如何使用嗅探器对 SMTP 流量进行故障排除？

Question

我们遇到了一个问题，即我们不再收到外部电子邮件。（我们有一个 Exchange 邮件系统，带有 Barracuda 垃圾邮件过滤器和 Watchguard 硬件防火墙。）问题是邮件似乎可以通过 Watchguard 盒子，但它没有出现在 Barracuda 盒子上。我一直在与两家公司的技术人员通电话，他们几乎都将矛头指向另一个盒子。

为了帮助缩小问题的范围，我将把 Watchguard 盒的传出端口连接到集线器并连接我的笔记本电脑，它运行 Wireshark。我的问题是：我会看到哪些数据包会告诉我邮件是否通过 Wireshark 邮箱？任何人都可以推荐我应该使用什么过滤器，或者至少告诉我什么类型的数据包（例如它们会显示为 SMTP？）。或者我应该只在端口 25 上查找流量？提前致谢。

Answer 1

第一步是在垃圾邮件设备前面开始抓取数据包，理论上它会在通过防火墙后接收它们。您想将捕获过滤器设置为“端口 25”。Wireshark 的解剖器足以自行完成大部分分析。右键单击数据包，选择“查看 TCP 会话”以获取 SMTP 会话的完整记录。

如果您没有看到任何数据包，那么您的防火墙确实没有通过 SMTP 流量。您可能想要自己发送一些消息来证明您的捕获过滤器正在工作。如果可能，请在防火墙前重复测试以证明您得到了任何测试。

如果您看到的只是发送到设备的 SYN 数据包而没有响应，那么您已经找到了罪魁祸首。设备已休假。

如果您看到看起来正常的完整 SMTP 对话，请在设备的出站端口上重复测试。

如果出站端口显示没有 SMTP 流量，那么您就知道问题出在设备内部的某个地方。这应该有助于说服供应商支持，这确实是他们的问题。

如果您看到完整的出站流量，那么问题出在您的邮件系统某处。