2007+2010: Bestimmte Diagnoseprotokolle immer laufen lassen?

[iDiddi 27]

Hallo zusammen,

 

wie setzt Ihr denn die Diagnoseprotokolle des Exchange Servers ein? Gibt es da Empfehlungen, welche man immer eingeschaltet lassen sollte und falls ja, mit welchem Protokollierungsgrad?

 

Beim Exchange 2003 gab es z.B. die Empfehlung, unter MSExchangeTransport die Protokollierung bei "Smtp-Transport" auf Maximum zu stellen.

 

Für die Nachfolger finde ich leider keine Empfehlungen diesbezüglich :suspect:

 

Falls es wichtig ist: Es geht meist um Exchange auf einem SBS-System.

 

Danke schon mal :)

[RobertWi 81]

Moin,

 

im Allgemeinen werden dir nur bei Bedarf eingeschaltet. Die meisten stehen auf "keine" oder "minimal". Ruf Dir einfach die Übersicht in der EMC mal auf, dann siehst Du auch die "empfohlenen" Grundeinstellungen.

[iDiddi 27]

Die meisten stehen auf "keine" oder "minimal". Ruf Dir einfach die Übersicht in der EMC mal auf, dann siehst Du auch die "empfohlenen" Grundeinstellungen.

Hallo Robert,

 

standardmäßig stehen die alle auf niedrigster Stufe. Hätte ja sein können, dass das eine oder andere Protokoll ganz nützlich ist.

 

Beim Exchange 2003 find ich es recht hilfreich, diese Meldungen im Anwendungsprotokoll vorzufinden:

 

Ereignistyp: Fehler

Ereignisquelle: MSExchangeTransport

Ereigniskategorie: SMTP-Protokoll

Ereigniskennung: 7010

Datum: 22.06.2012

Zeit: 13:55:03

Benutzer: Nicht zutreffend

Computer: SERVER

Beschreibung:

Dies ist ein Protokoll des SMTP-Protokolls für den virtuellen Server mit ID 1, Verbindung #5772. Der Client unter 'XXX.XXX.XXX.XXX' hat einen 'rcpt'-Befehl gesendet, worauf der SMTP-Server mit '550 5.7.1 Unable to relay for test@example.com ' geantwortet hat. Der vollständige gesendete Befehl lautete 'rcpt TO: <test@example.com>'. Hierdurch wird die Verbindung wahrscheinlich fehlschlagen.

 

Weitere Informationen erhalten Sie unter http://www.microsoft.com/contentredirect.asp.

 

So weiß ich direkt Bescheid, warum eine Nachricht auf SMTP-Ebene abgelehnt wurde und muss nicht erst das SMTP-Log durchforsten ;)

 

Ich teste die Diagnoseeinstellungen einfach mal durch. Mal sehen, ob ich das auch beim 2010er so einstellen kann.

[Dukel 454]

Mit einem Monitoringsystem kann man auch Logfiles aufnehmen und nach 5xx Fehlern sich alarmieren lassen. Diagnoseeinstellungen sollten für Diagnose Zwecke aktiviert werden und nicht für allgemeines Monitoring.

[iDiddi 27]

Diagnoseeinstellungen sollten für Diagnose Zwecke aktiviert werden und nicht für allgemeines Monitoring.

 

Aber wenn's doch die Arbeit erleichtert ;)

 

Frank Carius hat dazu z.B. folgendes geschrieben:

 

Dauereinsatz von Diagnosefunktionen

 

Nun ist es immer etwas unangenehm, wenn Anwender einen Fehler Melden und man als Administrator dann nur sagen kann, dass man nun eine Diagnose aktiviert und und auf ein weiteres Auftreten des Fehlers wartet.

 

Daher lassen immer mehr Firmen bestimmte Diagnoseprotokolle permanent an. Dies macht aber nur dann Sinn, wenn das Eventlog eine bestimmte Größe hat oder die Events an ein anderes System weitergeleitet und verarbeitet werden. (Siehe Produkte: NTSyslog). Eine Aktivierung aller Diagnosefunktionen ist nicht sinnvoll, da in einem derart gefüllten Eventlog die wichtigen Events untergehen und die Systemleistung abnimmt.

 

Mein Ziel ist folgendes:

 

Ein Mitarbeiter/Kunde ruft an, weil er eine ach so wichtige Nachricht nicht bekommen hat.

 

Momentan muss ich mich ins SMTP-Protokoll begeben (also ins Exchange Log-Verzeichnis hangeln und die entsprechende Log-Datei öffnen), da fehlgeschlagende Verbindungen nicht im Verfolgungsprotokoll-Explorer erscheinen (warum auch immer :( ). Dann nach der Absender-Adresse suchen und schauen, was da auf SMTP-Ebene los war.

 

Den Fehlercode muss ich mir erst übersetzen, damit ich weiß, an was es denn jetzt genau gescheitert ist.

 

Beim 2003er Exchange mit dem entsprechend aktivierten Diagnoseprotokoll für SMTP muss ich in so einem Fall nur ins Anwendungsprotokoll gucken und mir den Eintrag raus suchen. Dort sind dann alle Infos zu finden, und auch der Fehlercode wurde detailliert übersetzt.

 

Das möchte ich so in etwa auch für unseren Exchange 2010. Diagnoseprotokoll-Einstellungen für SMTPSend + SMTPRecieve sind schon auf hoch. Die gewünschten Infos fehlen trotzdem im Ereignislog.

 

Hmm. Werden die Einstellungen überhaupt sofort wirksam? Oder muss ich den Exchange-Informationsspeicher-Dienst dafür neu starten?