端口与体系
395 对应 IANA 登记的 netcp（NetScout Control Protocol），是网络性能管理厂商 NetScout 为自家 nGenius 体系注册的控制协议端口，注册时间为 2010-04-07。它属于厂商私有协议，只在部署了该厂商采集探针与管理组件时才可能出现，报文没有公开规范。运维中遇到 395，多数是厂商软件的组件间通信，而不是通用互联网服务。
基本信息
| 服务名称 | netcp |
|---|---|
| IANA 登记说明 | NetScout Control Protocol |
| 传输协议 | TCP 与 UDP |
| 登记机构 | Ashwani Singhal |
| 注册时间 | 2010-04-07 |
| 所属体系 | 网络性能管理（NPM） |
| 当前状态 | 厂商产品内部使用，无公开实现 |
典型使用场景
- 厂商设备清单核对：确认监听 395 的是否为采集探针或管理平台组件
- 监控平台迁移：老采集组件退役前，排查是否还有节点依赖该端口上报
- 扫描报告解读：扫描器按登记名标注 netcp，需与实际进程比对确认
- 跨网段放行策略审计：采集组件分布在多网段时，逐条核对放行范围是否必要
- 未知服务处置：无法归属到厂商软件时，按未知服务流程取证并限制访问
定位占用进程
定位占用进程
# Linux：查看该端口的监听进程
ss -lntup 'sport = :395'
# 已建立连接清单：判断是探针上报还是被外部扫描
ss -tnp state established | grep ':395'
# lsof 交叉验证可执行文件路径，便于归属到具体厂商软件
sudo lsof -i :395
# Windows：取 PID 后反查进程与服务
netstat -ano | findstr :395
tasklist /FI "PID eq 1234"厂商端口排查看点
| 排查维度 | 关注内容 | 判读方式 |
|---|---|---|
| 进程归属 | 可执行文件路径与签名 | 路径应位于厂商软件安装目录 |
| 通信对端 | 已建立连接的远端地址 | 应为同类采集或管理节点，不应是公网地址 |
| 端口用途 | 管理通道与采集通道之分 | 私有封装，通用解析工具解不出语义 |
| 暴露范围 | 防火墙放行来源 | 只对采集网段放行，不对全网开放 |
395 是厂商私有控制协议，没有公开报文规范，抓包通常只能看到私有封装或加密内容。排查以厂商文档和产品拓扑为准，不要用通用协议解析工具硬解。