postfix: разрешить только один домен и только после авторизации

Доброго времени суток.

Потребовалось запретить одному аутентифицировавшемуся пользователю слать письма куда-либо, кроме domain.ru

1) perit_sasl_authenticated разрешает аутентифицированным вообще всё. Варианта, позволяющего «запретить не аутентифицированную отправку» я в документации не нашёл. Предгалается сначало разрешать аутентифицированных, а потом reject

2) check_recipient_restrictions может разрешать и запрещать. И если поставить эту проверку с собственным hash - проблема будет снята. Но как добавить в hash REJECT для всех доменов, кроме одного?

http://www.postfix.org/RESTRICTION_CLASS_README.html#internal

smtpd_restriction_classes = domainru_only
domainru_only = check_recipient_access hash:/etc/postfix/recipient4domain_only, reject
check_sender_access hash:/etc/postfix/restricted_senders

/etc/postfix/recipient4domain_only

domain.ru OK

/etc/postfix/restricted_senders

user@domain.ru domainru_only

В результате есть два РАЗРЕШАЮЩИХ правила, в каком порядке их ни ставь - всё равно плохо.

Возможно ли запретить одному аутентифицировавшемуся пользователю слать письма куда-либо, кроме domain.ru?