Postfix配置RBL绕过：深层子域名匹配规则疑问
嗨，我来帮你拆解这个Postfix子域名匹配的问题，结合你的配置和版本来分析：
首先，先明确你当前的核心矛盾：你想让mail-m6nam10on2120.outbound.protection.outlook.com这类深层子域名绕过RBL，但直接写outbound.protection.outlook.com OK没生效，同时对.outlook.com的写法是否有效存疑。
先解释手册里那段话的实际影响
你提到的手册内容：
Matches subdomains of domain.tld, but only when the string smtpd_access_maps is not listed in the Postfix parent_domain_matches_subdomains configuration setting.
结合你的main.cf配置parent_domain_matches_subdomains = smtpd_access_maps，这句话的实际意思是：
- 当你把
smtpd_access_maps加入到parent_domain_matches_subdomains后，.domain.tld这种格式的规则不会匹配任何子域名，只会精确匹配domain.tld本身。 - 反过来，如果
smtpd_access_maps不在这个配置项里，.domain.tld才会匹配所有以domain.tld结尾的子域名。
所以你现在的问题：
- 直接写
outbound.protection.outlook.com OK，只能精确匹配outbound.protection.outlook.com这个域名，而实际发件的mail-m6nam10on2120.outbound.protection.outlook.com是它的子域，自然匹配不上。 - 如果写
.outlook.com OK，因为你的配置，这个规则只会匹配outlook.com本身，不会覆盖任何子域，包括outbound.protection.outlook.com和更深的层级。
针对你的需求的解决方案
基于Postfix 2.2.10的版本，有两个可行方向：
方案一：调整parent_domain_matches_subdomains配置
把smtpd_access_maps从parent_domain_matches_subdomains中移除，修改后的配置：
parent_domain_matches_subdomains = # 移除smtpd_access_maps，保留其他你需要的项（如果有的话）
然后在client_checks里添加：
.outlook.com OK
这样.outlook.com就会匹配所有以outlook.com结尾的子域名，包括你需要的深层子域。注意：这个改动会影响你client_checks里所有.domain.tld格式的规则，之前的这类规则会从精确匹配变成匹配子域，需要确认是否符合你的其他需求。
方案二：使用正则表达式匹配（不改动现有全局配置）
如果不想调整全局配置，可以把check_client_access的map类型从hash改成regexp，这样支持正则匹配：
- 修改
main.cf里的配置：
check_client_access regexp:/etc/postfix/client_checks_regex
- 创建
/etc/postfix/client_checks_regex文件，添加规则：
/.*\.outbound\.protection\.outlook\.com$/ OK
这个正则会匹配所有以.outbound.protection.outlook.com结尾的域名，正好覆盖你日志里的发件域名类型。然后执行postmap /etc/postfix/client_checks_regex（虽然regexp类型不需要postmap，但执行一下没问题），再重启Postfix生效。
补充说明
Postfix 2.2.10是比较老的版本，如果你后续有升级计划，新版本的子域匹配规则会更灵活，但当前版本下上面两个方案是最直接的解决办法。
备注：内容来源于stack exchange，提问作者shorton
