奇怪的 Log 是什麼用意呢?

[掛號信]

請問素大:

今天看到以下這樣的情況...
[2007/5/16 下午 01:54:23] [2148] SMTP 服務接受從 61.220.158.162 來的連線
[2007/5/16 下午 01:54:23] [2148] SMTP 服務不提供轉寄給從 61.220.158.162 來的連線, 因為他使用伺服器網域之外的信箱做寄件人信箱(hsmmk@hotmail.com)
[2007/5/16 下午 01:54:28] [2776] SMTP 服務接受從 61.220.158.162 來的連線
[2007/5/16 下午 01:54:28] [2776] SMTP 服務不提供轉寄給從 61.220.158.162 來的連線, 因為他使用伺服器網域之外的信箱做寄件人信箱(hsmmk@hotmail.com)
[2007/5/16 下午 01:54:35] [2148] SMTP 服務接受從 61.220.158.162 來的連線
[2007/5/16 下午 01:54:35] [2148] SMTP 服務不提供轉寄給從 61.220.158.162 來的連線, 因為他使用伺服器網域之外的信箱做寄件人信箱(hsmmk@hotmail.com)
[2007/5/16 下午 01:54:39] [2776] SMTP 服務接受從 61.220.158.162 來的連線
[2007/5/16 下午 01:54:39] [2776] SMTP 服務不提供轉寄給從 61.220.158.162 來的連線, 因為他使用伺服器網域之外的信箱做寄件人信箱(hsmmk@hotmail.com)
[2007/5/16 下午 01:54:50] [2148] SMTP 服務接受從 220.163.63.41 來的連線

問題1. 發信 IP 就是我自己的 IP , 雖然被雷電成功的擋下, 如果 IP 可以假冒, 是否會利用退信機制來寄廣告信呢?

問題2. 如果 IP 是用我自己的 IP , 如果信箱存在, 我會不會變成廣告信的跳板

問題3. 這樣是不是就是整天一直在猜帳號的用意呢?

問題4.我們會不會有反制的功能呢?

[Arnor]

1. IP 根本不可能假冒, 故能用你 IP 的人 (NAT 裡的人) 都有可能是疑兇.

2. 假若IP 是你自己的, 且它沒被這個檢查擋下, 當然就能網外寄.

3. 不知道.

4. 反制自己? 那就IP deny 61.220.158.162

基本上我是覺得你的想法有點不著頭緒,
明明就是你內部電腦或主機有問題(病毒/後門/或者跟本只是某使用者在使用),
為何你不去追查這點?

不過NAT環境裡的人若經由WAN PORT 連主機, 都會是以同一真實IP 連線,
你也很難找出是哪台電腦發出此要求的, 所以, 上述第4點我覺得應該可行.
也就是公司內部的人, 都只準用虛擬IP 連伺服器, 不準用真實IP.
_________________
*若是想問問題的話, 請務必不要塗改任何 IP, 網域資料, 您若不願貼上IP或網域, 請改以電子郵件來詢問. 謝謝您的配合.*
*若是回報疑似軟體的運行或邏輯或資料處理有誤的問題, 小弟很樂意去了解您的情況, 但請務必以最新版來做回報, 如果以郵件詢問, 請參考 http://www.raidenmaild.com/tw/feedback.html 的說明, 最好標題加個 RaidenMAILD 字樣, 才不致會遺漏了您的信唷. 謝謝您的配合^^*
*在版上發文請遵守網路禮儀, 並請持著虛心敘述問題請教他人, 凡發現違反的文, 均一律刪除為優先, 不另行通知喔.
*與使用者教學相長腦力激盪是我輩成就感的來源, 誠心希望您能不吝指教.
*雷電MAILD 知識庫文件 http://www.raidenmaild.com/tw/kb/

素還尊
Team John Long.
Email: arnor@raidenmaild.com
公司網站 http://www.raidenmaild.com/company/

[掛號信]

您的解釋非常清楚, 可是, 內部合法使用者的 Log 語法並不相同, 它們是...

[2007/5/16 下午 01:54:56] xxxxx 從 WEBMAIL 寄信
[2007/5/16 下午 01:55:41] [1948] xxxxx 服務接受從 61.220.158.162 來的連線
[2007/5/16 下午 01:55:41] [1948] xxxxx 從 61.220.158.162 登入 POP3 服務
[2007/5/16 下午 01:55:41] [1948] xxxxx 從 61.220.158.162 登出 POP3 服務

[2007/5/16 下午 01:55:56] WebMail 要求 SMTP 服務 - 寄信人是 xxxxx@autoid.com.tw

都有帶出使用者名稱, 而有問題的 Log 並沒有這樣的名稱, 另外, 本公司使用者才 8 個人, 內部也是虛擬 IP, 當然, 您說 IP 無法假冒, 那是否就是有後門或病毒, 再請問, 如果是使用者遭植入惡意程式, 偷寄信時會不會顯示使用者名稱呢? 我可以從何處取得寄信者的任可相關事証, 讓我可以採取進一步行動, 才不會造成恐慌, 請不吝賜教.

[Arnor]

基本上你的出發點就已經錯了.

之前是 SMTP, 你現在貼 POP 的記錄,
兩個根本是不同的東西.
白話來說, SMTP 協定又不是什麼會員系統, 基本上跟帳號什麼的是無關的,
跟 POP 要帳號驗證是不一樣的, POP 協定要運作, 必須先登入, 才能繼續進行動作.
SMTP 則不是要先登入才能進行的協定, 所謂檢查可否轉信, 都是看當時是否有多做身份驗證或 IP 是可以幫它轉寄的.

此外,
很多人到現在搞不清楚NAT 環境,
我大致解說一下, 詳細情況有興趣的上網找資料讀讀吧.

NAT 的環境一定是有Router, WAN-LAN 的轉換,
所以你的 Router 上會有真實IP, 虛擬IP.

你的公司網域對應的是真實IP,
所以從你的LAN 裡電腦若是對網域名稱做連線, 解析出來就會是連真實IP.
電腦就會先連到 router 的 LAN PORT 然後連到 WAN PORT 再導回到 LAN PORT 再連到你區網的Server. (有些分享器並不支援 LAN PORT 連 WAN PORT 再導回 LAN PORT)
相反的, 若LAN電腦是以虛擬IP 連線, 就不會透過 Router wan port, 而是透過 lan port 直接區網連Server.

所以, 你區網裡的人, 只要他連你的 router wan port (真實IP), 最後你的區網Server, 都只認得有連線從 router wan port (真實IP) 連來, 無從分別.
_________________
*若是想問問題的話, 請務必不要塗改任何 IP, 網域資料, 您若不願貼上IP或網域, 請改以電子郵件來詢問. 謝謝您的配合.*
*若是回報疑似軟體的運行或邏輯或資料處理有誤的問題, 小弟很樂意去了解您的情況, 但請務必以最新版來做回報, 如果以郵件詢問, 請參考 http://www.raidenmaild.com/tw/feedback.html 的說明, 最好標題加個 RaidenMAILD 字樣, 才不致會遺漏了您的信唷. 謝謝您的配合^^*
*在版上發文請遵守網路禮儀, 並請持著虛心敘述問題請教他人, 凡發現違反的文, 均一律刪除為優先, 不另行通知喔.
*與使用者教學相長腦力激盪是我輩成就感的來源, 誠心希望您能不吝指教.
*雷電MAILD 知識庫文件 http://www.raidenmaild.com/tw/kb/

素還尊
Team John Long.
Email: arnor@raidenmaild.com
公司網站 http://www.raidenmaild.com/company/