Linux 网络端口耗尽

Question

我已经做了尽可能多的研究，而没有直接挖掘内核源代码。关于这个主题似乎有大量虚假信息/不正确信息，所以我希望这能一劳永逸地回答我和其他人的问题。

严格来说，IPv4 端口耗尽真的可能吗？让我解释：

• 貌似有 65535 个端口可供使用。0 不可用。
• 我读过端口耗尽需要 (src ip, src port, dst ip, dst port) 元组是唯一的。
• 明确并假设我可以通过 sysctl net.ipv4.ip_local_port_range 设置使用 100% 的临时端口

这就是问题：它是这样工作的吗？

• 我可以有 65k 个连接，从 127.0.0.1:(x) 到 127.0.0.1:80
• 我可以有 65k 个连接，从 127.0.0.1:(x) 到 127.0.0.1:555
• 基本上再一次，问题是 (srcip,srcport,dstip,dstport) 必须是唯一的，对吗？
• 我无法打开从ip "A" 到 IP "B"、端口 "N" 的超过 65k 个连接
• 同样，单个 IP无法在 xxxx:80 处打开到我的网络服务器的超过 65k 个连接，但是只要它们来自不同的源 IP，我就可以支持超过 65k 的总体连接？

最后，我对（传出）临时端口和正在侦听的传入端口感到有些困惑。我意识到一旦建立连接，连接的每一端都是对等的，但在此之前：

例如，如果确实 (srcip,srcport,dstip,dstport) 元组必须是唯一的，为什么我启用它，例如

net.ipv4.ip_local_port_range = 1024 65535

这允许使用 1024-65535 的临时端口，如果我有绑定在端口 3306（例如 mySQL）上的服务，它们有时会因为端口正在使用而无法启动。

这是否与以下事实有关：（这是我要求验证的声明）：

• (srcip,srcport,dstip,dstport) 对每个连接都需要是唯一的，端口范围为 1-65535（不注意操作系统对临时端口的使用）
• 但是，对于要绑定的套接字，可以将其视为 (srcip,srcport, *, *)。或者换一种说法，IP 是否不能出于任何原因使用该端口来绑定？

我可以验证上述行为，即我使用上面的确切 sysctl 行，因此我将 mySQL 移动到低于 1024 的端口，因为它偶尔会非常随机地无法重新启动，因为假设操作系统正在使用该端口 (3306)对于临时端口。

Answer 1

您在这里有两个主要问题：

1.

严格来说，IPv4 端口耗尽真的可能吗？

是的。例如，负载平衡路由器将所有连接发送到 NAT IP 地址。当您有许多SRC IPs 连接到单个DST IP.

这意味着您的网络服务器可能有一堆连接，例如：

root@buglab:~# netstat -pnt
Active Internet connections (w/o servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 173.200.1.18:80      10.100.1.100:49923        ESTABLISHED 13939/nginx: worker
tcp        0      0 173.200.1.18:80      10.200.1.200:10155        ESTABLISHED 13939/nginx: worker
tcp        0      0 173.200.1.18:80      10.10.1.10:14400        ESTABLISHED 13939/nginx: worker
tcp        0      0 173.200.1.18:80      10.10.1.10:50652        ESTABLISHED 13939/nginx: worker
tcp        0      0 173.200.1.18:80      10.20.1.20:57554        ESTABLISHED 13939/nginx: worker 

这完全没问题。然而，如果所有的“外来地址”都相同，这可能会导致问题（例如“使用一个 IP 地址执行 NAT <---> 服务器的大型路由器”）。

如果我不得不假设为什么临时端口耗尽不是一个常见问题，我建议这是因为每个端口都需要一个侦听服务和足够的资源来响应——另一个资源（内存、cpu）通常首先是瓶颈。

但是，我个人在负载平衡公司工作时遇到了一些端口耗尽问题。

2. 为什么使用的端口会为侦听服务带来问题？

“这允许使用 1024-65535 的临时端口，如果我有绑定在端口 3306（例如 mySQL）上的服务，它们有时会因为端口正在使用而无法启动。”

如果该端口正在使用中，则 mySQL 服务器无法绑定到该端口 - 例如通过 localhost:3306 或在所有接口上。例如，请参阅以下netstat输出中的 0.0.0.0:80 行？

root@buglab:~# netstat -lnp
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State      PID/Program name
tcp        0      0 127.0.0.1:9000          0.0.0.0:*               LISTEN      964/php-fpm.conf)
tcp        0      0 127.0.0.1:3306          0.0.0.0:*               LISTEN      1660/mysqld     
tcp        0      0 0.0.0.0:842             0.0.0.0:*               LISTEN      1317/inetd      
tcp        0      0 0.0.0.0:80              0.0.0.0:*               LISTEN      13938/nginx     

这意味着端口 80 正在侦听服务器本地的所有接口。如果另一个进程在我的nginx服务器启动之前持有端口 80 ，nginx将无法控制该端口，并且可能会导致其启动过程失败。

通常，端口 3306 很好，因为侦听服务具有从主机请求的预定义端口（或范围）——例如，用于网络服务器的端口 80 和 443。