1、端口占用初探：什么是端口？端口在TLS连接中的作用。
各位好，咱们开始这门课的第一讲。说实话，端口这个概念，很多搞了好几年网络的人，理解得还是有点模糊。我面试的时候经常问一个问题：“TLS握手发生在哪个端口？” 有人脱口而出“443”，然后我就追问：“那443是TLS的端口，还是TCP的端口？” 嗯，这时候很多人就开始犹豫了。
咱们今天就把这个基础打牢。端口到底是什么？它在TLS连接里扮演什么角色？搞清楚了，后面排查端口占用问题，你才能知道问题出在哪一层。
1.1 端口不是物理接口，是逻辑门牌号
先纠正一个常见的误解。端口不是网口、不是USB口，它是一个软件概念。操作系统内核里维护着一张表，每个网络连接都对应一个五元组：
- 源IP
- 源端口
- 目标IP
- 目标端口
- 传输层协议（TCP/UDP）
端口就是这张表里的“门牌号”。一台服务器只有一个IP，但可以同时跑Web服务、数据库服务、SSH服务。怎么区分数据包该交给谁？靠端口。
核心理解：端口是传输层（TCP/UDP）的标识，不是应用层的。TLS跑在TCP之上，所以TLS本身没有端口的概念，它用的是TCP端口。
我记得刚入行那会儿，有个同事排查问题，在防火墙上配了允许443端口，结果TLS连接还是失败。折腾了半天，发现他配的是UDP 443，而HTTPS用的是TCP 443。你看，端口和协议是绑定的，光看端口号不够。
1.2 端口范围：从0到65535
端口号是一个16位的整数，范围0~65535。咱们平时接触的主要分三类：
| 分类 | 范围 | 说明 | 常见例子 |
|---|---|---|---|
| 知名端口 | 0~1023 | 由IANA分配，需要root权限才能绑定 | 80(HTTP)、443(HTTPS)、22(SSH) |
| 注册端口 | 1024~49151 | 可由用户程序绑定，通常用于应用服务 | 3306(MySQL)、6379(Redis)、8080(代理) |
| 动态/私有端口 | 49152~65535 | 客户端临时使用，由系统自动分配 | 浏览器发起连接时的源端口 |
这里有个坑，我必须要提醒你。很多新手写服务端程序，喜欢用8000、8888这种端口，觉得好记。但你要知道，有些端口虽然不在知名端口范围，但已经被一些常用软件占用了。比如8080，Tomcat默认用这个，你再用就容易冲突。
避坑指南：我曾经在一个生产环境遇到过，运维把监控agent的端口配成了9100，结果跟Node Exporter的默认端口撞了。两个进程争同一个端口，服务反复重启。所以，选端口之前，先查一下IANA的端口列表，或者用netstat -tuln看看当前占用情况。
1.3 端口在TLS连接中的角色
好，现在咱们聚焦到TLS。一个典型的TLS连接，从底层到上层是这样的：
+-----------------------+
| 应用层数据 (HTTP) |
+-----------------------+
| TLS记录层 (加密) |
+-----------------------+
| TCP传输层 (端口) |
+-----------------------+
| IP网络层 |
+-----------------------+
| 链路层 |
+-----------------------+端口在TCP层。TLS握手开始之前，必须先建立TCP连接。而TCP连接的建立，靠的就是目标IP:目标端口这个组合。
举个例子，你访问 https://example.com:443：
- 浏览器先解析域名拿到IP，比如
93.184.216.34 - 然后发起TCP三次握手，目标端口是443
- TCP连接建立成功后，才开始TLS握手
- TLS握手完成，才传输加密的HTTP数据
你看，端口是TCP层面的东西。TLS根本不知道端口的存在，它只关心自己收到的字节流是不是加密的。
个人经验：我排查过很多TLS连接失败的问题，有一半以上其实不是TLS的问题，而是TCP连接没建立起来。原因就是端口被占用了，或者防火墙把端口封了。所以，遇到TLS报错，第一步不是看证书，而是先确认TCP端口通不通。
1.4 端口占用：到底是谁占了谁的位？
端口占用，说白了就是一个端口在同一时间只能被一个socket绑定。如果你启动服务时提示“Address already in use”，那就是端口被占了。
但这里有个细节，很多人搞混。端口占用分两种情况：
- 服务端端口占用：一个进程绑定了0.0.0.0:443，另一个进程再想绑定同一个端口，就会失败。这是最常见的。
- 客户端端口占用：客户端发起连接时，系统会分配一个临时端口（49152~65535）。如果短时间内发起大量连接，临时端口用完了，就会报错“Cannot assign requested address”。
我举个例子，你想想看。一个Nginx服务器监听443端口，同时处理1万个TLS连接。这1万个连接，服务端都是443端口，但客户端的源端口各不相同。所以，端口占用的本质是五元组冲突，不是简单的端口号重复。
关键点：服务端端口冲突，是绑定失败；客户端端口耗尽，是分配失败。两者的排查思路完全不同。咱们这门课后面会分别讲这两种场景。
1.5 一张图看懂端口与TLS的关系
说了这么多，咱们用一张SVG图把整个逻辑串起来。这张图展示了从用户输入URL到TLS连接建立的完整流程，重点标出了端口在哪个环节起作用。
这张图把流程分成了五步。注意看，端口只出现在TCP三次握手这一步。后面的TLS握手，根本不关心端口号是多少。所以，当你遇到TLS连接失败，先检查TCP层，再检查TLS层，这个顺序不能乱。
1.6 本章小结
咱们这一章把端口的基础讲透了。总结几个要点：
- 端口是TCP层的逻辑标识，不是物理接口
- TLS本身没有端口概念，它依赖TCP端口
- 端口占用的本质是五元组冲突，不只是端口号重复
- 排查TLS问题，先确认TCP端口通不通