Postfix 默认不能直接发外网邮件；需配置 relayhost 中继至 Gmail 等第三方 SMTP，启用 TLS 和 SASL 认证，并正确设置 sasl_passwd 权限与 DNS 解析。
Postfix 能不能直接发外网邮件？先看这三点
Postfix 本身不是“开箱即用”的外发 SMTP 服务。它默认只监听本地（127.0.0.1），不验证身份，也不自动中继到 Gmail / Outlook 等外部 SMTP 服务器。想发到 user@gmail.com，必须显式配置中继（relayhost）或用 SASL 认证对接第三方 SMTP 网关。
- 如果只是本机程序（如
mutt、logwatch）发告警邮件给内部邮箱（比如admin@yourdomain.local），Postfix 做好本地投递就行，不用配 relay - 想发到公网邮箱，必须走 relay：要么配自己的邮件服务器（需有公网 IP + 反向 DNS + SPF 记录），要么用 Mailgun / SendGrid / Gmail SMTP 等第三方（推荐新手用）
- 直接把 Postfix 暴露在公网上收发邮件？别试。99% 会被 ISP 封端口，进垃圾邮件黑名单，且没 TLS 和认证极易被滥用
用 Gmail SMTP 中继时，/etc/postfix/main.cf 关键配置项
Gmail 要求 TLS + SASL 认证，且账户得开启“应用专用密码”（不能用主密码）。Postfix 不支持 OAuth2，所以必须用应用密码 + smtp_sasl_password_maps。
-
relayhost = [smtp.gmail.com]:587—— 方括号避免 DNS 查找，冒号后是端口；别写成smtp.gmail.com:465（那是 SMTPS，Postfix 默认不用） -
smtp_use_tls = yes和smtp_tls_security_level = encrypt必须同时设，否则连接会明文失败 -
smtp_sasl_auth_enable = yes打开认证，smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd指向密码文件 -
smtp_sasl_security_options = noanonymous防止匿名登录尝试被拒
密码文件 /etc/postfix/sasl_passwd 写成这样：
[smtp.gmail.com]:587 your.email@gmail.com:your_app_password然后运行
postmap /etc/postfix/sasl_passwd 生成哈希，再 chmod 600 /etc/postfix/sasl_passwd* —— 权限不对，Postfix 直接拒绝读取，日志里只报 NOQUEUE: reject，不提权限问题。
测试发信失败时，先盯紧 /var/log/mail.log 里的三类错误
Postfix 错误信息藏得深，但最常卡在这三个地方：
-
status=deferred (connect to smtp.gmail.com[...]: Connection timed out)→ 防火墙或网络策略拦了 outbound 587，检查iptables -L OUTPUT或云平台安全组 -
status=deferred (SASL authentication failed; cannot authenticate to server)→ 密码文件路径错、postmap没运行、或 Gmail 账户没开两步验证+生成应用密码 -
status=bounced (Host or domain name not found. Name service error for name=gmail.com type=AAAA: Host not found)→ DNS 配置崩了，nslookup smtp.gmail.com都失败，Postfix 根本解析不出 IP
别依赖 echo "test" | mail -s "test" someone@example.com 测试——它走的是 sendmail 兼容接口，可能绕过你刚配的 relay。直接用 sendmail -bv user@gmail.com（-bv 是验证路由不真发），或 postqueue -p 看队列状态更准。
为什么不用 Postfix 自建对外 SMTP，而推荐第三方中继
自建 Postfix 对外发信，技术上可行，但实际运维成本远超预期：
- 公网 IP 必须有反向 DNS（PTR 记录），否则 Gmail/Yahoo 99% 拒收
- 域名要配 SPF、DKIM、DMARC，缺一不可，否则进垃圾箱
- IP 地址一旦被前主人滥发过邮件，新接手也难洗白（查
mxtoolbox.com） - 每天发信量受限（Gmail 限制 500 封/天，自建没监控就容易触发临时封禁）
而用 Mailgun 或 SendGrid，注册即得 API key，Postfix 配 relayhost + SASL 后，它们负责所有信誉维护和退信处理。唯一代价是：免费额度有限（Mailgun 每月 10k 封），但对中小系统完全够用。
配置本身不难，难的是让每封邮件真正抵达收件箱。DNS、证书、发信频率、退信处理——这些环节漏一个，mailq 里就堆满 deferred 邮件，日志却只写“connection reset”。
