邮件跟踪日志的基础知识教程-浅析邮件日志

邮件跟踪日志的文件格式

要对邮件日志进行分析，首先需要对邮件日志文件的格式了解得非常清楚。下面，我们将以Exchange 2003的日志文件为例，详细解释其格式。（Exchange 2000的日志文件格式和Exchange 2003是相同的。）

实际上，邮件跟踪日志文件是以文本的形式存放在Exchsrvr.log目录下。这里，Exchsrvr目录是指你安装Exchange文件所在的目录。通常，该安装目录下存在一个以当前服务器名字加扩展名LOG为名字的目录。该服务器上所有的跟踪日志文件都存放在该目录下。关于如何查看/修改邮件跟踪日志目录，你可以参考以下文章：

317700 How to change the location of the message tracking logs in Exchange 2000 Server

http://support.microsoft.com/default.aspx?scid=kb;EN-US;317700

日志文件的命名格式也相对简单，就以日志生成的日期为名，其格式为YYYYMMDD.log。注意，日志中包含的数据是从格林威治标准时间0:00到23:59发生在该服务器上的邮件记录。因此，对于不在GMT +00时区的服务器而言，日志文件名中的日期和实际我们要查询的日期并非完全匹配。

对于熟悉W3C格式的IIS日志的朋友，邮件跟踪日志对你们来说就不是什么新鲜事了。他们在格式上基本相同。下面我们将打开一个Exchange 2003的邮件跟踪日志文件，来阐述其文件格式。

# Message Tracking Log File

# Exchange System Attendant Version 6.5.7226.0

# Date Time client-ip Client-hostname Partner-Name Server-hostname server-IP Recipient-Address Event-ID MSGID Priority Recipient-Report-Status total-bytes Number-Recipients Origination-Time Encryption service-Version Linked-MSGID Message-Subject Sender-Address

通常我们可以看到文件的头三行以#标识。第一行指明这是一个邮件跟踪日志文件。第二行指明了当前服务器的版本。第三行则是最关键的一行。它给出了当前日志文件的每一条记录所包含的列以及相应的顺序。列名和列名之间以Tab键分隔开。

在文件头之后是两个空行，然后紧接着就是邮件跟踪记录。记录以行为单位，每一行给出了第三行列出的所有列的数据。如果某一列的值不存在，就以”-“代替。列和列之间依然以Tab键分隔。

2007-1-29 12:24:32 GMT - - - TEST01 - /O=TEST GTSC/OU=FIRST ADMINISTRATIVE GROUP/CN=RECIPIENTS/CN=Administrator 1027 E830238C2711FB4BA337AD16A10C626F57CF@TEST01.TEST.GTSC 0 0 2087 3 2007-1-29 12:24:32 GMT 0 - c=US;a= ;p=TEST GTSC;l=TEST01-070129122431Z-1 TEST EMAIL EX:/O=TEST GTSC/OU=FIRST ADMINISTRATIVE GROUP/CN=RECIPIENTS/CN=ADMINISTRATOR -

2007-1-29 12:24:32 GMT - - - TEST01 - /O=TEST GTSC/OU=FIRST ADMINISTRATIVE GROUP/CN=RECIPIENTS/CN=EVANWANG 1027 E830238C2711FB4BA337AD16A10C626F57CF@TEST01.TEST.GTSC 0 0 2087 3 2007-1-29 12:24:32 GMT 0 - c=US;a= ;p=TEST GTSC;l=TEST01-070129122431Z-1 TEST EMAIL EX:/O=TEST GTSC/OU=FIRST ADMINISTRATIVE GROUP/CN=RECIPIENTS/CN=ADMINISTRATOR -

对于每一列的含义，这里作一个简要的说明：

在这些列中，我们需要重点了解其中两列的值所代表的含义：

MSGID作为当前邮件的标识，在邮件存在的整个生命周期中始终保持不变。例如，在上面的两条记录中，MSGID都是E830238C2711FB4BA337AD16A10C626F57CF@TEST01.TEST.GTSC 因此，我们可以利用它来识别邮件是否为同一封邮件。

Event-ID指出了当前所记录事件的类型。邮件从投递到完成发送，需要经历不同的阶段和事件，例如：SMTP: Message Submitted to Categorizer，SMTP: Started Outbound Transfer of Message。对应于每一个事件，我们都有相应的Event-ID。这样才能更真实地跟踪邮件的流向。

