VPS bị chặn port 25? Cách gửi email vẫn đi được

Nếu VPS bị chặn port 25, mail server của bạn vẫn nhận được email, nhưng không thể chuyển thư đi sang Gmail, Outlook hay bất kỳ server nào khác, vì việc gửi thư giữa các server dùng cổng TCP 25 chiều đi. Có hai cách xử lý thực sự: xin nhà cung cấp mở cổng (làm được với Vultr, Linode, Hetzner, AWS, Oracle và một số loại subscription Azure), hoặc gửi qua một SMTP relay ở cổng 587 hay 2525, cách này chạy được cả ở nơi chặn vĩnh viễn.

Bài viết hướng dẫn cách xác nhận cổng có bị chặn không, mỗi nhà cung cấp lớn nói gì trong tài liệu chính thức, và nên chọn xin mở cổng hay dùng relay. Nếu bạn đang dựng mail từ đầu, hãy đọc trước bài tạo email tên miền trên VPS.

Vì sao nhà cung cấp cloud chặn cổng 25?

Cổng 25 là cổng các mail server dùng để nói chuyện với nhau. VPS mới chỉ vài USD và tạo trong một phút, nên rất hấp dẫn với kẻ phát tán spam. Chỉ cần một khách hàng gửi spam, cả dải IP của nhà cung cấp có thể bị đưa vào blacklist và email của mọi khách khác cũng bị ảnh hưởng. Chặn cổng 25 gửi ra theo mặc định, rồi mở cho khách nào yêu cầu và trông đáng tin, là cách hầu hết nhà cung cấp bảo vệ uy tín IP.

Hai điều nên biết:

• Chỉ chiều gửi ra bị chặn. Server khác vẫn kết nối được vào cổng 25 của bạn, nên thư đến vẫn về bình thường. Vì vậy nhiều người không phát hiện ra trong nhiều ngày: thư đến vẫn nhận, còn thư trả lời thì nằm mãi trong hàng đợi.
• Cổng 465 và 587 là chuyện khác. Đây là cổng submission, dùng cho phần mềm email và relay có đăng nhập. Nhiều nhà cung cấp để mở hai cổng này, nhưng không phải tất cả.

Cách kiểm tra VPS có bị chặn port 25 không

Chạy lệnh sau trên server. Lệnh thử mở kết nối TCP tới mail server nhận thư của Gmail:

nc -vz -w 5 gmail-smtp-in.l.google.com 25

Nếu kết quả có succeeded hoặc open, cổng 25 gửi ra đang hoạt động. Nếu bị timeout, có thứ gì đó đang chặn, gần như luôn là nhà cung cấp. Nếu máy chưa có nc, dùng tính năng TCP sẵn có của Bash:

timeout 5 bash -c '</dev/tcp/gmail-smtp-in.l.google.com/25' && echo open || echo blocked

Kiểm tra cổng 587 theo cách tương tự để biết relay có dùng được không. Xem thêm hàng đợi thư (postqueue -p với Postfix): thư dồn lại kèm dòng Connection timed out tới server đích là dấu hiệu điển hình.

Hãy kiểm tra bước này trước khi mất thời gian với SPF, DKIM hay DMARC. Cổng bị chặn và thư vào spam là hai chuyện khác nhau: bị chặn thì thư không bao giờ rời server; uy tín kém thì thư đi được nhưng rơi vào spam. Trường hợp thứ hai, xem bài email bị vào spam.

Chính sách cổng 25 của từng nhà cung cấp cloud

Chính sách có thể thay đổi, hãy kiểm tra trang được dẫn trước khi dựa vào. Bảng dưới đây tóm tắt tài liệu của từng nhà cung cấp tại thời điểm viết bài (10/2026).

Nhà cung cấp	Cổng 25 gửi ra	Cổng 465 / 587	Có xin mở được không?	Nguồn chính thức
DigitalOcean	Chặn trên mọi Droplet	Cũng bị chặn	Không có quy trình mở cổng; DigitalOcean khuyên dùng dịch vụ email bên thứ ba	Why is SMTP blocked?
Vultr	Chặn trên instance mới	Mở	Gửi ticket nêu mục đích, biện pháp chống spam và lưu lượng; xét từng trường hợp, không đảm bảo	Why is SMTP blocked?
Linode (Akamai)	Hạn chế trên một số tài khoản tạo sau 5/11/2019	Cũng bị hạn chế	Liên hệ Support để yêu cầu gỡ hạn chế	Send email
Hetzner Cloud	Chặn 25 và 465 mặc định	587 mở	Gửi limit request sau một tháng sử dụng và đã thanh toán hóa đơn đầu tiên	Cloud server FAQ
AWS EC2	Chặn mặc định	Không thuộc phạm vi chặn	Gửi form yêu cầu, mỗi Region một lần	EC2 port 25
Google Cloud	Chặn kết nối ra ngoài (một số project được miễn)	Không giới hạn	Không có quy trình mở cổng; dùng relay qua 465 hoặc 587	Sending email from an instance
Microsoft Azure	Mở với Enterprise Agreement và MCA-E; chặn với loại khác	Cổng 587 có xác thực không bị chặn	Enterprise Dev/Test xin miễn trong Diagnose and solve problems	Troubleshoot outbound SMTP
Oracle Cloud	Chặn với tenancy tạo sau 23/6/2021	Không được đề cập	Gửi service limits request để xin miễn	Release note

