ConnProof

connect ECONNREFUSED：连接被目标明确拒绝怎么处理 ​

TCP-002connect ECONNREFUSED严重程度 High
一句话结论

目标主机收到了连接请求并明确拒绝：主机是活的，但那个端口上没有服务在听。最可能是目标服务未启动或端口配置不一致；第一步是核对客户端配置的端口与服务端实际监听的端口。

适用环境WindowsmacOSLinuxAndroidiOS
适用客户端通用客户端
最后验证：2026-07-28规则版本：v1内容更新：2026-07-28

结论 ​

在 TCP 的失败家族里，ECONNREFUSED 是信息量最大的一种：它是一个明确的、来自目标方向的回答（RST 响应 SYN）。这个回答同时告诉你三件事——网络路径是通的、目标主机是活的、指定端口上没有监听的服务。所以排查根本不用碰"网络"二字，直接聚焦两个问题：服务在不在？端口对不对？

适用环境 ​

一分钟快速判断 ​

  1. 核对端口：客户端配置的端口和服务方公布的端口逐字比对。服务方调整端口后用户没跟上，是这条错误的第一大来源；
  2. 问服务状态：查看服务方的公告或状态页，服务重启/迁移期间的拒绝会自行恢复；
  3. 对照检测：connproof tcp <主机> --port <疑似端口> 与已知开放的端口（如 443）各测一次。443 通而目标端口拒绝 → 主机健康、就是那个端口没服务，证据完备。

这条错误代表什么 ​

内核收到 SYN 后发现无人监听该端口，回复 RST——这是标准行为。但"无人监听"有三种成因：

  • 服务真的没运行：崩溃、重启中、还没部署；
  • 服务监听在别的端口/地址：配置漂移，或只绑定了内网地址而你从公网连；
  • REJECT 型防火墙：防火墙没有静默丢弃（DROP）而是选择礼貌拒绝（REJECT），伪装成"没有服务"的样子。云安全组通常用 DROP，主机内 iptables/firewalld 用 REJECT 的不少见。

第三种意味着：拒绝不能百分之百等同于"服务不存在"，只能说"从你的位置看不到服务"。服务方在本机能连而你被拒绝时，中间的 REJECT 规则就是嫌疑人。

ConnProof 如何判断 ​

connproof tcp 目标主机 --port 端口

证据要点：失败类型明确标注为拒绝（区别于超时）、拒绝到达的耗时（毫秒级到达说明拒绝者离你很近——往往是本机或局域网防火墙；数十毫秒以上则来自目标方向）。这个耗时细节很少有人注意，但它能粗略指出拒绝发生的位置。

最常见原因 ​

  1. 端口配置不一致：服务方换端口、用户配置未更新；
  2. 目标服务未启动：崩溃、维护、部署失败；
  3. REJECT 防火墙规则：目标主机或路径上的策略；
  4. 连错主机：DNS 变更后连到了没有部署服务的新地址（配合 connproof dns 核对解析结果）。

Windows / macOS / Linux 排查步骤 ​

用户侧：

  1. 逐字核对端口与主机名；
  2. connproof dns 确认解析地址与服务方公布一致；
  3. 对照检测（目标端口 vs 已知开放端口）固定证据后反馈服务方。

服务维护者侧：

  1. 服务器本机 ss -tlnp | grep 端口（Linux）/ netstat -ano | findstr 端口（Windows）确认监听存在与绑定地址——绑定 127.0.0.1 只能本机访问，公网服务需绑定 0.0.0.0 或具体公网接口；
  2. 本机能连而公网被拒 → 逐层检查主机防火墙（iptables/firewalld/ufw/Windows 防火墙）与云安全组；
  3. 检查服务日志确认进程没有反复崩溃重启。

手机端排查步骤 ​

  • 手机客户端报"拒绝"类错误时，用桌面 ConnProof 复测取证；
  • 重点核对手机上的端口输入——手机键盘上 8443 打成 843、多个空格混入都常见；
  • Wi-Fi/蜂窝对照意义不大（拒绝与网络路径基本无关），省下这步。

服务迁移期的典型剧本 ​

有一个反复上演的场景值得单独描述，因为它把本页的几种原因串在了一起：服务方把服务迁到新服务器，DNS 记录已更新指向新地址，但新服务器上的服务还没部署好（或防火墙还没放行）。此时用户看到的现象很分裂——有人正常（还在用旧解析缓存连旧服务器），有人被拒绝（新解析 + 新服务器无服务），报障群里各执一词。识别这个剧本的证据组合：connproof dns 显示解析地址最近变过（与你记忆或历史报告中的地址段不同）+ 新地址上目标端口被拒绝 + 服务方恰有维护动作。应对也简单：这是迁移窗口期的暂态，等待服务方完成部署即可，反复重试或修改本地配置都没有意义。作为用户能做的最有价值的事，是把"解析到的地址段 + 拒绝证据 + 时间点"发给服务方，帮他们确认新环境的部署缺口。

如何区分本地问题和节点问题 ​

证据更可能是
毫秒级极速拒绝本机/局域网防火墙
服务方确认端口已变更配置未同步（改配置即愈）
服务器本机可连、外部被拒主机防火墙或安全组
解析地址与公布不符DNS 陈旧，先修解析
多用户同时被拒服务未运行（服务方）

仍未解决时收集什么信息 ​

  • ConnProof 错误码（TCP-002）与脱敏报告；
  • 对照检测结果（目标端口拒绝 + 参照端口状态）；
  • 解析核对结论；
  • 客户端名称和版本、操作系统版本、问题开始时间。

禁止提交：完整订阅链接、密码、验证码、私钥、Token。

重新运行检测 ​

connproof tcp 目标主机 --port 端口 --format markdown --output tcp-report.md

修复后建连应成功并给出耗时证据。

相关文档 ​

更新记录 ​

  • 2026-07-28：规则 v1 发布，加入拒绝耗时的位置判读方法。