Linux Cannot assign requested address：源 IP、端口与网络命名空间排查
服务启动时报 bind: Cannot assign requested address，或客户端高并发连接时出现 EADDRNOTAVAIL，不一定是同一个故障。Linux bind(2) 在请求不存在的接口或非本地地址时可返回该错误；自动分配源端口失败时也可能出现相同 errno。排障必须先确定失败系统调用、地址族、源 IP/端口、目标地址和进程网络命名空间，不能直接扩大临时端口范围或开启全局 nonlocal bind。
本文目录（27 节）
先取得真实错误位置
确认错误来自服务监听 bind、客户端显式绑定源地址、connect 自动选源端口，还是上层库统一包装。记录调用栈、errno、进程 PID、时间、地址族和脱敏后的四元组。
若应用日志信息不足，可在测试环境使用 strace、eBPF 或库级调试观察失败的 bind()/connect() 参数。生产采集应限制范围，避免记录业务载荷和凭据。
EADDRNOTAVAIL 与 EADDRINUSE 不同
EADDRNOTAVAIL 通常表示请求的地址/接口不是本地可用，或自动端口分配无法满足；EADDRINUSE 更常表示指定地址端口组合已被占用。错误字符串相似时仍要看 errno。
不要看到“address”就执行杀进程或开启 SO_REUSEPORT。复用选项不能让不存在的源 IP 变成本地地址。
检查进程所在网络命名空间
Linux network namespace 隔离网卡、地址、路由、端口和 /proc/sys/net。宿主机拥有某 IP，不代表容器或目标进程 namespace 也拥有它。
先确定 PID 的 netns，再在同一 namespace 执行：
nsenter -t <pid> -n ip address show
nsenter -t <pid> -n ip route show不要只在宿主机运行 ip addr 后得出结论。
确认绑定地址确实是本地地址
bind(2) 手册说明，请求不存在接口或非本地地址会返回 EADDRNOTAVAIL。使用 ip address show 检查该 IP 是否挂在当前 namespace 的某个接口上，并查看 scope、状态和生命周期。
配置文件中的旧 VIP、节点迁移前地址、DNS 解析结果或 Pod IP 都可能已经变化。应从当前网络控制面同步正确值，而不是手工把旧地址临时加回。
接口存在不等于地址已可用
IPv6 地址可能处于 tentative、dadfailed 或 deprecated；动态地址也可能 valid_lft 已到期。服务早于网络完成配置启动时，首次 bind 失败，稍后手工重启却成功。
记录 ip address 的 flags 和 lifetimes，配置 systemd/
监听所有地址与指定地址语义不同
监听 0.0.0.0 或 :: 表示 wildcard，本地所有适用地址可接受连接；绑定具体 IP 只监听该地址。若服务并不需要限制到单一接口，wildcard 可降低地址漂移问题，但会扩大监听面。
变更前检查防火墙、访问控制和暴露端口。不能为了消除 bind 错误把管理接口无意暴露到公网。
IPv4 与 IPv6 地址族必须一致
AF_INET socket 不能绑定 IPv6 地址，AF_INET6 的双栈行为还受 IPV6_V6ONLY 等设置影响。localhost 可能优先解析为 ::1，而应用只创建 IPv4 socket。
记录 getaddrinfo 结果和实际 socket family。不要通过删除系统 IPv6 配置来修复单个应用的地址族选择。
DNS 名称可能解析到非本机地址
有些服务允许监听配置写主机名。DNS 返回负载均衡 VIP、外部公网 IP 或旧节点地址时，内核不会因为名称属于自己就认为该 IP 是本地地址。
监听配置优先使用明确的本地地址或 wildcard；对外服务名称与本地 bind 地址应分离。确认 /etc/hosts、DNS 和容器搜索域没有改变解析结果。
VIP 尚未接管时 bind 会失败
Keepalived、Pacemaker 或云网络控制器可能只在主节点把 VIP 添加到接口。备节点若配置服务始终绑定 VIP，默认 ip_ 时会失败。
正确设计可以让服务跟随 VIP 状态启动，或在经过安全评估后使用 nonlocal bind。选择取决于 HA 架构，不能单独改内核参数。
ip_nonlocal_bind 的作用与风险
Linux net.ipv4.ip_ 允许进程绑定非本地 IPv4 地址，IPv6 有对应设置。内核文档警告它可能破坏某些应用。
开启后只解决 bind 资格，不会自动让路由、ARP/NDP、VIP 宣告和回程路径正确。全局启用会影响整个 namespace，必须有明确 HA 设计和回滚。
优先考虑每 socket 的明确能力
部分应用支持类似 IP_FREEBIND 的每 socket 行为，比全局 sysctl 范围更小。但这仍要求应用和网络设计正确处理地址尚未本地化的窗口。
使用前核对应用官方支持、内核版本和威胁模型。不要通过 LD_PRELOAD 或未知补丁强制开启。
客户端显式 source IP 也会失败
代理、探测器或多出口客户端可能在 connect 前 bind 指定源 IP。如果策略配置引用另一接口、另一 namespace 或已删除地址，就会 EADDRNOTAVAIL。
检查应用 source-address、接口绑定、透明代理和策略路由配置。让内核自动选源可作为对照，但生产是否能取消显式源地址取决于多出口需求。
用 ip route get 查看内核选路
执行：
ip route get <destination>
ip route get <destination> from <source>ip route get 会按内核实际路径解析并显示 preferred source、出口设备和网关。指定 from 后失败或结果异常，说明源地址与策略路由/路由表不匹配。
