特定域名ichat.sp.edu.sg转发邮件时DMARC校验失败的原因及解决方案咨询

问题原因分析 #

咱们先从你提供的失败邮件头和DMARC记录拆解核心问题：

• 关键失败点：dmarc=fail header.from=sp.edu.sg——这里邮件的**From头域指向的是sp.edu.sg，但实际发件源是其子域ichat.sp.edu.sg**。
• 再看sp.edu.sg的DMARC规则：v=DMARC1; p=reject; ...，这是一条严格的拒绝政策，要求邮件必须满足SPF或DKIM与header.from域的对齐要求（即SPF的发件域或DKIM的签名域必须和header.from的域一致）。
• 你的转发流程中，PostSRSd会把SMTP发件人（Return-Path）改写为你的mydomain.com，这导致SPF校验的是你的域名，和sp.edu.sg完全无关；同时邮件的DKIM签名来自ichatspedu.onmicrosoft.com，也和header.from的sp.edu.sg不对齐。两个对齐条件都不满足，直接触发了sp.edu.sg的强DMARC政策，被Gmail拒收。

其他邮件能正常通过，是因为它们的From头域和实际发件域匹配，且对应域的DMARC政策允许对齐或本身规则宽松。但这个案例里，原始邮件的From头用了父域sp.edu.sg，发件却来自子域，还继承了父域的严格规则，转发后彻底破坏了DMARC的对齐逻辑。

你可尝试的本地解决方案 #

如果sp.edu.sg侧不愿调整他们的邮件或DMARC配置，你可以试试以下几种调整转发策略的方式：

• 针对该域跳过SRS改写：
  在Postfix中配置规则，对来自ichat.sp.edu.sg的邮件不执行SRS改写。这样SMTP发件人会保留原始的ichat.sp.edu.sg域，SPF校验会基于原始域（如果sp.edu.sg的SPF包含ichat.sp.edu.sg的服务器），但这种方式可能仍有SPF失败风险，需测试验证。
• 修改转发时的From头域：
  转发时将From头替换为改写后的SRS地址（比如"Elijah B" <SRS0=0aH0=BJ=ichat.sp.edu.sg=ELIJAHB.22@mydomain.com>），这样header.from会变成你的域名，DMARC会校验你的域名（你可以确保自己域名的DMARC规则宽松或允许转发），从而通过校验。缺点是收件人看到的发件人是你的域名，可能影响体验。
• 使用重发式转发（添加Resent-*头）：
  配置Postfix在转发时添加Resent-From、Resent-To等头部，保留原始From头。部分邮件服务商（包括Gmail）会优先校验Resent-From对应的域的DMARC规则，而非原始From，这样可以绕开sp.edu.sg的严格政策。

根本解决思路 #

最理想的解决方式是联系sp.edu.sg的管理员调整配置：

1. 给ichat.sp.edu.sg单独设置宽松的DMARC记录（比如p=none），避免继承父域的拒绝政策；
2. 确保ichat.sp.edu.sg的邮件使用sp.edu.sg的DKIM密钥签名，或在sp.edu.sg的SPF记录中包含ichat.sp.edu.sg的发件服务器，让原始邮件本身就能满足DMARC对齐要求，转发后也能通过校验。

备注：内容来源于stack exchange，提问作者John Doe