Exchange 2000/2003 Nachrichtentracking

Für andere Exchange Versionen siehe Nachrichtentracking mit Exchange 5.x und Nachrichtentracking mit Exchange 2007

Nachrichtentracking aktivieren

Das Nachrichtentracking ist per Default nicht aktiv und muss je Server aktiviert werden. Option kann auch die Protokollierung des Betreffs mit aktiviert werden. Problem hierbei ist die Vergrößerung der Protokolldateien und das Thema Datenschutz. Leider kann Exchange die Protokolle nicht direkt in eine ODBC-Quelle schreiben.

Wichtig ist hier auch die Einstellung der Haltezeit, d.h. wie lange die Systemaufsicht die Protokolldateien vorhält.

Diese Einstellung sind für jeden Server zu aktivieren. Allerdings können Sie sich die Arbeit zumindest über eine Exchange Systemrichtlinie erleichtern und zentralisieren.

Nachtracken

Die Nachverfolgung der Nachrichten erfolgt ebenfalls aus dem Exchange Systemmanager.

(Bitte Klicken)

Das Tracking startet immer bei einem Server. Wenn Sie den Absender kennen, dann ist dies der Ansatzpunkt für die Suche und das Tracking Center sucht den Homeserver dieses Benutzers als Startpunkt aus. Wenn Sie eher auf einem Connector Server eine durchlaufende Mail suchen, dann kann die Zieladresse in Verbindung mit dem passenden Startserver besser passen.

Das Tracking ist so ausgelegt, dass Sie zuerst eine Liste der Nachrichten sehen. Erst die Anwahl einer Nachricht sucht dann die passenden Details dazu heraus. Hierbei erkennt das Tracking Center aber auch, wenn die Nachricht zu einem anderen Server übertragen wurde und führt dort dann die Analyse weiter

Fehler beim Tracking.
Wenn Sie auch den Betreff mit aufzeichnen und dieser ein nicht-US-ASCII Zeichen enthält, so kodieren einige Mailserver diese als ISO8859 . (erkennbar an "=?ISO-8859-1?Q??=")
Das MessageTracking kann danach ankommende Meldungen nicht mehr anzeigen, obwohl die Daten im Log vorhanden sind. Auswertungen mit anderen Programmen sind daher möglich.
Ein Hotfix für Exchange 2003 ist angeblich verfügbar.

Datenbankformat

Die Protokolldateien liegen je Server in der Freigabe "%SERVERNAME%.log", die in der Regel auf C:\EXCHSRVR\%SERVERNAME.LOG verweist. Bei Exchange 5.5. haben hier leider JEDER:Lesen, so dass ohne entsprechende Anpassungen jeder Anwender hier eine Nachverfolgung starten könne. Erst mit Exchange 2003 ist dies geändert.

Die Trackinglogs von Exchange 2000 haben folgendes Format. Der Feldtrenner ist ein Tabulator. Bei Exchange 2000 SP3 und neuer kommt jedoch ein "Exchange Management Service" mit, der den Zugriff auf diese Informationen auch per WMI erlaubt.

Feld Name Format Beschreibung
1 Date MM-DD-YYYY Datum des Eintrags
2 Time HH:MM:SS GMT Uhrzeit in Greenwich Time
3 Client-IP XXX.XXX.XXX.XXX IP-Adresse des Clients
4 Client Host Name String Rechnername des Clients
5 Partner Name String Name des Nachrichtendienstes. Dies kann sein: SMTP, X400, MAPI, IMAP, POP3, STORE
6 Server Host Name String Server, der den Eintrag gemacht hat.
7 Server IP XXX.XXX.XXX.XXX IP-Adresse des Servers, der den Eintrag gemacht hat.
8 Recipient Address String Empfänger der Nachricht
(SMTP oder X.400 Adresse).
9 Event ID Integer Vorgang, z.B.
0 = Nachricht MTA Eingehend
1 = Probe MTA Eingehend
10 = MTA sendet Quittung
26 = Verteilerliste auflösen
1000 = Lokale Zustellung
1003 = Versand über Gateway
1004 = Empfang von Gateway

1023 = SMTP local delivery A message was successfully delivered by a store drive (logged by Advanced Queue).
1031 = End Outbound SMTP Transfer

Eine vollständige Liste ist in den Exchange Dokumentationen und der TechNet "

  • 821905 Message Tracking Event IDs in Exchange Server 2003
  • 246959 XADM: Message Tracking Event IDs and Description 2000
10 MSGID String Message ID
11 Priority Integer Priorität
-1= Low
0 = Normal
1 = Hoch
12 Recipient Report Status Integer Status für Quittungen
0 = Zugestellt
1 = Nicht zugestellt
13 Total Bytes NNNNNNN Größe der Nachricht in Bytes
14 Number Recipients Integer Anzahl der Empfänger
15 Origination Time Integer Zeit, wann die Nachricht das erste Mal in die Organisation gekommen ist.
In Verbindung mit Feld 2 (Time) kann die Laufzeit ermittelt werden.
16 Encryption Integer Verschlüsselung
0 = keine Verschlüsselung
1 = Nachricht ist signiert
2 = Nachricht ist verschlüsselt
Der Eintrag ist pro Nachricht, nicht pro Empfänger.
17 Service Version String Version des Dienstes, der den Eintrag erzeugt hat.
18 Linked MSGID String Alternative Message ID, wenn die Nachricht aus einem Fremdsystem gekommen ist. So können auch diese Nachrichten verfolgt werden.
19 Message Subject String, base64 encoded if Loc. Betreff der Nachricht auf 64 Zeichen gekürzt. Funktioniert nur, wenn auch die Protokollierung des Betreffs auf dem Server aktiviert wurde ! (nicht default)
20 Sender Address String Primäre Adresse der Absendermailbox.
Dies kann die SMTP, X.400, oder DN der Mailbox sein.
21 - - Warum, auch immer finde ich bei einigen Tracking Logs noch eine weitere Spalte mit einem "-", deren Funktion mir nicht bekannte ist. Es gibt keinen Header dazu.

Der Weg durch die Firma

Entsprechend findet man dann beim Routing durch eine Firma mehrere Events, die sich nacheinander im Logfile des Server finden. Wenn Sie ein paar Testmails senden, dann sehen Sie folgende Events.

Internet
->MB		 MB->
Internet		 MB->MB
Local		 Site2Site
Sender		 Site2Site
Receiver		 Beschreibung (Siehe KB 821905)

1019
1025
1024
---
1033
1036



1023
1028		 1027
1019
1025
1024
---
1033

1034
1020
1031		 1027
1019
1025
1024
---
1033
1036



1023
1028		 1027
1019
1025
1024
---
1033

1034
1020
1031
1019
1025
1024
---
1033
1036



1023
1028		 SMTP submit message to store driver (SD)
SMTP submit message to Advanced Queuing (AQ)
SMTP A new message was submitted to AQ
SMTP submit message to the categorizer
--- Split bei mehreren Empfängern
SMTP message categorized and queued for routing
SMTP message queued for local delivery
SMTP message routed and queued for remote delivery
SMTP begin outbound transfer
SMTP end outbound transfer
SMTP local delivery
Store: local delivery

Ich habe mal Sonderfälle ausgelassen, aber im Grund sehen Sie sehr viele übereinstimmende Events.

Wer also zuverlässig Mails nach Intern, SameOrg und Internet unterscheiden möchte, kann dies über das Messagetracking nur sehr schwer tun, sondern muss letztlich die Sender und Empfänger ermitteln und sich z.B. an den Event 1019 halten.

Weitere Links

Keywords:Nachrichtentracking