почта : postfix : дыра в инет

[lerryc]

Не могу понять где я туплю ;(
Стоит на серваке обычная связка fetchmail -> spamd -> postfix -> ipop3d
постфикс демоном, фетчмайл кроном, айпоп через xinetd
Для всех юзерей есть свои папки /var/mail/userxxxx куда собственно и складывается вся входящая почта
юзеры -> системные юзеры

Стал неспешно переводить систему на exim и тут обнаружил вот какой казус: про одного юзера зыбыли
Т.е. фетчмайл для него не получает почту, в папку /var/mail/xuser валится только локальная почта
Тем не менее клиент спокойно шлет и получает письма в\из мир(а)
Смотрю настройки у клиента - выход в инет через прокси сервера, почта с локального сервера
Стоит Outlook, настройки

POP3 : 10.0.0.1
SMTP: 10.0.0.1
учетная запись: xuser@mydomen.ru (!)
пароль: глобалпароль
========================

И тут я не догоняю
С этой машины (IP 10.0.0.5) можно подключаться к серваку (10.0.0.1) как xuser + localpasswd
В учетных записях оутлука - имя и пароль для почты сервака в инете
на локальном серваке - никакого упоминая про юзера "xuser@mydomen.ru", тем более как системного юзера
Локальный домен - myservak.local + localhost и всё

Вопрос

Каким способ и через какие дыры клиент получает и отправляет почту?
Поиск по логам (syslog) не помог выявить факт прокачки почты из инета (или это размазано в куче прочих сообщий что и не видно с первого взгляда)
Куда рыть? Чем?

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[Alex Keda]

tcpdump на сервере точно скажет

[lerryc]

сенкс за подсказку
видно сказывается - пятница послеобеда
самое простое решение как всегда на поверхности
предварительный осмотр ничего подозрительного не выявил - обычные пакеты, обычные прострелы
внимательно смотреть буду уже в понедельник - но хотелось бы понять хоть примерный механизм (за что цепляться в дампе)
при такхих настройках на стороне клиента - постфикс по идее должен был сразу дать отлуп
на отрытость релея проверял - дыр вроде нет
одним словом - прежде чем копать "отсюда и до обеда" хотелось бы понять на что внимание обращать