{"id":332,"date":"2026-06-19T09:28:41","date_gmt":"2026-06-19T07:28:41","guid":{"rendered":"https:\/\/www.schmueller.de\/?p=332"},"modified":"2026-06-19T09:30:48","modified_gmt":"2026-06-19T07:30:48","slug":"postfix-waehle-einen-transport-danach-ob-der-mx-des-externen-empfaengers-bei-microsoft365-steht","status":"publish","type":"post","link":"https:\/\/www.schmueller.de\/ZDDTpknFI0r7\/2026\/06\/postfix-waehle-einen-transport-danach-ob-der-mx-des-externen-empfaengers-bei-microsoft365-steht\/","title":{"rendered":"Postfix: W\u00e4hle einen Transport danach ob der MX des externen Empf\u00e4ngers bei Microsoft365 steht."},"content":{"rendered":"\r\n\n

Es ist schnell passiert, dass der eigene Postfix-Mailserver im Microsoft365 Universum als „B\u00f6se“ angesehen wird und man dann keine Mails mehr an Adressen schicken kann, die bei Microsoft365 gehostet werden. <\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Leider wei\u00df man vorher nicht ob eine Zieldom\u00e4ne bei Microsoft liegt oder nicht. Erst wenn man einen Bounce bekommt in dem ein Server mit „mail.protection.outlook.com“ im Namen erscheint, wei\u00df man, dass es wieder so ein Problem war. <\/p>\n\n\n\n

Anfangs habe ich dann die Domains einzeln in der Transport-Map eingetragen, damit sie \u00fcber einen Dienstleister wie z.B. Mailjet versendet werden. Ich kann nicht alle Mails \u00fcber den Dienstleister versenden, weil ich dann schnell an das Limit des kostenlosen Kontos k\u00e4me. <\/p>\n\n\n\n

Also habe ich \u00fcberlegt, dass Postfix doch beim Verarbeiten der Mail feststellen k\u00f6nnte ob der MX f\u00fcr die Empf\u00e4ngerdomain zu Microsoft geh\u00f6rt. Mit Bordmitteln ist es leider nicht machbar. <\/p>\n\n\n\n

Aber mit einem kleinen Programm, das als Service von Postfix gestartet wird kann man schon vor der Routingentscheidung von Postfix diese per FILTER beeinflussen.<\/p>\n\n\n\n

