3540 是什么
3540 是 PNRP（Peer Name Resolution Protocol）的默认端口，登记名 pnrp-port。PNRP 是 Windows 对等网络组件：在没有中心服务器的前提下把「对等名称」解析成地址，服务于对等网、People Near Me 等 Vista 与 Win7 时代的功能。它与 DNS、LLMNR、NetBIOS 名称服务属于同一层的问题范畴，只是解析对象是点对点名称。微软后来提供了基于云服务的实现，本地端口不再固定，现代环境里几乎不再主动使用 3540。
基本信息
| 服务 | PNRP（pnrp-port） |
|---|---|
| 协议 | TCP/UDP |
| 用途 | 对等网名称解析 |
| 平台 | Windows（Vista/Win7 时代组件） |
| 相关服务 | PNRP 名称解析服务（pnrpsvc） |
| 现状 | 很少主动使用 |
典型使用场景
- 终端安全基线：对照微软安全基线确认 PNRP 服务是否应禁用
- 内网扫描解读：3540 监听常指向残留的对等网组件而非业务程序
- 老旧终端清理：在 Win7 老机上关闭不再使用的对等网功能
- 抓包分析：区分 PNRP 的组播解析与正常 DNS、LLMNR 流量
- 合规核查：确认对等网络是否与终端准入策略冲突
Windows 名称解析对照
| 组件 | 端口 | 说明 |
|---|---|---|
| DNS | 53 | 常规域名解析 |
| LLMNR | 5355 | 本地链路多播解析 |
| NetBIOS 名称服务 | 137 | 老式网络中常用 |
| PNRP | 3540 | 对等网名称解析（历史组件） |
服务与规则核查
服务与规则核查
ss -lntup 'sport = :3540' # Linux 侧（Windows 可用 netstat）
netstat -ano | findstr :3540 # Windows：拿到 PID 对照 tasklist
Get-Service pnrpsvc | Select Status,StartType # PNRP 服务状态
Get-NetFirewallRule | Where DisplayName -like '*PNRP*' | Select DisplayName,Enabled「PNRP」为早期注册名，公开资料稀少，正常网络中极少出现。若在资产中发现该端口监听或外联：先核实进程来源与业务归属，无明确用途的按未知服务流程处置，并评估是否需要限制访问。
对等网组件常与「网络发现」「文件和打印机共享」一起出现：加固时按功能分组评估，不要只关端口，留下半开的服务状态反而更难解释。
禁用服务后要重启相关组件或主机才算彻底：名称解析缓存残留时，现象会时有时无，给复现与验证带来很大干扰。
同类历史组件还有 Windows 对等网的其他服务：清查时逐个确认名称解析、共享与发现三类功能是否需要，再统一决定关闭范围，避免零散处理反复返工。