postfix noqueue reject 5.7.1, свои же письма тоже режет

Держу свою почту на vps, не хочу в google workspace, привык что письма мои и на моём железе. Поднял postfix+dovecot по старой памяти, но ловлю reject и на входящих, и, что хуже, часть своих исходящих:

NOQUEUE: reject: RCPT from ...: 554 5.7.1 <...>: Relay access denied
NOQUEUE: reject: RCPT from ...: 550 5.7.1 Client host rejected

С relay access denied на чужих понятно — это чтоб не быть открытым релеем. Но у меня и свои уходят криво, и внешние сервисы часть входящих отбивают. Подозреваю mynetworks и обратную зону/PTR. Кто свою почту держит — с чего начать распутывать, чтоб не открыть релей и чтоб свои ходили?

serg_mail добро пожаловать в почту, где половина бед — dns, а не postfix. по порядку:

postconf -n | grep -E 'mynetworks|inet_interfaces|relay'

1. relay access denied на своих исходящих — это аутентификация. клиент должен слать через submission (587) с SASL AUTH, а не через 25. проверь master.cf, включён ли submission с permit_sasl_authenticated.
2. входящие отбивают снаружи — это про тебя как отправителя: PTR (обратная зона) на ip сервера должен совпадать с hostname, плюс SPF/DKIM/DMARC в dns. без PTR и SPF половина мира тебя в reject.
скинь postconf -n целиком и hostname, гадать не буду.

serg_mail уважаю, свою почту сейчас мало кто держит, все в облака ушли. lexa92 верно про submission, добавлю от себя, дядькино: PTR тебе провайдер сервера ставит, сам в зоне не пропишешь. без совпадения PTR и hostname тебя даже настроенного будут в спам кидать, я на этом в своё время неделю потерял, злой был. сначала PTR запроси, потом уже DKIM крути.

lexa92 спасибо, submission и был выключен, свои слали через 25 — вот и relay denied. включил 587 с sasl, свои пошли. PTR у провайдера запросил, hostname привёл в соответствие. pavel_63 про «в спам без PTR» — уже вижу, gmail пока складывает в спам, буду DKIM/DMARC докручивать. nesterov на open relay проверился, чисто, maildir в бэкап поставил. Основное расшевелил, дальше уже репутация домена.

serg_mail с почтой одно наблюдение, из опыта: заставить её ходить — полдела, вторая половина — чтобы тебя не считали спамом и чтобы ты сам не стал открытым релеем. lexa92 схему дал верную. добавлю: после того как заработает, проверь себя внешним тестом на open relay и глянь, не слушает ли 25 в мир без смысла. и бэкап maildir отдельно: почту теряют тихо, замечают через месяц.