247 与广播 TFTP
247 的登记名是 subntbcst-tftp，旧写法 subntbcst_tftp，意思是子网广播 TFTP。它针对的是无盘工作站批量引导场景：同一子网里几十台机器同时开机，如果服务器逐台单播下发引导镜像，流量会成倍放大、引导时间被拖长，于是出现了把镜像广播给整个子网的设想。今天这类需求由 PXE 承担——DHCP 负责定位引导服务器、TFTP 或 HTTP 负责传镜像，方案成熟且可控，247 因此没有主流实现。
基本信息
| 服务名 | subntbcst-tftp（旧名 subntbcst_tftp，互为别名） |
|---|---|
| 传输层 | TCP/UDP |
| 面向场景 | 无盘工作站批量引导 |
| 登记人 | John Fake |
| 配套端口 | TFTP 标准服务端为 69/udp，DHCP 为 67/68 |
| 现状 | 无主流实现 |
典型使用场景
- 引导环境核查：确认现网用的是 PXE 还是老式广播引导方案
- 流量分析：定位内网异常广播流量的来源，老引导服务器是常见嫌疑
- 资产清理：找出仍在提供 TFTP 引导的老旧服务器并评估下线
- 安全加固：TFTP 无认证，可访问者能直接读取引导镜像与配置文件
- 迁移规划：把老引导流程迁到标准化 PXE 或 HTTP 引导，便于审计与回滚
核查命令
核查命令
ss -lntu | grep -E ':(69|247) ' # 对照 TFTP 与广播 TFTP 端口
sudo lsof -i :247 # 反查占用进程
getent services subntbcst-tftp # 系统名称登记
sudo tcpdump -ni eth0 'udp port 69 or udp port 247' -c 20 # 抓包确认是否有引导流量
netstat -ano | findstr :247 # Windows 侧核对 PID网络引导方式对照
| 方式 | 依赖协议 | 常用端口 |
|---|---|---|
| RARP/BOOTP 引导 | 早期地址与引导发现 | 已被 DHCP 取代 |
| PXE 引导 | DHCP + TFTP | 67/68、69 |
| iPXE / HTTP 引导 | HTTP(S) 传镜像 | 80/443 |
| 子网广播 TFTP | 本条目登记的变体 | 247，无主流实现 |
247 与 69 不是同一件事：69 是 TFTP 服务端的标准监听口，247 只是子网广播这一变体的名称登记。排查时两条都要看，但结论要落到具体进程上。
TFTP 本身没有认证和目录约束（取决于实现），若老引导服务器还在内网运行，等于把引导镜像、无人值守配置乃至脚本明文开放给任何能到达该端口的主机。