低活跃TCP连接伴高\Device\Afd句柄：端口耗尽技术问询

问题背景 #

在运行多个.NET Core 3.1 Web应用的Windows IIS服务器上，每数月会出现TCP端口耗尽错误，伴随无法连接数据库服务器、域控制器等症状。此时通过netstat -anob追踪发现，系统活跃连接仅数百个，TIME_WAIT状态连接寥寥无几；但借助Process Explorer和handle.exe查看进程句柄数时，发现某网站对应的w3wp进程持有31000个且持续增长的句柄，其中多数为\Device\Afd文件句柄，疑似存在网络句柄泄漏问题，重启IIS网站可解决该问题。

技术疑问与解答 #

1. 为何大量句柄未在netstat结果中体现？ #

netstat仅统计处于TCP/IP协议栈可见状态的连接（如ESTABLISHED、TIME_WAIT、LISTENING等），而\Device\Afd句柄对应的是Windows内核中AFD（Ancillary Function Driver）驱动创建的底层套接字资源——这些资源可能已经脱离了TCP协议栈的连接跟踪（比如套接字已被应用层关闭但未完成内核层面的资源释放，或者是未绑定到具体TCP端口的套接字对象）。

简单来说：netstat看的是已关联TCP端口的连接状态，而AFD句柄是更底层的内核套接字资源，只要没被彻底回收，就不会在netstat中显示，但会占用系统句柄配额，最终触发端口耗尽（因为系统可用句柄总数有限，套接字句柄耗尽会间接导致无法创建新的TCP连接）。

2. \Device\Afd句柄与TCP端口的关联？ #

AFD是Windows内核中负责处理网络I/O的核心驱动，所有用户态的套接字操作（创建、绑定、连接等）最终都会通过AFD驱动与内核网络栈交互。

• 每个TCP套接字在创建时，都会对应一个\Device\Afd句柄，这个句柄是用户态进程与内核套接字资源的交互入口。
• 当套接字绑定到具体TCP端口后，才会被netstat追踪到；但如果套接字创建后未绑定/连接，或者绑定后未正确释放（比如应用层调用了Close()但未完成内核资源回收），AFD句柄会残留，此时不对应任何活跃TCP端口，但依然占用系统句柄资源。
• 系统的TCP端口耗尽本质是可用套接字资源耗尽，而AFD句柄泄漏会直接消耗这类资源，即使没有大量可见的TCP连接，也会导致无法创建新的连接。

3. 故障原因与定位工具 #

常见原因

• .NET应用中未正确释放网络相关资源：比如使用HttpClient未复用实例（每次创建新实例且未释放）、Socket对象未调用Dispose()或未使用using语句包裹、异步网络操作未正确处理导致资源泄漏。
• .NET Core 3.1的特定bug：部分版本中存在网络栈相关的资源泄漏问题（比如HttpClientHandler的连接池管理异常）。
• IIS应用池配置问题：比如应用池回收策略不合理，导致进程长期运行累积泄漏。

定位工具

• Process Explorer：实时查看进程的AFD句柄数量，定位泄漏的w3wp进程；可通过句柄详情筛选\Device\Afd，观察增长趋势。
• dotnet-trace：采集.NET应用的性能追踪数据，分析网络相关API的调用频率与资源释放情况，定位未释放的对象。
• dotnet-dump：生成进程转储文件，通过分析转储中的Socket或HttpClient实例数量，找到泄漏的根源对象。
• PerfView：分析.NET应用的内存与句柄泄漏，重点关注网络相关类型的实例存活情况。
• Windows Event Viewer：查看系统日志与IIS日志，排查是否有未捕获的异常导致资源未释放。

内容的提问来源于stack exchange，提问作者guillaume31