222 端口是什么
222 的登记名是 rsh-spx，说明为 Berkeley rshd with SPX auth，与 221 同族，对应远程命令执行工具的 SPX 认证变体。r 系列工具因为明文传输与基于信任主机的认证模型被淘汰，这个变体更没有生存空间。排查时也不要把它与常见的自定义远程登录端口混淆。
基本信息
| 服务名 | rsh-spx（Berkeley rshd with SPX auth） |
|---|---|
| 端口号 | 222 |
| 背景 | rsh 与 Novell SPX 结合 |
| 传输层 | TCP 与 UDP 均已登记 |
| 现状 | 历史登记，已退役 |
认证模型的根本问题
信任主机模型把身份判断交给来源地址，而地址可以伪造、也可以借道跳板，等于把认证建立在网络拓扑而非身份之上。现代方案用密钥或证书绑定到具体主体，这是模型层面的替换，不是参数调整。
典型排查场景
- 端口速查：看到 222 先确认它是历史条目还是被用作自定义远程登录端口。
- 遗留脚本核查：确认是否还有任务依赖远程命令执行工具。
- 扫描归因：222 出现即追查进程与命令行，确认来源。
- 台账标注：归入历史注册分组并说明认证模型缺陷。
- 策略清理：删除历史放行项并记录依据。
定位占用进程
定位占用进程
ss -lntup 'sport = :222' # 本机监听
sudo lsof -i :222 # 反查进程
ss -lntup 'sport = :221' # 顺带核对同族编号
netstat -ano | findstr :222 # Windows 取 PID
ps -eo pid,user,etime,cmd | grep -w <PID> # 查看完整命令行输出逐列读法
| 列 | 含义 | 判读 |
|---|---|---|
| State | 状态 | 监听态为 LISTEN 或 UNCONN，ESTAB 说明已有连接需要核对对端 |
| Local Address:Port | 本地地址端口 | 被用作自定义登录端口时，需确认是否存在访问限制 |
| Process | 占用进程 | 命令行即能反映用途，注意区分守护进程与临时监听 |
数字相邻不代表同族：222 属于历史条目，而日常常见的自定义远程登录端口多由管理员自选，两者只是数字接近，不要混为一谈。
该编号在 TCP 与 UDP 都有登记，只查 TCP 会漏掉 UDP 方向。
审计历史端口时，把历史注册条目与人为自定义端口分开记录，能避免把管理员的习惯配置误判为遗留服务。
确认没有业务依赖后，处理顺序是先限制访问再卸载组件。直接卸载可能让依赖它的定时任务在夜间集中失败，排查起来更费时。