TCP 端口耗尽导致连接失败的解决方案

在最近的系统部署过程中，遇到了一个复杂的问题：尽管某台特定主机能够成功ping通服务端，但在尝试连接服务端的特定服务端口时却以失败告终。与此同时，同一网段内的其他主机均能顺利访问该服务，且所有主机均遵循相同的安全策略。为了找出问题的根源，展开了一系列详尽的排查工作。

问题分析

首先，使用netstat -an命令对受影响的主机进行了检查，发现存在大量处于TIME_WAIT状态的连接。TIME_WAIT状态意味着这些连接虽然已经关闭，但相关的端口号在一段时间内（通常为2倍的MSL，即Maximum Segment Lifetime，最大报文段寿命）内仍然无法被重用。这导致了可用端口的数量减少，从而可能阻止新的连接建立。

此外，还尝试通过telnet 127.0.0.1 3389命令连接本地主机的3389端口，但同样未能成功，这进一步证实了问题的存在。接着，使用netsh int ipv4 show dynamicport tcp命令查询动态端口的配置，发现系统默认只分配了16384个动态端口（在1024至65535之间，理论上应有64511个可用端口）。这表明，由于某些原因，动态端口的分配受到了限制，从而加剧了端口耗尽的问题。

解决方案

针对上述问题，总结了以下几种解决方案：

方案一：调整系统的动态端口范围

为了增加可用端口的数量，可以调整系统的动态端口范围。在Windows操作系统中，管理员可以使用netsh命令来修改这一设置。具体步骤如下：

打开命令提示符（以管理员身份运行）。输入以下命令来设定新的动态端口范围：

netsh int ipv4 set dynamicport tcp start=新起始端口号 num=端口数量

例如，如果希望将动态端口范围设置为从20000开始，总共包含10000个端口，可以执行如下命令：

netsh int ipv4 set dynamicport tcp start=20000 num=10000

请注意，新的起始端口号和端口数量应根据实际情况进行选择，以确保不会与任何已知服务或应用程序使用的固定端口产生冲突。

方案二：重启服务器

重启服务器可以释放所有处于TIME_WAIT状态的连接，从而释放被占用的端口。但这种方法仅适用于临时解决问题，且可能带来数据丢失或服务中断的风险。因此，在采取此方案之前，请务必确保已经备份了所有重要数据，并通知相关使用者。

方案三：等待端口自动释放

如果问题不是非常严重，也可以考虑等待处于TIME_WAIT状态的连接自然超时并释放端口。然而，这种方法可能需要较长的时间，且无法保证在紧急情况下能够迅速解决问题。由于不是特别着急，所以采用了此最保守的方法，等待了一段时间后测试访问恢复正常。

原文始发于微信公众号（网络个人修炼）：TCP 端口耗尽导致连接失败的解决方案