Один Postfix, десяток доменов, и каждый должен уезжать по-своему: часть на локальный Dovecot по LMTP, часть на партнёрский релей на порту 2525, часть по голому IP без MX, а весь остальной исходящий — через smart host провайдера. Разбираем точный порядок разрешения nexthop, синтаксис transport:nexthop и главный практический инсайт: почему квадратные скобки решают 80% проблем «письмо ушло не туда».
У вас один Postfix, а на нём висит example.com, partner.org, crm.internal и ещё восемь доменов. По умолчанию сервер обращается с каждым из них одинаково: делает MX-lookup и стучится на 25 порт. Но partner.org слушает 2525, crm.internal вообще нет в публичном DNS, а legacy.corp живёт на голом IP 10.0.5.20 без единой MX-записи. Первое, что все пробуют, — relayhost. И тут же всё ломается: relayhost
Нужна не «одна труба», а таблица маршрутов: этот домен — по LMTP в локальный Dovecot, тот — на партнёрский релей по нестандартному порту, третий — по IP, а весь остальной исходящий — через smart host провайдера. Ровно это и делает transport_maps. По сути это маленький язык маршрутизации, который переопределяет и транспорт, и nexthop ещё до того, как Postfix посмотрит на MX.
Маршрутизацию считает trivial-rewrite(8). Для каждого получателя он вычисляет пару (транспорт, nexthop) в строго фиксированном порядке, и первое совпадение выигрывает:
user@domain, затем домен, затем родительские .домены.relay_transport (по умолчанию relay), иначе — default_transport (по умолчанию smtp).smtp-транспорта.Ключевой момент, ради которого всё и затевается: transport_maps переопределяет и транспорт, и nexthop. Поэтому он сильнее relayhost. Если для домена нашлась строка в transport-таблице, relayhost для него уже не сработает — письмо пойдёт туда, куда сказала таблица.
Каждая строка таблицы — это ключ и транспорт:nexthop:
domain transport:nexthopОбе половины правой части опциональны, и в этом вся гибкость:
default_transport), но nexthop переопределён.Встроенные транспорты, которые вам реально понадобятся: smtp, relay (тот же SMTP, но с раздельными настройками и лимитами для пересылки), lmtp, local, error (отбивает письмо с указанным DSN-кодом), discard (молча удаляет письмо), retry (всегда откладывает доставку до следующей попытки).
Порядок поиска ключа: сначала полный user@domain, потом domain, потом родительские домены с ведущей точкой. example.com матчит только сам example.com. Чтобы поймать поддомены, нужна отдельная строка .example.com — либо включённый parent_domain_matches_subdomains (по умолчанию в него transport_maps не входит, и это правильно: явные строки предсказуемее).
Вот рабочий /etc/postfix/transport под весь наш зоопарк:
# /etc/postfix/transport
example.com smtp:[mx.example.com]:25
.example.com smtp:[mx.example.com]:25
crm.internal lmtp:unix:private/dovecot-lmtp
partner.org relay:[mail.partner.org]:2525
legacy.corp smtp:[10.0.5.20]
spam-source.tld error:5.7.1 blocked by policy
blackhole.tld discard:
[email protected] smart:Обратите внимание на последнюю строку: полноадресный ключ [email protected] выигрывает у доменного example.com, так что письма конкретному получателю уедут через кастомный транспорт smart, а всё остальное по домену — на mx.example.com.
В main.cf:
transport_maps = hash:/etc/postfix/transport
relay_domains = partner.org, legacy.corpСобираем и применяем:
postmap /etc/postfix/transport
postfix reload
postmap -q "partner.org" hash:/etc/postfix/transport
# → relay:[mail.partner.org]:2525
postmap -q "[email protected]" hash:/etc/postfix/transport
# → smart:postmap обязателен после каждой правки текстового файла: Postfix читает бинарный .db, а не сам текст. Забудете — сервер продолжит работать по старой таблице, и вы полдня будете искать призрак.
Это причина примерно 80% тикетов «письмо ушло не туда». Разница:
smtp:mail.partner.org — Postfix делает MX-lookup по имени mail.partner.org. MX-записи у хоста обычно нет, Postfix откатывается на его A-запись и стучится на порт 25 — не туда и не на тот порт.smtp:[mail.partner.org]:2525 — квадратные скобки говорят «это литеральный хост, MX не искать, резолвь только A/AAAA», а :2525 фиксирует порт.Правило простое: для smart host, внутренних хостов и IP-адресов скобки обязательны. MX-резолв нужен только когда вы действительно пересылаете на чужой почтовый домен и хотите уважать его MX-приоритеты — тогда пишете relay:partner.org без скобок.
