1. 端口复用基础：到底什么是端口复用？
各位同学好，我是老周。今天咱们正式开始《端口复用抓包诊断实战》的第一章。
端口复用这个词，我估计不少人都听过。但真要问起来，很多人会把它和端口转发搞混。我自己刚入行那会儿也犯过这个错——在客户现场调试了整整一下午，最后发现根本不是端口复用的问题，而是转发规则配错了。嗯，那场面挺尴尬的。
所以第一章，咱们先把地基打牢。搞清楚三个问题：
- 端口复用到底是什么？
- 它用在哪些地方？
- 它和端口转发有什么区别？
别小看这些基础概念。我见过太多工程师，抓包抓得挺溜，但一分析就翻车，根子就在概念没吃透。咱们慢慢来。
1.1 什么是端口复用？
先看一个最直白的定义：端口复用，就是让多个服务或连接共享同一个端口号。
你想想看，一台服务器上只有一个 80 端口。但可能有几百个用户同时访问你的网站。每个用户都建立一个 TCP 连接，这些连接的目标端口都是 80。为什么不会冲突？
因为 TCP 连接是靠四元组区分的：
四元组 = 源 IP + 源端口 + 目标 IP + 目标端口
只要四元组中任意一个元素不同，就是不同的连接。
举个例子：
| 连接 | 源 IP | 源端口 | 目标 IP | 目标端口 |
|---|---|---|---|---|
| 用户 A | 192.168.1.10 | 50001 | 10.0.0.1 | 80 |
| 用户 B | 192.168.1.11 | 50002 | 10.0.0.1 | 80 |
| 用户 C | 192.168.1.10 | 50003 | 10.0.0.1 | 80 |
看到没？三个连接的目标端口都是 80，但源 IP 或源端口不同，所以完全独立。这就是端口复用的底层原理——操作系统通过四元组来区分连接，而不是只看目标端口。
我个人习惯把端口复用分成两类：
- 自然复用：多个客户端连接同一个服务端端口，这是 TCP/IP 协议栈自带的特性。
- 主动复用：通过软件手段，让多个服务共享同一个端口。比如用 Nginx 反向代理，把 80 端口的请求分发给不同的后端服务。
一个小技巧：在 Linux 上用 ss -tln 查看监听端口，你会发现同一个端口只能被一个进程监听。但已经建立的连接可以有很多个，这就是自然复用。
1.2 端口复用的应用场景
说实话，端口复用无处不在。我挑几个最典型的场景说说。
场景一：高并发 Web 服务
这是最常见的。一台 Nginx 服务器监听 80 端口，同时处理成千上万的用户请求。每个请求都是一个独立的 TCP 连接，但目标端口都是 80。
我在项目中遇到过一个问题：某电商平台大促期间，服务器突然拒绝新连接。抓包一看，源端口用完了！因为每个连接都要占用一个本地临时端口，默认范围只有 28000 个左右。后来调整了 net.ipv4.ip_local_port_range 才解决。
注意：端口复用不是无限的。每个连接都要消耗系统资源（文件描述符、内存等）。高并发场景下，要同时关注端口范围和系统资源限制。
场景二：端口映射与 Docker
Docker 容器里跑着多个服务，但宿主机只有一个 IP。怎么让外部访问这些服务？
答案就是端口映射。比如：
docker run -p 8080:80 nginx
docker run -p 8081:80 apache宿主机用 8080 和 8081 两个端口，分别映射到两个容器的 80 端口。这其实也是一种端口复用——宿主机端口和容器端口之间建立了一对一的映射关系。
场景三：内网穿透与隧道
你家里有台 NAS，想在外面访问。但运营商没给你公网 IP。怎么办？
用 frp 或 ngrok 这类工具。它们会在公网服务器上开一个端口，然后把所有流量通过隧道转发到你家 NAS 上。公网服务器的那个端口，同时为多个用户提供服务——这也是端口复用。
场景四：负载均衡
LVS、HAProxy 这些负载均衡器，本质上也是在复用端口。它们监听一个虚拟 IP 的端口，然后把请求分发到后端的多台真实服务器上。
我曾经帮一个客户排查过 LVS 的诡异问题：客户端偶尔超时，但抓包发现 SYN 包已经发出去了，服务端也回了 SYN+ACK。最后发现是端口复用参数 net.ipv4.tcp_tw_reuse 没开，导致 TIME_WAIT 状态的端口被重复使用时报错。
1.3 端口复用与端口转发的区别
这个问题我每次培训都会被问到。咱们直接上对比表：
| 对比维度 | 端口复用 | 端口转发 |
|---|---|---|
| 核心目的 | 让多个连接/服务共享一个端口 | 把流量从一个端口搬到另一个端口 |
| 工作层次 | 传输层（TCP/UDP） | 传输层或应用层 |
| 典型实现 | SO_REUSEADDR、多路复用、反向代理 | iptables 规则、rinetd、ssh 隧道 |
| 是否修改数据 | 通常不修改，只区分连接 | 可能修改目标地址和端口 |
| 典型场景 | 高并发 Web、容器端口映射 | 内网穿透、端口跳板、流量劫持 |
说白了，端口复用是「一个端口多人用」，端口转发是「一个流量换个地方去」。
举个例子你就明白了：
- 端口复用：公司前台只有一个电话座机（端口 80），但所有客户都能打进来。前台根据客户找谁（四元组），把电话转给不同的人（不同的连接）。
- 端口转发：前台接到电话后，说「这事不归我管，你打 12345 吧」，然后把电话挂断，让你重新拨号。或者前台直接帮你把电话转接到另一个分机上。
当然，实际工程中两者经常配合使用。比如：
# iptables 端口转发 + 端口复用
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080这条规则把 80 端口的流量转发到 8080 端口。而 8080 端口上可能跑着 Nginx，Nginx 又在复用这个端口处理多个连接。
记住一句话：端口复用解决的是「怎么让多个连接共用同一个入口」的问题；端口转发解决的是「怎么把流量送到正确的地方」的问题。两者不是替代关系，而是互补关系。
本章小结
咱们用一张图把本章的核心逻辑串起来：