196 端口是什么
196 的登记名是 dn6-smm-red，说明为 DNSIX Session Mgt Module Audit Redir，注册人 Lawrence Lebahn，是 195 的配套组件，负责把会话管理模块产生的审计数据重定向到集中处理的位置。集中采集审计数据的思路与今天日志平台的做法一致，只是发生在网络协议还很原始的年代。
基本信息
| 服务名 | dn6-smm-red（会话管理模块审计重定向） |
|---|---|
| 端口号 | 196 |
| 配套端口 | 195（网络层模块审计） |
| 传输层 | TCP 与 UDP 均已登记 |
| 背景 | DNSIX 安全架构 |
| 现状 | 历史条目，无在网实现 |
审计重定向为什么重要
审计数据留在本机容易被篡改，也可能随主机故障一起丢失；集中转发才能保留完整证据链。今天这项工作由日志代理与集中平台完成，机制成熟得多，但目标与当年完全一致，196 就是这一需求的早期实现痕迹。
典型排查场景
- 同族合并处理：与 195、90 一起核对，避免逐条重复调查。
- 台账标注：注明为历史安全架构组件，与现役日志通道区分。
- 合规沟通：说明该编号与当前的日志采集体系没有关系。
- 扫描归因：196 出现即追查占用进程与来源。
- 策略清理：删除历史放行项并记录变更。
定位占用进程
定位占用进程
ss -lntup 'sport = :196' # 本机监听
sudo lsof -i :196 # 反查进程与 PID
ss -lntup '( sport = :195 or sport = :196 )' # 与配套编号一起看
netstat -ano | findstr :196 # Windows 取 PID
ps -eo pid,user,etime,cmd | grep -w <PID> # 查看属主与运行时长输出逐列读法
| 列 | 含义 | 判读 |
|---|---|---|
| State | 状态 | 监听态为 LISTEN 或 UNCONN，ESTAB 说明已有数据在传输 |
| Local Address:Port | 监听地址端口 | 审计类服务应在受控网段内运行，暴露范围需严格控制 |
| Process | 占用进程 | 同样进程占用配套编号时，可按单一组件整体处置 |
同族的 195 与 90 属于同一套架构，见到其中一个就把另外几个一起核对，能显著减少漏项。
该编号在两个传输层都有登记，只查 TCP 会遗漏 UDP 方向的流量。
审计数据集中化之后，采集端与存储端之间的信任关系会成为新的风险点。这一点在今天依然成立，只是现在有更成熟的机制来约束这种信任。