Заодно про relay vs smtp. Функционально это один и тот же SMTP-клиент, но relay имеет отдельные счётчики конкурентности и лимиты, и Postfix ждёт, что домены, которые вы пересылаете, перечислены в relay_domains. Это защита от превращения в открытый релей: без записи в relay_domains внешний домен получателя отвалится с Relay access denied.
Когда собственный IP без PTR, провайдер режет 25 порт, или нужен чистый IP ради доставляемости, весь исходящий заворачивают на шлюз провайдера. Простейший способ — relayhost (он же покрывает всё, что не перехватил transport_maps):
# main.cf
relayhost = [smtp.provider.com]:587
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
smtp_tls_security_level = encryptФайл с учёткой и права на него — критично, там пароль в открытом виде:
echo '[smtp.provider.com]:587 user:secret' > /etc/postfix/sasl_passwd
chmod 600 /etc/postfix/sasl_passwd
postmap /etc/postfix/sasl_passwd
postfix reloadsmtp_tls_security_level = encrypt здесь не косметика: без него SASL-логин и пароль уедут по plaintext, если сервер согласится на нешифрованную сессию. encrypt требует STARTTLS и отваливается, если TLS не поднялся.
Отдельная суперспособность — разводить потоки по адресу From, а не получателя. Транзакционные письма (сбросы паролей, чеки) и маркетинговые рассылки должны уходить с разных IP, чтобы жалобы на рассылку не топили репутацию транзакционки.
# main.cf
sender_dependent_transport_maps = hash:/etc/postfix/sender_transport
sender_dependent_relayhost_maps = hash:/etc/postfix/sender_relayhost# /etc/postfix/sender_transport
[email protected] smart-tx:
[email protected] smart-mkt:sender_dependent_transport_maps проверяется первым, раньше transport_maps, поэтому sender-based правило выигрывает. Это ровно то, что нужно: решение «с какого IP уходить» принимается по отправителю, до того как отработает доменная маршрутизация получателя.
Чтобы транспорт smart из примеров реально существовал, его определяют в master.cf поверх штатного smtp-агента:
# master.cf
smart unix - - n - - smtp
-o smtp_bind_address=203.0.113.9
-o smtp_helo_name=out1.evilmail.pro
-o syslog_name=postfix-smart
-o smtp_tls_security_level=encryptsmtp_bind_address прибивает исходящий IP — тот самый, для которого вы настроили PTR и SPF. syslog_name=postfix-smart — не мелочь: в логах вы будете грепать именно по нему, чтобы отделить этот поток от остальных. Лимиты задаются в main.cf по имени транспорта:
smart_destination_concurrency_limit = 5
smart_destination_rate_delay = 1sТак вы не сожжёте репутацию нового IP залпом — rate_delay = 1s держит паузу между доставками на один домен получателя. Пер-домейн TLS-политику при желании выносят отдельно:
smtp_tls_policy_maps = hash:/etc/postfix/tls_policy
# /etc/postfix/tls_policy
mail.partner.org secure match=mail.partner.orgПорядок действий, когда «письмо ушло не туда»:
.поддомен. Смотрите, что реально возвращает таблица, а не что вы думаете, что там написано.relay= показывает фактический хост и порт, status= — исход. Это истина в последней инстанции.syslog_name вытаскиваете один транспорт из общего шума.Топ граблей: забыли postmap после правки; написали хост без скобок и получили паразитный MX-lookup; ждали relayhost, а его перебил transport_maps; правили main.cf/master.cf, но сделали postmap вместо postfix reload (или наоборот). Помните: текстовые таблицы → `postmap`; параметры в `main.cf`/`master.cf` → `postfix reload`.
cp /etc/postfix/transport{,.bak}./etc/postfix/transport, для хостов и IP — всегда в [скобках].postmap /etc/postfix/transport.postmap -q — полный адрес, домен и родительский .домен.relay_domains — иначе Relay access denied.postfix reload.mail.log поля relay= и status=, для кастомного транспорта — по syslog_name.cp /etc/postfix/transport.bak /etc/postfix/transport && postmap /etc/postfix/transport && postfix reload.transport_maps перестаёт быть загадкой в тот момент, когда вы принимаете одну вещь: это не свалка исключений, а таблица маршрутизации с чётким приоритетом. Разберитесь один раз в порядке разрешения nexthop и в том, что делают квадратные скобки, — и десяток доменов на одном сервере превращается из головной боли в десять предсказуемых строк.