe.

Ich nicht. Ich bekomme immer wieder Benachrichtigungen über Lotteriegewinne, an die ein über 500 kB großes PDF angehängt ist. Ausgerechnet da kneift Spamassassin, anstatt den Müll zu beseitigen. Das ist unakzeptable.

[weshalb]

Ich hatte dazu zumindest nichts weiter gefunden.

[Plenz]

Ich habe gerade hier etwas gefunden:

## spamassassin, spams are never big and spamassassin can die on big emails, so we
## limit its use under 500ko.

Also sollte man besser die Finger davon lassen.

Fragt sich dann, wie man auf einem anderen Weg große Mails filtern kann.

Ich kann zwar Perl-Scripts programmieren, aber ich habe das Problem, dass ich Exim nicht verstehe. Ich habe noch nicht rausgekriegt, auf welche Weise eine Mail an Spamassassin übergeben wird und durch welchen Mechanimus erreicht wird, dass eine von SpamAssassin untersuchte Mail ein zweites Mal durch Exim läuft.

[weshalb]

Danke und irgendwie nachvollziehbar. Du könntest allerdings Mails mit großen Anhängen mittels Procmail wegfiltern und die dann mittels Script, welches du im selbigen Filter aufrufst, nochmal durchtesten. Ich entsinne mich, dass ich Spamassassin manuel größere Sachen durchtesten lassen konnte, aber genau weiß ich es auch nicht mehr.

[scientific]

Es kommt bei exim drauf an, wie man sa einbindet.
Ev. ginge es so, dass manbei den emails, die sa nicht checkt einen header einbaut "X-SA-SKIPPED: true" und den imapserver mittels sieve anweist, diese emails in einen eigenen Ordner zu verschieben.

Lg scientific