XMPP 与 5222 端口
XMPP（原 Jabber）是基于 XML 流的即时通讯与在线状态协议，5222 是客户端连接服务端的默认端口（RFC 6120 语境）：登录、收发消息、花名册同步都走这条链路。服务端之间的互通使用 5269，基于 HTTP 的 BOSH 与 WebSocket 接入使用 5280/5281。历史上 5222 常直接裸传 XML，现代部署要求在同一端口上用 STARTTLS 升级加密。
基本信息
| 服务 | XMPP 客户端连接（c2s） |
|---|---|
| 端口/协议 | TCP 5222，可用 STARTTLS 升级 |
| 相关端口 | 5269 服务端互通；5280/5281 BOSH 与 WebSocket |
| 典型实现 | Prosody、ejabberd、Openfire、各类 IM 网关 |
| 权限要求 | 用户凭账号登录；服务端配置需管理员 |
| 安全等级 | 面向用户开放，须强制 TLS 与强认证 |
典型使用场景
- 企业内网自建 IM：Openfire 或 ejabberd 提供 5222 供客户端登录
- 多平台消息桥接：把 XMPP 与其他 IM 协议互转的中转服务
- 自动化与监控通知：用 XMPP 做轻量消息通道与在线状态检测
- 社区与论坛的实时聊天组件，多基于 XMPP 群聊扩展
- 排障验证：直接连 5222 判断服务端与账号体系是否正常
连通性与加密验证
连通性与加密验证
nc -zv im.example.com 5222 # 端口连通性
openssl s_client -connect im.example.com:5222 -starttls xmpp </dev/null | head -20 # 验证 STARTTLS 升级
sudo ss -lntp | grep -E ':522[23] ' # 本机监听与服务归属
# ejabberd 的 listen 段关键配置
# port: 5222
# module: ejabberd_c2s
# starttls: true
# Prosody: c2s_ports = { 5222 }，并启用 c2s_require_encryption = trueXMPP 端口分工
| 端口 | 用途 | 加密方式 |
|---|---|---|
| 5222 | 客户端登录与消息收发（c2s） | STARTTLS 升级 |
| 5223 | 旧的直连 TLS 变体 | 连接即 TLS |
| 5269 | 服务端之间互通（s2s） | STARTTLS 或直连 TLS |
| 5280/5281 | BOSH 与 WebSocket 接入 | 可选或强制 TLS |
部署与运维要点
- 域名与端口要在 DNS 的 SRV 记录中登记，客户端才能自动发现服务端
- 5222 建议只对办公网开放，公网接入尽量走 WebSocket 或经反向代理收敛
- 集群部署时把 c2s 与 s2s 分到不同节点，便于按端口做访问控制
- 账号注册接口应关闭或加邀请码，开放注册会被批量滥用发垃圾消息
- 会话日志中的 JID 与消息元数据属隐私数据，保留期限按合规要求设定
XMPP 身份用 JID（user@domain/resource）表示，排障时先确认域名与主机名一致：证书、s2s 互通与花名册都依赖 DNS 中的 SRV 记录，例如 _xmpp-client._tcp 与 _xmpp-server._tcp。
未强制 TLS 的 5222 会被中间人降级为明文，口令与消息内容可被截获；服务端应开启 starttls 强制要求，并在证书到期前完成更新，否则客户端会直接拒绝连接。