远程采集服务的风险面
rpcapd 以服务形式在远端提供抓包接口，让 Wireshark 等客户端可以远程采集。便捷的同时也把采集能力暴露了出去：一旦有人连上，等同于获得监听该网段流量、读取明文数据的能力。因此绑定内网地址、开启认证、限制来源这几件事必须做，用完后要及时关闭服务。
基本信息
| 用途 | 以服务方式提供远程采集接口 |
|---|---|
| 默认端口 | 2002，属 WinPcap/Npcap 的远程采集服务端口 |
| 风险点 | 监听地址、认证方式、来源限制 |
| 生命周期 | 按需临时启用，用完关闭 |
典型使用场景
- 无法在目标机上人工操作时的远程采集
- 集中管理多台主机的采集服务
- 临时排障期的快速接入
- 安全评估时识别暴露的采集接口
- 评估采集能力本身的权限风险
部署要点
部署要点
# 要点（具体配置以部署环境与版本为准）：
# 1 只绑定内网管理地址，不要对外暴露
# 2 开启用户名口令或更安全的认证方式
# 3 用主机防火墙限制 2002 端口的来源范围
# 4 采集完成后停止并禁用服务，避免长期遗留
# 部署前先确认业务流量走向，避免采集口选错白开服务风险与对策
| 风险 | 后果 | 对策 |
|---|---|---|
| 对外暴露监听 | 未授权用户可监听流量 | 只绑定内网管理地址 |
| 无认证运行 | 任何来源都能连接 | 强制开启认证 |
| 来源不限 | 攻击面明显扩大 | 防火墙限制来源网段 |
| 长期常驻 | 采集能力持续可用 | 用完即关并回收权限 |
采集能力等同于监听网络，应纳入安全基线统一管理：谁开的、开多久、谁能连，都要有记录可查。能本地抓包再导出文件时，优先不开常驻的远程接口。
默认无认证或弱认证的运行方式风险很高，部署前必须整改。临时启用与长期常驻要区分清楚，避免排障结束后还留着一个可被利用的采集入口，这类遗留项在实际环境里相当常见。
部署检查项
- 确认监听地址仅限内网管理网段
- 确认认证方式已开启且口令强度足够
- 用主机防火墙限制可连接来源
- 记录服务启用的时间与责任人
- 排障结束后停止服务并回收相关权限