Python基于socket实现跨网服务通信时出现WinError 10060报错的求助

现有运行基础 #

• 基于Python socket库开发的多客户端接入C/S通信程序，局域网环境下的连接、双向通信逻辑完全正常
• 服务端实现逻辑：创建TCP socket实例，绑定内网IP与5006端口，设置长度为2的待连接队列；循环等待客户端接入，接入后循环接收数据，收到有效内容时打印日志、向客户端返回I am SERVER响应，客户端断开后关闭对应连接
• 客户端实现逻辑：创建TCP socket实例，配置目标服务端地址与对应端口；循环向服务端发送I am CLIENT消息、接收服务端响应，局域网测试无异常

已完成配置与故障现象 #

为实现外网用户经互联网连接本地部署的服务端，已执行以下配置：

• 外网客户端将目标服务端地址替换为公网出口IP，连接端口调整为5007
• Windows命令提示符下执行端口转发规则：
  netsh interface portproxy add v4tov4 listenport=5007 listenaddress=external_ip connectport=5006 connectaddress=internal_ip
• 故障表现：外网客户端发起连接时抛出WinError 10060连接超时错误；已尝试切换系统防火墙开关、为5006/5007端口配置防火墙入站放行规则，故障未解决

分步排查与解决方法 #

WinError 10060的本质是客户端发送的连接请求没有收到任何回应，数据包在传输链路中被某一节点丢弃，根本未触达服务进程，可按从易到难的顺序排查：

• 校验Windows端口转发规则的配置有效性
  1. 执行netsh interface portproxy show all查看已生成的规则，重点确认listenaddress的取值：绝大多数用户配置时会错误填写公网external_ip，实际上这个公网IP并不在本机网卡上，会导致端口转发规则根本无法正常监听，需将listenaddress修改为0.0.0.0，即监听所有网卡的5007端口
  2. 规则修改后，在本机执行telnet 127.0.0.1 5007测试连通性，确认转发链路能正常触达后端5006端口的服务，若本地都无法连通，说明规则配置存在错误
  3. 检查Windows的IP Helper服务运行状态，该服务是netsh端口转发功能的核心依赖，服务停止会导致所有配置的转发规则完全失效
• 确认公网IP的真实可访问性
  大量家庭、办公网络的出口IP是运营商分配的大内网地址，并非直接面向互联网的公网地址，这种情况下无论本地怎么配置端口转发，公网请求都无法触达本机。可在内网设备主动向外网发起连接时，核对公网侧看到的源IP和自己查询到的IP是否一致，若不一致说明处于运营商级NAT下，需联系运营商开通可路由的公网IP，或直接采用内网穿透方案完成跨网连接
• 补齐上游路由设备的端口映射配置
  仅配置Windows系统层面的端口转发是不够的，还需要在光猫/路由器层面配置映射规则：将设备WAN侧的5007端口TCP请求，转发到运行服务端的设备内网IP的5007端口。排查时需注意几个常见坑：
  • 若光猫处于桥接模式，需在拨号上网的主路由上配置端口映射，不要在光猫上重复配置无效规则
  • 映射规则的协议必须选择TCP，不要仅勾选UDP
  • 确认映射的目标内网IP和服务端实际绑定的IP完全匹配
• 调整服务端socket绑定范围
  当前服务端绑定了固定的内网IP，需确认该IP和端口映射的目标IP完全一致；临时将服务端绑定地址修改为0.0.0.0，排除因网卡IP变动、配置错误导致的服务进程无法接收连接的问题
• 抓包定位丢包节点
  完成上述配置后，在运行服务端的设备上抓取5007端口的入站数据包：
  • 如果抓包完全看不到外网发来的连接SYN请求，说明数据包在运营商网络、路由WAN侧就被拦截丢弃，大概率是运营商封禁了对应端口、或公网IP不可达
  • 如果能看到SYN请求但没有对应的SYN-ACK响应，说明本地防火墙、端口转发链路存在回应逻辑错误
• 兜底方案
  若无法开通公网IP、无法修改路由配置，可使用成熟的内网穿透工具，将本地5006端口的服务映射到公网可访问的地址，跳过路由层、运营商NAT层的配置障碍

内容的提问来源于stack exchange，提问作者nomorenickname