Vài chi tiết giúp bạn đỡ mất thời gian:

• DigitalOcean chặn cả 587, nên relay qua 587 không chạy được. Hãy chọn relay có cổng khác: SendGrid liệt kê các cổng 25, 587, 2525 và 465 trong tài liệu SMTP, Mailgun nghe trên 25, 465, 587 và 2525 (tài liệu SMTP của Mailgun).
• Hetzner không mở cổng trong tháng đầu, nên hãy chuẩn bị relay cho lúc ra mắt dù sau này bạn định xin mở.
• AWS có quy trình riêng cho Lightsail (Lightsail port 25). Chính AWS gợi ý dùng Amazon SES thay thế.
• Azure chỉ cam kết mở cổng, không cam kết thư được nhận: Microsoft lưu ý các tên miền bên ngoài vẫn có thể từ chối thư từ VM.

Với các nhà cung cấp VPS Việt Nam và nhà cung cấp nhỏ khác, chính sách khác nhau tùy hãng và tùy gói. Hãy hỏi trước khi mua: cổng 25 gửi ra có mở không, xin mở bằng cách nào, có đặt được reverse DNS (PTR) cho IP không? Danh sách câu hỏi có trong ghi chú cài đặt theo nhà cung cấp.

Cách 1: Xin nhà cung cấp mở cổng 25

Nếu bạn muốn chạy mail server đầy đủ, tự gửi thư trực tiếp, thì được mở cổng là kết quả gọn nhất. Nhà cung cấp xét từng trường hợp, nên hãy làm cho yêu cầu của bạn dễ được duyệt:

1. Chuẩn bị DNS trước. Tạo bản ghi A cho hostname mail (ví dụ mail.example.com) và đặt reverse DNS (PTR) của IP về tên đó. Linode yêu cầu rõ bước này trước khi mở ticket. Bài cấu hình PTR cho mail hướng dẫn đặt PTR trên từng nhà cung cấp.
2. Khai báo SPF, DKIM và DMARC cho các tên miền gửi thư.
3. Mô tả mục đích bằng lời rõ ràng. "Hộp thư công ty cho 12 nhân viên và thư giao dịch từ cửa hàng online, khoảng 300 thư mỗi ngày" tốt hơn nhiều so với "tôi cần cổng 25".
4. Nêu biện pháp chống spam. Giới hạn gửi theo tài khoản, rate limit, không mở open relay, cách bạn xử lý khiếu nại abuse. Vultr yêu cầu đúng những thông tin này.
5. Kiên nhẫn và lịch sự. Bị từ chối chưa chắc là hết cửa; một yêu cầu sau này từ tài khoản lâu năm, đã thanh toán nhiều hóa đơn thường dễ được duyệt hơn.

Không bao giờ có gì đảm bảo được duyệt, và với DigitalOcean hay Google Cloud thì không có quy trình nào cả.

Cách 2: Gửi qua SMTP relay (smarthost)

Relay, hay smarthost, là dịch vụ email nhận thư gửi đi của bạn qua cổng submission có xác thực, rồi chuyển thư từ IP của họ. Server của bạn vẫn giữ hộp thư, webmail, IMAP và thư đến; chỉ chặng cuối của thư gửi đi là thay đổi. Một số lựa chọn phổ biến: SendGrid, Mailgun, Amazon SES, Brevo. Hãy so sánh giá và gói miễn phí hiện tại trên trang của từng hãng, vì chúng thay đổi thường xuyên.

Những việc cần làm khi dùng relay:

Bước	Lý do
Xác minh tên miền gửi với relay	Relay chỉ gửi cho tên miền bạn chứng minh là của mình
Thêm relay vào bản ghi SPF (thường là include:)	Server nhận kiểm tra IP của relay có được phép gửi cho tên miền không
Khai báo DKIM của relay, hoặc giữ chữ ký DKIM của bạn	Giữ DKIM khớp với tên miền From, điều kiện của DMARC
Dùng cổng 587 với STARTTLS (hoặc 2525 nếu 587 bị chặn)	Gửi có xác thực, hầu hết nhà cung cấp không chặn
Giữ giới hạn gửi theo tài khoản trên server	Nếu không, một website bị hack sẽ "đốt" tài khoản relay của bạn

Nói thẳng về đánh đổi: relay tốn thêm phí hàng tháng khi vượt gói miễn phí, thêm một công ty đứng giữa bạn và người nhận, và có giới hạn gửi cùng chính sách sử dụng riêng. Đổi lại, bạn có IP gửi đã có uy tín, thường giúp thư vào hộp thư chính tốt hơn so với IP VPS mới. Với cách này, PTR của IP server ít quan trọng hơn cho thư gửi đi vì người nhận thấy IP của relay, nhưng bạn vẫn nên đặt.

