一招搞定TCP孤儿连接引起的端口占用！

周六群里大佬发了一篇文章，招搞是定T的端关于TCP keepalive相关的，其中有一段是孤儿关于孤儿连接的，这里引用下

什么是连接孤儿连接?

以 redis 做实现吧，client 172.24.213.40,引起用 server 172.24.213.39. 在 client 端开启两个 session, 分别连接 server 和 tcpdump

会看到 client 每隔 15s 会发送空的 ACK 包给 server, 并收到 server 返回的 ACK, 实际上这就是 client 端的 tcp keepalive 在起作用。然后我们在 server 设置 iptables,口占 人为制造网络隔离

root@myali:~# iptables -I INPUT -s 172.24.213.40 -j DROP;iptables -I OUTPUT -d 172.24.213.40 -j DROP;iptables -nvL 

过一会查看 client tcpdump 输出

14:05:14.563481 IP 172.24.213.40.38470 > 172.24.213.39.6380: Flags [.], ack 11469, win 559, options [nop,nop,TS val 3222339035 ecr 1210531111], length 0 14:05:19.683482 IP 172.24.213.40.38470 > 172.24.213.39.6380: Flags [.], ack 11469, win 559, options [nop,nop,TS val 3222344155 ecr 1210531111], length 0 14:05:24.803489 IP 172.24.213.40.38470 > 172.24.213.39.6380: Flags [.], ack 11469, win 559, options [nop,nop,TS val 3222349275 ecr 1210531111], length 0 14:05:29.923486 IP 172.24.213.40.38470 > 172.24.213.39.6380: Flags [R.], seq 18, ack 11469, win 559, options [nop,nop,TS val 3222354394 ecr 1210531111], length 0 

client 172.24.213.40 每 5s 发送一个 ACK 三次，最后发一个 RST 包销毁连接。招搞当然这个 RST redis-server 肯定也没有接收到。定T的端过一会将 server 防火墙删除

root@myali:~# iptables -D INPUT -s 172.24.213.40 -j DROP;iptables -D OUTPUT -d 172.24.213.40 -j DROP;iptables -nvL 

此时再分别查看网络连接 ss -a | grep 6380,孤儿 会发现 client 端消失了，但是连接 server 端的还在，状态仍然是引起用 ESTAB

root@myali:~# ss -a | grep 6380 tcp   ESTAB    0      0   172.24.213.39:6380   172.24.213.40:38470 

这就是孤儿连接

孤儿连接会造成什么问题?

这种孤儿连接，首先会占用资源，口占然后如果你想处理，招搞不管你通过什么方法，定T的亿华云计算端比如lsof查看占用该端口的孤儿进程，会发现，无法定位进程号，因为进程已经退出了，它不是进程层面的连接

还有一种运维常见的场景

此时如果你想启动相同端口的应用，或者进程，还会发现端口已被占用，无法启动，停止进程，会发现该TCP连接不属于进程管理，无法停止

这个时候怎么做?介绍一款专门针对这种TCP连接的工具

Killcx

Killcx is a Perl script to close a TCP connection under Linux, whatever its state is (half-open, established, waiting or closing state).

这是官方的解释，Killcx就是专门用来关闭Linux下TCP连接的，不管连接状态是什么，半开、连接中、等待或关闭状态

killcx的原理是要关闭的源码库网络连接，从TCP包中提取Acknowlegment和Sequence numbers，熟悉TCP四次挥手，结合上面孤儿连接造成的原因，你就能明白，其实就是client或者server端没有收到SYN和ACK确认包，killcx就是通过伪造这两个包，来完成最后没完成的TCP交互

killcx使用方法如下：

- syntax   : killcx [dest_ip:dest_port] { interface}   dest_ip              : remote IP   dest_port            : remote port   interface (optional) : network interface (eth0, lo etc). - example  : killcx 120.121.122.123:1234              killcx 120.121.122.123:1234 eth0 

Killcx安装

killcx的安装包，可以直接从sourceforge下载，下载地址http://sourceforge.net/projects/killcx/files/

下载完成后，并不能直接执行，killcx官网介绍了它的依赖

Perl modules needed : You need the following modules to run killcx : * Net::RawIP : needed to create spoofed packets. * Net::Pcap : needed to capture TCP packets. * NetPacket::Ethernet : needed to decode TCP/IP packets. 

因为Killcx是perl脚本，它运行依赖三个Perl模块，分别是Net::RawIp、Net::PCAP、NetPacket::Ethernet，这几个模块的安装很简单

# 通过yum先安装perl-CPAN yum -y install perl-CPAN # 利用CPAN安装三个模块 perl -MCPAN -e shell cpan> install Net::RawIP cpan> install Net::Pcap cpan> install NetPacket::Ethernet 

本文转载自微信公众号「运维研习社」，可以通过以下二维码关注。转载本文请联系运维研习社公众号。

香港云服务器

很赞哦!（892）