Aponte o Postfix para um relay de correio, não para o proxy web

relayhost = proxy.example.net:3128 parece plausível até os dois lados começarem a falar. O Postfix espera um par SMTP. Um proxy web na 3128 espera um pedido de proxy HTTP. Nenhum recebe a conversa que esperava.

Se a rede fornece um relay de correio aprovado, configure esse serviço SMTP em vez disso. Uma forma típica é:

relayhost = [smtp-relay.example.net]:587

O nome do host e a porta são exemplos. Os parênteses retos suprimem a procura MX para esse nome de relay. Não acrescentam HTTP CONNECT, TLS nem autenticação. Configure separadamente as definições de submission, SASL e TLS exigidas pelo relay.

As duas contas também podem ser diferentes. Uma palavra-passe aceite pelo proxy web não é automaticamente uma credencial de envio de correio, e o relay pode ainda rejeitar um remetente depois de aceitar a ligação.

E se o único caminho aprovado for um túnel?

Um proxy HTTP pode transportar SMTP através de CONNECT quando permite o destino e a porta. Isso não faz com que qualquer cliente SMTP gere CONNECT. Uma ferramenta como o curl tem uma opção explícita de túnel de proxy; definir o relayhost do Postfix é outra interface.

Um encaminhamento SSH fixo ou um adaptador de transporte local dedicado podem expor um serviço SMTP aprovado como ponto final TCP local. Nesse desenho, o Postfix fala SMTP com o ponto final, e o adaptador fornece o outro transporte. Mantenha-o restrito e preserve a identidade TLS do servidor de correio pretendido: alterar o endereço de ligação para loopback pode afetar a política de certificados baseada no nome.

Prefira o relay de correio quando esse é o serviço fornecido pelo operador de rede. Dá à fila, à política de remetente e aos erros de entrega uma casa que entende SMTP. Apenas a configuração do proxy web não fornece nenhuma dessas funções de correio.