这里，我们列出了Exchange 2003服务器上可能遇到的所有事件，以便于你更好地理解跟踪日志的内容。

如何分析邮件跟踪日志

对跟踪日志的格式了解之后，分析日志中的数据也就不再是一件难事了。我们可以逐行读入日志记录，对相关数据进行统计。由于篇幅所限，本文只讨论其中的一种统计场景 -- 如何统计邮件发送人及其所发送邮件的数目，并给出相关的示范代码（VBScript编写）以供大家参考。

一封邮件可以经历多个事件，直到它被成功发送。导致的结果是，一封邮件可以对应于与日志中的数条记录。如何有效地区分这些记录，避免重复统计，是我们最先应该考虑的问题。前面我们提到过，MSGID是贯穿邮件生命周期的标识，我们可以利用它来区分不同的邮件。因此，我们基本上的思路是：建立一个集合对象，把MSGID存入其中。当读入一条新记录时，我们会查找该集合对象。如果MSGID已经存在，说明该邮件已经被统计过，我们可以忽略。否则的话，我们将把这个MSGID插入到集合中，并进行统计。

对于统计邮件发送人的情况，我们需要建立另外一个集合，用于存贮每一封邮件的发送人的地址。如果当前发送人地址不在集合中，我们将把这个地址插入集合，并把相应的邮件数量置为初始值1。当我们发现这个邮件发送人的地址已经存在的话，我们就只要把相应邮件数量的值加1。 当完成整个日志文件的分析后，我们的集合对象就能给出想要的统计数据了。

下面是相关的VBScript代码。这个脚本能够分析统计日志文件中发送人的邮件地址，以及他相应发送邮件的数量。把源代码拷贝到一个文本文件中，并以.VBS为扩展名进行命名，例如：ParseLog.vbs。之后，通过以下命令运行脚本。（注：20070109.log是日志文件名。通常还需要提供文件路径。）

CScript ParseLog.VBS 20070109.log

===================代码开始===================
    \' 本代码的目的是为了更清楚地解释日志的格式和分析方法。仅供大家参考。
    \' 代码中对很多情况未作特殊处理。因此，作者不建议在生产环境中使用它。
    \' 如果因不当使用而引起的任何问题，作者不负任何责任。谢谢。
    Const conE2kMSGID = 9
    Const conSenderaddress = 19

    Dim MSGIDArray \' 用于统计MSGID的数组
    Dim OriginatorArray \' 用于统计Sender得数组
    Dim objFileSystem
    Dim strTrackingLogs
    Dim objCurrentLog
    Dim objKey

    Set MSGIDArray = CreateObject("Scripting.Dictionary")
    Set OriginatorArray = CreateObject("Scripting.Dictionary")
    MSGIDArray.CompareMode = vbTextCompare
    OriginatorArray.CompareMode = vbTextCompare

    \' 从命令行获取日志文件的路径
    strTrackingLogs = ""
    If WScript.Arguments.count = 1 Then
        strTrackingLogs = WScript.Arguments(0)
    Else
        WScript.Echo "Invalid Log File pathname!"
    End If

    Set objFileSystem = CreateObject("Scripting.FileSystemObject")
    If objFileSystem.FileExists( strTrackingLogs ) Then
        Set objCurrentLog = objFileSystem.OpenTextFile( strTrackingLogs,1, FALSE )
        \' 打开日志文件进行分析
        ParseTrackingLog( objCurrentLog )
    End If

    \' 显示统计结果
    For Each objKey In OriginatorArray
        WScript.Echo CStr(objKey) & ", " & OriginatorArray(objKey)
    Next

    Sub ParseTrackingLog(byRef objCurrentLog)
        \'ON ERROR RESUME NEXT
        Dim rgStatusArray, strOriginator
        \' 跳过前5行文件头
        objCurrentLog.SkipLine
        objCurrentLog.SkipLine
        objCurrentLog.SkipLine
        objCurrentLog.SkipLine
        objCurrentLog.SkipLine

        Do While objCurrentLog.AtEndOfStream <> TRUE
            \' 按行读取列数据到数组里
            rgStatusArray = Split(objCurrentLog.ReadLine,Chr(9),-1,vbBinaryCompare)
            If UBound(rgStatusArray) = 20 Then
                \' 记录MSGID，判断该邮件是否被统计过
                If Not MSGIDArray.Exists( rgStatusArray(conE2kMSGID) ) Then
                    MSGIDArray.Add rgStatusArray(conE2kMSGID),1

                    strOriginator = rgStatusArray(conSenderaddress)
                    \' 记录发送人
                    If Not OriginatorArray.Exists( strOriginator ) Then
                    OriginatorArray.Add strOriginator, 1
                    OriginatorArray.Item(strOriginator)=OriginatorArray.Item(strOriginator)+1
                    End If
                End If
            End If
        Loop
    End Sub
    ===================代码结束===================