Policy Routing 会改变选源
ip rule、fwmark、VRF 和多路由表可能让同一目标因进程、源地址或标记走不同出口。主表里存在默认路由不代表应用流量可用。
在同一 namespace 使用与应用相同的 source、mark、VRF 和端口维度检查。不要直接 flush policy rules。
容器端口映射不等于容器拥有宿主 IP
Docker/
HostNetwork、macvlan、ipvlan 和普通 bridge 模式行为不同。以当前网络模式验证，不要复制另一工作负载的监听地址。
重建容器后 IP 可能变化
把容器/POD IP 写死进配置，会在重建或调度后失效。使用平台服务发现、环境注入或 downward API 获取受支持地址，并在生命周期变化时重新生成配置。
不要依赖启动时解析一次后永久缓存。监听地址与上游访问地址应分别设计。
高并发 connect 可能耗尽临时端口
客户端不显式绑定端口时，内核从 ip_ 自动选择。大量到相同目标的并发/短连接、狭窄端口范围或大量保留端口可能让可用组合耗尽，connect 返回 EADDRNOTAVAIL。
此时源 IP 是本地的，错误却发生在自动分配阶段。要检查连接规模、目标四元组分布、TIME_WAIT 和端口范围，而不是修改监听地址。
查看临时端口范围与保留区
检查：
sysctl net.ipv4.ip_local_port_range
sysctl net.ipv4.ip_local_reserved_ports
ss -s内核文档说明自动分配同时考虑 local port range 与 reserved ports。大段重叠保留会减少候选空间。
端口耗尽要按目标四元组分析
TCP 连接由源/目的地址端口和协议区分。单个热门目标可能先耗尽某个源 IP 的可用组合，而系统总 socket 数看起来仍不高。
按源 IP、目标 IP:port、状态和 namespace 聚合。不要仅用 wc -l 统计全机连接。
扩大端口范围不是第一步
调整 ip_ 可增加自动端口候选，但要避开服务监听、NAT、网络设备策略与 reserved ports。盲目扩大可能引入端口冲突或超出防火墙允许范围。
优先启用连接复用、长连接、连接池、限流和多个源 IP，并修复泄漏。容量变更要压测与回滚。
bind(0) 与 bind+connect 模式有差异
应用显式 bind(source, 0) 后再 connect，端口分配和复用行为可能与直接 connect 不同。内核提供 IP_ 等机制减少过早占用端口，但需要应用支持。
不要全局开启 ip_ 作为快捷方案；内核文档称其可能破坏应用，并推荐专家优先使用更明确的每 socket 方案。
TIME_WAIT 不是唯一嫌疑
大量 TIME_WAIT 会占用连接组合，但活动长连接、连接泄漏、NAT 映射、显式 bind 和低并发却频繁重连也能造成耗尽。不要通过缩短所有 TCP timeout 或启用危险复用选项处理。
先测连接创建率、复用率、平均寿命和失败目标，修复应用行为通常比内核调参更稳妥。
NAT 后还有第二层端口容量
主机本地端口未耗尽，出口 NAT、负载均衡或防火墙的源端口池仍可能耗尽。该情况通常表现为本地 connect 已成功但远端超时，不一定返回本机 EADDRNOTAVAIL。
区分本机 errno 与网络设备丢包证据，分别监控。不能用 NAT 指标解释已经明确发生在本地 bind 的错误。
服务重启顺序会制造短暂故障
地址由 DHCP、云网络、Keepalived 或 CNI 添加，而服务先启动，就会在启动窗口失败。配置事件驱动依赖、重试退避和 readiness，确保监听成功后才接流量。
重试应有上限并记录地址状态，避免每毫秒重启形成日志风暴。
修复后的验收标准
验收应证明：失败 syscall 与 errno 明确；进程 namespace 正确；绑定地址在该 namespace 可用或 nonlocal 设计有依据；地址族一致；路由选源正确；服务未扩大监听面；高并发下端口利用率有余量；重启、VIP 切换和容器重建后仍稳定。
报告保存命令、范围、计数和脱敏地址，不保存客户流量载荷或凭据。
常见问题
宿主机有这个 IP，容器为什么仍报 EADDRNOTAVAIL？
网络命名空间隔离地址与路由。宿主 IP 不会自动成为容器本地地址，应在容器 namespace 内检查。
开启 ip_nonlocal_bind 就能彻底解决吗？
不能。它只允许 bind 非本地地址，不会修复 VIP 宣告、路由、ARP/NDP、证书或回程路径，而且会扩大整个 namespace 的行为。
客户端 connect 为什么也会报 Cannot assign requested address？
可能显式绑定了不存在的源 IP，也可能自动临时端口耗尽。需要看失败 syscall 与源地址端口。
直接扩大 ip_local_port_range 是否安全？
应先核对 reserved ports、监听端口、NAT 和防火墙范围，并优先改善连接复用与泄漏；盲目扩大并非无风险。
0.0.0.0 可以替代具体监听 IP 吗？
技术上可监听所有适用本地地址，但会扩大暴露面。只有访问控制和防火墙评估通过时才应使用。
来源资料
- Linux bind(2) 手册：https:
/ / man7. org/ linux/ man- pages/ man2/ bind. 2. html - Linux IP Sysctl 文档：https:
/ / www. kernel. org/ doc/ html/ latest/ networking/ ip- sysctl. html - Linux ip-route(8) 手册：https:
/ / man7. org/ linux/ man- pages/ man8/ ip- route. 8. html - Linux network_
namespaces(7) 手册：https: / / man7. org/ linux/ man- pages/ man7/ network_ namespaces. 7. html