Linux系统如何在不开放端口的前提下检测入站连接尝试

你的需求核心是：目标端口不被任何服务监听（对外呈现Connection refused的标准关闭状态），同时能捕获所有发往该端口的TCP SYN连接请求，不需要完成TCP握手，以下是经过生产验证的可行实现，全部不需要操作高层业务套接字：

• 方案1：基于libpcap流量捕获实现（适配性最强，开发灵活）
  该方案通过数据链路层抓包实现，全程不会绑定目标端口，内核会按正常逻辑给未监听端口的SYN请求返回RST包，对外完全表现为端口关闭。
  可以先用tcpdump快速验证效果，执行以下命令后，外部访问9999端口会正常收到连接拒绝响应，同时终端会实时打印所有连接尝试的源IP、源端口信息：
  tcpdump -i any 'tcp[tcpflags] & tcp-syn != 0 and dst port 9999' -n
  如果需要自定义告警逻辑，可以直接基于libpcap开发，BPF过滤规则和上述tcpdump使用的规则完全一致，在抓包回调函数中实现日志记录、消息推送等通知逻辑即可，全程不会占用9999端口。

• 方案2：基于防火墙日志实现（无额外依赖，性能最优）
  不需要安装额外抓包工具，直接通过主机防火墙的日志能力匹配目标端口的SYN包，日志规则不会改变数据包的正常处理流程，端口对外依然保持关闭状态。
  iptables环境执行以下规则添加命令：
  iptables -I INPUT -p tcp --dport 9999 --syn -j LOG --log-prefix "DETECT_CONN_9999: " --log-level 4
  规则生效后，所有发往9999端口的SYN包都会被打上指定前缀写入syslog，你只需要监控系统日志中带DETECT_CONN_9999:前缀的记录，关联自定义告警脚本即可。如果是nftables环境，添加对应log规则后将数据包交回默认链处理即可，不要额外配置DROP/REJECT规则改变默认响应行为。

• 不推荐方案说明
  不建议直接使用SOCK_RAW类型的原始套接字自行处理TCP逻辑：该方案需要手动添加防火墙规则屏蔽内核自动发送的RST包，还需要自行计算TCP校验和、维护连接状态，配置不当会导致端口对外呈现丢包的过滤状态（和你要求的关闭状态不符），实现复杂度远高于上述两个方案，无特殊需求不要采用。

配置完成后可在外部主机执行nc -zv <你的主机IP> 9999验证效果：正常情况下nc会立刻返回连接拒绝结果，同时你的检测逻辑可以实时捕获到本次连接尝试。

内容的提问来源于stack exchange，提问作者FoxOne