1 是什么
1 号端口是 RFC 1078 定义的 TCP 端口服务多路复用器（TCPMUX）：客户端连上之后先发送目标服务名，由多路复用器把连接转交给对应服务，从而让多个服务共用同一个端口。它出自互联网早期端口资源紧张、需要复用的年代，如今几乎没有公开实现。
现在为什么还会遇到
现代系统里 1 端口开放的场景极少，通常来自老式 Unix 系统、研究环境或历史遗留配置。安全核查遇到它，重点不是研究这个服务有什么用，而是确认监听进程的来源与归属，并评估能否直接下线。
基本信息
| 服务 | TCPMUX（TCP 端口服务多路复用） |
|---|---|
| 协议 | TCP |
| 规范 | RFC 1078 |
| 现状 | 基本废弃，无主流实现 |
| 安全等级 | 生产环境不应开放 |
典型使用场景
- 梳理历史资料与老系统文档时作为背景知识
- 扫描结果中出现 1 端口时核实监听进程与系统年代
- 资产核查中判断是否属于遗留服务并评估下线
- 教学场景里演示端口复用的设计思路
- 安全评估时确认是否存在无维护的历史服务
探测与定位
探测与定位
nc -w2 192.0.2.10 1 </dev/null # 探测端口是否响应
ss -lntp | grep ':1 ' # 确认本机是否有进程监听
sudo lsof -i :1 # 确认归属进程现代替代思路
现代替代思路
# 端口复用的现代做法：反向代理按域名或路径分发
# nginx 同一监听端口配置多个 server_name
# server { listen 443 ssl; server_name a.example.com; ... }
# server { listen 443 ssl; server_name b.example.com; ... }
# 前端负载均衡按 SNI 或 Host 头路由，无需客户端先报服务名同期登记的小端口
| 服务 | 端口 | 用途 |
|---|---|---|
| tcpmux | 1 | 按服务名复用同一连接 |
| discard | 9 | 丢弃输入，用于单向测试 |
| daytime | 13 | 返回时间文本，用于可达性验证 |
现代等价的端口复用手段是反向代理与 SNI 路由，它们建立在成熟实现之上，不需要 TCPMUX 那种由客户端先声明服务名的机制，兼容性与可维护性都更好。
发现之后的处置顺序
遇到该端口开放，推荐按三步走：先确认监听进程与系统版本，再把监听信息记入资产台账，最后与业务方确认没有依赖后关闭服务并持续观察一段时间，确认没有回退再彻底清理配置文件。