Mail Funktionen gestört (HILFE)

techouse · Feb 23, 2006

Hallo Forum,

Der Email Versand und Empfang ist bei mir seit kurzem stark gestört.
Mail brauchen z.T mehrere Stunden um Versand, bzw Empfangen zu werden.

Die Platte war kruzzeitig mal voll, jetzt ist aber wieder Platz.

Folgende Error Logs habe ich gefunden:

Code:

server1:/var/log/mail# tail mail.err
Feb 23 02:20:02 server1 postfix/smtp[25155]: fatal: socket: Cannot allocate memory
Feb 23 02:20:02 server1 postfix/smtp[30022]: fatal: socket: Cannot allocate memory
Feb 23 02:20:33 server1 postfix/bounce[9794]: fatal: inet_addr_local: socket: No buffer space available
Feb 23 02:21:37 server1 postfix/bounce[1026]: fatal: inet_addr_local: socket: No buffer space available
Feb 23 02:21:37 server1 postfix/bounce[992]: fatal: inet_addr_local: socket: No buffer space available
Feb 23 02:22:38 server1 postfix/bounce[14720]: fatal: inet_addr_local: socket: No buffer space available
Feb 23 02:23:40 server1 postfix/bounce[964]: fatal: inet_addr_local: socket: No buffer space available
Feb 23 02:23:47 server1 postfix/sendmail[18819]: fatal: inet_addr_local: socket: No buffer space available
Feb 23 02:23:48 server1 postfix/master[10115]: fatal: socket: Cannot allocate memory
Feb 23 02:25:30 server1 postfix/qmgr[18337]: fatal: connect #11 to subsystem private/defer: Connection refused
server1:/var/log/mail# df
Filesystem           1k-blocks      Used Available Use% Mounted on
/dev/hda3              1572864   1445953    126911  92% /
server1:/var/log/mail#

Plattenplatz ist doch vorhanden.?

Code:

server1:/var/log/mail# tail mail.warn
Feb 23 02:25:20 server1 postfix/qmgr[18337]: warning: connect #10 to subsystem private/defer: Connection refused
Feb 23 02:25:30 server1 postfix/qmgr[18337]: fatal: connect #11 to subsystem private/defer: Connection refused
Feb 23 02:26:42 server1 postfix/smtp[806]: warning: 57E5CD7CAF41: defer service failure
Feb 23 02:26:42 server1 postfix/smtp[806]: warning: unable to talk to fast flush service
Feb 23 02:27:12 server1 postfix/smtp[5984]: warning: 57731D7C7477: defer service failure
Feb 23 02:27:12 server1 postfix/smtp[5984]: warning: unable to talk to fast flush service
Feb 23 02:29:18 server1 postfix/smtp[1650]: warning: 03517D7C746D: defer service failure
Feb 23 02:29:18 server1 postfix/smtp[1650]: warning: unable to talk to fast flush service
Feb 23 02:29:27 server1 postfix/smtp[3616]: warning: 2B4A0D7D3279: defer service failure
Feb 23 02:29:27 server1 postfix/smtp[3616]: warning: unable to talk to fast flush service

Code:

