使用C# NetTCPBinding与WCF，如何获取本机TCP通信的客户端连接端口？

一、808端口并非实际通信端口 #

你看到的808是微软WCF端口共享服务的端口，不是客户端与服务器实际通信的端口。当NetTCPBinding默认启用PortSharingEnabled=true时，WCF会借助端口共享服务管理监听端口，此时ListenUri指向的是共享服务的端口，而非业务服务的实际通信端口。

二、获取客户端实际通信端口的方法 #

在服务器端的服务方法中，通过RemoteEndpointMessageProperty可直接获取客户端的IP地址和实际通信端口，这是WCF原生提供的可靠方式：

using System.ServiceModel.Channels;

// 在服务方法内部执行
var remoteEndpoint = OperationContext.Current.IncomingMessageProperties[RemoteEndpointMessageProperty.Name] as RemoteEndpointMessageProperty;
if (remoteEndpoint != null)
{
    string clientIp = remoteEndpoint.Address;
    int clientActualPort = remoteEndpoint.Port;
    // 此处可进行客户端信息校验或日志记录
}

RemoteEndpointMessageProperty会返回当前TCP连接的客户端端点信息，其中Port就是客户端发起连接时使用的临时端口。

三、针对“仅允许本机合法客户端连接”的安全加固方案 #

验证客户端端口并非最可靠的方式（客户端端口为随机临时端口），推荐以下更直接的加固手段：

1. 绑定到回环地址
   将服务的监听地址设为net.tcp://localhost:9000/YourServiceContract，服务器仅监听本机回环接口，外部设备无法发起连接，从根源上限制访问范围。
2. 启用Windows身份验证
   配置NetTCPBinding的传输安全，强制客户端使用Windows身份验证，确保只有本机或可信域内的合法用户才能访问：

   var binding = new NetTcpBinding();
   binding.Security.Mode = SecurityMode.Transport;
   binding.Security.Transport.ClientCredentialType = TcpClientCredentialType.Windows;
   

3. 禁用端口共享（可选）
   若无需端口共享功能，可将PortSharingEnabled设为false，此时服务会直接监听你指定的9000端口，避免通过共享服务转发：

   binding.PortSharingEnabled = false;
   

内容的提问来源于stack exchange，提问作者Brandon Lewallen