高并发代理任务开始出现间歇性连接超时、重置或地址分配错误时，瓶颈不一定在代理池。客户端主机、容器节点、防火墙、负载均衡器或来源 NAT 设备，都可能耗尽可用来源端口映射。
此问题很容易被误判为“代理 IP 不好”，因为更换代理端点有时会改变连接五元组并暂时缓解压力。长期解决方案是找出端口消耗位置、减少无效新建连接，并用数据为每个转换边界规划容量。
一、理解有限资源在哪里
一个出站 TCP 连接由源地址、源端口、目的地址、目的端口和协议标识。操作系统为新连接选择临时源端口，NAT 设备还可能分配外部源端口映射。
容量不是一个通用数字，而由临时端口范围、可用源地址数量、远端代理地址与端口、NAT 行为、连接寿命、TIME_WAIT、复用策略和保留端口共同决定。多个容器还可能共享同一节点或公网 SNAT 地址，竞争同一资源。
不要把名义端口范围当成可用容量。应测量实际系统和网络设备配置，并为其他流量、突发和故障转移保留余量。
二、识别典型故障模式
来源端口压力通常同时出现以下信号：错误随每秒新建连接数上升，而不是随总请求数上升；启用连接复用后错误减少；大量套接字停留在 TIME_WAIT 或关闭状态；故障集中于共享节点或 SNAT 地址的 worker；增加源地址或 NAT 容量后改善；首次超时触发的重试进一步放大问题；已有连接正常而新连接失败。
这些只是线索。代理鉴权、DNS、TLS、目的端限流和供应商容量也可能产生相似症状，因此必须保留错误层级与类别。
三、画出全部地址转换边界
按顺序绘制应用进程、容器或虚拟机网络、主机防火墙、Kubernetes 节点或出口网关、云 NAT 或企业防火墙、代理网关地址与端口。
在每个边界记录转换前后的源地址、端口策略、当前连接数、每秒新建连接、关闭状态分布、空闲超时与负责人。节点本地端口可能充足，但共享 NAT 已满；反过来也可能发生。
四、测量连接，而不只是请求
请求数不足以描述压力，因为一条连接可能承载一次或多次请求。至少采集：新建连接尝试与成功率、并发已建立连接、连接复用比例、各状态套接字数量、连接与空闲寿命分位数、连接超时与重置、地址分配错误、407、TLS、429 和 5xx、来源节点与 NAT 地址、代理端点和端口、每个原始任务的重试数，以及有效完成结果。
时间统一使用 UTC，客户端标识采用聚合或脱敏。不要记录代理密码、授权头、Cookie 或客户载荷。
五、估算安全容量
为每个源地址和转换边界建立工作表。粗略规划关系为：
所需映射数 ≈ 每秒新建连接数 × 平均映射占用时间
占用时间包含连接活动期，以及连接关闭后操作系统或 NAT 仍保留映射的时间。这只是估算，不能替代实际测量。
大量短连接的任务，可能比请求更高但连接池稳定的任务消耗更多端口。还要为流量突发、故障转移、健康检查、控制面流量，以及不同 NAT 地址之间负载不均预留安全余量。
应针对实际目的端五元组测试上限。部分系统可以在不同远端五元组间复用同一源端口，但几乎全部连接到单一代理网关的工作负载，五元组多样性更低。
六、减少不必要的新建连接
优先改进连接复用：在客户端与代理均支持时启用 keep-alive；按代理端点和凭据范围建立有上限的连接池；不要每个请求后关闭健康连接；对齐客户端、NAT、防火墙和代理的空闲超时；限制同时新建连接；为 worker 启动与连接池回填加入抖动；不要因每个应用错误都更换端点；区分目的端 429 与代理连接故障。
复用必须尊重身份边界。协议或策略不允许时，不得跨用户、租户、凭据或会话共享连接。可参考代理连接池指南及HTTP/2 代理连接复用审计。
七、扩容前先控制重试
无上限重试会形成正反馈：连接失败后同时打开多个替代连接，端口压力继续上升，进而触发更多失败。应按原始任务设置重试预算，使用指数退避、抖动和系统性故障熔断。
不要对每个 403、407 或 429 都更换 IP。407 通常是代理鉴权，429 是目的端或代理的节奏信号，403 可能是策略拒绝。先分类再重试，可结合代理重试预算指南。
八、扩展真正受限的层
减少连接 churn 后，只扩展被证实的瓶颈：增加客户端源地址或节点；把出口分散到更多获准 NAT 地址；采用每个目的端映射容量足够的托管 NAT；在获准代理网关地址或端口之间分片；隔离高 churn 和低延迟任务；只有文件描述符或连接上限被独立确认时才调整它们。
增加代理出口 IP 不一定增加客户端临时端口；扩大本地端口范围也无法修复饱和的共享防火墙。每次只改变一个容量边界并验证结果。
九、执行受控阶梯压测
选择具有代表性、已授权的目的端与非敏感数据，在请求行为保持不变时逐级提高并发。每一级记录新建连接、已建立连接、复用率、TIME_WAIT、NAT 分配、连接延迟、错误类别、重试和有效结果。
每级保持足够时间，让关闭状态和 NAT 定时器稳定。达到预先约定阈值就停止，不得故意耗尽共享生产网关。每项缓解措施后重复测试；有效变更应提高有效吞吐并降低错误，而不是把故障转移到另一节点。
十、验证故障转移余量
正常情况下，流量可能分散于多个源地址，看似健康。节点或区域故障后，剩余路径会承接负载，容量规划必须覆盖最大可信故障转移场景。
受控移除一个 worker 或出口路径，确认剩余 NAT 地址、文件描述符、连接池与代理网关均低于阈值。可与代理故障转移恢复演练结合。
诊断检查清单
- 错误已与每秒新建连接数关联。
- 已有连接与新建连接分别测量。
- 主机、容器、防火墙与 NAT 边界均已绘制。
- 在疑似瓶颈处观察套接字状态和 NAT 映射。
- 代理、TLS、鉴权、目的端和端口错误保持分离。
- 连接池遵守端点和凭据边界。
- 重试有预算、退避和抖动。
- 容量计算包含映射占用时间和故障转移余量。
- 变更针对已证实约束，而非假设的代理问题。
- 阶梯测试在共享生产资源耗尽前停止。
- 日志不含凭据和敏感载荷。
常见问题
TIME_WAIT 很多就代表端口耗尽吗？
不一定，它是正常 TCP 状态。只有当它与高连接 churn、有限五元组、分配失败和有效吞吐下降同时出现时才具有诊断意义。
增加更多住宅代理 IP 能解决吗？
不一定。如果瓶颈在客户端或共享 SNAT，更多出口库存不会改变受限的来源映射，应扩展实际发生分配压力的层。
是否应激进缩短 TCP 定时器？
内核或设备定时器变化可能影响正确性及其他任务。应先优化复用、限制连接创建并扩展容量，只有依据平台指导和受控测试时才调整定时器。
为什么旧连接正常而新连接失败？
已有连接已拥有连接状态和映射，新连接需要新的源端口与 NAT 条目，因此分配压力通常先影响新连接。
合规说明
只在获准基础设施、代理网关与目的端上执行容量测试。遵守供应商并发限制和目的端政策，避免突发流量，保护凭据，最小化连接数据留存，并在共享服务健康受到威胁时立即停止。
