Postfix配置疑问：如何禁用本地网络的SPF检查及仅对非本地发件人强制SPF验证

看起来你遇到的问题是Postfix规则执行逻辑和预期不符——明明把permit_mynetworks放在SPF检查前面，本地发件的邮件还是被SPF拦截了。我来帮你分析下原因和解决办法。

首先先排查最基础的问题：你确认mynetworks配置包含了所有本地网络的IP段吗？比如如果你的本地机器在192.168.1.0/24网段，但mynetworks只设置了127.0.0.1，那permit_mynetworks根本匹配不到这些本地发件人，自然会走到后面的SPF检查步骤。你可以先查看当前的mynetworks配置：

postconf mynetworks

如果输出里没有你的本地网段，就把它们加进去，比如：

mynetworks = 127.0.0.0/8 192.168.1.0/24 [::1]/128 [fe80::]/10

假设mynetworks配置没问题，那问题可能出在Postfix的规则执行细节或者policyd-spf的配置上。这里给你两个可靠的解决方案：

方案一：条件化执行SPF检查（推荐） #

修改smtpd_recipient_restrictions，给SPF检查加上条件，只有当发件人不属于mynetworks时才执行检查。配置如下：

smtpd_recipient_restrictions=
    reject_invalid_hostname,
    permit_sasl_authenticated,
    permit_mynetworks,
    check_policy_service {!permit_mynetworks}unix:private/policyd-spf,
    reject_unknown_helo_hostname

这里的{!permit_mynetworks}是Postfix的条件语法，表示只有当permit_mynetworks不匹配时，才调用后面的SPF策略服务。这样本地发件人会被permit_mynetworks直接放行，完全跳过SPF检查。

方案二：修改policyd-spf配置跳过本地网络 #

如果你更倾向于在SPF服务层面控制，可以编辑policyd-spf的配置文件（通常路径是/etc/postfix-policyd-spf.conf，不同发行版可能略有不同），添加本地网络地址到跳过列表：

skip_addresses = 127.0.0.0/8, 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, [::1]/128, [fe80::]/10

把你实际的本地网段加进去，这样policyd-spf遇到这些来源的邮件时，会直接跳过SPF验证，不会返回拒绝结果。

最后，修改完配置后记得重启Postfix和policyd-spf服务，让配置生效：

systemctl restart postfix
systemctl restart postfix-policyd-spf

备注：内容来源于stack exchange，提问作者E. K.