sendmail и запрет писать наружу

Те машины, которые не прописаны в файл /etc/hosts наружу ни жу-жу!

А нужно ли еще NODNS в конфиге?

А попробуй удалить все энтрайи из access'а, кроме локалхоста. Ведь если в аккессе стоит RELAY, то хост/сеть может посылать кому угодно от чьего угодно домена. Если OK, то только от своего домена, но кому угодно. А если нету записи в аккессе, то юзерь может посылать от чьего угодно доменства, но только на твой домен (прописанный в local-host-names).

в access.db машины не прописывать, тогда наружу не жу-жу, а /etc/hosts тут причем?

если уж связались с /etc, то host.allow host.deny смотреть надо