开着 VPN 发不出邮件：SMTP 与 IP 限制

VPN 已连接，收件箱能刷新，新邮件也在进来，可一点发送就没了反应：邮件停在发件箱，出现红色警告，或者应用提示无法连接发信服务器。断开 VPN，邮件马上就发出去了。这种情况非常常见，并不说明你的邮箱或 VPN 坏了，而是说明发信和收信受到的对待不一样。

本文用通俗的话解释其中的原因，包括邮件用到的端口、网络和服务商限制发信的方式、共用的 VPN 地址对邮件服务商的检查意味着什么、如何读懂错误提示，以及一套按步骤进行、能解决大部分情况而不必反复试错的办法。文章只涉及正当用途：用自己的账号发自己的邮件。它不会帮你群发邮件、规避服务商的规则，或绕开别人有意设下的限制。

为什么发信和收信不一样

电子邮件有两项工作，使用不同的系统。收信是应用通过 IMAP 或 POP 这类协议，向邮件服务器索取新邮件。发信是应用通过 SMTP 把邮件交给发信服务器，再由它转发到收件人的服务器。它们是两台不同的服务器，主机名常常不同，监听的端口也不同。

两个方向的风险也不同。任何人都可能试图利用开放的发信服务器发送垃圾邮件，因此几十年来，网络和服务商对发信的管控都比收信严格得多。他们会观察是哪个地址在连接、用了哪个端口、用户是否已登录、发了多少封。在你平常的网络上不触发任何检查的设置，换成 VPN 改变路径之后，可能就触发了。

这就解释了经典症状：收件箱正常，发信失败。 收件箱只需要收信连接成功；发信还需要额外的权限才能使用发信服务器，限制就在这里。

原因一：发信端口被封

邮件提交用到的端口不多。弄清哪个是哪个，有助于读懂你的设置：

端口	用途	说明
25	服务器之间的邮件投递	不是给普通邮件应用用的。在家庭、移动、酒店和很多云网络上被广泛封闭。
587	邮件提交，通常配合 STARTTLS	邮件应用的常规选择，需要登录。
465	一开始就使用 TLS 的邮件提交	也很常见，许多服务商支持。
2525	部分服务商提供的备用提交端口	并不通用，只有服务商有文档说明时才用。

发信失败的一个常见原因是邮件应用仍在使用 25 端口，或者是关闭了加密的旧设置。它可能在一个网络上能用，换到另一个网络就不行了。25 是被封最多的邮件端口，酒店网络和一些相关的服务器为了减少滥用都会把它关掉。如果你的设置显示 25，请换成邮件服务商帮助页面上公布的提交端口和加密类型。邮件连接的加密与安全网页浏览使用同样的技术，TLS 1.3 规范 对此有说明。

端口被封的典型迹象是超时而没有错误码。应用等了一阵，然后说无法连接发信服务器。没有人拒绝你，因为根本没有人应答。

原因二：服务商不信任这个地址

当你登录邮箱时，服务商能看到你是从哪个互联网地址连接的。开着 VPN 时，这个地址属于 VPN 服务，可能同一时间有很多人共用。邮件服务商对此格外留意，因为他们的反滥用系统是根据地址的历史来判断的。被别人滥用过的地址，即使你什么也没做错，也可能受到怀疑。

你可能遇到：

• 登录验证。 服务商因为地址陌生，要求你通过验证码或消息确认是本人。正常完成就好。
• 临时限制。 一段时间内暂停发信，或限制发信数量，直到信任恢复。
• 带代码的拒绝。 你可能看到 535（认证被拒绝）、550 或 554（邮件被拒绝），并附有关于政策或连接地址的说明。
• 邮件进了垃圾箱。 这与你的服务商的决定无关。收件方系统有时会查看邮件头，并留意邮件是如何提交的。

这些都不是 VPN 的缺陷，也不是你应该向服务商隐瞒的东西。如果服务商要求验证，就配合完成。给邮箱开启强登录保护，例如两步验证，CISA 关于多因素认证的指南 对此有介绍。启用了它的邮箱，在出现陌生地址时被锁定的可能性更小。

想了解你的地址在外界眼里是什么样子，可以看 什么是公网 IP 地址。

原因三：邮件应用的设置过期或有误

有时 VPN 只是暴露了本来就存在的错误。请在邮件应用的账户设置中检查：

• 发信服务器名称。 必须与服务商公布的一致。服务商迁移系统之后，拼写错误和旧名称很常见。
• 发信认证。 很多应用有一个开关，表示发信服务器需要登录。如果关着，服务器会拒绝你。
• 发信使用相同的用户名和密码。 有些服务商要求用户名是完整的邮箱地址，而不仅仅是 @ 之前的部分。
• 应用专用密码。 使用两步验证的服务商，在第三方邮件应用里通常需要单独的应用密码。用普通账户密码会被 535 错误拒绝。
• 加密类型。 587 端口的 STARTTLS 与 465 端口的 TLS 不能互换。两者不匹配时，看起来就像连接失败。

