Postfix集群邮件日志充斥退信通知，求原因排查与预防方案

兄弟，我碰到过好多次你这种情况——把发件地址统一改成noreply@ourdomain.com后反而爆退信，大概率是几个Postfix配置细节没跟上，或者邮件验证层面的坑没填上。咱们一步步来排查解决：

别光看日志里的“无法送达”，得拿到具体错误代码和原因才能精准定位。你可以用这两个命令：

• 从maillog里提取退信记录：grep "status=bounced" /var/log/maillog | head -20
• 查看单封退信的详细内容（把<队列ID>换成日志里的实际ID）：postcat -q <队列ID>

常见的错误比如550 5.7.1 SPF check failed、550 5.7.26 DKIM signature missing、554 5.7.1 Relay access denied，这些都是不同的问题，处理方式完全不一样。

1. SPF/DKIM/DMARC验证失败（最常见） #

现在大部分邮箱服务商都会强制检查这三个域名验证记录，你换了发件域名ourdomain.com，必须确保DNS里配置正确：

• SPF记录：添加一条TXT记录，包含proxy1的公网IP，比如v=spf1 ip4:xxx.xxx.xxx.xxx -all（-all表示严格匹配，测试阶段可以先用~all宽松模式）
• DKIM签名：在proxy1上安装opendkim，生成密钥对，把公钥加到ourdomain.com的DNS TXT记录里，然后配置Postfix调用opendkim签名所有 outgoing 邮件
• DMARC记录：先添加一条宽松的测试记录，比如v=DMARC1; p=none; sp=none; rua=mailto:dmarc@ourdomain.com，等验证通过后再改成p=quarantine或p=reject

2. 发件IP的反向解析（PTR）不匹配 #

很多邮件服务器会检查：发件IP的PTR记录是否和发件域名一致。你要做两件事：

• 联系你的ISP，把proxy1的公网IP的PTR记录改成mail.ourdomain.com或者proxy1.ourdomain.com
• 在proxy1的Postfix配置/etc/postfix/main.cf里，确保myhostname = mail.ourdomain.com（和PTR记录完全一致）

3. 中继节点proxy1的地址替换没做彻底 #

你说配置已经生效，但可能有遗漏：

• 检查proxy1的main.cf里的masquerade_domains = ourdomain.com，确保所有内部服务器的发件域名都被替换
• 如果有不需要替换的用户，用masquerade_exceptions = root（但你已经统一改成noreply，这条可能不需要）
• 另外，内部节点的Postfix要配置relayhost = [proxy1.ourdomain.com]，确保所有邮件都走中继，不要直接发出去

4. 旧邮件队列没清空 #

修改配置之前，Postfix队列里可能还有大量用旧发件地址（root@server.ourdomain.com）的待发邮件，这些邮件会一直尝试发送，导致持续退信：

• 查看队列：postqueue -p
• 清空所有队列（谨慎操作，会删除所有待发邮件）：postsuper -d ALL
• 或者只删除失败的邮件：postsuper -d ALL deferred

5. 域名/IP被列入黑名单 #

如果你的ourdomain.com或者proxy1的IP之前有过垃圾邮件记录，可能被收件方加入黑名单。可以用命令查：

• 查IP是否在SpamCop黑名单：dig +short xxx.xxx.xxx.xxx.bl.spamcop.net（返回IP就是在黑名单里）
• 如果中招，去对应黑名单的网站提交申诉，一般1-2天就能解除

• 统一退信通知收件人：在proxy1的main.cf里设置bounce_notice_recipient = mailadmin@ourdomain.com，error_notice_recipient = mailadmin@ourdomain.com，别让退信默认发给root，导致日志刷屏
• 监控邮件日志和队列：用logwatch定期生成邮件日志报告，或者写个简单脚本监控maillog里的退信数量，超过阈值就告警
• 测试先行：以后改邮件配置，先找几个不同服务商的邮箱（Gmail、Outlook、QQ邮箱）发测试邮件，查看收件方的邮件头，确认SPF/DKIM都验证通过，再全面推广
• 处理noreply的回复：给noreply@ourdomain.com配置别名，转发到管理员邮箱，避免收件方的自动回复无法送达，产生额外的退信

内容的提问来源于stack exchange，提问作者Rob R