думается мне нужно не исходящий порт закрывать. запретить соединения на dst-port 22,587,465. исходящий может быть любой, а вот smtp-сервера принимают только на них
спасибо, т.к. вечером активность не большая на серваке не пойму сейчас, что там поменялось. Принял все к сведениям, завтра по мониторю, что к чему:) всем огромное спасибо помощь:)