Adicione outro roteador antes do roteador do usuário local que existe somente para rejeitar os combos lp / sufixo que você deseja rejeitar. Aqui está um exemplo com os sufixos codificados:
reject_suffixes:
driver = redirect
local_parts = joe-badsuff1 : joe-badsuff2
allow_fail
fail_verify = true
data = :fail: invalid email <$local_part@$domain>
O outro caminho a percorrer seria pesquisá-lo a partir de um arquivo. O mesmo conceito básico, apenas com uma pesquisa de arquivos:
reject_suffixes:
driver = redirect
local_parts = /path/to/file
allow_fail
fail_verify = true
data = :fail: invalid email <$local_part@$domain>
O arquivo apontado por local_parts é apenas uma lista de local_parts para rejeitar:
joe-badsuff1
jane-badsuff2
jack-badsuff1
# etc...
Eu prefiro usar roteadores para fazer isso em vez de ACLs, porque ele captura todos os casos de borda, como mensagens enviadas localmente (e, portanto, que não atrapalham o comando rcpt acl), etc.