OpenDKIM / OpenDMARC 常见运维故障：milter 超时、socket 权限、与 Postfix 集成要点？

OpenDKIM / OpenDMARC 通过 socket（unix 域如 /var/run/opendkim/opendkim.sock，或 inet 端口）向 MTA 暴露。Postfix 的 smtpd_milters / non_smtpd_milters 必须指向同一 socket；路径或端口不一致会出现 4.7.1 milter 错误甚至拒信。

unix socket 所在目录与文件权限必须允许 MTA 运行用户访问；权限过严会导致 MTA 连不上 milter。建议把 OpenDKIM/OpenDMARC 与 Postfix 放进同一运行组。

在 main.cf 中以 milter_default_action=accept 保证 milter 故障时邮件不被阻断（先观察后收紧）；多个 milter 的顺序应为：先 DKIM 签名/验证，再 DMARC 评估，使 OpenDMARC 能看到 OpenDKIM 已注入的 dkim= 结果。