一个服务连不上，先区分“TCP 连接建不起来”和“连上了但应用不给正确响应”。`nc`（netcat）既能只尝试建立连接，也能在连接上收发原始数据。本文使用 Debian 上的 `netcat-openbsd` 语法；BusyBox、传统 netcat 和 Nmap Ncat 的参数并不完全相同，先用 `nc -h` 核对本机版本。TCP 通了之后，再用 `nc` 手写 HTTP 请求，用 OpenSSL 和 curl 检查 TLS，一层层往上排除。 ## 先复现一次本机连接 在终端 A 只监听回环地址，避免把实验端口暴露到局域网： ```bash nc -l 127.0.0.1 9009 ``` - `-l`（listen，监听）：等待客户端连接。不加 `-l` 时，`nc` 默认作为客户端，连接后面指定的地址和端口。 - `127.0.0.1`：本机 IPv4 回环地址。 - `9009`：监听端口。 括号中的英文用于助记，不代表这些短选项都有对应的长选项。本文没有使用 `-u`（UDP），因此默认使用 TCP；开头的 `nc -h`（help，帮助）则是查看帮助。 在终端 B 写一行，再对发送方向做半关闭： ```bash printf 'hello\n' | nc -N -w 2 127.0.0.1 9009 ``` - `printf 'hello\n'`：输出 `hello` 和一个换行。 - `|`：把左侧命令的输出交给 `nc` 的标准输入。 - `-N`：OpenBSD nc 的选项，标准输入读到 EOF（End Of File，输入结束）后关闭 socket 的写入方向，仍可读取对端发送的内容。手册没有给出 `N` 的英文全称，可按行为记为 shutdown after EOF。 - `-w 2`（wait，等待）：把连接建立和连接空闲的超时设为 2 秒，并不保证命令总共只运行 2 秒；监听模式下它也不限制等待客户端的时间。 终端 A 会看到 `hello`；这个单次监听没有使用 `-k`，会话结束后退出。Debian 12 容器中，这条发送命令和随后关闭端口时的拒绝连接均已验证。 ## 检查目标端口 ```bash nc -zv -w 2 127.0.0.1 9009 ``` `-zv` 是 `-z -v` 的合写： - `-z`（zero-I/O，零应用数据收发助记）：只检查能不能建立连接，不发送应用数据；TCP 握手仍然会发包。 - `-v`（verbose，详细输出）：显示连接成功或失败的诊断信息。 - `-w 2`：超时含义同上。 先重新启动终端 A 的监听可观察成功，关闭后可观察 `Connection refused`。一次成功只证明从该客户端可以和目标地址、端口建立 TCP 连接。拒绝通常表示目标没有监听或中间设备主动拒绝；超时可能是流量被丢弃、目标不可达或回包路径有问题。单凭一个结果不能定位到具体防火墙。也不要先用 `-z` 检查一次性实验监听，再以为下一条发送命令还能连上同一个监听进程。 ### 端口正确，但监听地址不对 另开一个终端，用 `-k` 保留监听，便于连续测试。这里显式只监听 IPv4 回环： ```bash nc -4 -k -l 127.0.0.1 9009 ``` - `-4`：强制使用 IPv4。 - `-6`：强制使用 IPv6，用于下面的 IPv6 检查。 - `-k`（keep listening，保持监听）：与 `-l` 配合，让 `nc` 在一次连接结束后继续接受后续连接。 IPv6 的回环地址是 `::1`，对应 IPv4 的 `127.0.0.1`。 从同一台机器分别检查 IPv4 和 IPv6，再看内核的监听地址： ```bash nc -4 -zv -w 2 127.0.0.1 9009 nc -6 -zv -w 2 ::1 9009 ss -ltn 'sport = :9009' ``` `ss` 用来查看 socket 状态。这里的 `-ltn` 合并了三个选项，后面跟一个过滤表达式： - `-l` / `--listening`（listening，监听中）：只显示监听中的 socket。 - `-t` / `--tcp`：只看 TCP。 - `-n` / `--numeric`（numeric，数字形式）：用数字显示地址和端口，不解析成主机名或服务名。 - `'sport = :9009'`：只保留本地端口为 `9009` 的条目；引号让 shell 把整个表达式作为一个参数传给 `ss`。 注意，`ss -l` 是筛选已有监听，`nc -l` 是创建监听。 在同时启用 IPv4 和 IPv6 的 Linux 上，第一条能连，第二条通常被拒绝，`ss` 只显示 `127.0.0.1:9009`，没有 `[::1]:9009`。如果系统禁用了 IPv6，第二条可能直接报告地址族不可用。服务只绑定回环时，宿主之外的客户端也不能借此访问它。遇到“本机能连、另一台机器不能连”，先对照服务端监听地址和客户端实际连接的地址；域名同时有 A、AAAA 记录时，可分别用 `nc -4` 和 `nc -6` 验证。容器内外也要分别检查，容器的 `127.0.0.1` 是它自己的回环。检查结束后用 Ctrl+C 停掉这个监听。 ## 连上之后，发送应用协议要求的数据 如果目标是明文 HTTP，可以先在回环上起一个只服务测试目录的 HTTP 服务。在终端 A 执行，目录中只放测试文件： ```bash ( set -e lab=$(mktemp -d "$PWD/.nc-http.XXXXXX") trap 'rm -rf -- "$lab"' EXIT printf 'hello\n' >"$lab/index.html" python3 -m http.server 8000 --bind 127.0.0.1 --directory "$lab" ) ``` HTTP 服务命令中的参数是： - `-m http.server`（module，模块）：运行 Python 自带的 HTTP 服务模块。 - `8000`：监听端口。 - `--bind 127.0.0.1`（bind，绑定）：绑定回环地址，限制为本机访问。 - `--directory "$lab"`（directory，目录）：指定服务的文件目录。 其余 shell 语法负责创建和清理实验目录，后面的 TLS 实验复用同样的方式： - `( ... )`：在子 shell 中运行这些命令。 - `set -e`：命令失败时停止实验。 - `mktemp -d`（directory，目录）：创建临时目录，模板中的 `XXXXXX` 会替换成随机字符。 - `$PWD`、`lab=$(...)`：前者是当前目录，后者把命令输出的新目录路径保存到变量 `lab` 中。 - `trap ... EXIT`：在子 shell 退出时执行清理命令。 - `rm -rf -- "$lab"`：递归删除该目录，其中 `-r` 表示递归，`-f` 不提示确认，`--` 表示后面都是路径。 - `>`：把输出写入文件。 - `"$lab"`：变量外的双引号避免路径中的空格被拆开。 终端 B 发两条完整的 `HEAD` 请求。最后的空行结束请求头；`Connection: close` 便于读完本次响应后关闭连接。 ```bash for path in / /not-found; do printf 'HEAD %s HTTP/1.1\r\nHost: localhost\r\nConnection: close\r\n\r\n' "$path" | nc -N -w 2 127.0.0.1 8000 done ``` `for` 循环依次把 `/` 和 `/not-found` 赋给 `path`。请求中的各部分含义是： - `%s`：`printf` 的占位符，替换成 `"$path"` 的值。 - `HEAD`：只取响应头，不取响应正文。 - `HTTP/1.1`：请求使用的协议版本。 - `Host: localhost`：指定要访问的主机。 - `Connection: close`：要求服务端在本次响应后关闭连接。 - `\r\n`：HTTP 要求的回车加换行。末尾的 `\r\n\r\n` 表示请求头结束；如果少了最后的空行，服务端可能继续等待输入。 Debian 12 容器中，第一条收到 `HTTP/1.0 200 OK`，第二条收到 `HTTP/1.0 404 File not found`。两条请求都完成了 TCP 和 HTTP 往返，区别在资源路径。如果反向代理返回 `404`，可能是代理本身生成了响应，不能据此断言请求到达了上游；应按请求走过的每一跳核对状态或日志。完成后在终端 A 按 Ctrl+C 停止测试服务。 ## TCP 可达，也可能卡在 TLS 下面用 OpenSSL 在回环上起一个 TLS 服务，证书只为这次实验签发，不安装到系统信任库。终端 A 执行，记下打印出的目录： ```bash ( set -e lab=$(mktemp -d "$PWD/.nc-tls.XXXXXX") trap 'rm -rf -- "$lab"' EXIT cd "$lab" printf '%s\n' "$PWD" openssl req -x509 -newkey rsa:2048 -nodes -days 1 \ -subj '/CN=localhost' -addext 'subjectAltName=DNS:localhost' \ -keyout key.pem -out cert.pem openssl s_server -quiet -accept 127.0.0.1:9443 -cert cert.pem -key key.pem -www ) ``` 这里有两条 OpenSSL 命令。第一条 `openssl req` 生成实验用的私钥和证书，参数分别是： - `-x509`：直接生成自签名证书，而不是证书签名请求。 - `-newkey rsa:2048`：新建一把 2048 位的 RSA 私钥。 - `-nodes`：不加密输出的私钥，避免启动服务时交互输入私钥密码；它不表示关闭 TLS 加密。 - `-days 1`：证书有效期为 1 天。 - `-subj '/CN=localhost'`：设置证书主题，其中 CN 是 Common Name（通用名称）。 - `-addext 'subjectAltName=DNS:localhost'`：添加 SAN（Subject Alternative Name，主题备用名称），声明证书适用于 DNS 名称 `localhost`，供客户端校验。 - `-keyout key.pem`、`-out cert.pem`：分别指定私钥文件和证书文件的输出路径。 第二条 `openssl s_server` 启动 TLS 测试服务： - `-accept 127.0.0.1:9443`：指定监听地址和端口。 - `-cert cert.pem`：指定服务端使用的证书。 - `-key key.pem`：指定服务端使用的私钥。 - `-www`：在收到 HTTP 请求后返回内置的状态页面，供后面的 curl 请求使用。 - `-quiet`：减少会话和证书信息的输出。 命令末尾的 `\` 只是 shell 的续行符，让一条命令可以分多行写。`cd "$lab"` 进入实验目录，`printf '%s\n' "$PWD"` 打印该目录的路径。 终端 B 进入打印的目录。`-servername` 是发给服务端的 SNI，用于选择站点；`-verify_hostname` 是客户端要求证书匹配的名字。这里保持 SNI 不变，只换校验名称： ```bash nc -zv -w 2 127.0.0.1 9443 for name in localhost wrong.example; do openssl s_client -brief -connect 127.0.0.1:9443 -servername localhost \ -verify_hostname "$name" -verify_return_error -CAfile cert.pem