La porta 25 è la porta SMTP per il trasporto tra server: il tuo MX riceve qui la posta da Internet. TLS si negozia con STARTTLS, ma in modo opportunistico – senza MTA-STS o DANE un attaccante può rimuoverlo.
Un mail server deve avere la 25 aperta in ingresso. Per i client di posta è la porta sbagliata: inviano tramite 587 o 465 con autenticazione.
Problema tipico: le mail in uscita restano in coda con Connection timed out. Molti provider cloud, hosting e connessioni domestiche bloccano la 25 in uscita – chiedi lo sblocco o usa uno smarthost sulla 587.
Verifica
openssl s_client -starttls smtp -connect mx.esempio.it:25 -crlf