邮件发不出？所有VPS都在封印你的SMTP

你启动一台新的VPS，装好Gitea，一切顺利。直到需要发送账号验证邮件时——没反应。你按文档配置SMTP，端口指向25，连接超时。改到587，结果一样。这不是你的代码有问题，也不是防火墙规则没配好。你的云主机厂商正在默认屏蔽出站SMTP流量，而且不会在订单页面提醒你。

你或许在DigitalOcean、AWS Lightsail、Linode、Vultr上都遇到过，只是因为单次故障把它归为偶发问题。但这次你用Gitea、下次用Ghost搭建博客，再下次用Mastodon运行社区，所有需要往外发邮件的自托管应用都会撞上同一堵墙。这个现象足够普遍，有必要梳理清楚背后的逻辑，更要摸清真正能解决问题的方案有哪些。

厂商为什么要堵死端口25？DigitalOcean、AWS Lightsail、Linode、Vultr——这些主流厂商全部默认封锁25端口。部分厂商连587端口也一并限流或封掉。动机并不神秘：端口25的开放中继是垃圾邮件的核心通道。一台被入侵的VPS可能在几分钟内变身垃圾邮件工厂，把厂商的IP段拖进实时黑名单。为了防止声誉受损，也为了不让整段IP被邮件服务商拒收，厂商选择一刀切——从网络侧直接掐断每个新实例的出站SMTP。这个安全策略合理，但它也为所有需要发送事务邮件（password reset、注册确认、通知）的自建应用埋下了一颗暗雷。

对于自托管场景，最常见的应对是第一条路：放弃SMTP协议，改用事务邮件服务提供的HTTP API。Postmark、Resend、Mailgun、AWS SES都暴露了REST接口，把应用的发信逻辑指向一个URL，端口封锁立刻变成无关话题。大多数现代自托管工具，包括Gitea、Ghost、Umami，都已经原生支持这类API集成。代价也很明显：每接入一个服务，就多一张API密钥要维护。如果你在同一台服务器上跑了6个需要发信的应用，那张密钥会被复制6次，散落在各自的配置文件中。将来轮换密钥时，漏掉一处就是故障。

第二条路成本最低：直接问问你的VPS厂商能不能解封替代端口。有些厂商允许在提交技术支持工单后开放465端口（基于SSL的SMTP）或587端口（邮件提交端口）。这个操作不会改变网络层的封锁策略，只是针对单个实例放行指定端口。如果厂商的封锁刚好只作用于25而没有深度包检测，那切换端口就能恢复SMTP通信。缺陷是，当厂商把封锁上升到网络层或者直接拦截所有出站SMTP流量时，仅仅换端口解决不了问题。

当自托管的工具数量超过两个，并且它们当中有些只认SMTP协议，第三条路就显出价值：在服务器内部部署一个邮件中继网关。以Posthorn这类工具为例，你只需要启动一个容器，给它一份配置文件，填入事务邮件服务商的凭据，然后让所有应用将SMTP请求发往 localhost 的25端口。对应用来说，它们在和本地的SMTP服务器对话，不涉及任何出站网络请求，自然绕开了厂商的端口封锁；对网关而言，它接收完本地SMTP流量后，会通过HTTPS将邮件内容推送到Postmark、Resend、Mailgun或SES的API端点。于是，被现实网络阻断的那一跳转移到了应用层转发，出站端口限制彻底被绕开。

这套本地中继的思路还能顺便解决一些自建环境的隐性痛点。发信凭据不再分散存储，而是集中在网关的单个TOML配置文件里，后续更换密钥或切换服务商时只需改一处。网关内部可启用重试队列，当API返回临时故障时，不会让应用层的错误处理无限膨胀。蜜罐过滤则能拦截那些发往陷阱地址的测试邮件，避免影响邮件信誉度。应用级速率限制的功能，在同一台服务器运行多个工具时特别实用——比如联系表单突然被机器人刷屏，它能防止滥发流量透支你事务邮件账户的配额，而其他应用的通知不受牵连。

如果把场景铺开：服务器上同时运行着Gitea、Ghost博客、一个联系表单、一个每日发送数据摘要的定时任务。这四个服务各自的发信逻辑原本需要分别配置，面临端口封锁、凭据管理、速率保护三层复杂度。一旦引入本地中继网关，它们全部指向 localhost:25，凭据和限流逻辑都收敛在网关一侧。你再也不用因为厂商悄悄封掉587端口而逐个修改应用配置，甚至不需要关心你用的VPS究竟有没有开放某个SMTP替代端口。

对于只有一两个应用，且它们都支持HTTP API的情况，直接集成SDK依旧是最轻量的选择——无需额外部署守护进程，也没必要维护一条独立的中继链路。但当自托管工具的阵容变得复杂，尤其当某些工具只支持SMTP通信时，通过本地中继网关将SMTP流量本地化、再桥接到HTTP API的方案，就变成一种架构层面的清洁方案。它并不试图推翻厂商的端口封锁，也不指望服务商改变安全策略，只是在应用层打通一条绕过限制的路径。端口封锁是合理的垃圾邮件控制手段，短期内没有消失的可能。而回应的策略，就是在发信链路的中间位置安插一个中转层，把过去被直接掐断的那一跳，变成可控的本地转发。