Auf Port 587 (Submission, RFC 6409) nimmt der Mailserver Mails von Clients, Webapps und Geräten entgegen. Die Verbindung startet unverschlüsselt und wird per STARTTLS hochgestuft; danach ist AUTH Pflicht.
Port 587 oder 465? Beide sind korrekt: 465 nutzt implizites TLS und ist laut RFC 8314 leicht vorzuziehen, 587 funktioniert praktisch überall. In der Firewall eingehend für Clients offen; in Postfix in master.cf mit smtpd_tls_security_level=encrypt und smtpd_sasl_auth_enable=yes.
Typische Fehler: Relay access denied (Client sendet ohne Login), Must issue a STARTTLS command first, oder ein Client auf „SSL/TLS“ statt „STARTTLS“, der dann auf 587 hängt.
Prüfen
openssl s_client -starttls smtp -connect mail.beispiel.de:587 -crlf