端口范围与保留端口是什么
NAT 转换使用的源端口并非随机无限，而是从可配置的端口范围中分配。把范围与业务端口规划开，能减少两类冲突：一是与内部服务、对外发布服务争抢端口，二是与监管或合作方要求的端口约定冲突。规范做法是按用途给不同出口分配不同的公网地址池与端口范围——上网出口用端口复用，发布地址只做目的映射，VPN 互访用固定地址不做转换。
基本信息
| 可配置项 | 源端口分配范围、地址池模式（复用或一对一） |
|---|---|
| 分配机制 | PAT 场景下按源地址与端口动态分配并记录映射关系 |
| 规划建议 | 避开众所周知端口区，按业务分池，发布与上网地址分离 |
| 容量关系 | 地址与端口范围共同决定并发会话上限 |
| 监管要求 | 部分行业要求端口分配可追溯、日志可核对 |
典型使用场景
- 多出口地址规划：为不同用途划分独立地址池与端口范围
- 高并发业务上线：评估端口范围是否足以支撑并发会话量
- 发布服务与上网出口共用公网地址时，需要把发布端口从动态分配范围中排除
- 与外部系统对接：对端要求从固定地址与端口发起访问
- 内网服务与企业内部系统端口冲突，需要调整转换端口范围
- 审计准备：说明端口分配规则与日志留存方式
规划示例
规划示例
# 上网出口池：203.0.113.10-15，端口复用（PAT）
# 对外发布地址：203.0.113.20-29，仅做目的映射，不参与源转换
# VPN 与专线互访：203.0.113.30，固定一对一，不做端口复用
# 动态分配端口范围避开常用保留端口段
# 地址池按业务用途命名，便于日志与台账对应池类型对照
| 池类型 | 特点 | 适用场合 |
|---|---|---|
| 端口复用（PAT） | 多用户共享地址与端口范围 | 内网上网出口 |
| 一对一（NO-PAT） | 地址与内网主机固定对应 | 需要固定来源地址的对接 |
| 仅目的映射 | 只做入向映射，不参与源转换 | 对外发布服务地址 |
| 专用出口 | 独立地址与端口的策略路由出口 | 关键业务专线互访 |
把对外发布地址与上网出口地址分开规划，审计与故障定位会简单很多：看到某个公网地址就能判断是入向服务还是上网出口。
端口范围配置过窄时，高并发业务会提前耗尽端口，表现是随机连接失败而带宽与资源都正常，很难直接联想到端口耗尽。