Message Trace: ตามหาอีเมลที่หายใน Exchange admin center
คำตอบสั้น ๆ: ใช้ Message Trace ใน Exchange admin center ตามหาอีเมลที่หาย อ่านสถานะ Delivered, Failed, Quarantined ดูเหตุการณ์ของอีเมล และค้นด้วย Get-MessageTraceV2
คู่มือนี้อธิบาย Message Trace ทีละขั้นตอน พร้อมคำสั่งที่ใช้ได้จริงและปัญหาที่พบบ่อย
Message Trace คือเครื่องมือใน Exchange admin center ที่ติดตามเส้นทางของอีเมลแต่ละฉบับผ่าน Exchange Online บอกได้ว่าระบบรับอีเมลแล้วหรือยัง ส่งถึงกล่องจดหมาย ถูกปฏิเสธ ถูกกักใน Quarantine หรือยังค้างอยู่ระหว่างส่งซ้ำ พร้อมเหตุการณ์ที่เกิดกับอีเมลก่อนถึงสถานะสุดท้าย
เมื่อพนักงานแจ้งว่า "ลูกค้าบอกว่าส่งมาแล้วแต่ไม่ได้รับ" หรือ "ส่งไปแล้วปลายทางบอกไม่ได้" ผู้ดูแลระบบควรเปิด Message Trace ก่อนเดาสาเหตุ คู่มือนี้พาค้นหาอีเมลที่หาย อ่านสถานะและรายละเอียดเหตุการณ์ ใช้ PowerShell รุ่นใหม่ และตัดสินใจว่าต้องแก้ต่อที่จุดใด
สิ่งที่ต้องเตรียม
บทบาท Exchange Administrator หรือ Global Administrator (หรือสมาชิก role group Organization Management ใน Exchange Online)
ข้อมูลจากผู้แจ้ง: อีเมลผู้ส่ง อีเมลผู้รับ เวลาโดยประมาณ และหัวเรื่อง ถ้ามี Message-ID จากส่วนหัวอีเมล (header) จะค้นได้แม่นที่สุด
เข้าใจข้อจำกัดของเวลา: ค้นย้อนหลังได้ถึง 90 วัน แต่ผลแบบทันทีครอบคลุมได้ครั้งละไม่เกิน 10 วัน
ถ้าจะใช้ PowerShell ให้ติดตั้งโมดูล ExchangeOnlineManagement รุ่นล่าสุด
Message Trace บันทึกทุกจุดตั้งแต่ระบบรับอีเมลจนถึงปลายทาง แต่ไม่เห็นอีเมลที่ไม่เคยมาถึง Exchange Online
ขั้นตอนที่ 1: เปิดหน้า Message Trace
ลงชื่อเข้าใช้ Exchange admin center ที่ https://admin.exchange.microsoft.com ไปที่ Mail flow > Message trace แล้วคลิก Start a trace
หน้านี้มีแท็บคำค้นสำเร็จรูป ได้แก่ Default queries ที่ Microsoft เตรียมไว้ Custom queries ที่ผู้ดูแลบันทึกไว้ และ Autosaved queries ซึ่งเก็บ 10 คำค้นล่าสุด ส่วนแท็บ Downloadable reports ใช้ดาวน์โหลดรายงานที่ใช้เวลาเตรียมนาน
ขั้นตอนที่ 2: กำหนดเงื่อนไขการค้นหา
ในหน้าต่าง New message trace ค่าเริ่มต้นคือค้นทุกผู้ส่งและผู้รับย้อนหลัง 2 วัน ให้แคบลงตามข้อมูลที่มี
Senders และ Recipients : ใส่อีเมลภายในหรือภายนอกก็ได้ และใช้ wildcard ได้หนึ่งตัวต่อค่า เช่น *@partner.example.netTime range : เลื่อนแถบเวลา หรือสลับเป็น Custom time range แล้วเลือก Time zone เป็น UTC+07:00 Bangkok เพื่อไม่ให้สับสนเวลาที่ผู้แจ้งบอกDetailed search options : กรองด้วย Subject, Delivery status, Message ID หรือ Direction (Inbound/Outbound)
