中继是什么
邮件服务器的本职就是替人转发。对来源不设限就变成开放中继：任何人都能借这台服务器向任意收件人发信。这类服务器会在很短时间被扫描到，然后被垃圾邮件团伙利用（RFC 5321 §4.5.5）。
合规中继的边界
合规的做法只有两类：认证用户可以通过提交端口向任意域转发；未认证的连接只允许投递给本地收件人。判断标准很直接——从外部网络匿名尝试把一个外域地址作为收件人，应当被拒绝。
基本信息
| 开放中继 | 任意来源都能借该服务器向任意域发信 |
|---|---|
| 合规中继 | 仅认证用户，或仅本地收件人可转发 |
| 直接后果 | 出口地址进入实时黑名单，正常邮件也被大面积拒收 |
| 自查方式 | 从外部网络匿名投递到外域地址，应当被拒绝 |
典型使用场景
- 上线邮件服务前的中继行为自查
- 排查「自己发信正常但被收件方拒绝」的黑名单问题
- 评审内网应用使用匿名中继发通知的风险
- 迁移或重建邮件服务后的复核
开放式探测应失败
开放式探测应失败
# 从外部主机匿名尝试向外域收件人投递，应当被拒绝
printf 'EHLO test\r\nMAIL FROM:<a@test.com>\r\nRCPT TO:<b@other-domain.example>\r\nQUIT\r\n' | nc mail.example.com 25
# 若收件人命令被接受，说明存在开放中继风险与后果
| 状况 | 表现 | 后果 |
|---|---|---|
| 开放中继 | 匿名即可向外域投递 | 数小时内被扫描并被滥用 |
| 进入黑名单 | 出口地址被实时黑名单收录 | 正常邮件被大面积拒收 |
| 域名信誉下降 | 收件方直接降权 | 投递进垃圾箱或被延迟 |
| 恢复周期长 | 需申诉与观察期 | 常以周计 |
开放中继被利用的后果包括地址进黑名单、域名信誉暴跌、服务商限期整改甚至停机，恢复周期往往以周计，代价远高于提前配置。
内网应用用匿名中继发通知是很常见的隐患：一旦端口对公网可达，它立刻就是开放中继，因此必须限制来源地址或强制认证。
定期自查比一次配置更有效：网络边界会变，节假日临时放行的规则很容易被遗忘在配置里。