端口与体系
396 对应 IANA 登记的 netware-ip（Novell Netware over IP），是 NetWare 5 时期把传统 IPX 服务承载到 IP 网络上的注册端口，目的是让既有 NetWare 客户端不必依赖纯 IPX 路由就能访问文件与目录服务。NetWare 本体已停止演进，相关能力由基于 Linux 内核的 Open Enterprise Server 承接，因此 396 属于随体系退役的历史登记。今天看到它，先怀疑历史系统残留或扫描器的登记名标注，而不是新部署。
基本信息
| 服务名称 | netware-ip |
|---|---|
| IANA 登记说明 | Novell Netware over IP |
| 传输协议 | TCP 与 UDP |
| 所属体系 | Novell NetWare 5 向 IP 迁移 |
| 当前状态 | 随 NetWare 退役，无新部署 |
典型使用场景
- 老系统退役评估：确认是否仍有 NetWare 客户端或服务器在运行
- 资产台账清理：把这类历史登记从在用端口清单中剔除，避免台账虚高
- 扫描报告解读：扫描器标注 netware-ip，需要与实际进程比对
- 遗留放行规则回收：防火墙与 ACL 中针对该端口的条目一并清理
- 未知服务处置：内网出现监听时按未知服务流程取证后再决定动作
定位占用进程
定位占用进程
# Linux：确认本机是否真的在监听 396
ss -lntup 'sport = :396'
# 对照系统服务库，看是否注册过 netware 相关服务名
getent services netware-ip
# 查看可执行文件归属，判断是历史组件还是其他程序占位
sudo lsof -i :396
# Windows：取 PID 后反查进程
netstat -ano | findstr :396
tasklist /FI "PID eq 1234"协议演进对照
| 时期 | 承载方式 | 说明 |
|---|---|---|
| 早期 | IPX/SPX 原生 | NetWare 专属协议栈，要求路由器转发 IPX |
| 迁移期 | NetWare over IP | 把 IPX 服务承载到 IP，使用本端口登记 |
| 现代 | Open Enterprise Server | 基于 Linux 的文件与目录服务，不再依赖该端口 |
396 的登记只覆盖“NetWare 服务跑在 IP 上”这一过渡形态。如果内网主机确实有旧版 NetWare 组件，端口会出现在监听列表里；如果进程归属对不上，就按未知服务处理，不要因为登记名看着熟悉而降低警惕。
清理历史系统时的顺序建议：先确认数据与目录服务的授权信息是否有替代来源，再做迁移演练，最后停服务、回收放行规则、注销台账中的端口记录；跳过中间任何一步，都可能在半年后变成一次无法追溯的故障。