Postfix中parent_domain_matches_subdomains助力拒收子域名邮件的原理及配置疑问

你提的这个问题确实戳中了Postfix配置里一个容易混淆的细节，咱们一步步拆解清楚：

首先说说parent_domain_matches_subdomains的核心作用：它是Postfix里用来控制哪些配置参数会自动将父域名的规则应用到所有子域名的开关，默认配置里包含了debug_peer_list和smtpd_access_maps这两项。也就是说，当这个参数生效时，你在smtpd_access_maps里设置的父域名规则，会自动匹配该域名下的所有子域名。

然后回到你的疑问——你的担心完全是对的！举个例子：如果你的access map里只有一行规则是允许自己域名的邮件通过（比如写成example.com OK），那开启默认的parent_domain_matches_subdomains配置后，所有诸如sub.example.com、test.sub.example.com这类子域名的邮件也会被这条规则放行，这反而和你“拒收子域名邮件”的目标背道而驰了。

如果想要实现拒收子域名邮件的需求，你有两种调整思路：

• 思路一：修改parent_domain_matches_subdomains的取值，把smtpd_access_maps从列表中移除，比如改成：

  parent_domain_matches_subdomains = debug_peer_list
  

  这样一来，你在access map里设置的example.com OK就只会匹配精确的example.com域名，子域名的邮件不会被这条规则放行，你就可以单独给子域名添加拒绝规则（比如*.example.com REJECT）。
• 思路二：如果保留默认的parent_domain_matches_subdomains配置，那就要在access map里优先设置子域名的拒绝规则，再设置父域名的允许规则，因为Postfix会按规则顺序匹配，先匹配到的规则生效。比如：

  *.example.com REJECT
  example.com OK
  

备注：内容来源于stack exchange，提问作者SUNITA GUPTA