pawserv 是什么
pawserv 是登记在 345 上的 IANA 服务名，登记说明为 Perf Analysis Workbench（性能分析工作台），属于监控与性能分析类工具组件的注册端口，注册表之外没有公开的协议文档。性能分析工具后来普遍改用 Web 界面与标准端口，或者把数据推送到统一的监控平台，独立的专用编号逐渐失去意义。345 在 0-1023 段内，绑定需要 root 或 CAP_NET_BIND_SERVICE，现网出现监听应优先怀疑老监控组件。
基本信息
| 服务名 | pawserv（Perf Analysis Workbench） |
|---|---|
| 端口与协议 | 345，TCP 与 UDP 均有登记 |
| 注册情况 | IANA 登记项，无 RFC 文档 |
| 用途分类 | 性能分析/监控类组件 |
| 现网现状 | 无公开实现，现网极少出现 |
| 现代替代 | Web 界面监控平台与标准端口的采集接口 |
典型使用场景
- 监控资产清点：核对采集代理清单，确认没有已停用的分析组件仍在监听
- 规则治理：回收无人认领的 345 放行条目
- 暴露面核查：采集端口应限制在监控网段，直接暴露到业务网段属于明显问题
- 迁移评估：确认新监控平台是否已覆盖旧组件的采集与分析功能
- 事件分析：出现 345 流量时先确认对端是否为监控服务器
定位与排查
定位与排查
ss -lntup 'sport = :345' # 查看 345 的监听与进程
sudo lsof -i :345 # 反查进程与运行用户
awk '$2 ~ /:0159$/ {print}' /proc/net/tcp # 十六进制端口，345 = 0x0159
ss -tan 'dport = :345' # 看本机是否有主动连向 345 的会话
sudo tcpdump -nni any port 345 -c 30 # 采样看是否为周期采集流量ss 输出逐列读法
| 列 | 含义 | 关注点 |
|---|---|---|
| State | LISTEN 监听、ESTAB 已连接 | 监控采集多为短连接，长期 ESTAB 需关注 |
| Recv-Q | 未读字节数 | 采集数据积压说明消费端异常 |
| Send-Q | 未确认字节数 | 与链路质量相关 |
| Local Address:Port | 本机地址与端口 | 采集端口应绑定在监控网段 |
| Process | 程序名与 PID | 确认是否属于监控或分析类程序 |
监控与性能分析端口的特点是流量规律性强：通常按固定周期出现、单次数据量不大、对端固定。排查时可以据此判断——如果 345 上的连接严格周期出现且对端固定，多半是采集组件；如果连接时间随机、对端多变，就需要按异常行为处理。