ใส่ผู้รับและช่วงเวลาให้แคบที่สุด และตั้งเขตเวลาเป็นเวลาไทย (ภาพจำลอง)
คลิก Search ถ้าช่วงเวลาไม่เกิน 10 วัน ผลจะขึ้นทันทีเป็น Summary report ถ้าเกิน 10 วันแม้เพียงเล็กน้อย ระบบจะให้เลือก Enhanced summary report หรือ Extended report ซึ่งเป็นไฟล์ CSV ที่อาจใช้เวลาหลายชั่วโมง และต้องระบุผู้ส่ง ผู้รับ หรือ Message ID อย่างน้อยหนึ่งอย่าง
ขั้นตอนที่ 3: อ่านผลลัพธ์และสถานะ
ตารางผลลัพธ์แสดง Date, Sender, Recipient, Subject และ Status เรียงจากใหม่ไปเก่า คอลัมน์ Status คือคำตอบแรกว่าอีเมลไปอยู่ที่ไหน ถ้าอีเมลส่งถึง Distribution list จะเห็นแถวของกลุ่มก่อน ตามด้วยแถวของสมาชิกแต่ละคน ให้ดูสถานะที่แถวของผู้รับจริง
อ่านสถานะที่แถวของผู้รับจริงเสมอ ไม่ใช่แถวของกลุ่ม
สถานะ Pending, Quarantined และ Filtered as spam ค้นได้เฉพาะช่วงไม่เกิน 10 วัน และสถานะอาจช้ากว่าความจริง 5–10 นาที ถ้าเห็น Getting status ให้รอสักครู่แล้วกด Refresh
ขั้นตอนที่ 4: ดูรายละเอียดเหตุการณ์ของอีเมล
คลิกที่แถวผลลัพธ์ (ไม่ใช่วงกลมหน้าบรรทัด) จะเปิดรายละเอียดของ Message Trace ฉบับนั้น ส่วน Message events แสดงลำดับเหตุการณ์ เช่น Receive (ระบบรับแล้ว), Deliver (ส่งเข้ากล่องจดหมาย), Send (ส่งต่อออกไปเซิร์ฟเวอร์ปลายทาง), Defer (เลื่อนการส่งและจะลองใหม่), Fail (ส่งไม่สำเร็จ) และ Expand (แตกสมาชิกของกลุ่ม) ส่วน More information มี Message ID, ขนาดอีเมล, From IP และ To IP
ถ้าสถานะเป็น Failed ให้อ่านเหตุผลในเหตุการณ์ Fail ตัวอย่างที่พบบ่อยคือ 550 5.1.10 RESOLVER.ADR.RecipientNotFound ซึ่งหมายถึงไม่มีผู้รับนี้ในระบบ มักเกิดจากพิมพ์อีเมลผิดหรือบัญชีถูกลบ ถ้าต้องการดูบันทึกอื่นของอีเมลฉบับเดียวกัน เช่น สำเนาที่ถูกส่งต่อ ให้ติ๊กวงกลมหน้าแถวแล้วเลือก Find related
ขั้นตอนที่ 5: ค้นด้วย Get-MessageTraceV2 ใน PowerShell
คำสั่งรุ่นเก่า Get-MessageTrace ทยอยเลิกใช้แล้ว ให้ใช้ Get-MessageTraceV2 และ Get-MessageTraceDetailV2 แทน รุ่นใหม่ค้นย้อนหลังได้ 90 วัน ครั้งละไม่เกิน 10 วัน ค่าเริ่มต้นคืนผล 1,000 รายการ และปรับได้สูงสุด 5,000 ด้วย -ResultSize
Connect-ExchangeOnline -UserPrincipalName [email protected]
Get-MessageTraceV2 -RecipientAddress [email protected] -StartDate (Get-Date).AddDays(-2) -EndDate (Get-Date) |
Format-Table Received,SenderAddress,Subject,Status
# ดูเหตุการณ์ของอีเมลฉบับเดียว (นำ MessageTraceId จากผลด้านบนมาใส่)
Get-MessageTraceDetailV2 -MessageTraceId <MessageTraceId> -RecipientAddress [email protected] |
Format-Table Date,Event,Detail
