TCPポート除外範囲を設定しているアプリ（サービス）の確認方法
質問
回答
-
“「TCPポートの除外範囲」とは、待ち受けを制限（禁止）する設定のことです。”が、私の認識と異なります。もちろん、私の認識が間違っているのかもしれませんが、私の認識では“「ポート除外範囲」とは、ランダムなポートを要求するTCP/UDPアプリによって使用されないように、「動的ポート範囲」から除外するために何かしらが予約したポートまたはポート範囲”だと理解しています。予約したのが何者であるかは、重要ではありません（※除外範囲のテーブルにとって重要でないという意味、ここに範囲を予約したアプリにとってはもちろん重要なこと）。
「動的ポート範囲」は、ランダムに使用されるポート範囲です。XP以前は1025-5000、Vista以降は49152-65535の範囲であり、netsh int ipv4 show dynamicportrange tcp（またはudp）で確認できます。TCPアプリでは、TCPクライアントの発信元ポートとして動的ポート範囲からエフェメラル（短命）ポートが使用されます（UDPアプリは実装の仕方によります）。Microsoft RPCのように 135/TCP（エンドポイントマッパー）に加えて、複数のランダムなポートに動的ポート範囲を使用するものもあります。
XP以前は「HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\ReservedPorts」レジストリで動的ポート範囲からの除外を設定できました。Vista以降は「netsh int ipv4 add excludedportrange ････」コマンドによる追加（excludedportrangeに*が付きます）、または CreatePersistentTcpPortReservation 関数で予約する形に変更になりました。ポート除外範囲の設定はレジストリに格納されているのかもしれませんが、そうであったとしてもnetshの他の設定項目がそうであるのと同じようにバイナリ形式（REG_BINARY）で格納されていて人が分かる形で取り出すにはnetshコマンドを使う以外にないと思います。（※おそらくアプリのコードやマニフェストの中に従って追加されるもので、除外範囲として保存される設定にアプリとの紐づけはないと思います）
「ポートの除外範囲」は、「動的ポート範囲」からの除外設定であり、そのポートをバインドできるかできないかは別の話だと思います。ランダムなポートを要求するアプリなら、ポートが競合することを考える必要はないはずです。システム（WinSock/WinSock2 API）が「ポートの除外範囲」を除く「動的ポート範囲」から空きポートを渡してくれるからです。
参考：
You cannot exclude ports by using the ReservedPorts registry key in Windows Server 2008 or in Windows Server 2008 R2
https://support.microsoft.com/ja-jp/help/2665809/
How to reserve a range of ephemeral ports on a computer that is running Windows Server 2003 or Windows 2000 Server
https://support.microsoft.com/ja-jp/help/812873/競合の問題というのは、アプリが既に別の誰かがバインド中（TCPならLISTEN中）のポートをバインドしようとしたときに発生するもので、それはアプリ側が解決策を用意しておくべきものです（例えば、別のポートに変更できる機能など）。『10013：アクセス許可で禁じられた方法でソケットにアクセスしようとしました。 』は使用中のポートをバインドしようとしたときの通常のエラーであり、「ポートの除外範囲」とは関係ないと思います。今使えてもいつ使えなくなるか分からないという懸念があるなら、それこそ「netsh int ipv4 add excludedportange･･･」を使えばいいのだと思います。
少し試してみました。Windows 10 ver 1903を新規インストールした直後だと、ポートの除外範囲は空っぽです。その状態でIISとHyper-V、WinRMを有効化すると、次のようになりました。
netsh int ipv4 show excludedportrange tcp
開始ポート 終了ポート
---------- --------
80 80 （IISで追加された範囲）
5357 5357 （WinRMで追加された範囲）
5985 5985 （WinRMで追加された範囲）
47001 47001 （WinRMで追加された範囲）
49696 49795 （Hyper-Vで追加された範囲）
49796 49895 （Hyper-Vで追加された範囲）
50000 50059 * （Hyper-Vで追加された範囲）
* - 管理されている除外ポートnetstat -ano の結果で関連するものは次の通り。PID 4はSystem（ntoskrnl.exe）です。
TCP 0.0.0.0:80 0.0.0.0:0 LISTENING 4
