如何使用Exchange邮件跟踪日志

在当前的企业沟通工具中，邮件已经成为不可或缺一种。Exchange Server 是微软推出的一款企业级的沟通工具，并在大、中、小企事业单位中被广泛应用。作为Exchange管理员，您是否在日常运维过程中遇到过以下烦恼：

张三给李四发送了一封邮件，李四反馈没有收到，张三寻求技术支持，让你提供证明，你不知道怎么查！

领导跟你要“每天/每周/每月”的邮件收发统计数据，你不知道！

你想查看特定用户的邮件收发情况，无从下手。

其实，这些问题微软在很早的时候就替我们考虑到了，并且提供了查询方法，那就是使用Exchange消息跟踪日志（Message Tracking Log）。该日志详细记录了邮件流经由邮箱服务器上的传输管道和边缘传输服务器进行传输产生的所有邮件活动。您可以使用邮件跟踪进行邮件取证、邮件流分析、报告和故障排除。

Message Tracking log 的相关知识：

01

日志追踪天数限制

默认情况下，服务器只存储30天以内的Message Tracking  Log：

如果想要存储更长时间的日志，需要使用以下命令来进行修改：

Set-TransportService -Identity 服务器名称 -MessageTrackingLogMaxAge 天数

02

不同场景下的邮件记录查询

1) 全局搜索指定主题的邮件并按时间排序

比如：搜索主题为“Message Test”的邮件并按时间进行排序。

命令如下：Get-TransportService | Get-MessageTrackinglog -MessageSubject “Message Test” | Sort-Object Timestamp | FT Timestamp,EventID,Source,MessageSubject,Totalbytes -Autosize

2) 搜索指定发件人、指定主题的邮件并按时间排序

比如：搜索发件人oa@domain.com发出的主题为“Telnet test”的邮件并按时间进行排序。命令如下：

Get-TransportService | Get-MessageTrackinglog  -Sender oa@domain.com -Messagesubject “Telnet Test” | Sort-Object Timestamp | FT Timestamp,EventID,Source,MessageSubject,Totalbytes -Autosize

3) 全局搜索指定时间段内发送的邮件

比如，搜索从2022年10月27日至2023年1月28日，公司所有员工发出的邮件，并逐条显示邮件摘要信息。命令如下：

Get-MessageTrackinglog -Start “10/27/2022 00:00:00” -end “1/28/2023 00:00:00” -EventID Send

4) 全局搜索指定时间段内发送的邮件总数

比如，我们要统计2022年10月27日至2023年1月28日所有用户发送的邮件总数。命令如下：

Get-MessageTrackinglog -Start “10/27/2022 00:00:00” -end “1/28/2023 00:00:00” -EventID Send | Measure-Object

如果有多台Exchange服务器，可以通过模糊匹配搜索所有Exchange服务器。命令如下：

Get-ExchangeServer 服务器名称前缀* | Get-MessageTrackinglog -Start “10/27/2022 00:00:00” -end “1/28/2023 00:00:00” -EventID Send | Measure-Object

5) 统计每位用户在指定时间段内发送邮件数量并按数量排序

例如，我们需要按照每个用户发送邮件的总数，从高到低进行数据统计。命令如下：

Get-ExchangeServer 服务器名称前缀* | Get-MessageTrackinglog -Start “10/27/2022 00:00:00” -end “1/28/2023 00:00:00” -EventID Send | Group-Object –Property Sender | Select-Object Name，Count | Sort Count –Descending

如果是想查询收到的邮件，那只需要将EventID 改为“RECEIVE”就可以了。

命令如下：

Get-ExchangeServer 服务器名称前缀* | Get-MessageTrackinglog -Start “10/27/2022 00:00:00” -end “1/28/2023 00:00:00” -EventID Receive | Group-Object –Property Sender | Select-Object Name，Count | Sort Count –Descending

感谢您的阅读！