如何限制应用Socket打开次数以解决服务器端口耗尽问题（不终止进程）

1. 通过cgroup限制进程文件描述符数量 #

Socket本质属于文件描述符，通过cgroup可以直接限制进程能打开的总文件描述符上限，从根源阻止它占用过多端口：

• 先定位目标应用的PID：ps aux | grep <应用名称>
• 创建cgroup控制组（以cgroup v2为例，不同系统路径可能有差异）：mkdir -p /sys/fs/cgroup/limit-sockets/<应用名>
• 设置最大文件描述符数（比如限制为1024，可按需调整）：echo 1024 > /sys/fs/cgroup/limit-sockets/<应用名>/max.files
• 将目标进程加入该控制组：echo <PID> > /sys/fs/cgroup/limit-sockets/<应用名>/cgroup.procs
  当进程打开的Socket（含其他文件描述符）达到上限后，新的Socket创建请求会直接失败，不会耗尽系统临时端口。

2. 用iptables限制应用的出站连接数 #

从网络层面限制该应用的连接总数，避免它持续占用端口：

• 如果应用以特定用户运行，先获取用户UID：id -u <应用运行用户名>
• 添加iptables规则，限制该用户的出站连接数（比如上限设为500）：iptables -A OUTPUT -m owner --uid-owner <UID> -m connlimit --connlimit-above 500 -j REJECT
• 部分系统支持按进程名直接限制，需配合xt_socket模块：iptables -A OUTPUT -m socket --process-name <应用名> -m connlimit --connlimit-above 500 -j REJECT
  超过连接上限后，新的出站请求会被拒绝，阻止应用继续占用新端口。

3. 调整系统临时端口参数缓解耗尽 #

如果不想直接限制应用，可通过扩大端口池和加速端口回收来缓解问题：

• 查看当前临时端口范围：sysctl net.ipv4.ip_local_port_range
• 扩大临时端口范围（比如设置为32768-65535）：sysctl -w net.ipv4.ip_local_port_range="32768 65535"
• 开启TIME_WAIT端口重用：sysctl -w net.ipv4.tcp_tw_reuse=1
• 缩短TIME_WAIT超时时间：sysctl -w net.ipv4.tcp_fin_timeout=30
  以上修改临时生效，要永久保存需写入/etc/sysctl.conf后执行sysctl -p。

4. 用prlimit修改已运行进程的资源限制 #

如果应用已经在运行，可直接修改它的文件描述符上限：

• 执行命令调整指定PID的最大文件描述符数（比如设为2048）：prlimit --nofile=2048:2048 -p <PID>
• 若应用是通过脚本启动，也可以在启动脚本中添加ulimit -n 2048后再启动应用，从一开始就限制它的资源使用。

内容的提问来源于stack exchange，提问作者Fatih Mehmed Bilgin