Python如何为出站请求绑定专属端口并禁止其他请求占用

核心思路 #

要同时实现「指定端口专属用于你的出站请求」+「禁止其他进程占用该端口」，需要结合端口独占锁+防火墙规则两步配置，缺一不可：

• 第一步：给需要使用该端口的程序绑定指定端口同时开启端口独占锁，阻止其他进程主动绑定该端口
• 第二步：配置防火墙规则，仅放行你指定的程序从该端口发出的出站流量，拦截其余所有进程对该端口的使用请求，同时拦截其他端口的非预期出站流量

Linux 平台操作步骤 #

1. 程序端端口绑定+独占锁配置 #

你自己的业务程序发起请求前，调用bind()函数绑定指定端口同时开启SO_EXCLUSIVEADDRUSE参数（Linux内核3.9及以上版本原生支持），核心代码示例：

int sockfd = socket(AF_INET, SOCK_STREAM, 0);
int optval = 1;
// 开启端口独占锁，禁止其他进程绑定该端口
setsockopt(sockfd, SOL_SOCKET, SO_EXCLUSIVEADDRUSE, &optval, sizeof(optval));
// 绑定你指定的专属出站端口，示例为12345，可自行修改
struct sockaddr_in addr;
memset(&addr, 0, sizeof(addr));
addr.sin_family = AF_INET;
addr.sin_port = htons(12345);
addr.sin_addr.s_addr = INADDR_ANY;
bind(sockfd, (struct sockaddr*)&addr, sizeof(addr));

如果是脚本类业务（Shell、Python等）不需要修改代码，可直接通过防火墙规则实现端口独占。

2. 防火墙规则配置 #

假设你指定的专属出站端口为12345，运行业务程序的用户为appuser，依次执行以下命令：

# 拦截所有非appuser用户进程从12345端口发出的出站流量
iptables -A OUTPUT -p tcp --sport 12345 ! -m owner --uid-owner appuser -j DROP
iptables -A OUTPUT -p udp --sport 12345 ! -m owner --uid-owner appuser -j DROP
# 放行appuser用户的进程从12345端口的出站请求
iptables -A OUTPUT -p tcp --sport 12345 -m owner --uid-owner appuser -j ACCEPT
iptables -A OUTPUT -p udp --sport 12345 -m owner --uid-owner appuser -j ACCEPT
# 拦截其余所有端口的出站流量，如有白名单端口可自行添加排除规则
iptables -A OUTPUT -p tcp ! --sport 12345 -j DROP
iptables -A OUTPUT -p udp ! --sport 12345 -j DROP

配置完成后执行iptables-save可永久保存规则，避免重启后失效

Windows 平台操作步骤 #

1. 程序端端口绑定+独占锁配置 #

Windows下调用bind()函数绑定端口时，设置SO_EXCLUSIVEADDRUSE参数即可锁定端口，其他进程无法再绑定该端口。

2. 防火墙规则配置 #

用管理员权限打开PowerShell执行以下命令，假设指定专属出站端口为12345，业务程序的绝对路径为C:\app\myapp.exe：

# 拦截所有非指定程序从12345端口的出站流量
New-NetFirewallRule -DisplayName "Block other port 12345 TCP outbound" -Direction Outbound -Action Block -Protocol TCP -LocalPort 12345 -Program "C:\app\myapp.exe" -NotProgram $True
New-NetFirewallRule -DisplayName "Block other port 12345 UDP outbound" -Direction Outbound -Action Block -Protocol UDP -LocalPort 12345 -Program "C:\app\myapp.exe" -NotProgram $True
# 放行指定程序从12345端口的出站请求
New-NetFirewallRule -DisplayName "Allow myapp 12345 TCP outbound" -Direction Outbound -Action Allow -Protocol TCP -LocalPort 12345 -Program "C:\app\myapp.exe"
New-NetFirewallRule -DisplayName "Allow myapp 12345 UDP outbound" -Direction Outbound -Action Allow -Protocol UDP -LocalPort 12345 -Program "C:\app\myapp.exe"
# 拦截其余所有端口的出站流量，如有白名单端口可添加至ExcludeLocalPort参数
New-NetFirewallRule -DisplayName "Block other TCP ports outbound" -Direction Outbound -Action Block -Protocol TCP -LocalPort 0-65535 -ExcludeLocalPort 12345
New-NetFirewallRule -DisplayName "Block other UDP ports outbound" -Direction Outbound -Action Block -Protocol UDP -LocalPort 0-65535 -ExcludeLocalPort 12345

Windows防火墙规则默认永久生效，不需要额外执行保存操作

内容的提问来源于stack exchange，提问作者EzyHoo