传输层协议端口范围详解
搞服务器维护，绕不开端口问题。你可能经常在防火墙规则、服务配置或者日志里看到各种端口号，比如80、443、22这些。它们不是随机分配的，而是有明确的划分标准，尤其在TCP和UDP这类传输层协议中。
端口号的基本结构
端口号是一个16位的整数，取值范围从0到65535。这个数字用来标识一台主机上的具体服务或进程。比如你访问一个网站，数据包到达服务器后，系统靠端口号知道该交给nginx还是Apache处理。
三类端口划分
按照通用约定，端口被分成三个区间：
1. 熟知端口（Well-Known Ports）：0 - 1023
这类端口是“特权端口”，通常被系统级服务占用。普通用户启动的服务默认不能绑定到这里。常见的有：
- 22 → SSH
- 80 → HTTP
- 443 → HTTPS
- 25 → SMTP邮件发送
你在配置Web服务器时写的listen 80;，就是在告诉Nginx监听这个熟知端口。
2. 注册端口（Registered Ports）：1024 - 49151
这部分端口可以由应用程序向IANA注册使用，避免冲突。很多第三方服务会选在这里。比如：
- 3306 → MySQL数据库
- 5432 → PostgreSQL
- 6379 → Redis
- 9000 → PHP-FPM常用端口
你在部署应用时如果要开放自定义API服务，一般建议从1024起选一个没被占的号，比如8080、8888都挺常见。
3. 动态/私有端口（Dynamic/Private Ports）：49152 - 65535
也叫临时端口（Ephemeral Ports），客户端发起连接时自动分配。比如你用curl访问外部接口，系统会从这个范围挑一个空闲端口作为源端口。
Linux系统可以通过以下命令查看当前使用的临时端口范围：
cat /proc/sys/net/ipv4/ip_local_port_range输出可能是：
`49152 65535`
这表示客户端外连时可用的源端口区间。
实际运维中的注意事项
有时候你会发现服务起不来，报错“Address already in use”。除了确认是否重复启动，还要检查端口是否被其他程序占了。可以用netstat或ss命令排查：
ss -tulnp | grep :8080如果你在做负载均衡或反向代理，注意后端服务别和前端监听端口撞车。比如Nginx监听80，那它转发的目标服务就不能也设成80，得换个像8080这样的注册端口。
另外，防火墙策略也要跟着端口走。比如开了Redis默认的6379，又没加密码，还放通公网访问，等于把数据库大门钥匙挂在网上，风险极高。
有些公司内部微服务之间通信喜欢用高端口号段，比如从30000往上排，就是为了避开常见服务和动态端口区，减少干扰。
小结一下常见误区
有人以为只要端口号大于1023就不用root权限运行服务，其实基本正确，但也有例外。比如某些发行版允许非特权进程绑定低端口，是通过CAP_NET_BIND_SERVICE能力实现的，不过这不是默认行为。
还有人觉得端口只要不冲突就行，随便选。长期来看容易造成管理混乱。建议团队内部统一规划，比如运维出个端口使用表，开发按规范来，省得后期查问题一头雾水。