server1:/var/log/mail# tail mail.log
Feb 23 11:29:07 server1 -f[2978]: apop "web2p1" [pop_apop.c:214]
Feb 23 11:29:07 server1 -f[2946]: apop "web1p1" [pop_apop.c:214]
Feb 23 11:29:07 server1 -f[2978]: web2p1 at dslb-084-058-218-067.pools.arcor-ip.net (84.58.218.67): -ERR [SYS/TEMP] POP authentication DB not available (user web2p1): No such file or directory (2) [pop_apop.c:249]
Feb 23 11:29:07 server1 -f[2946]: web1p1 at dslb-084-058-218-067.pools.arcor-ip.net (84.58.218.67): -ERR [SYS/TEMP] POP authentication DB not available (user web1p1): No such file or directory (2) [pop_apop.c:249]
Feb 23 11:29:07 server1 -f[2848]: apop "web1p3" [pop_apop.c:214]
Feb 23 11:29:07 server1 -f[2848]: web1p3 at dslb-084-058-218-067.pools.arcor-ip.net (84.58.218.67): -ERR [SYS/TEMP] POP authentication DB not available (user web1p3): No such file or directory (2) [pop_apop.c:249]
Feb 23 11:29:08 server1 -f[6341]: (v4.0.4) POP login by user "web1p1" at (dslb-xxxxxxxxxx.pools.arcor-ip.net) xxxxxxxx7 [pop_log.c:244]
Feb 23 11:29:08 server1 -f[6278]: (v4.0.4) POP login by user "web1p2" at (dslb-xxxxxxxxpools.arcor-ip.net) xxxxxx8.67 [pop_log.c:244]
Feb 23 11:29:08 server1 -f[6373]: (v4.0.4) POP login by user "web1p3" at (dslb-xxxxxxxxx.pools.arcor-ip.net) xxxxxx8.67 [pop_log.c:244]
Feb 23 11:29:09 server1 -f[6309]: (v4.0.4) POP login by user "web2p1" at (dslb-xxxxxxxxx.pools.arcor-ip.net) xxxxxxx.67 [pop_log.c:244]

Ich bin in der ganzen mail Geschichte leider nicht so bewandelt und bräuchte dringend einen Hinweis von Euch.
Ich habe den Server auch schon neu gestartet.

Vielen Dank im Voraus.

Viele Grüße

Michael

Thorsten · Feb 23, 2006

Hallo!
Bein Server hat keinen Hauptspeicher mehr zu Verfügung. Poste doch mal die Ausgabe von free, df -a und den Inhalt der Datei user_beancounters (sofern es ein virtueller Server ist).

mfG
Thorsten

techouse · Feb 23, 2006

Code:

server1:/var/mail#  free
Unknown HZ value! (94) Assume 100.
             total       used       free     shared    buffers     cached
Mem:       5944648    5919560      25088          0    2121832     984740
-/+ buffers/cache:    2812988    3131660
Swap:     12586916    3743088    8843828
server1:/var/mail# df -a
Filesystem           1k-blocks      Used Available Use% Mounted on
/dev/hda3              1572864   1447645    125219  93% /
proc                         0         0         0   -  /proc
devpts                       0         0         0   -  /dev/pts
server1:/var/mail# 

server1:/var/mail# more /proc/user_beancounters
Version: 2.5                                                                   
       uid  resource           held    maxheld    barrier      limit    failcnt
       728: kmemsize        3734833    4016663   14804010   16284411          0
            lockedpages           0          0         79         79          0
            privvmpages       19589      23835      77037      84741          0
            shmpages            663        663      25600      25600          0
            dummy                 0          0          0          0          0
            numproc              58         65        164        164          0
            physpages          6759       9214          0 2147483647          0
            vmguarpages           0          0      28247 2147483647          0
            oomguarpages       6759       9214      28247 2147483647          0
            numtcpsock           22         45        164        164          0
            numflock             28         39        262        288          0
            numpty                1          1         16         16          0
            numsiginfo            0          2        512        512          0
            tcpsndbuf         10164      33756    1137635    1809379          0
            tcprcvbuf           856       6660    1137635    1809379          0
            othersockbuf     256436     282636     568817    1240561          0
            dgramrcvbuf           0       4440     568817     568817          0
            numothersock        163        164        164        164        262
            dcachesize       377949     417559    1209139    1245413          0
            numfile            1392       1545       3840       3840          0
            dummy                 0          0          0          0          0
            dummy                 0          0          0          0          0
            dummy                 0          0          0          0          0
            numiptent            10         10         35         35          0
server1:/var/mail#

Sagt mir leider nicht viel.

Thorsten · Feb 23, 2006

Hallo!
Läuft das ganze, wenn Postfix sauber beendet und neu gestartet wird? Laufen irgendwelche Postfix Erweiterungen wie Spamassassin, Virenscanner, Filter?
Irgendwie gehen dir die nicht TCP Verbindungen aus.

mfG
Thorsten

techouse · Feb 23, 2006

Hallo,

jetzt geht nicht mehr viel.

