1. 端口占用初探：什么是端口？端口号范围与分类
各位同学好，我是老周。做网络抓包这么多年，我见过太多因为端口问题翻车的案例了。今天咱们就从最基础的概念开始，把「端口」这个老朋友彻底聊透。
你想想看，一台服务器上跑着 Web 服务、数据库、邮件服务……数据包到了服务器网卡，系统怎么知道该交给哪个程序？这就是端口存在的意义。
一句话总结：端口是操作系统用来区分不同网络服务的逻辑编号，范围 0~65535。IP 地址找到主机，端口号找到进程。
1.1 端口到底是个什么东西？
端口不是物理接口，它是个软件概念。你可以把 IP 地址想象成酒店的门牌号，端口就是酒店里的房间号。数据包到了酒店前台（网卡），前台根据房间号（端口号）把信件送到对应的客人（进程）手里。
我记得刚入行时有个同事死活想不通：「端口就一个数字，怎么就能区分服务了？」 其实说白了，端口是传输层协议（TCP/UDP）头部里的一个字段，占 16 位。系统维护着一张映射表，记录着哪个端口对应哪个进程。数据包一来，内核查表，直接投递。
避坑指南：我曾经在排查一个诡异问题时，发现两台机器明明 IP 通，但服务就是连不上。抓包一看，客户端发的 SYN 包目标端口是 8080，服务器上 Web 服务却监听在 8081。端口号差一位，全白搭。所以排查端口占用时，第一件事就是确认监听端口对不对。
1.2 端口号范围与分类
16 位端口号，范围 0~65535。IANA（互联网数字分配机构）把这 6 万多个端口分成了三类。我习惯用一张表来记：
| 分类 | 范围 | 数量 | 典型用途 |
|---|---|---|---|
| 知名端口 | 0 ~ 1023 | 1024 个 | 系统服务、标准协议 |
| 注册端口 | 1024 ~ 49151 | 48128 个 | 用户应用程序、非标准服务 |
| 动态/私有端口 | 49152 ~ 65535 | 16384 个 | 客户端临时连接、NAT 转换 |
1.3 知名端口（0~1023）
这部分端口是「特权端口」。什么意思？在 Linux/Unix 系统上，只有 root 或管理员权限才能绑定这些端口。为什么这么设计？你想想看，如果普通用户也能开一个 SSH 服务在 22 端口，那系统安全就形同虚设了。
常见的知名端口我闭着眼都能背：
- 21 — FTP 控制端口
- 22 — SSH 远程登录
- 23 — Telnet（现在基本不用了，不安全）
- 25 — SMTP 邮件发送
- 53 — DNS 域名解析
- 80 — HTTP 网页服务
- 443 — HTTPS 加密网页
- 3306 — MySQL 数据库
- 5432 — PostgreSQL 数据库
- 6379 — Redis 缓存
注意：知名端口不是「只能给这个服务用」，而是「建议给这个服务用」。你完全可以把 HTTP 服务开在 8080 端口，但用户访问时就得手动输入端口号。我见过有人把 SSH 改到 2222 端口来防扫描，效果嘛……只能说防君子不防小人。
1.4 注册端口（1024~49151）
这部分端口给用户应用程序使用。IANA 虽然也做了注册登记，但实际使用中大家经常「抢地盘」。比如 8080 端口，官方注册给的是 HTTP 备用端口，但 Tomcat、Jenkins、很多 Java 应用都默认用它。
我个人习惯把公司内部服务都规划在 10000~20000 这个段，避免跟公共端口冲突。你在生产环境部署时，一定要先查一下目标端口有没有被其他服务占用。
1.5 动态端口（49152~65535）
这部分也叫临时端口。客户端主动发起连接时，操作系统会从这段里随机挑一个空闲端口作为源端口。连接结束后，端口释放，可以被下一个连接复用。
为什么会这样？你打开浏览器访问百度，你的电脑不可能用 80 端口去连百度吧？80 端口是留给 Web 服务的。客户端必须用一个临时端口，比如 54321，作为自己的「回信地址」。百度服务器回复时，就把数据包发到 54321 端口，你的浏览器就能收到。
实战经验：我曾经排查过一个高并发场景下的端口耗尽问题。服务器每秒处理上万个连接，每个连接占用一个临时端口。连接释放后，端口进入 TIME_WAIT 状态，要等 2MSL 才能复用。结果临时端口池被耗光，新连接全部失败。解决方案？要么调大临时端口范围，要么开启端口复用（SO_REUSEADDR）。
1.6 一张图看懂端口分类体系
下面这张 SVG 图把端口分类的逻辑关系画清楚了，建议你保存下来当桌面参考：
1.7 端口占用的本质
说了这么多，到底什么是「端口占用」？说白了，就是一个端口在同一时间只能被一个进程监听。如果你启动 Web 服务时提示 Address already in use，那就是端口被占了。
我教你一个快速排查命令：
# Linux 查看端口占用
netstat -tlnp | grep 8080
# 或者用 ss 命令（更快）
ss -tlnp | grep 8080
# Windows 下用
netstat -ano | findstr 8080输出结果会告诉你哪个进程（PID）占用了这个端口。找到进程后，要么 kill 掉，要么换端口。
注意：端口占用不一定是坏事。比如你故意让 Nginx 占着 80 端口，别人就抢不走了。但如果是未知进程占用了关键端口，那就要警惕了——可能是挖矿程序、后门木马在监听。我在一次安全审计中就发现服务器 4444 端口被未知进程占用，一查果然是反弹 Shell。
1.8 本章小结
端口是网络通信的基石，理解它的分类和原理，是排查端口占用问题的第一步。记住三个关键点：
- 端口是逻辑编号，不是物理接口
- 0~1023 是特权端口，需要管理员权限
- 动态端口用完即弃，高并发下可能耗尽