2106 是什么
2106 是 IANA 服务名注册表中的一条登记：服务名 mzap，协议名 Multicast Zone Announcement Protocol（组播区域公告），登记联系人为 Dave Thaler，TCP 与 UDP 两个协议号下都能查到该条目。它落在 1024–49151 的注册端口区间，也就是任何人都可以按流程登记名字、但不代表有标准实现的区间。与 22、443 这类端口不同，2106 没有配套的公开实现、报文格式或可部署服务：它是一条留档登记，而不是一个能配置起来跑的协议。
基本信息
| 端口号 | 2106（TCP/UDP 双协议登记） |
|---|---|
| 服务名 | mzap |
| 协议名 | Multicast Zone Announcement Protocol |
| 分配区间 | 1024–49151 注册端口 |
| 登记来源 | IANA 服务名注册表 / Windows services 文件 |
| 登记联系人 | Dave Thaler |
| 现状 | 历史登记，无现代实现与部署案例 |
它的实际意义
这个端口真正的作用是「名称解析」而非通信协议。操作系统、扫描器、日志与 SIEM 都会用 etc/services 这类端口名表把数字还原成服务名，于是报表和告警里冒出 mzap 这样的字眼。如果不清楚它只是历史登记，就容易把一个来源不明的监听进程误读成「已知协议」，从而跳过本该做的进程溯源。同类无人认领的历史登记在 1024–49151 区间里成批存在，处理原则一致：看进程，不看名字。
什么时候会遇到
- 资产测绘或端口扫描报告里出现 2106，需要判断是否属于业务端口
- 防火墙、主机日志、告警平台把端口号翻译成 mzap，看起来像已知服务
- 做端口基线比对时发现某台主机新增 2106 监听，需要溯源到进程
- 排查非常规软件驻留时，确认某进程为何绑定这个冷门端口
- 加固收尾阶段，确认无业务依赖后裁撤无用放行规则
定位占用该端口的进程
定位占用该端口的进程
ss -lntup | grep ':2106' # Linux：列出监听该端口的 TCP/UDP 套接字及进程
sudo lsof -i :2106 # Linux：列出所有持有该端口的进程（含 UDP）
sudo fuser -n tcp -n udp 2106 # 另一条按端口反查进程号的路径
netstat -ano | findstr :2106 # Windows：拿到 PID
Get-NetTCPConnection -LocalPort 2106 # Windows PowerShell：看状态与 OwningProcess
tasklist /fi "pid eq 1234" # Windows：用 PID 反查进程名、路径与内存别把端口名当进程身份
别把端口名当进程身份
getent services 2106 # Linux：查看本机名称表把 2106 映射成什么
awk '$2=="2106/tcp" || $2=="2106/udp"' /etc/services # 确认名称来自名称表
grep -n '^mzap' /etc/services # 名称是历史约定，不代表真有 mzap 程序在跑
findstr /i mzap "%SystemRoot%\System32\drivers\etc\services" # Windows 侧对照排查输出读法
| 字段或状态 | 含义 | 判断要点 |
|---|---|---|
| LISTEN | 有进程绑定该端口并等待连接 | 必须落到具体 PID 与可执行文件路径 |
| UNCONN | UDP 套接字未建立连接 | UDP 无连接语义，只说明有进程在收包 |
| ESTABLISHED | 已建立连接 | 重点看对端 IP，外联公网需立即溯源 |
| PID / OwningProcess | 持有该端口的进程号 | 结合进程路径、启动参数判断归属 |
| 进程名 / USER | 进程名与运行身份 | 以 root 或系统权限运行且来源不明时优先隔离 |
| 对端地址 | 连接的远端 IP 与端口 | 内网对端查资产台账，公网对端查威胁情报 |
mzap 的公开资料极其稀少：任何声称它有标准报文格式、可调参数或厂商实现的说法都缺乏出处。碰到这个端口，按「未知服务」而不是「已知协议」处理——先定位进程与可执行文件，再判定业务归属，最后按结论决定放行还是清理。
端口号与服务名是一份历史约定：不同系统、不同扫描器各自拷贝的名称表版本不一致，同一数字在不同工具里显示成不同名称属正常现象。名称只用于提示，判定依据始终是进程与实际连接。
若 2106 在无人认领的情况下长期监听，或出现指向公网地址的 ESTABLISHED 连接，先按可疑外联处置：留存进程名、命令行、可执行文件路径或哈希、连接五元组与相关日志，再决定是否用主机防火墙或网络策略临时阻断。取证信息未留存前不要直接结束进程。