实验性的路由访问协议
38 在端口注册表里对应 rap，即路由访问协议，规范是 RFC 1476，登记人是 Robert Ullmann。它出现在路由协议格局尚未定型的过渡期，目标是让主机之间交换路由信息。随着域内路由由 OSPF 类协议主导、域间路由由 BGP 主导，RAP 没有进入主流设备的实现清单，如今在正常运行中的网络里几乎不可能见到它。
基本信息
| 服务 | rap（Route Access Protocol） |
|---|---|
| 协议 | TCP 与 UDP 均有注册 |
| 规范 | RFC 1476 |
| 登记属主 | Robert Ullmann |
| 现状 | 未普及，公开部署资料极少 |
典型使用场景
- 资产梳理：把无对应实现的历史端口标记为待确认项
- 协议考古：理解早期路由协议与 OSPF、BGP 的关系
- 安全巡检：发现该端口监听时核实是否为仿真或自研组件
- 策略回收：确认无业务依赖后清理历史放行规则
- 应急判断：出现异常外联时先排除是否为未登记服务占用
处置对照
| 发现情形 | 判断 | 建议动作 |
|---|---|---|
| 本机监听且有明确归属 | 自研或仿真占用 | 登记台账并纳入日常巡检 |
| 监听但无归属 | 来源不明 | 留存进程与连接证据后再处置 |
| 仅有外联流量 | 可疑 | 结合进程与流量特征进一步核实 |
| 长期无流量 | 历史遗留 | 回收放行规则 |
定位占用进程
定位占用进程
# Linux：查看该端口的监听进程
ss -lntup 'sport = :38'
# 交叉验证进程与打开的文件
sudo lsof -i :38
# Windows：查看占用进程号
netstat -ano | findstr :38
# 抓包看是否有实际流量（无流量多半是历史遗留）
sudo tcpdump -i any -n port 38 -c 10这一类历史登记项的共同特点是：注册表里有名字，但没有被广泛实现，因此不存在可靠的服务指纹。判断只能依靠进程身份、启动参数与流量特征，按端口名反推服务类型容易得出错误结论。
若发现该端口由未知进程监听且能对外通信，应优先按可疑事件处理：先记录进程路径、启动时间与连接对端，再决定是否限制访问，避免先清理现场导致线索丢失。
核实步骤
- 确认进程可执行文件路径与启动用户
- 确认是否属于已登记业务、仿真工具或运维组件
- 确认有无配套配置与日志产出
- 确认结果后更新台账或按异常流程上报