IEC104客户端连接异常如何排查？

Question

问题：IEC104客户端连接时频繁出现“连接建立后立即断开”现象，如何排查？ 在实际应用中，IEC104客户端与服务端建立TCP连接后立即被关闭，常见原因包括：两端的IP地址或端口配置不匹配、服务端未启用或防火墙拦截；心跳周期（如K、W参数）设置不一致导致超时；ASDU公共地址或遥信/遥测地址范围超出服务端允许范围，触发异常断连。此外，报文发送顺序错误或测试帧未正确响应也可能引发此问题。需结合抓包工具（如Wireshark）分析APCI帧交互流程，检查连接初始化（STARTDT）指令是否被拒绝，并核对客户端和服务端的点表及通信参数配置一致性。

Answer 1

IEC104客户端连接建立后立即断开的深度排查指南

1. 问题现象与初步判断

在电力自动化系统中，IEC 60870-5-104（简称IEC104）协议广泛用于SCADA主站与远动终端（RTU）之间的通信。当客户端尝试连接服务端时，TCP三次握手成功，但连接建立后立即被关闭，表现为“连接闪断”。

• TCP连接可建立（SYN/SYN-ACK/ACK完成）
• APCI层未完成初始化或被主动终止
• 常见于调试阶段或配置变更后

此类问题通常源于通信参数不一致、防火墙策略或应用层逻辑拒绝。

2. 排查流程框架设计

为系统化定位问题，建议采用分层排查法：

1. 网络层连通性验证
2. TCP端口可达性检测
3. IEC104应用层报文交互分析
4. 配置参数一致性核对
5. 服务端日志审查
6. 安全设备影响评估
7. 点表地址范围校验
8. 心跳机制（K/W参数）匹配检查
9. STARTDT指令响应分析
10. 测试帧（TESTFR）处理逻辑确认

3. 网络与传输层排查

检查项	工具/方法	预期结果
IP地址配置	ifconfig / ipconfig	两端IP在同网段或路由可达
端口号一致性	netstat -an | grep 2404	服务端监听2404（默认）
防火墙状态	iptables / Windows Firewall	允许2404端口出入站
TCP连接建立	Telnet IP 2404	能建立空连接

4. 应用层报文交互分析（Wireshark抓包）

使用Wireshark捕获IEC104通信过程，过滤条件：tcp.port == 2404

        Frame 1: → Client SYN
        Frame 2: ← Server SYN-ACK
        Frame 3: → Client ACK (TCP连接建立)
        Frame 4: → Client U-frame STARTDT
        Frame 5: ← Server U-frame STOPDT or RST
    

若服务端返回STOPDT或直接RST，则说明应用层拒绝连接。

5. APCI与ASDU关键参数核查

IEC104协议中，APCI（Application Protocol Control Information）控制连接生命周期，ASDU定义数据单元结构。

• K参数：最大发送未确认I帧数（默认12）
• W参数：接收窗口大小（默认8）
• T1：发送启动超时（建议15秒）
• T2：无数据时确认延迟（建议10秒）
• T3：心跳周期（建议20秒）

参数不一致将导致心跳失败或缓冲区溢出，引发断连。

6. 公共地址与信息体地址越界问题

服务端常对接收到的ASDU公共地址（Common Address of ASDU）和信息对象地址进行白名单校验。

字段	长度（字节）	典型值	风险点
公共地址	2	0x0001 ~ 0xFFFE	超出服务端允许范围
信息体地址	3	遥信从1开始编号	地址不存在或越界
传送原因	1	COT=5 初始化结束	误用COT=3等保留值

7. 报文顺序错误与测试帧处理

IEC104规定严格的通信状态机流程：

graph TD A[Client发送STARTDT] --> B{Server是否接受?} B -- 是 --> C[Server回复STARTDT_ACK] B -- 否 --> D[Server发送STOPDT] C --> E[进入数据传输状态] D --> F[连接关闭] E --> G[周期发送TESTFR保活] G --> H{Client是否回应?} H -- 否 --> I[Server主动断开] 若客户端未正确响应TESTFR，服务端可能判定链路异常而关闭连接。

8. 配置一致性比对清单

以下为必须双方严格一致的关键配置项：

• 传输模式：平衡式（Balanced Mode）或非平衡式
• 最大APDU长度（通常249）
• K、W、T1、T2、T3定时器设置
• 公共地址分配规则
• 信息体地址起始偏移
• 点表映射关系（遥信、遥测、遥控）
• 加密与认证机制（如启用）
• 协议版本兼容性（IEC104-2006 vs IEC104-2019）

9. 日志与诊断建议

服务端应开启详细日志输出，记录如下事件：

        [DEBUG] TCP connection from 192.168.1.100:50234 accepted
        [INFO]  Received STARTDT from client
        [WARN]  Public address 0x100 not in allowed list, sending STOPDT
        [ERROR] Invalid ASDU type 0x01, disconnecting...
        [DEBUG] Connection closed by server side
    

结合日志与抓包可精准定位拒绝原因。

10. 综合解决方案实施路径

1. 确认网络可达且端口开放
2. 使用Wireshark抓包验证TCP及APCI交互
3. 检查STARTDT是否被STOPDT拒绝
4. 比对K/W/T参数一致性
5. 验证公共地址和服务端配置匹配
6. 确认信息体地址在有效范围内
7. 确保正确响应TESTFR帧
8. 同步点表定义与偏移配置
9. 关闭中间设备干扰（如NAT、代理）
10. 逐步启用日志追踪直至问题复现