エラーの内容
アプリを起動した瞬間、次のエラーが表示されます：
SocketException: An attempt was made to access a socket in a way forbidden by its access permissions 0.0.0.0:5000
ポート5000を使用している他のプロセスはありません。ファイアウォールもブロックしていません。管理者として実行しています。それでもWindowsがアプリのポートバインドを拒否する理由が、一見して何も見当たりません。
なぜこのエラーが発生するのか
Windowsは動的（エフェメラル）ポート範囲——送信接続用に予約されたポートのプール——を管理しています。この範囲内にあるポートは、現在何もリッスンしていない場合でも、手動バインドは一切禁止されています。
Hyper-V、WSL2、Docker Desktopがこの問題をさらに深刻にしています。これらの機能のいずれかが有効になっている場合、Windowsは起動時に大きなポートブロックを積極的に事前予約します。この予約は除外ポート範囲リストに表示され、アプリを静かにブロックします——「ポート使用中」エラーではなく、不可解なアクセス権限メッセージだけが表示されます。
ポート5000はよく問題になります。多くのWindowsビルドでデフォルトの動的範囲内に位置しており、Hyper-Vは起動時に5000〜5059の帯域全体を頻繁に確保します。
ステップ1 — ポートが予約済みか確認する
管理者権限のコマンドプロンプト（管理者として実行）で次を実行します：
netsh interface ipv4 show excludedportrange protocol=tcp
出力例：
Protocol tcp Port Exclusion Ranges
Start Port End Port
---------- --------
5000 5059
5985 5985
49673 49772
49773 49872
4 exclusion ranges present
使用したいポートがこれらの範囲内に含まれている場合、それが原因です。実際に何かがリッスンしているかどうかに関わらず、Windowsがそのポートを予約しており、アプリのバインドを許可しません。
修正1 — 別のポートを使用する（最速）
最も手っ取り早い修正：除外範囲外のポートを選択します。3000、8080、8000、8888などのポートはHyper-Vに予約されることがほとんどなく、ローカル開発に安定して使用できます。5000〜7000帯域の任意のポートは避けてください——そこはHyper-Vの領域です。
.NETアプリの場合、launchSettings.jsonを更新します：
{
"profiles": {
"MyApp": {
"applicationUrl": "http://localhost:8080"
}
}
}
Node.jsの場合：
PORT=8080 node server.js
Python（Flask）の場合：
flask run --port=8080
修正2 — Hyper-Vより先にポートを予約する
Hyper-Vより先手を打ちます。Windowsが起動してHyper-Vが動く前に自分の除外を登録しておけば、そのポートには手を出されません。管理者権限のコマンドプロンプトから：
netsh int ipv4 add excludedportrange protocol=tcp startport=5000 numberofports=1
注意——これは除外を追加するコマンドで、直感に反するように思えます。仕組みはこうです：ユーザー定義の除外は、Hyper-Vが動的ブロックを確保するより前に処理されます。ポート5000を明示的に登録することで、Hyper-Vは自身の予約スイープ時にそのポートをスキップします。
再起動後、確認します：
netsh interface ipv4 show excludedportrange protocol=tcp
ポート5000が、大きなHyper-Vブロックとは別の単独エントリとして表示されるはずです。
修正3 — 動的ポート範囲をずらす
別のアプローチ：動的ポート範囲全体を邪魔にならない場所へ移動させます。クリーンなWindowsインストールでは49152から始まりますが、Hyper-Vによって低い方向へ引き下げられることがあり、場合によっては5000番台まで下がることもあります。
現在の範囲を確認します：
netsh int ipv4 show dynamicport tcp
IANAが推奨する範囲（49152〜65535）にリセットします：
netsh int ipv4 set dynamicport tcp start=49152 num=16384
netsh int ipv6 set dynamicport tcp start=49152 num=16384
両方のコマンドを実行した後、Windowsを再起動します。ポート5000だけでなく5000〜10000の帯域全体がブロックされているような場合に、この方法が最もすっきりした解決策になることが多いです。
修正4 — Hyper-Vを無効化・再有効化して予約をクリアする
修正3の後もポートがブロックされている場合、Hyper-Vが以前の起動時に予約を固定してしまっている可能性があります。Hyper-Vを一度切ることで、Windowsに予約テーブルをゼロから再構築させます：
dism.exe /Online /Disable-Feature:Microsoft-Hyper-V
再起動後、再度有効化します：
dism.exe /Online /Enable-Feature:Microsoft-Hyper-V-All
もう一度再起動します。Windowsが起動したら除外範囲を確認してください——Hyper-Vによる積極的な予約ブロックは、通常なくなるか数エントリに減っているはずです。
**注意：**この操作により、WSL2とDocker Desktop（どちらもHyper-Vに依存）が一時的に無効になります。Hyper-Vを再有効化すれば元に戻ります。
修正の確認
アプリを再起動する前に、ポートがクリアになっていることを確認します：
netsh interface ipv4 show excludedportrange protocol=tcp | findstr "5000"
出力がなければポートは空きです。アプリを起動すれば問題なくバインドできるはずです。
より直接的なテストをしたい場合は、PowerShellで次を実行します：
$listener = [System.Net.Sockets.TcpListener]::new([System.Net.IPAddress]::Any, 5000)
try {
$listener.Start()
Write-Host "Port 5000 bound successfully"
$listener.Stop()
} catch {
Write-Host "Failed: $_"
}
このスクリプトが成功すれば、アプリも動作します。
予防策
- **Windows + Hyper-V環境では5000〜7000番台の任意ポートを避ける。**Hyper-Vは起動時にこの帯域に大きな予約ブロックを置く傾向があります。3000、8080、8888などの定番開発ポートはほぼ予約されることがありません。
- **スタートアップスクリプトでポート除外を設定する。**チームが常にポート5000を使用するなら、
netsh int ipv4 add excludedportrangeコマンドを開発環境セットアップスクリプトに組み込んでおきましょう。新しいマシンでもHyper-Vが動く前から保護されます。 - **ポートの選択をドキュメント化する。**選択したポートを
.env.exampleやREADME.mdに記載しておき、チームメンバーが環境構築時に同じ問題に直面しないようにしましょう。 - **Windowsアップグレード後は予約状況を確認する。**機能更新——特にHyper-VやWSL2に関わるもの——はポート予約をリセットまたは拡張することがあります。大きなWindowsアップデートの後は必ず
show excludedportrangeを実行してください。