Port 25 gesperrt: SMTP-Timeout beim direkten Versand

So sieht die Meldung aus

Nov  9 08:14:22 mail postfix/smtp[2211]: connect to gmail-smtp-in.l.google.com[142.250.27.26]:25: Connection timed out

Häufige Ursachen

• Der Provider blockt ausgehend Port 25 für Privat- und Standardanschlüsse, um Spam zu begrenzen.
• Cloud-Anbieter sperren 25 standardmäßig und heben die Sperre nur auf Antrag auf.
• Die Firewall erlaubt nur 587 und 465, aber nicht 25.
• Der Zielserver blockt die IP, etwa wegen fehlendem PTR oder einer Blacklist.
• Eine fehlende IPv6-Route lässt den Versuch hängen, statt schnell zu scheitern.

Prüfen

1. Port 25 ausgehend testen
   nc -vz -w 5 gmail-smtp-in.l.google.com 25Kopieren
2. Mailqueue ansehen
   mailq | tail -n 20Kopieren
3. Typische Fehler im Log
   journalctl -u postfix --since '1 hour ago' --no-pager | grep -iE 'timed out|connection refused|deferred' | tail -n 20Kopieren
4. Öffentliche IP und PTR
   dig +short myip.opendns.com @resolver1.opendns.com; dig +short -x $(dig +short myip.opendns.com @resolver1.opendns.com)Kopieren

Lösung

• Statt direkt an MX-Server auf 25 zu senden, den Submission-Port 587 mit STARTTLS und Authentifizierung nutzen: relayhost = [smtp.provider.tld]:587.
• Bei Clouds die Freigabe von Port 25 beantragen, wenn eigener Versand wirklich nötig ist.
• PTR sowie SPF und DKIM passend setzen, sonst wird auch erlaubter Versand abgelehnt.
• In der Firewall 587 und 465 ausgehend erlauben, 25 bewusst blocken, wenn du es nicht brauchst.
• Queue beobachten und mit postqueue -f anstoßen, damit gestaute Mails nach der Umstellung rausgehen.

Häufige Fragen

Kann ich Port 25 umgehen?

Ja, über den Submission-Port des Providers mit Authentifizierung oder über ein Relay. Direkter MX-Versand braucht 25.

Warum kommen manche Mails trotzdem an?

Weil sie über einen Relay oder einen anderen Port laufen. Nur der direkte Versand an MX-Server auf Port 25 scheitert.