Das Programm ben\u00f6tigt das Python3 Modul python3-dnspython. <\/p>\n\n\n\n

apt install python3-dnspython  \n# Oder entsprechendes Paket deiner Distribution<\/code><\/pre>\n\n\n\n
In der Variable CUSTOM_ROUTING wird der Filterbefehl hinterlegt: „CUSTOM_ROUTING = „FILTER custom_relay:[Relay.server.de]:587“, damit nicht zu viele DNS Abfragen erfolgen habe ich ein simples Caching eingebaut.<\/p>\n\n\n\n
<\/p>\n\n\n\n
#!\/usr\/bin\/env python3\nimport sys\nimport dns.resolver\nimport time\nimport syslog\n\n# Syslog initialisieren\nsyslog.openlog(ident='postfix-mx-policy', facility=syslog.LOG_MAIL)\n\nCACHE = {}\nCACHE_TTL = 3600\nTARGET_MX_KEYWORD = \"mail.protection.outlook.com\"\n#Hier den gew\u00fcnschten Relay eintragen\nCUSTOM_ROUTING = \"FILTER custom_relay:[Relay.server.de]:587\"\n\ndef get_routing_action(domain):\n    now = time.time()\n    if domain in CACHE:\n        action, expiry = CACHE[domain]\n        if now < expiry:\n            return action\n    try:\n        #Frage den MX der Zieldomain ab und sage entweder DUNNO oder erg\u00e4nze den FILTER\n        answers = dns.resolver.resolve(domain, 'MX')\n        is_microsoft = False\n        for rdata in answers:\n            mx_host = str(rdata.exchange).lower()\n            if TARGET_MX_KEYWORD in mx_host:\n                is_microsoft = True\n                break\n        action = CUSTOM_ROUTING if is_microsoft else \"DUNNO\"\n    except Exception as e:\n        #Bei Fehlern sage DUNNO, das ist der Sichere-Fallback\n        syslog.syslog(syslog.LOG_ERR, f\"DNS Fehler f\u00fcr {domain}: {str(e)}\")\n        action = \"DUNNO\"\n    CACHE[domain] = (action, now + CACHE_TTL)\n    return action\n\ndef main():\n    attributes = {}\n    while True:\n        line = sys.stdin.readline()\n        if not line:\n            break\n        line = line.strip()\n        if line:\n            if '=' in line:\n                key, val = line.split('=', 1)\n                attributes[key] = val\n        else:\n            recipient = attributes.get('recipient', '')\n            recipient = recipient.strip('<>') \n            domain = recipient.split('@')[-1].lower() if '@' in recipient else ''\n            \n            action = \"DUNNO\"\n            if domain:\n                action = get_routing_action(domain)\n \n            sys.stdout.write(f\"action={action}nn\")\n            sys.stdout.flush()\n            attributes.clear()\n\nif __name__ == '__main__':\n    main()<\/code><\/pre>\n\n\n\n
Nicht vergessen das Programm ausf\u00fchrbar zu machen:<\/p>\n\n\n\n
chmod +x \/usr\/local\/bin\/postfix_mx_policy.py\n\n<\/code><\/pre>\n\n\n\n
Nun k\u00f6nnen wir das Script in Postfix integrieren:<\/p>\n\n\n\n
    \n
  1. In der master.cf wird das Script als Hintergrunddienst eingerichtets und der alternative Transportweg definiert:<\/li>\n<\/ol>\n\n\n\n
    # Der Hintergrunddienst f\u00fcr das Python-Skript\nmx_policy_service unix  -       n       n       -       0       spawn\n    user=nobody argv=\/usr\/local\/bin\/postfix_mx_policy.py\n\n# Der alternative Transportweg \ncustom_relay      unix  -       -       n       -       -       smtp\n  -o smtp_fallback_relay=<\/code><\/pre>\n\n\n\n
    Nach der Einbindung in der master.cf kann man mit postfix check<\/code> die Konfiguration \u00fcberpr\u00fcfen und mit systemctl restart postfix<\/code> Postfix neu starten.<\/p>\n\n\n\n
    Im Log sieht man dann den ge\u00e4nderten Relay:<\/p>\n\n\n\n
    2026-06-18T13:26:29.882089+02:00 postfix\/smtp[198199]: 3692841150: to=<empfaenger@domain.beimicrosoft.com>, relay=relay.server.com[4.2.18.249]:587, delay=392, delays=391\/0.03\/0.32\/0.1, dsn=2.0.0, status=sent (250 OK queued as 6be4275a-cc49-4e38-880d-aaf988d9f776)\n<\/code><\/pre>\n","protected":false},"excerpt":{"rendered":"
    Es ist schnell passiert, dass der eigene Postfix-Mailserver im Microsoft365 Universum als „B\u00f6se“ angesehen wird und man dann keine Mails mehr an Adressen schicken kann, die bei Microsoft365 gehostet werden. Leider wei\u00df man vorher nicht ob eine Zieldom\u00e4ne bei Microsoft liegt oder nicht. Erst wenn man einen Bounce bekommt in dem ein Server mit „mail.protection.outlook.com“\u2026 Read More: Postfix: W\u00e4hle einen Transport danach ob der MX des externen\u2026 »<\/a><\/span><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_monsterinsights_skip_tracking":false,"footnotes":""},"categories":[1],"tags":[],"class_list":["post-332","post","type-post","status-publish","format-standard","hentry","category-allgemein"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t