Code:

server1:/var/mail# postfix stop
postfix: fatal: inet_addr_local: socket: No buffer space available
server1:/var/mail# postfix start

Spamassasin und ClamAV konnte ich identifizieren.

society · Feb 23, 2006

Ist das ein vServer? Wenn ja Ticketschreiben!

techouse · Feb 23, 2006

Hallo,

anscheinen bin ich gehackt worden,

wenn ich mailq eingebe kommen lauter email adresse die ich nicht kenne:

Code:

0E6CFD7CA2A9    11774 Tue Feb 21 09:46:25  wwwrun@server1.txxx.de
                                         joanan@avenca.com.br
                                         embratel@telecom.br
                                         eembratel@telecom.br

0EBD4D7CA271    11772 Tue Feb 21 09:45:57  wwwrun@server1.txxxxse.de
                                         jporto@esporte.com
                                         embratel@telecom.br
                                         eembratel@telecom.br

0E7B0D7CA204    11774 Tue Feb 21 09:45:49  wwwrun@server1.texxx.de
                                         junior@email.msn.com
                                         embratel@telecom.br
                                         eembratel@telecom.br

jetzt wirds kompliziert, wie finde ich hierzu den eindringling ?

society · Feb 23, 2006

Eher keine Chance, entweder hattest du ein Mail Formular was schlecht Programmiert ist druff. Ne Seite mit Sicherheitslöchern oder nen Mailserver der nicht gesichert ist...

Thorsten · Feb 23, 2006

Hallo!
Gekacked is relativ

. Eventuell nur eingehender Spam oder ein offenes Relay.
Dienste aus dem Bootprozess rausnehmen und Neustrart. Logs ansehen und ggf. sichern.

mfG
Thorsten

Huschi · Feb 23, 2006

techouse said:
Tue Feb 21 09:46:25 wwwrun@server1.txxx.de
11772 Tue Feb 21 09:45:57 wwwrun@server1.txxxxse.de
11774 Tue Feb 21 09:45:49 wwwrun@server1.texxx.de

Da stehen doch die exakten Uhrzeiten.
Durchsuch alle access_log nach den Einträgen um diese Uhrzeit. Dann hast Du das PHP-Script.

huschi.

PS:
Zitat der Woche:

Thorsten said:
Gekacked is relativ

Jo Ke · Feb 25, 2006

Oh Mann, ich habe nach Lösungen und Hilfen gesucht und musste laut lachen...

"Gekacked is relativ"

Das ist cool!

Schönes WE!

Thorsten · Feb 25, 2006

Hallo!
Da hier ja einige am relativ aufgeilen:
- Was bitte hat ein offenes Relay mit hacking zu tun?
- Was hat ein uraltes PHP mit hacking zu tun?

Sorry, aber wer seine Software nicht aktuell hält hat selber schuld. Für mich hat das ausnutzen jahrealter Sicherheitslücken nichts aber auch überhaupt nichts mit Hacken im ursprünglichen Sinne zu tun.
Das Vandalismus!

Dem Fragesteller bringt dieser Mumpitz rein überhaupt nichts. Dafür bräuchten wir hier endlich mal ein aussagekräftiges Maillog.

mfG
Thorsten

Jo Ke · Feb 25, 2006

Richtig Thorsten. War auch nicht aufgeilen, sondern nur freuen (als nicht auslachen!!!).
Sorry!

Mail Funktionen gestört (HILFE)

techouse

Registered User

Thorsten

SSF Facilitymanagement

techouse

Registered User

Thorsten

SSF Facilitymanagement

techouse

Registered User

society

Registered User

techouse

Registered User

society

Registered User

Thorsten

SSF Facilitymanagement

Huschi

Moderator

Jo Ke

Registered User

Thorsten

SSF Facilitymanagement

Jo Ke

Registered User

We value your privacy