WS-Discovery 与 3702 端口
3702 是 WS-Discovery 的组播发现端口，用于设备在局域网内自动宣告与发现：网络打印机、摄像头与支持 ONVIF 的设备启动后向组播地址发出探测，其它设备据以应答。它依赖 UDP 组播，默认组播地址为 239.255.255.250，端口 3702，正常情况下只在本地链路内活动，不会跨越网段。
基本信息
| 服务 | WS-Discovery（ws-discovery） |
|---|---|
| 端口/协议 | UDP 3702，组播地址 239.255.255.250 |
| 适用设备 | 网络打印机、摄像头、扫描仪与部分扫描软件 |
| 交互方式 | 基于 SOAP 报文的探测与应答 |
| 权限要求 | 设备侧无需认证即可应答 |
| 安全等级 | 仅限内网本地链路 |
典型处置场景
- 打印机接入：系统自动发现同网段的网络打印机
- 视频设备接入：摄像头与录像机互相发现
- 客户端便利：免手工填写地址即可添加设备
- 安全评估：用发现探测快速枚举内网设备
- 排障：确认发现失败是协议未开还是网络策略阻断
观察与排查
观察与排查
sudo tcpdump -n -i eth0 'udp port 3702' # 观察发现报文，需在授权范围内
sudo ss -lunp | grep 3702 # 查看本机是否加入组播监听
nmap -sU -p 3702 <目标> # 授权范围内的探测
# 排查组播要确认网卡已加入 239.255.255.250 且防火墙未丢弃该组播流量对象与含义
| 对象 | 说明 | 关注点 |
|---|---|---|
| UDP 3702 | 发现报文端口 | 活动范围限于本地链路 |
| 239.255.255.250 | 组播地址 | 跨网段默认不转发 |
| 设备应答 | SOAP 报文 | 可能暴露型号与固件信息 |
| 管理接口 | 厂商自定义端口 | 发现后即知道设备地址，需另行加固 |
运维要点
- 设备上线后按清单核对，避免同一台设备出现重复记录
- 发现功能只在需要的网段开启，减少无关广播
- 把设备管理口令与固件版本作为主要加固项，而不是封锁发现端口
- 组播策略变更前评估打印机与视频设备是否依赖自动发现
- 对摄像头等设备的响应做版本核对，优先处理缺少鉴权的型号
边界防火墙一般不需要放行 3702：组播默认不跨网段。若发现跨网段可用，通常是网络做了组播转发或代理，这本身值得核查。
发现协议会暴露设备型号与基础信息，部分设备的响应接口缺少鉴权。内网加固重点在设备自身的管理口令与固件版本。