这些问题可能潜伏好几个月，因为在你家的网络上，宽松的路径让应用蒙混过关了。修好设置，比永远关着 VPN 要好。

原因四：公司或学校的邮件服务器限制登录位置

工作和高校的邮件系统限制更严。有的只接受来自单位自身网络或指定位置的登录，或者要求使用单位认可的连接方式。如果你在此之上又用了个人 VPN，邮件系统可能把你当作意外的位置拒绝掉。这是一种政策，不是故障。请询问 IT 团队如何从外部连接，并按他们的指示操作，而不是试图绕过规则。用 VPN 远程办公 一文解释了个人连接与公司连接之间的关系。

一步一步排查

按顺序进行，发信成功就停下。

1. 确认问题出在发信上。 先收一封测试邮件，再在浏览器的网页邮箱里给自己发一封。如果开着 VPN 时网页邮箱能发，说明账号和 VPN 路径都正常，问题出在邮件应用。
2. 读准确的错误提示。 超时说明端口问题；535 说明登录问题；带政策说明的 5xx 拒绝说明信任或内容问题。
3. 对照服务商的帮助页面检查发信服务器设置：服务器名、端口、加密方式，以及是否要求登录。
4. 改用 587 加 STARTTLS，或 465 加 TLS，以服务商文档为准。普通发信不要用 25。
5. 创建应用密码，如果服务商使用两步验证，而你用的是第三方应用。
6. 完成服务商发来的任何安全提示，如果它说有临时限制，就稍等一会儿。
7. 短暂关闭 VPN 测试一下，确认 VPN 路径有关。如果只有关闭 VPN 才能发，进入下一步。
8. 在 VPN 应用里更换连接方式或位置（如果提供），再测试。服务商对不同路径的对待可能不同。
9. 使用 split tunneling（如果应用提供），让邮件应用走正常连接，其余仍在隧道内。分应用代理（split tunneling） 一文说明了这个思路及其取舍。
10. 联系邮件服务商，附上错误文字、时间和你尝试过的设置。

记下你改过的内容，这样可以撤销任何一步。

几个实际场景

咖啡店里的自由职业者。 伊内斯连上咖啡店 Wi-Fi，打开 VPN，想从邮件应用发一张发票，邮件却停在发件箱。她的应用沿用了旧设置中的 25 端口。她按服务商的推荐，把发信端口改成 587 加 STARTTLS，发票发出去了。咖啡店网络和 VPN 都封了 25 端口，而她的旧设置只在家里才管用。

在酒店网络上的员工。 科菲的工作邮件在办公室发送正常，出差时却报“不允许登录”。网页邮箱可以用。公司邮件系统只接受来自认可位置的邮件应用。他去问 IT，对方给了公司认可的连接方式，他就改用那个。

收到安全验证码的旅客。 阿英在国外打开 VPN，服务商发来验证码确认新位置。她输入后，发信恢复。第二天她更换了 VPN 位置，又弹出一次验证，她同样完成了。频繁更换位置会带来频繁的验证，所以她整趟旅行只用一个位置。

使用学校账号的家长。 学校家长平台通过邮件应用发确认邮件，开着 VPN 就不工作了，网页邮箱却可以。修改邮件应用里发信认证的设置，问题就解决了，完全不用动 VPN。

常见错误

• 一直关着 VPN。 应该修好邮件设置或使用 split tunneling，而不是在公共网络上放弃保护。
• 邮件应用用 25 端口。 它为服务器之间的投递而设计，在很多网络上被封。
• 该用应用密码时用了普通密码。 535 错误看起来像密码错误，因为它就是这样报告的。
• 反复更换 VPN 位置。 每个新地址都可能触发新的检查。
• 一遍遍重新添加账户。 很少有用，还可能造成重复账户和锁定。
• 把限制当成要打败的东西。 如果服务商或雇主限制登录，应当配合他们。

本文建议的局限

邮件系统差异很大，规则也经常更新。今天能用的端口，明天可能就受限；服务商的信任判断你也看不到。本文无法保证任何改动都能解决你的问题，也看不到服务商看到的信息。如果按文档把一切都配置好了仍发不出去，应该找服务商的支持团队，最好带上准确的错误文字和时间。对于隧道已连接却表现异常的更广泛检查，请看 使用 VPN 时部分网站打不开 和 VPN 已连接但无法上网。

总结

当 VPN 下邮件能收不能发时，问题几乎总在发信路径上：被封或错误的 SMTP 端口、缺少登录或应用密码、服务商尚未信任的地址，或者机构的登录政策。读懂错误提示，区分超时、登录被拒与邮件被拒；使用服务商文档给出的提交端口，完成验证提示；仅把短暂关闭 VPN 当作测试。如果想要一个套餐，在新网络上测试你的邮件设置，可以在 价格页面 查看选项，下载页面 有官方 VPNclient 应用。