在Linux系统中,会发现一个有趣的现象,通过 netstat 查看监听的服务端口时,发现有些服务 Proto(protocol协议) 项只显示了 tcp6(代表监听服务端口在IPv6协议), 没有 tcp (代表监听服务端口在IPv4协议),这时千万不要认为此服务就不能正常提供 IPv4 地址的服务
我们先举个栗子来区分下现象:
SSH服务:(sshd_config 配置文件中配置下列三行内容,同时监听 IPv4 和 IPv6 协议地址)
root@BJ-CentOS7 ~ # vim sshd_config
AddressFamily any
ListenAddress ::#监听IPv6
ListenAddress 0.0.0.0#监听IPv4
root@BJ-CentOS7 ~ # netstat -anpt | grep ssh #重启服务发现22端口同时监听在Ipv4和Ipv6协议
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 25105/sshd
tcp6 0 0 :::22 :::* LISTEN 25105/sshd
Apache服务:(httpd 配置文件中配置以下两行内容,同时监听 IPv4 和 IPv6 协议地址)
root@BJ-CentOS7 ~ # vim httpd.conf
Listen 80#监听IPv4 80端口
Listen :::80#监听IPv6 80端口
root@BJ-CentOS7 ~ # netstat -anpt | grep httpd #重启服务发现80端口仅监听在Ipv6协议
tcp6 0 0 :::80 :::* LISTEN 24829/httpd
分别来测试 IPv4 地址加服务端口,都是可以正常连通的:
root@BJ-CentOS7 ~ # tcping 192.168.1.10 22
192.168.1.10 port 22 open.
root@BJ-CentOS7 ~ # tcping 192.168.1.10 80
192.168.1.10 port 80 open.
为什么httpd服务看起来只是监听了IPv6地址却可以提供 Ipv4 地址服务呢?
从Apache官网文档及Apache源码中可以得到答案:
Apache配置监听地址说明:http://httpd.apache.org/docs/2.4/bind.html
/* If we have the unspecified IPv4 address (0.0.0.0) and
* the unspecified IPv6 address (::) is next, we need to
* swap the order of these in the list. We always try to
* bind to IPv6 first, then IPv4, since an IPv6 socket
* might be able to receive IPv4 packets if V6ONLY is not
* enabled, but never the other way around.
* Note: In some configurations, the unspecified IPv6 address
* could be even later in the list. This logic only corrects
* the situation where it is next in the list, such as when
* apr_sockaddr_info_get() returns an IPv4 and an IPv6 address,
* in that order.
*/
上述描述大概,服务监听了 tcp6 后,tcp 也可以用的。
虽然协议显示了 IPv6 的端口监听,但并不代表只接受 IPv6 的连接,实际上,apache会以 mapped address (::FFFF:a.b.c.d) 映射地址方式来接受 IPv4 的连接。除了少部分平台上,例如FreeBSD,NetBSD,OpenBSD之外, Apache 在编译时,默认启用了 --enable-v4-mapped 选项。所以,Apache会同时接受 IPv6 和 IPv4 的连接请求。
可以通过 httpd -V 命令来查看默认编译参数:
root@BJ-CentOS7 ~ # httpd -V
AH00558: httpd: Could not reliably determine the server's fully qualified domain name, using 127.0.0.1. Set the 'ServerName' directive globally to suppress this message
Server version: Apache/2.4.6 (CentOS)
Server built: Apr 20 2018 18:10:38
Server's Module Magic Number: 20120211:24
Server loaded: APR 1.4.8, APR-UTIL 1.5.2
Compiled using: APR 1.4.8, APR-UTIL 1.5.2
Architecture: 64-bit
Server MPM: prefork
threaded: no
forked: yes (variable process count)
Server compiled with....
-D APR_HAS_SENDFILE
-D APR_HAS_MMAP
-D APR_HAVE_IPV6 (IPv4-mapped addresses enabled) #重点看这里,启用IPv4地址映射
-D APR_USE_SYSVSEM_SERIALIZE
-D APR_USE_PTHREAD_SERIALIZE
-D SINGLE_LISTEN_UNSERIALIZED_ACCEPT
-D APR_HAS_OTHER_CHILD
-D AP_HAVE_RELIABLE_PIPED_LOGS
-D DYNAMIC_MODULE_LIMIT=256
-D HTTPD_ROOT="/etc/httpd"
-D SUEXEC_BIN="/usr/sbin/suexec"
-D DEFAULT_PIDLOG="/run/httpd/httpd.pid"
-D DEFAULT_SCOREBOARD="logs/apache_runtime_status"
-D DEFAULT_ERRORLOG="logs/error_log"
-D AP_TYPES_CONFIG_FILE="conf/mime.types"
-D SERVER_CONFIG_FILE="conf/httpd.conf"
如果我们在编译 httpd 的时候使用 --disable-v4-mapped 参数禁止 ipv4 mapped,那么默认情况下, httpd 会分别监听在 ipv4 和 ipv6,而非只监听 ipv6,如下所示:
netstat -anpt | grep httpd
tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 27173/httpd
tcp6 0 0 :::80 :::* LISTEN 27173/httpd
总结:
Linux 下 Apache 服务默认开启了 Ipv4 地址映射,会以 (::FFFF:a.b.c.d) 映射地址方式来接受 IPv4 的连接并处理,所以通过 netstat 命令看不到端口监听 Ipv4 地址不代表不能正常提供 Ipv4 地址服务。(发现MySQL也是同样,在配置文件 my.cnf 中 [mysqld] 配置中加入 bind-address=0.0.0.0 即可看到正常监听在了 Ipv4 协议地址上,但是前者也是不影响 Ipv4 地址服务使用的)