Cách 3: Để hộp thư ở nơi khác

Nếu không cần mail trên server, hãy trỏ bản ghi MX của tên miền sang dịch vụ email như Google Workspace, Microsoft 365 hoặc Zoho Mail, còn server chỉ chạy website. Thư từ website (form liên hệ, đơn hàng WooCommerce) có thể gửi qua SMTP của dịch vụ đó hoặc một relay giao dịch. Đây là cách đơn giản nhất khi bạn chỉ có vài tên miền công ty và không bán dịch vụ email.

ZoPanel xử lý cổng 25 bị chặn thế nào

Mail server của ZoPanel (Postfix, Dovecot và Rspamd) tự phát hiện cổng 25 gửi ra bị chặn và cảnh báo trên trang Email: thư đến vẫn nhận, nhưng thư gửi sang server khác sẽ thất bại cho tới khi bạn xử lý. Mail delivery check kiểm tra cổng 25 gửi ra và PTR cùng với MX, SPF, DKIM và DMARC, nên bạn thấy nguyên nhân ở cùng một chỗ.

Nếu nhà cung cấp không mở cổng, hãy cấu hình Outgoing mail relay (smarthost) trên trang Email với SendGrid, Mailgun, Amazon SES, Brevo hoặc dịch vụ khác. Mặc định dùng cổng 587, bạn có thể đổi cổng khác, điều này quan trọng trên DigitalOcean. Thư từ website và hộp thư vẫn đi qua server trước, nơi Sending limits đếm từng người nhận theo tài khoản, nên một website bị hack không thể làm cạn tài khoản relay. Chi tiết trong tài liệu email, còn ghi chú theo nhà cung cấp liệt kê cổng firewall và cách đặt PTR của từng hãng.

Điều ZoPanel không làm được: mở cổng giúp bạn, hay khiến nhà cung cấp duyệt yêu cầu. Như mọi control panel, nó chỉ giúp bạn đi đường vòng. Xem đầy đủ tính năng mail ở trang tính năng email.

Kết luận

VPS bị chặn port 25 là chuyện bình thường ở các nhà cung cấp cloud, không phải dấu hiệu server hỏng. Kiểm tra bằng một lệnh, rồi chọn hướng: xin mở cổng nếu nhà cung cấp có quy trình và bạn muốn gửi trực tiếp, hoặc dùng relay qua 587 (hay 2525 trên DigitalOcean) nếu muốn email chạy ngay hôm nay. Dù chọn cách nào, hãy đặt PTR, SPF, DKIM và DMARC, vì Gmail và Outlook đều kiểm tra chúng bất kể IP nào chuyển thư.

Để thử trên server của bạn, gói Free của ZoPanel có sẵn mail server, Mail delivery check và cấu hình smarthost, với 3 tài khoản hosting, 10 website, không giới hạn thời gian.

Câu hỏi thường gặp

Làm sao biết VPS có bị chặn cổng 25 không?

Chạy nc -vz -w 5 gmail-smtp-in.l.google.com 25 trên server. Nếu bị timeout, cổng 25 gửi ra đang bị chặn, thường là do nhà cung cấp. Thư kẹt trong hàng đợi kèm "Connection timed out" cũng là một dấu hiệu.

Dùng cổng 587 thay cho cổng 25 để gửi thư được không?

Không trực tiếp. Mail server khác chỉ nhận thư đến qua cổng 25; 587 là cổng submission cần đăng nhập. Bạn có thể dùng 587 để giao thư cho một relay mà bạn có tài khoản, rồi relay chuyển thư qua cổng 25 từ server của họ.

Cổng 25 bị chặn có làm mất thư đến không?

Không. Nhà cung cấp chặn kết nối đi ra cổng 25. Server khác vẫn kết nối vào cổng 25 của bạn được, nên thư gửi tới hộp thư vẫn về, miễn là bản ghi MX trỏ đúng về server.

Nhà cung cấp VPS nào cho mở cổng 25?

Theo yêu cầu, Vultr, Linode, Hetzner (sau tháng đầu và hóa đơn đầu tiên), AWS và Oracle có thể gỡ chặn; Azure để mở với subscription Enterprise Agreement và MCA-E. DigitalOcean và Google Cloud không có quy trình mở. Với nhà cung cấp nhỏ, kể cả ở Việt Nam, chính sách mỗi nơi một khác, nên hãy hỏi trước khi mua.

Gửi qua SMTP relay có tệ hơn gửi trực tiếp không?

Về khả năng vào inbox thì không: IP của relay thường có uy tín tốt hơn IP VPS mới. Điểm trừ là chi phí khi vượt gói miễn phí, giới hạn và chính sách riêng của relay, và thêm một bên xử lý email của bạn.