端口耗尽是怎么回事
源地址转换时每个公网地址可用端口数量级在六万左右（还需扣除系统保留段），并且同一协议同一目的地址下的端口组合才可复用。当并发会话长期高位运行，地址池端口被占满，新的连接分配不到端口，表现为高峰时段部分用户间歇性无法上网，而带宽利用率看起来并不高。
基本信息
| 适用平台 | 华为 USG、H3C SecPath、深信服 AF 等提供源 NAT 地址池的设备 |
|---|---|
| 典型现象 | 部分用户间歇性无法新建连接，已建立的连接不受影响 |
| 关键指标 | 地址池端口使用率、当前会话数、单 IP 会话数、新建失败计数 |
| 缓解手段 | 扩大地址池、治理异常外联、限制单 IP 并发会话 |
典型使用场景
- 校园网与公共出口：大量终端共享少量公网地址，白天高峰最容易触发
- 网吧与营业厅：P2P 类应用把单机会话数拉到很高，快速吃满端口
- 内网存在异常外联：中毒主机扫描外网会瞬间产生大量会话
- 地址池规划偏小：新增用户或业务后未同步扩容地址池
- 会话老化偏长：大量空闲会话长期占用端口，可用端口被无效占用
处置顺序
处置顺序
1. 采集高峰时段会话总数与地址池端口使用率，确认是否接近上限
2. 按源 IP 排序定位会话数异常高的内部主机
3. 短期措施：扩池或按协议调整老化时间
4. 长期措施：限制单 IP 并发会话数，治理 P2P 与异常外联
5. 建立端口使用率监控与阈值告警，避免再次被动发现指标与判读
| 指标 | 含义 | 异常表现 |
|---|---|---|
| 地址池端口使用率 | 已用端口占可用端口比例 | 持续高于八成需扩池 |
| 单 IP 会话数 | 单个内网主机占用会话数 | 远超同网段均值多为异常外联 |
| 新建连接失败计数 | 端口分配失败次数 | 增长即代表用户已受影响 |
| 会话平均存活时间 | 会话老化与业务匹配度 | 异常偏长说明空闲会话未回收 |
端口耗尽通常是存量问题，一次扩容只能缓解；不做行为治理与监控，几个月后会在同一时段再次出现。