问题背景

在你所不知道的端口耗尽(一)中,介绍了经典的客户端端口耗尽问题,在本篇文章中会介绍另外一种端口耗尽问题,即SNAT端口耗尽

什么是SNAT

SNAT是源网络地址转换(Source Network Address Translation)的缩写,它是网络地址转换(NAT)的一种形式。SNAT主要用于将内部网络的私有IP地址转换为外部网络可见的公共IP地址。在互联网通信中,源IP地址通常是内部设备的私有IP地址,它不会被互联网上的其他设备识别。通过使用SNAT,网关设备可以将这些私有地址转换为一个或多个已注册的公共IP地址,使得内部设备能够与外部网络进行通信而无需直接暴露它们的私有IP地址。

端口是有限的

因为IPv4地址的不足,NAT技术非常普遍,它也加剧了端口号的需求。每个IPv4地址最多可以拥有65535个端口(0-65535,但0-1023通常保留给特定用途,所以实际可用端口更少)。因为每个NAT映射都需要一个独立的端口,所以在有大量内部设备和外部通信时,可能会发生端口耗尽事件。当所有端口号都被占用时,新的网络连接将无法建立,这会导致网络服务不可用或性能下降。

拓展阅读 1 - Azure的出站连接方法

  • 使用Load Balancer的前端IP地址建立出站连接,每个IP地址可提供64K的端口
    image

  • 将 NAT 网关关联到子网,NAT 网关具有高度的可扩展性和可靠性,没有 SNAT 端口耗尽的问题。
    image

  • 将公共 IP 分配到虚拟机,未使用 SNAT
    image

拓展阅读 2 - SNAT port可以同时用于TCP和UDP

SNAT(源地址转换,或称为源NAT)通常工作在网络层上,因此它是独立于传输层协议的。这意味着SNAT既可以用于TCP(传输控制协议)也可以用于UDP(用户数据报协议),甚至其他传输层协议。

拓展阅读 3 - 如果目标端口不同,则可以将一个 TCP SNAT 端口用于到同一目标 IP 的多个连接

在TCP连接中,一个连接由四个元组来唯一确定:源IP地址、源端口号、目标IP地址和目标端口号。只要这四个元素中的任意一个不同,就可以创建一个新的唯一连接。因此,如果内部设备都使用同一个外部IP地址(SNAT后的地址)连接到同一个目标IP的不同目标端口,它们可以共享同一个源端口号。

如何解决

  • 新增IP
  • 考虑用NAT Gateway
  • 修改应用程序以重复使用连接
  • 修改应用程序以使用连接池

标签: none

添加新评论