gist 是什么
gist 是登记在 270 上的 IANA 服务名，而且只登记在 UDP 上，状态标注为 Reserved（保留），登记说明为 GIST 消息的 Q-mode 封装，相关规范见 RFC 5971。GIST（通用互联网信令传输）是 NSIS 信令体系中的传输层协议，而保留的含义是规范上不把该编号分配给常规服务使用。这与「无实现的老注册」不同：它的来历清楚、有标准出处，但正因被保留，现网若真出现 270 流量本身就属于异常，值得追查。
基本信息
| 服务名 | gist（Reserved） |
|---|---|
| 端口与协议 | 270，仅 UDP 登记 |
| 规范出处 | RFC 5971（GIST） |
| 状态说明 | 保留不使用，不分配给常规服务 |
| 现网现状 | 正常网络中不应出现该流量 |
| 排查取向 | 出现即异常，按事件流程处置 |
典型使用场景
- 异常流量分析：会话日志或安全设备告警命中 270/udp 时，先取证再判断是否为协议栈行为或人为程序
- 防火墙规则审计：检查是否存在针对 270 的放行条目，保留编号不应有业务放行
- 主机排查：确认本机是否有进程在 270/udp 上监听，或是否有计划外程序主动外联
- 协议学习：了解 NSIS 体系中 GIST 的封装思路，区分带内封装与固定端口占用
- 取证留档：把流量样本、时间、两端地址记录清楚，便于跨团队协查
定位与排查
定位与排查
ss -lnup 'sport = :270' # UDP 无连接，用 -l -u 只看监听方
sudo lsof -i udp:270 # 反查 UDP 270 的占用进程
awk '$2 ~ /:010E$/ {print}' /proc/net/udp # 十六进制端口，270 = 0x010E
sudo tcpdump -nni any udp port 270 -c 50 # 抓一段 UDP 报文看载荷特征
ss -un 'sport = :270 or dport = :270' # 同时看监听与主动外联保留编号处置对照
| 情形 | 判断要点 | 建议动作 |
|---|---|---|
| 完全无流量 | 符合保留不使用的登记状态 | 记录核查结论后归档，无需处置 |
| 主机处于监听 | 可能是协议栈实现，也可能是计划外程序 | 核对进程与二进制来源，再决定放行或隔离 |
| 出现真实流量 | 保留编号本不应承载业务 | 保全证据并定位两端，按事件流程上报 |
| 防火墙大量命中 | 多为扫描探测或误配的放行规则 | 按扫描事件处置，同时复核规则来源 |
保留编号与「无实现的老注册」处置逻辑相反。老注册出现在现网，多半是遗留或误配置；保留编号按规定就不该有任何流量，一旦出现应优先怀疑扫描、隧道或隐蔽通信，先抓包留证再动手清理，避免破坏现场。