4350 是什么
4350 是登记名为 net-device 的端口，属 Microsoft 网络设备枚举类组件的遗留登记，来源是系统自带的 services 名称映射文件。登记名提示它与网络设备发现有关，但公开资料没有可核对的实现细节。现代 Windows 的网络发现与设备枚举由其他机制承担，不再使用该端口，因此它主要具备旧资料对照价值。
基本信息
| 服务名 | net-device（Microsoft 登记） |
|---|---|
| 协议 | TCP/UDP |
| 关联能力 | 网络设备枚举与发现类组件 |
| 登记来源 | Windows services 文件 |
| 端口区间 | 注册端口段 1024-49151 |
| 现实使用 | 历史遗留 |
典型使用场景
- 资产盘点：确认扫描报告中的 4350 是登记遗留还是软件占用
- 发现功能排障：网络发现异常时核对网络位置类型与相关服务状态
- 主机取证：反查监听进程的路径、签名与启动方式
- 策略核对：企业网通常限制发现类流量，需确认是否符合策略
- 防火墙审计：清理历史放行与软件残留例外
- 台账留痕：标注该登记项为历史遗留
定位占用进程
定位占用进程
ss -lntp 'sport = :4350' # 查 TCP 监听
ss -lnup 'sport = :4350' # 查 UDP 监听
sudo lsof -i :4350 # 反查进程与可执行文件
netstat -ano | findstr :4350 # Windows 侧取 PID
Get-NetTCPConnection -LocalPort 4350 -State Listen | Select-Object OwningProcess排查判定参考
| 检查项 | 方法 | 判读要点 |
|---|---|---|
| 监听确认 | ss 或 netstat 过滤 4350 | 无输出即只是登记遗留 |
| 发现功能 | 核对网络位置与相关服务 | 域网络与公用网络的默认策略不同 |
| 进程信誉 | 核对路径与数字签名 | 无签名且来源不明按可疑处理 |
| 规则核对 | 导出防火墙规则过滤 4350 | 无业务依赖的放行应当收回 |
网络发现是否可用，取决于网络位置类型、相关服务的运行状态与防火墙配置文件，而不是某个固定端口。排障时按这三项核对，结论比盯端口可靠。
发现类协议在企业网里通常被限制：它能自动暴露主机与服务清单，也常被用于资产探测。确认放行前先想清楚是否真有必要。