概述

邮件系统日志是运维排错的第一手信息来源。Unix/Linux 平台上，邮件传输代理（MTA）和投递代理（MDA）通过 syslog 设施向系统日志守护进程写入结构化日志。Postfix 使用 mail 设施，Dovecot 同样默认使用 mail 设施输出 imap/pop3/lmtp 事件，Rspamd 和 ClamAV 等辅助组件也可能向 mail 或 local0 设施写入日志。理解日志分类、严重级别和消息格式，可在未登录服务器的情况下通过集中式日志平台完成大部分故障定位工作。

syslog 设施与日志级别映射

RFC 5424 定义了 syslog 协议的标准设施码和严重级别。邮件系统默认使用 LOG_MAIL (facility=16)。Postfix 主进程 master 将各子系统日志归类到对应的 syslog 设施：smtpd 记录入站 SMTP 会话，smtp 记录出站投递，qmgr 记录队列管理器活动，bounce/defer 记录退信与延迟事件。每条日志包含时间戳、主机名、进程名[PID]、队列 ID 和消息文本。队列 ID 是追踪单封邮件全生命周期的关键标识——从 smtpd 接收到 qmgr 调度再到 smtp 完成投递，同一队列 ID 贯穿始终。

# Postfix syslog 设置 (/etc/postfix/main.cf)
syslog_facility = mail
syslog_name = postfix

# 查看最近 Postfix 日志
journalctl -u postfix --since "10 minutes ago" -f
tail -n 200 /var/log/mail.log | grep -E "status=(sent|bounced|deferred)"

# Dovecot 日志诊断
doveadm log errors
doveadm log find | head -50

Postfix 日志行格式解析

Postfix 日志行遵循固定格式：日期 主机 postfix/子系统[PID]: 队列ID: 事件描述。以一条典型出站投递日志为例：postfix/smtp[28491]: 3fB8xZ6YKWz1JqD: to=, relay=mail.example.com[192.0.2.1]:25, delay=2.3, delays=0.5/0.1/1.2/0.5, dsn=2.0.0, status=sent (250 OK)。delay 分解为 before-queue-mgr / queue-mgr / connection-setup / transmission 四段，精确定位瓶颈所在环节。

# 快速统计投递状态分布
grep "status=sent" /var/log/mail.log | wc -l
grep "status=bounced" /var/log/mail.log | wc -l
grep "status=deferred" /var/log/mail.log | wc -l

# 按队列ID聚合追踪单封邮件
QID=3fB8xZ6YKWz1JqD
grep "$QID" /var/log/mail.log | awk '{print $5, $6}' | sort

# 统计延迟分布
grep "delay=" /var/log/mail.log | awk -F'delay=' '{print $2}' | awk -F',' '{print $1}' | sort -n

踩坑与排错

日志级别设置不当是最常见的排查障碍。生产环境中 mail.debug 会产生海量日志，建议保持 mail.info 级别，仅在调试特定问题时临时开启 debug。Dovecot 默认不记录邮件正文预览，若需调试 sieve 脚本匹配逻辑，需设置 mail_debug=yes 并重启服务。日志时间戳时区不一致会导致跨平台日志关联分析困难，建议统一使用 UTC 时间戳并通过 logrotate 按小时轮转。