271 与 NEA 姿态评估
271 的登记名是 pt-tls，来自 IETF 的 NEA（Network Endpoint Assessment，网络端点评估）框架，规范为 RFC 6876。NEA 的用途是准入评估：终端接入企业网之前，由评估组件检查它的姿态——补丁级别、杀毒软件状态、配置合规性等，符合策略才放行，不符合则隔离修复或只放行修复资源。PT-TLS 负责在 TLS 之上传输姿态信息，并提供相互认证与完整性保护，因此适合跨不可信网络链路。这是标准定义的能力，实际能否落地取决于所用准入产品是否实现了对应组件。
基本信息
| 服务名 | pt-tls（Posture Transport over TLS） |
|---|---|
| 传输层 | TCP |
| 标准 | RFC 6876（NEA 框架） |
| 登记人 | IESG |
| 注册时间 | 2012-07-31 |
| 用途 | 接入前的主机合规评估与结果上报 |
典型使用场景
- 准入系统排障：终端被隔离但看不到原因时，确认评估链路是否连通
- 合规落地：配合 802.1X 实现先评估后放行的接入控制
- 端点安全治理：把补丁与防病毒状态纳入接入前置条件
- 设备兼容性核查：确认终端与准入产品的 NEA 组件版本是否匹配
- 端口台账：多园区部署时登记各站点评估服务器地址与端口
核查命令
核查命令
ss -lntp | grep ':271 ' # 评估服务器是否在监听
sudo lsof -i :271 # 反查进程，确认是准入组件而非其他服务
openssl s_client -connect nac01:271 </dev/null 2>/dev/null | openssl x509 -noout -subject -dates # 证书主体与有效期
sudo ss -tnp '( sport = :271 )' # 看已接入终端的会话数，评估突发接入是否打满
# 配置侧：在准入产品里核对 server 地址、证书与策略版本是否与现网一致NEA 组件分工
| 组件 | 作用 | 承载方式 |
|---|---|---|
| PT-TLS | 姿态传输，基于 TLS | 271/tcp（本条目） |
| PT-EAP | 姿态传输，基于 EAP | 随 802.1X 协商，无独立端口 |
| PA-TNC | 姿态属性的封装格式 | 由传输层承载，不单独监听 |
| PB-TNC | 批量传输与分片协商 | 由传输层承载，不单独监听 |
标准只定义传输与消息格式，评估能力由产品实现决定。选型时要明确产品支持的姿态类型（补丁、防病毒、注册表项等）与修复流程，否则会出现能发现不合规但无法自动修复的尴尬局面。
评估服务器保存终端资产与合规数据，属于高价值目标。证书私钥应受控存放，管理接口不要与业务网混用同一平面，并限制只有终端网段可访问 271。