เวลาในผลลัพธ์ของ PowerShell เป็น UTC ให้บวก 7 ชั่วโมงเป็นเวลาไทย
เวลาในผลลัพธ์ของ PowerShell เป็น UTC ให้บวก 7 ชั่วโมงเป็นเวลาไทย พารามิเตอร์ทั้งหมดดูได้ที่ Message trace in the Exchange admin center ของ Microsoft
ขั้นตอนที่ 6: ตัดสินใจขั้นต่อไปจากผลของ Message Trace
Delivered แต่ผู้ใช้หาไม่เจอ: ตรวจโฟลเดอร์ Junk Email แท็บ Other ของ Focused Inbox และกฎที่ย้ายอีเมลอัตโนมัติตาม สร้าง Rules คัดแยกอีเมลอัตโนมัติใน Outlook รวมถึงการ Forward ที่ตั้งไว้ใน Microsoft 365 Admin Center Quarantined : เปิด Microsoft Defender portal ที่ https://security.microsoft.com/quarantine ตรวจอีเมลแล้ว Release ถ้าปลอดภัยFailed : แก้ตามเหตุผลที่อ่านได้ เช่น ที่อยู่ผิด กล่องจดหมายเต็ม หรือเซิร์ฟเวอร์ปลายทางปฏิเสธค้นไม่เจอเลย: อีเมลไม่เคยมาถึง Exchange Online ให้ตรวจ MX record ตาม ตั้งระเบียน DNS สำหรับ Microsoft 365 และขอข้อความตีกลับ (NDR) จากผู้ส่ง
ปัญหาที่พบบ่อยเกี่ยวกับ Message Trace
ค้นใน Message Trace แล้วไม่พบอีเมลฉบับนั้นเลย แปลว่าอะไร?
ตรวจก่อนว่าช่วงเวลาและเขตเวลาถูกต้อง และสะกดอีเมลถูก ถ้ายังไม่เจอ แปลว่าอีเมลไม่เคยมาถึง Exchange Online อาจถูกเซิร์ฟเวอร์ผู้ส่งบล็อก หรือ MX record ของโดเมนชี้ไปที่อื่น ให้ผู้ส่งตรวจข้อความตีกลับฝั่งเขา
สถานะเป็น Delivered แต่ผู้รับยืนยันว่าไม่ได้รับ ทำอย่างไรต่อ?
ถ้าผู้รับอยู่ในองค์กร อีเมลอยู่ในกล่องจดหมายแล้ว มักอยู่ใน Junk Email ถูกกฎย้ายโฟลเดอร์ หรือถูกลบโดยกฎ ถ้าผู้รับอยู่ภายนอก Delivered หมายถึงเซิร์ฟเวอร์ปลายทางรับไปแล้ว ให้ฝั่งผู้รับตรวจสแปม และตรวจว่าโดเมนของคุณตั้ง SPF, DKIM และ DMARC ครบตาม คู่มือตั้งค่า SPF, DKIM และ DMARC
ต้องการดูอีเมลย้อนหลังเกิน 10 วัน ทำได้อย่างไร?
ใน Exchange admin center เลือกช่วงเวลาได้ถึง 90 วัน แต่เกิน 10 วันจะได้เป็นรายงาน CSV ที่ต้องรอ ถ้าต้องการผลทันทีให้แบ่งค้นทีละไม่เกิน 10 วัน หรือใช้ Get-MessageTraceV2 กำหนด StartDate และ EndDate เป็นช่วง ๆ
Message Trace แสดงเนื้อหาอีเมลได้ไหม?
ไม่ได้ Message Trace เก็บเฉพาะข้อมูลการรับส่ง เช่น ผู้ส่ง ผู้รับ หัวเรื่อง และเหตุการณ์ หากต้องตรวจเนื้อหาเพื่อสอบสวน ต้องใช้ Content search หรือ eDiscovery ใน Microsoft Purview ด้วยสิทธิ์ที่กำหนดเฉพาะ
ถ้าองค์กรมีปัญหาอีเมลหายเป็นประจำหรือต้องการให้ทีมงานช่วยไล่เส้นทางอีเมล ติดต่อทีมงาน THAI DATA CLOUD ได้ทันที ส่วนองค์กรที่ต้องการให้ทีมงานจัดหาไลเซนส์และดูแล Microsoft 365 พร้อมระบบอีเมลทั้งหมด ดูรายละเอียดได้ที่หน้าบริการของเรา
อ่านเพิ่มเติมเกี่ยวกับ Message Trace
