Back to the future: E-Mails aus der Zukunft?

[Scorp1337 10]

Moin liebe Leut,

 

wir haben ein paar User bei denen E-Mails vermeintlich aus der Zukunft kommen!?!? 

Als das Mal aufgetreten ist, habe ich mir nichts groß dabei gedacht.. lediglich die Uhrzeiten des Exchange bzw. der Clients geprüft... allerdings trat dieses Phänomen jetzt schon häufiger auf und führt bei den Benutzern zu Verwirrung. 

 

Leider habe ich einfach keinen Ansatz dem ich nachgehen könnte :(

Habt ihr eine Idee?

 

Nachfolgend ein Header einer solchen E-Mail + ein Screenshot auf dem erkennbar ist, dass die Erhalten Spalte in Outlook 09:41 Uhr anzeigt und im Lesebereich 9:40 Uhr dargestellt wird. Und das obwohl es gerade erst 9:35 Uhr ist. 

 

Beispiel E-Mail Header
Received: from Exchange-ABC.xyz.local (192.168.xx.yy) by
 Exchange-ABC.xyz.local (192.168.xx.yy) with Microsoft SMTP Server
 (version=TLS1_2, cipher=TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384) id 15.2.659.4
 via Mailbox Transport; Wed, 23 Sep 2020 09:34:06 +0200
Received: from Exchange-ABC.xyz.local (192.168.xx.yy) by
 Exchange-ABC.xyz.local (192.168.xx.yy) with Microsoft SMTP Server
 (version=TLS1_2, cipher=TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384) id 15.2.659.4;
 Wed, 23 Sep 2020 09:34:06 +0200
Received: from Exchange-ABC.xyz.local ([ab12::1234:5678:90:7dfa]) by
 Exchange-ABC.xyz.local ([ab122::1234:5678:90:7dfa%10]) with mapi id
 15.02.0659.006; Wed, 23 Sep 2020 09:34:00 +0200
Content-Type: application/ms-tnef; name="winmail.dat"
Content-Transfer-Encoding: binary
From: "Mustermann, Orhan" <O.mustermann@xyz-berlin.de>
To: "Musterfrau, Anke" <A.musterfrau@xyz-berlin.de>
Subject: AW: intern xyz Bewerbung "Werksstudent Niederlassung Berlin"
Thread-Topic: intern xyz Bewerbung "Werksstudent Niederlassung Berlin"
Thread-Index: AdaQztKDJW/VBAGMQAxuj4iqoAtHEOQAN4N2AABp1OJJAAAxVCMA==
Date: Wed, 23 Sep 2020 09:40:00 +0200
Message-ID: <b2bf8c08809e4ef69f6ce0123a7b9824b86@xyz-berlin.de>
References: <aa7b3c490047451b91f12334dab2d1a15b5@xyz-berlin.de>
 <ad012afc875c46bbb71b0ca6b993d123d@xyz-berlin.de>
 <295b42f58b5d4c71afbf647f1231311cdd0@xyz-berlin.de>
In-Reply-To: <295b42f58b5d1234c71afbf647f1311cdd0@xyz-berlin.de>
Accept-Language: de-DE, en-US
Content-Language: de-DE
X-MS-Has-Attach:
X-MS-Exchange-Organization-SCL: -1
X-MS-TNEF-Correlator: <b2bf8c08809e1234ef69f6ce0a7b9824b86@xyz-berlin.de>
MIME-Version: 1.0
X-MS-Exchange-Organization-MessageDirectionality: Originating
X-MS-Exchange-Organization-AuthSource: Exchange-ABC.xyz.local
X-MS-Exchange-Organization-AuthAs: Internal
X-MS-Exchange-Organization-AuthMechanism: 04
X-Originating-IP: [55.333.22.111]
X-MS-Exchange-Organization-Network-Message-Id: 05cdd112412-a005-420e-dc0e-08d85f930a22
Return-Path: O.mustermann@xyz-berlin.de
X-MS-Exchange-Organization-AVStamp-Enterprise: 1.0
X-MS-Exchange-Transport-EndToEndLatency: 00:00:05.6757574
X-MS-Exchange-Processed-By-BccFoldering: 15.02.0659.006

 

Viele Grüße,

Norman

[NorbertFe 2.035]

Wer liefert die Mails denn ein?

[Scorp1337 10]

vor 4 Minuten schrieb NorbertFe:

Wer liefert die Mails denn ein?

Es betrifft wohl interne, wie externe Nachrichten. 

Hier war nur ein Exchange Server relevant - alles on prem - alle Rollen auf einem Host.

 

Oder was meinst du?

[NorbertFe 2.035]

Sind das Mails, die von Outlook (von eigenen PCs) eingeliefert werden, oder kommen da ggf. irgendwelche sonstigen Systeme in Frage? Technisch gesehen kann man das Datum einer Mail problemlos ändern und der User wundert sich, warum die Mail immer oben steht. ;)

[Scorp1337 10]

Ich habe gerade die Firewalls auf abweichende Zeitzonen geprüft und nichts festgestellt. Die Firewall vor diesem Exchange hatte als Sync-Server pool.ntp.org... die anderen zwei relevanten nutzen die Firewall-Hersteller ntp Server. Das habe ich jetzt glatt gezogen, sollte aber keine Relevanz haben. Alle drei Firewalls haben dieselbe Uhrzeit.

 

Weiter ist mir gerade aufgefallen, dass die Sicherung des Exchange heute Nacht besonders lang gedauert hat: bis 8:32 Uhr. Das ist ungewöhnlich und hat eventuell den Durchfluss der E-Mails gestört...immerhin beginnen etwa zu dieser Zeit auch viele Mitarbeiter, sodass Verbindungen zum Exchange aufgebaut werden/Last erzeugt wird.

Aber selbst wenn es hier einen Zusammenhang gäbe, wieso sollte dann die Uhrzeit der Nachricht so weit vorn liegen?

Dazu sei gesagt, dass hier im Beispiel nur eine Abweichung von 6 Minuten war. Es gibt aber auch fälle in denen die E-Mail scheinbar erst in 40 min ankommen würde..

[NorbertFe 2.035]

Beantwortet meine Frage zwar irgendwie auch nicht... aber sei es drum. Ist der Exchange virtuell?

[Scorp1337 10]

vor 20 Minuten schrieb NorbertFe:

Beantwortet meine Frage zwar irgendwie auch nicht... aber sei es drum. Ist der Exchange virtuell?

Ja ist er. Also auch den Host prüfen, ja?

[NorbertFe 2.035]

Ich würde  mal schauen, ob ggf. diese Zeitsprünge auch im Eventlog des Exchangeservers zu finden sind. Ist die Hosttimesync für alle Domain Member deaktiviert?