屑俺日記

☆ wireshark もうちょっと複雑なフィルタリング

ホスト二つの間で交わされたSMTPセッション抽出の例:

(smtp && (ip.src == $HOST1 && ip.dst == $HOST2) || \
  (ip.dst == $HOST1 && ip.src == $HOST2) )

それが必要になった理由は、8/23には自分のメールを受信してくれた 某メールサーバが、mail.屑俺.comから発するメールを、簡単には通してくれなくなった からだった。

$ tshark -R $filter -r smtp.cap
22   0.265840 $REMOTE_M -> $LOCAL_M Response: 220 $REMOTE ESMTP Postfix
24   0.266109 $LOCAL_M -> $REMOTE_M Command: EHLO $LOCAL
27   0.285734 $REMOTE_M -> $LOCAL_M Response: 250-$REMOTE
28   0.286022 $LOCAL_M -> $REMOTE_M Command: MAIL \ 
 FROM:<$MY_ACCAOUNT> SIZE=562
36   0.471602 $REMOTE_M -> $LOCAL_M Response: 250 2.1.0 Ok
37   0.497451 $LOCAL_M -> $REMOTE_M Command: RSET 
38   0.516582 $REMOTE_M -> $LOCAL_M Response: 250 2.0.0 Ok

同じメール(FMLのctl宛)が、午後1時間半近く、4回にわたり450で蹴られ続けて いた。

$ grep ${QUEUE_ID}.*status $MAILLOG | awk '{print $1,$2,$3,$12}'
Sep 7 13:21:05 status=deferred
Sep 7 13:30:50 status=deferred
Sep 7 13:40:50 status=deferred
Sep 7 14:00:51 status=deferred
Sep 7 14:40:50 status=sent

さっき試すと、すぐ通してくれた(こっちの設定は何も変えてない)。
Postgreyなスパムフィルタが学習したのか、フィルタリングが緩められたのかは不明。