TCP 0.0.0.0:5357 0.0.0.0:0 LISTENING 4
TCP 0.0.0.0:5985 0.0.0.0:0 LISTENING 4
TCP 0.0.0.0:47001 0.0.0.0:0 LISTENING 4この状態で、ポート80、5357、5985、47001を別のアプリがバインドしようとすれば、「アクセス許可で禁じられた方法でソケットにアクセスしようとしました。」と表示されますが、未使用の49696-49795、49796-49895、50000-50059の範囲にあるポートは、固定ポートとしてバインドすることが禁止されることはありません。また、IISのサービスを停止すれば、別のアプリで80をバインドできますし、WinRMサービスを停止すれば5985をバインドできるようになります。つまり、「ポートの除外範囲」は、ポートの使用を禁止しているわけではありません。単に、「動的ポート範囲」から除外されているので、ランダムなポートとして選択されることがなくなるだけです。
既定の動的ポート範囲である49152-65535より小さい番号が除外されていることに違和感があると思いますが、これはnetsh int ipv4 set dynamicportrange･･･ で調整できる範囲だから範囲を限定せずに設定されているのだと思います。ちなみに、動的ポート範囲の最大設定は 1024-65536（netsh int ipv4 set dynamicportrrange protocol=tcp startport=1024 numberofports=64512）でした。
以下の画面の例では、固定ポートをバインドする別のアプリとして Windows Sysinternals の PsPing のサーバーモード（指定したポートをバインドできる）を利用しています。
↓ Hyper-V によって予約された 50000 は未使用であり、別のアプリがバインドできます。
↓ WinRM によって予約された 5985 は使用中ですが、WinRM サービスを停止すれば別のアプリでバインドできるようになります。
※長文になってしまいましたが、上の 2 つの画面は除外範囲に登録があっても、ポートの使用が特定のアプリやサービス専用に紐づいているわけでも、ポートの使用を禁止するわけでもないということを確かに示していると思います。何者が予約したのか知るには、その範囲のポートをバインドしているものがないか調べるか、アプリやサービスのアンインストール/インストールで範囲の増減を調べるしかないと思います。
- 編集済み Yamauchi KazuoMVP 2019年8月2日 9:43 追記※
- 回答としてマーク ＫＯＭＡ 2019年8月8日 5:18
すべての返信
-
“「TCPポートの除外範囲」とは、待ち受けを制限（禁止）する設定のことです。”が、私の認識と異なります。もちろん、私の認識が間違っているのかもしれませんが、私の認識では“「ポート除外範囲」とは、ランダムなポートを要求するTCP/UDPアプリによって使用されないように、「動的ポート範囲」から除外するために何かしらが予約したポートまたはポート範囲”だと理解しています。予約したのが何者であるかは、重要ではありません（※除外範囲のテーブルにとって重要でないという意味、ここに範囲を予約したアプリにとってはもちろん重要なこと）。
「動的ポート範囲」は、ランダムに使用されるポート範囲です。XP以前は1025-5000、Vista以降は49152-65535の範囲であり、netsh int ipv4 show dynamicportrange tcp（またはudp）で確認できます。TCPアプリでは、TCPクライアントの発信元ポートとして動的ポート範囲からエフェメラル（短命）ポートが使用されます（UDPアプリは実装の仕方によります）。Microsoft RPCのように 135/TCP（エンドポイントマッパー）に加えて、複数のランダムなポートに動的ポート範囲を使用するものもあります。
XP以前は「HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\ReservedPorts」レジストリで動的ポート範囲からの除外を設定できました。Vista以降は「netsh int ipv4 add excludedportrange ････」コマンドによる追加（excludedportrangeに*が付きます）、または CreatePersistentTcpPortReservation 関数で予約する形に変更になりました。ポート除外範囲の設定はレジストリに格納されているのかもしれませんが、そうであったとしてもnetshの他の設定項目がそうであるのと同じようにバイナリ形式（REG_BINARY）で格納されていて人が分かる形で取り出すにはnetshコマンドを使う以外にないと思います。（※おそらくアプリのコードやマニフェストの中に従って追加されるもので、除外範囲として保存される設定にアプリとの紐づけはないと思います）
「ポートの除外範囲」は、「動的ポート範囲」からの除外設定であり、そのポートをバインドできるかできないかは別の話だと思います。ランダムなポートを要求するアプリなら、ポートが競合することを考える必要はないはずです。システム（WinSock/WinSock2 API）が「ポートの除外範囲」を除く「動的ポート範囲」から空きポートを渡してくれるからです。
