4.9.5 连接数与端口管理（TIME_WAIT、端口范围、连接跟踪）

连接数与端口管理是网络性能稳定性的基础，重点关注 TIME_WAIT 过多、端口范围不足、连接跟踪耗尽等问题。本节从原理、关键参数、实操示例、排错流程与练习五个方面展开，确保可执行、可验证。

原理草图：连接状态与端口资源#

文章图片

连接状态与 TIME_WAIT 管理#

TIME_WAIT 是 TCP 主动关闭方的正常状态，用于防止旧包干扰新连接。过多 TIME_WAIT 会占用本地端口与内存，但不应简单“消除”。

关键命令与说明#

# 1) 统计全局连接状态（含TIME_WAIT、ESTAB等）
ss -s

# 2) 统计TIME_WAIT数量
ss -tan state time-wait | wc -l

# 3) 统计本机作为客户端的出向连接（常见端口耗尽场景）
ss -tan state time-wait '( sport >= 1024 )' | wc -l
  • ss -s：输出连接状态汇总
  • ss -tan：显示TCP连接，-t TCP，-a all，-n 数字形式
  • state time-wait：筛选 TIME_WAIT 状态

参数配置与示例#

# 查看临时端口范围
sysctl net.ipv4.ip_local_port_range

# 临时调整端口范围（重启失效）
sysctl -w net.ipv4.ip_local_port_range="10240 65535"

# 开启TIME_WAIT复用（仅客户端，需timestamp支持）
sysctl -w net.ipv4.tcp_tw_reuse=1
sysctl -w net.ipv4.tcp_timestamps=1

# 永久配置（/etc/sysctl.d/99-net.conf）
cat > /etc/sysctl.d/99-net.conf << 'EOF'
net.ipv4.ip_local_port_range = 10240 65535
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_timestamps = 1
EOF

sysctl --system

排错示例：端口耗尽#

现象：应用报错 connect: cannot assign requested address

# 1) 观察TIME_WAIT数量
ss -tan state time-wait | wc -l

# 2) 确认端口范围
sysctl net.ipv4.ip_local_port_range

# 3) 查看端口是否被大量占用
ss -tan | awk '{print $4}' | awk -F: '{print $NF}' | sort | uniq -c | sort -nr | head

判断
- TIME_WAIT 数量高且端口范围窄 → 端口耗尽
- 应用短连接为主 → 优先优化连接复用

端口范围与本地端口耗尽#

大量短连接或高并发外联会消耗本地临时端口。

示例：构造短连接压测（本机到远端）#

# 使用 curl 并发发起短连接（示例10并发*100次）
seq 1 100 | xargs -n1 -P10 -I{} curl -s http://10.0.0.10:8080/health >/dev/null

端口范围扩展示例#

# 扩展端口范围并验证
sysctl -w net.ipv4.ip_local_port_range="2000 65535"
sysctl net.ipv4.ip_local_port_range

预期效果
- TIME_WAIT 数量不变时，可用端口更多
- 客户端连接失败概率下降

连接跟踪（conntrack）管理#

在启用 NAT、防火墙或容器网络时，连接跟踪表可能成为瓶颈。

原理草图：连接跟踪路径#

文章图片

关键命令与说明#

# 当前使用量
cat /proc/sys/net/netfilter/nf_conntrack_count

# 最大上限
cat /proc/sys/net/netfilter/nf_conntrack_max

# 查看conntrack告警
dmesg | grep -i conntrack

调优示例#

# 临时提升conntrack上限
sysctl -w net.netfilter.nf_conntrack_max=262144

# 永久配置
cat > /etc/sysctl.d/99-conntrack.conf << 'EOF'
net.netfilter.nf_conntrack_max = 262144
net.netfilter.nf_conntrack_tcp_timeout_established = 600
EOF

sysctl --system

参数解释
- nf_conntrack_max：最大跟踪连接数
- nf_conntrack_tcp_timeout_established：已建立连接的跟踪超时（秒）

排错示例：conntrack耗尽#

现象：日志提示 nf_conntrack: table full

# 1) 检查使用率
count=$(cat /proc/sys/net/netfilter/nf_conntrack_count)
max=$(cat /proc/sys/net/netfilter/nf_conntrack_max)
echo "conntrack: $count / $max"

# 2) 临时扩大并观察
sysctl -w net.netfilter.nf_conntrack_max=$((max*2))

# 3) 复查告警是否消失
dmesg | tail -n 20 | grep -i conntrack

典型问题与定位流程#

症状：连接失败、握手慢、端口耗尽#

  1. ss -s 获取连接总览
  2. ss -tan state time-wait | wc -l 观察 TIME_WAIT
  3. 检查应用连接池与短连接策略
  4. 查看端口范围 sysctl net.ipv4.ip_local_port_range

症状：NAT/容器网络性能下降#

  1. 查看 conntrack 使用率
  2. dmesg | grep -i conntrack 检查告警
  3. 调整 nf_conntrack_max 与超时参数
  4. 评估是否需要减少不必要的跟踪路径

最佳实践#

  • 优先优化连接模型（长连接、连接池），避免盲目调参
  • 扩展端口范围，合理启用 tcp_tw_reuse
  • NAT/容器环境提前评估 conntrack 容量
  • 通过压测验证调整效果并形成基线

练习#

  1. 在测试环境执行短连接压测，记录 TIME_WAIT 数量与端口范围调整前后差异。
  2. 将 nf_conntrack_max 提升 2 倍，观察 nf_conntrack_count 变化并恢复原值。
  3. 结合应用连接池配置，减少 50% 短连接请求，验证 TIME_WAIT 是否下降。