[решено] Кто-то повадился слать на почту огромные файлы... как найти героя?

[solon]

Уже который день прихожу на работу и в статистике в 9 утра вижу около 200 мегабайт. Обидно, а день только начался... Смотрю в Kerio - траф числится за почтовиком. Пытался разобраться сам но концов пока не нашел...
На прием стоит ограничение (Exchange 2003 SP 2)- 15 мегабайт. Начал копать логи из стоящего внимания, нарыл только это:
[25/Mar/2010 07:34:32] [ID] 5553669 [Rule] MAIL IN [Service] SMTP [Connection] TCP mail-bw0-f215.google.com:39219 -> mail.domain.local:25 [Duration] 193 sec [Bytes] 16352379/431991/16784370 [Packets] 15385/8249/23634
[25/Mar/2010 08:19:46] [ID] 5556237 [Rule] MAIL IN [Service] SMTP [Connection] TCP mail-fx0-f217.google.com:57168 -> mail.domain.local:25 [Duration] 203 sec [Bytes] 16352420/436035/16788455 [Packets] 15386/8294/23680
[25/Mar/2010 09:07:07] [ID] 5561166 [Rule] MAIL IN [Service] SMTP [Connection] TCP mail-bw0-f215.google.com:52972 -> mail.domain.local:25 [Duration] 197 sec [Bytes] 16353443/437015/16790458 [Packets] 15386/8307/23693

На почтовике вот что:
Тип события: Уведомление
Источник события: MSExchangeMTA
Категория события: Interface
Код события: 3279
Дата: 25.03.2010
Время: 7:34:36
Пользователь: Н/Д
Компьютер: MAIL
Описание:
A MT_WAIT message was sent to the /DC=LOCAL/DC=DOMAIN/CN=CONFIGURATION/CN=SERVICES/CN=MICROSOFT EXCHANGE/CN=FI/CN=CONNECTIONS/CN=SMTP

(MAIL-{B9EFCE07-3C20-4E81-BF3D-F9BB4B39C85E}) gateway on session index 2. [XAPI GATEWAY 24 138] (8)

Тип события: Уведомление
Источник события: MSExchangeMTA
Категория события: Interface
Код события: 3279
Дата: 25.03.2010
Время: 8:19:46
Пользователь: Н/Д
Компьютер: MAIL
Описание:
A MT_WAIT message was sent to the /DC=LOCAL/DC=Domain/CN=CONFIGURATION/CN=SERVICES/CN=MICROSOFT EXCHANGE/CN=FI/CN=CONNECTIONS/CN=SMTP

(MAIL-{B9EFCE07-3C20-4E81-BF3D-F9BB4B39C85E}) gateway on session index 2. [XAPI GATEWAY 24 138] (8)

Тип события: Уведомление
Источник события: MSExchangeMTA
Категория события: Interface
Код события: 3279
Дата: 25.03.2010
Время: 9:07:06
Пользователь: Н/Д
Компьютер: MAIL
Описание:
A MT_WAIT message was sent to the /DC=LOCAL/DC=DOMAIN/CN=CONFIGURATION/CN=SERVICES/CN=MICROSOFT EXCHANGE/CN=FI/CN=CONNECTIONS/CN=SMTP

(MAIL-{B9EFCE07-3C20-4E81-BF3D-F9BB4B39C85E}) gateway on session index 2. [XAPI GATEWAY 24 138] (8)
Насколько я понял (MAIL-{B9EFCE07-3C20-4E81-BF3D-F9BB4B39C85E}) - это системная учетная запись.... вот тут я зарылся :(
Можно ли найти того кто шлет и того кому это предназначается? Возможно ли вообще закрывать такие подключения, чтобы не генерировать такой трафик?
SOS!

[Delirium]

На прием стоит ограничение (Exchange 2003 SP 2)- 15 мегабайт »
Возможно ли вообще закрывать такие подключения, чтобы не генерировать такой трафик »
Да, конечно, точно также, как закрываете входящие, можно ограничить и исходящий трафик.
Можно ли найти того кто шлет и того кому это предназначается »
Через Message Tracker найдите все исходящие письма с вложениями и увидите, кто балуется.

[solon]

Цитата solon:Возможно ли вообще закрывать такие подключения, чтобы не генерировать такой трафик »
Да, конечно, точно также, как закрываете входящие, можно ограничить и исходящий трафик. »
Можете по по-подробнее, я пока это еще не делал :(

Через Message Tracker найдите все исходящие письма с вложениями и увидите, кто балуется. »
В указанное время там писем не значится, импорт логов в Mail Access Monitor никаких писем с гугла не выявил.

[Delirium]

Можете по по-подробнее, я пока это еще не делал »
см. вложение.

[solon]

Delirium, СПАСИБО.
Забыл про это.... У меня стояло все так же только Recipients limits - 5000, исправил на 150, тем более что юзеров у меня не много.
В свойствах Default SMTP-сервер есть похожие настройки, они влияют только на отправку?
Получается, что почтарь не принимает, а провайдер все равно траф посчитал, попытки гугла отправить мне файл ...

Если это все настройки влияющие на это, то мне кажется придется воспользоваться квотированием трафика в керио, что-бы отсечь левый трафик... больше пока не могу ничего придумать.

[Delirium]

исправил на 150 »
Если в организации не используют массовые рассылки(как в моем случае - для информирования клиентов), то лучше поставить еще меньше, например, 10.
Получается, что почтарь не принимает, а провайдер все равно траф посчитал »
Конечно, трафик то до сервера дошел, а то, что почтовик ему отлуп дал - дело ваше. Провайдер прав.