Domino-Server & SMTP

[rruhe2105 10]

Hallo MCSE-Gemeinde!

Ich hab mal ein Problem mit einem SMTP-Server.

Seit Montag veschickt ein PC im Netz als SMTP-Server Mails an den Domino (Lotus Notes Server), und der verteilt diese dann auch ganz brav an alle Mail-Konten, die er kenn....virus W32.Sober.I@mm läßt grüssen. :mad:

Wie kann ich nun den PC ermitteln, der mir diese tollen Mails versendet?? Ich hab eine Aussage vom Domino, daß es sich um den SMTP-Server 072C:0005-0272 handelt. ;)

Gibt es ein Programm, welches mir diese Werte aufschlüsselt in eine brauchbare IP??

Wäre für eine schnelle Lösung sehr dankbar, da die angeschlossenen Firmen über diese Mail-Flut nicht erfreut sind (verständlicherweise) :(

 

Schonmal ein schönes Wochenende allen wünsch, auch wenn es noch ein bissel hin ist damit.

 

Tschöööö

Ronald

 

P.S. der Domino läuft noch auf einem NT-Server, daher diese Einordnung! Der Rest ist Win2K-Server mit WinXP-Clients und MAC OS9 bzw. OS X!

[ati975 10]

Hallo,

 

schonmal in den Email-Header reingeschaut? Da müsste die IP-Adresse des Rechners drinstehn, der die Mail an den Server gesendet hat. (von unten gelesen der erste Eintrag "received: from") Der Weg der Email lässt sich genau rekonstruieren. Ungefähr so:

 

Received: from moutng.kundenserver.de (212.227.126.173)

by ffm0815.dekundenserver.de with SMTP; 23 Nov 2004 14:00:23 -0000

Received: from [212.227.126.209] (helo=mrelayng.kundenserver.de)

by moutng.kundenserver.de with esmtp (Exim 3.35 #1)

id 1CWbDT-0000oj-00

for XXXXX; Tue, 23 Nov 2004 15:00:23 +0100

Received: from [80.129.2.174] (helo=TIFFY)

by mrelayng.kundenserver.de with asmtp (Exim 3.35 #1)

id 1CWbDQ-0006Rb-00

for XXXXX; Tue, 23 Nov 2004 15:00:20 +0100

[rruhe2105 10]

Hallo Atila,

Ich kann am Dominoserver nur sehen, das mails reinkommen und rausgehen, was da drin steht, sehe ich nicht.

Ich erhalte zwar auch welche, aber nur, weil sie an adressen in meinem Netz gesendet werden, die nicht existent sind.

(bin der Postmaster :()

(Aso, zur Verständnis: der Domino läuft bei einem Kunden, nicht bei mir!!)

Eine andere Möglichkeit gibt es wohl nicht??

Die IP ist bekannt, es ist die IP des Routers, welcher die Rchner ins Internet routet. Also die öffentliche IP der Firma.

Ich hab aber mind. 4 unterschiedliche Adressen die mit SMTP-Server benannt sind, aber anscheinend sind es auch keine MAC-Adressen, da es in 4er Gruppen aufgeteilt ist. (072C:0005-0272), MAC aber in 2er Gruppen. Evtl. gibt es dafür eine Umrechnung.

Das Problem ist, das ei (bzw. mehrere) PC's der Meinung sind, als SMTP-Server zu fungieren. Die Firewall ist jetzt auf den Ports 25 und 110 dicht, kann also nichts mehr gesendet und empfangen werden. Nur weiß ich immer noch nicht, welcher PC den Unsinn verzapft hat. Ich tipp ja auf diverse Laptops, da diese am Wochenende ja mit nach Hause genommen werden. Und seit Montag früh ist das Problem.

Aber trotzdem erstmal danke für die schnelle Hilfe!!

Tschööö

Ron

[ati975 10]

Achso, wusst ich ja nicht. Bin davon ausgegangen dass Server und Clients im gleichen Netz sind. Klar, über die öffentliche (Internet-) IP lässt sich der betroffene Rechner natürlich nicht ausfindig machen.

Wenn die Firewall eine Log-Funktion hat, könntest du da mal reinschaun ob es Versuche gibt, auf Port 25/110 zuzugreifen.