Não teve nada a ver com o Postfix. Foi firewall bloqueando o usuário postfix para se comunicar com a porta 25.
O csf tem configuração SMTP BLOCK e essa configuração foi confusa. Como o postfix é executado com o usuário postfix, o csf tornou o proprietário do usuário root da porta 25 para que nenhum usuário, além do root, enviasse os e-mails, mas os e-mails encaminhados estavam sendo enviados como usuário postfix. Então, adicionando o postfix aos proprietários da porta 25, o problema foi resolvido.