erpc 是什么
erpc 是 IANA 登记的 Encore Expedited Remote Pro.Call 服务，TCP 与 UDP 同名，登记人为 Jack ONeil。Encore Computer 为其并行机产品设计过私有远程过程调用实现，这个端口就是那套体系的入口。1980 至 1990 年代，各家小型机厂商普遍自研 RPC，Sun RPC（ONC RPC）成为事实标准之后，这类私有实现随产品线退役而消失，今天同类需求由 gRPC、REST 与消息队列承担。
基本信息
| 服务名 | erpc（Encore Expedited Remote Pro.Call） |
|---|---|
| 端口号 | 121（TCP/UDP 同名登记） |
| IANA 登记说明 | Encore Expedited Remote Pro.Call |
| 登记人 | Jack ONeil |
| 技术背景 | Encore 并行计算机系统 |
| 同代标准 | Sun RPC / ONC RPC、DCE RPC |
| 现状 | 随厂商产品退役 |
| 处置口径 | 按未知服务核实进程与业务归属 |
现网出现时怎么处置
- 区分调用方向：RPC 类服务既可能被动监听，也可能主动外联，两种方向的证据链不同
- 查动态端口痕迹：部分 RPC 体系会先连注册服务再跳转到高位端口，排查时要一并看关联连接
- 核对老系统：并行机与小型机早已退役，若内网仍有此类占用，优先怀疑测试环境或自研程序
- 看调用量与时序：周期性短连接多为程序间定时调用，随机突发的连接更接近扫描行为
- 下线前做依赖确认：调用方往往没有明文配置，需结合抓包与日志确认没有隐性依赖
定位占用进程
定位占用进程
ss -lntup 'sport = :121' # 列出 121 的 TCP/UDP 监听进程
sudo lsof -i :121 # 进程、用户与文件
ss -tnp '( sport = :121 or dport = :121 )' # 双向连接视图
sudo ss -s # 端口占用总览，判断是否有大量短连接
netstat -ano | findstr :121 # Windows：端口与 PID
tasklist /FI "PID eq 1234" # Windows：PID 反查进程RPC 体系演进
| 阶段 | 代表 | 特点 |
|---|---|---|
| 1980 年代 | 厂商私有 RPC | 与硬件平台绑定，跨厂商不通 |
| 1990 年代 | Sun RPC、DCE RPC | 形成标准接口，配套动态端口映射 |
| 现代 | gRPC、REST、消息队列 | 文本或二进制协议，配合服务发现 |
老 RPC 体系常把端口映射与端口监听拆成两个部分：先连一个登记端口问服务地址，再去连真正的工作端口。只看单个注册号往往会漏掉整条调用链，排查时按时间顺序对比两组连接更容易还原。