参考：
You cannot exclude ports by using the ReservedPorts registry key in Windows Server 2008 or in Windows Server 2008 R2
https://support.microsoft.com/ja-jp/help/2665809/
How to reserve a range of ephemeral ports on a computer that is running Windows Server 2003 or Windows 2000 Server
https://support.microsoft.com/ja-jp/help/812873/競合の問題というのは、アプリが既に別の誰かがバインド中（TCPならLISTEN中）のポートをバインドしようとしたときに発生するもので、それはアプリ側が解決策を用意しておくべきものです（例えば、別のポートに変更できる機能など）。『10013：アクセス許可で禁じられた方法でソケットにアクセスしようとしました。 』は使用中のポートをバインドしようとしたときの通常のエラーであり、「ポートの除外範囲」とは関係ないと思います。今使えてもいつ使えなくなるか分からないという懸念があるなら、それこそ「netsh int ipv4 add excludedportange･･･」を使えばいいのだと思います。
少し試してみました。Windows 10 ver 1903を新規インストールした直後だと、ポートの除外範囲は空っぽです。その状態でIISとHyper-V、WinRMを有効化すると、次のようになりました。
netsh int ipv4 show excludedportrange tcp
開始ポート 終了ポート
---------- --------
80 80 （IISで追加された範囲）
5357 5357 （WinRMで追加された範囲）
5985 5985 （WinRMで追加された範囲）
47001 47001 （WinRMで追加された範囲）
49696 49795 （Hyper-Vで追加された範囲）
49796 49895 （Hyper-Vで追加された範囲）
50000 50059 * （Hyper-Vで追加された範囲）
* - 管理されている除外ポートnetstat -ano の結果で関連するものは次の通り。PID 4はSystem（ntoskrnl.exe）です。
TCP 0.0.0.0:80 0.0.0.0:0 LISTENING 4
TCP 0.0.0.0:5357 0.0.0.0:0 LISTENING 4
TCP 0.0.0.0:5985 0.0.0.0:0 LISTENING 4
TCP 0.0.0.0:47001 0.0.0.0:0 LISTENING 4この状態で、ポート80、5357、5985、47001を別のアプリがバインドしようとすれば、「アクセス許可で禁じられた方法でソケットにアクセスしようとしました。」と表示されますが、未使用の49696-49795、49796-49895、50000-50059の範囲にあるポートは、固定ポートとしてバインドすることが禁止されることはありません。また、IISのサービスを停止すれば、別のアプリで80をバインドできますし、WinRMサービスを停止すれば5985をバインドできるようになります。つまり、「ポートの除外範囲」は、ポートの使用を禁止しているわけではありません。単に、「動的ポート範囲」から除外されているので、ランダムなポートとして選択されることがなくなるだけです。
既定の動的ポート範囲である49152-65535より小さい番号が除外されていることに違和感があると思いますが、これはnetsh int ipv4 set dynamicportrange･･･ で調整できる範囲だから範囲を限定せずに設定されているのだと思います。ちなみに、動的ポート範囲の最大設定は 1024-65536（netsh int ipv4 set dynamicportrrange protocol=tcp startport=1024 numberofports=64512）でした。
以下の画面の例では、固定ポートをバインドする別のアプリとして Windows Sysinternals の PsPing のサーバーモード（指定したポートをバインドできる）を利用しています。
↓ Hyper-V によって予約された 50000 は未使用であり、別のアプリがバインドできます。
↓ WinRM によって予約された 5985 は使用中ですが、WinRM サービスを停止すれば別のアプリでバインドできるようになります。
※長文になってしまいましたが、上の 2 つの画面は除外範囲に登録があっても、ポートの使用が特定のアプリやサービス専用に紐づいているわけでも、ポートの使用を禁止するわけでもないということを確かに示していると思います。何者が予約したのか知るには、その範囲のポートをバインドしているものがないか調べるか、アプリやサービスのアンインストール/インストールで範囲の増減を調べるしかないと思います。
- 編集済み Yamauchi KazuoMVP 2019年8月2日 9:43 追記※
- 回答としてマーク ＫＯＭＡ 2019年8月8日 5:18
