Это (имеется в виду несовпадение адреса From в заголовке письма и адреса envelope-from) не во всех случаях связано с подделкой или спамом — подумайте про рассылки или письма, отправленные с формы на сайте. В стандартной настройке SpamAssassin ставит этому 0.25 балла (правило HEADER_FROM_DIFFERENT_DOMAINS). Отклонять такие письма всегда приведёт к множеству ложных срабатываний в большинстве окружений (но можно попробовать повысить этот балл и посмотреть, как это сработает). В зависимости от вашей среды можно блокировать письма, приходящие с внешнего порта, если в заголовке From указан ваш домен (но и тут в большинстве случаев будет много ложных срабатываний) — с помощью правила. Надеюсь, это поможет!

Как сказано в другой теме — нужно различать адрес smtp-конверта и заголовки (From:, To:). Можно использовать систему правил, чтобы блокировать определённые входящие письма, создав правило, которое действует только для входящего направления (и активно). Однако это работает только если все ваши внутренние системы и все пользователи используют внутренний порт для пересылки почты наружу.

Если вы хотите фильтровать по адресам smtp-конверта — используйте подходящие объекты Who. Если хотите фильтровать по полям заголовка — используйте подходящие объекты Match Field What.

После создания правила в mail.log (`journalctl -b`, '/var/log/mail.log' и Tracking Center) будет видно, было ли оно сработано.

Надеюсь, это проясняет ситуацию.