akelsey

Осмелюсь предположить, вероятно никак (но это не точно), и наверное в случае если нод более одной, предполагается использовать Load Balancer или хотя бы DNS Round Robin?

Exchange прекрасно работает по http (т.е. в домен машину вводить не обязательно) - если включен Outlook Anywhere.
По вашему случаю могу только посоветовать включать IMAP verbose logging и смотреть протокол.

VLAN вполне себе решение. На домашнем тестлабе 10 VLAN + Hyper-V на хосте, роутер микротик (или любой другой функциональный роутер с нужными ТТХ). Далее как душе угодно.

Winbox:
IP => DNS => Servers
Terminal:
/ip dns print

/lib/systemd/system/postfix.service; disabled

Попробовать включить сервис:

systemctl enable postifx
systemctl restart postifx

Провайдер выдал вам адрес из своей подсети.
У вас своя подсеть - которая не маршрутизируется в интернет.
Для того что бы всё это работало, давно, давно придумали для ipv4 костыль под названием NAT, к которому уже все привыкли, он как родной, именно его и нужно настроить.

Речь всё же вряд ли идёт о таких сертификатах, скорее всего gmail жалуется на DKIM (для tls можно обойтись и self-sign), настройте SPF & DKIM - должно хватить для доставки на гугл.

В ошибке написано, что сервер получателя - проверяет каждого отправителя на вашем сервере.
Причины:
* нет МХ записи с вашего домена
* порт 25 закрыт фаерволом
* отправитель отсутствует при попытке инициировать envelope часть smtp на ваш сервер и отправить письмо отправителю.

возможны и другие варианты, разбираться следует в каждом конкретном случае, по месту.

1) Public IP (он же белый, так его называют только в России) - адрес до которого есть маршрут в интернет от других устройств - он бывает:
* динамический, когда провайдер выдает адрес из пула паблик адресов, при каждом переподключении выдается новый. Обычно бесплатно. Для таких адресов хитрыми и экономными - придуман сервис DynDNS - многие так живут и радуются, они могут подключатся к своим сервисам из любой точки мира (RDP/SSH/VPN) - но для почты например такой вариант не проходит (хотя при текущих службах автоматизации и если почта не критический сервис - можно и на колдовать скриптов - например для клаудфлейр есть АПИ который позволяет модифицировать ДНС - а клаудфлейр очень быстро отдает изменения в мир).
* статический, вы оплачиваете провайдеру - он закрепляет за вами 1 выделенный публичный адрес.

"Серый" же адрес это когда клиенты находятся в немаршрутизируемой из интернета подсети, и выходят через узаконенный костыль под названием NAT через один шлюз (через какой внешний адрес будут уходить пакеты в мир - решает провайдер).

2) Вполне вероятно провайдер просто мапит какой то Public IP закреплённый за вами, на выданные вам адреса в подсети 10.х.х.х.

Что бы отличить, нужно "открыть порт", т.е. поднять любой сервис который слушает определенный порт, а на вашем роутере убедится что он 100% открыт и правильно проброшен (если сервис поднимается не на роутере, а на устройстве за роутером) - простейший вариант любой smtp сервер, или http сервер (предпочтительнее)далее можно например на 2ip.ru узнать как вас видит интернет, и уже найти онлайн telnet и попробовать подключится на этот адрес. Если успех - значит этот адрес публичный -) (почему http предпочтительнее, потому что многие онлайн телнет службы запрещают делать телнет на порт tcp/25 - что бы негодяи не рассылали спам.)

Как будет за микротиком это решать вам (но нужный пул сабнетов нужно спланировать заранее, VLAN подходящий способ).
Далее если у микротика дома в офисе публичный адрес проще использовать родной ip-to-ip туннель.
Далее дело техники - манглом маркируем трафик - делаем шлюзы по умолчанию с этими метками, настраиваем маршрутизацию.
Делаем на первом туннеле, отрабатываем, документируем, масштабируем на N-туннелей пока не кончатся деньги или микрот.

Непонятно написано, наводящие вопросы:
1. Сертификат TLS особо не влияет на доставку почты. Возможно имеется ввиду подпись DKIM?
2. Отправка с другого домена, что подразумевается под этим, отправка "mail from: nobody@domain.by" через mail.domain.ru? Тогда скорее всего SPF&DKIM нужно проапдейтить если вы владелец domain.by.

Android X86 работает под hyper-v, само собой без звука, графического ускорителя, но интернет и Whatsapp работать будут.

API Почты для домена

С помощью API Почты для домена можно подключать домены к Яндекс.Почте и отключать их, управлять ящиками пользователей и списками рассылки, импортировать письма на серверы Яндекса, администрировать домен.

Если использовать API, ваши пользователи получат ящики вида name@yourdomain.ru, а вам не придётся тратить ресурсы на поддержку почтового сервера.

Не нужно использовать транспортные правила и тем более nginx(не очень понял как он будет вырезать что то в смтп трафике), начиная с Exchange 2013 в Microsoft внедрили фичу "Header Firewall"

Идея убрать внутренние имена и айпи адреса весьма здравая, всего лишь нужно на send-connector для "NT AUTHORITY\ANONYMOUS LOGON" удалить ms-Exch-Send-Headers-Routing права.

Вот подробная статья как это сделать.

Зашифруйте данные EFS, каждый своим ключем (но с осторожностью, обычно все попытки так отгородиться - приводят к печальным последствиям, особенно с EFS т.к. это очень прозрачно и на первый взгляд очень легко и хорошо работает - потом сбрасывают пароль или переустанавливают ОС без сохранениня ключей и всё данных больше нет.)