Wie sicher ist es, den Linux Ephemeral Port-Bereich zu ändern?

Auf meiner Linux-Box wird der folgende kurzlebige Portbereich angezeigt.

sysctl net.ipv4.ip_local_port_range
net.ipv4.ip_local_port_range = 32768    61000

Ich möchte den Portbereich auf ungefähr 16000 erweitern. Eine kurze Frage lautet hier: Wie sicher ist es, den Bereich im Kontext der anderen Anwendungen zu ändern? Sind andere Anwendungen von dieser Änderung betroffen? Ich verstehe, dass eine Anwendung nur betroffen ist, wenn sie die Ports im angegebenen Portbereich verwendet. Aber wie werden diese Probleme im Allgemeinen behandelt?

Das Ändern des kurzlebigen Portbereichs kann zu Problemen führen, wenn Sie Mesos verwenden .

Mesos kündigt die Ressourcen eines Hosts an verschiedene Mesos-Frameworks an, die dann die angekündigten Ressourcen verwenden können. Zu den angekündigten Ressourcen gehören CPU, Arbeitsspeicher, Ports usw. Die von Mesos angekündigte Standardgruppe von Ports ist 31000-32000 . Dies vermeidet einen Konflikt mit dem ephemeren Standardportbereich von Linux von 32768-61000 .

Insbesondere weiß Mesos nicht, ob ein Port von einem anderen Prozess verwendet wird, sondern verfolgt lediglich die Zuweisung von Ports zu den von ihm orchestrierten Entitäten ( Mesos Tasks & Mesos Executors ). Wenn Sie also den kurzlebigen Portbereich so ändern, dass er sich mit dem Mesos-Portbereich überschneidet, wird wahrscheinlich ein beliebiger Prozess einen kurzlebigen Port verwenden, der tatsächlich einer dieser "Mesos-Ports" ist. Dies könnte dazu führen, dass Mesos diesen Port einem Mesos Framework anbietet , bei dem scheinbar zufällige Fehler der Mesos Executors und / oder Mesos Tasks auftreten, da sie sich nicht an diesen Port binden können.

Wenn Sie Ihren kurzlebigen Portbereich erweitern und Mesos ausführen müssen, können Sie die angekündigten Ports über den mesos-slave(bald umbenannten mesos-agent) Konfigurationsparameter von ändern --resources.

Sie können eine Liste der potenziell betroffenen Dienste abrufen, indem Sie in Ihrer lokalen /etc/servicesDatei nachsehen, was sich in diesem Bereich befindet. Beispiel:

awk '/^#/ { next } $2+0 >= 16000 && $2+0 < 32768 { print }' /etc/services

Oder am maßgeblichen Ort:

wget http://www.iana.org/assignments/service-names-port-numbers/service-names-port-numbers.csv
awk -F, '$2+0 >= 16000 && $2+0 < 32768 { print }' service-names-port-numbers.csv