SaltStack 发布端口
4505 是 SaltStack 架构里的发布端口：Salt master 通过它向所有 minion 广播命令，minion 收到后执行任务，再把结果经配套的 4506 请求与回报端口送回。这套机制让一条命令同时作用于上千台主机，也意味着 Salt master 在权限上等价于全网的 root。
基本信息
| 服务 | SaltStack master（publish） |
|---|---|
| 协议 | TCP 4505 发布、4506 请求与回报 |
| 用途 | 批量配置管理与命令下发 |
| 认证方式 | minion 公钥被 master 接受后才建立通信 |
| 安全等级 | 仅管理网 |
典型使用场景
- 用一条命令给几百台主机同步配置或安装软件包
- 批量采集主机信息，做资产与合规核查
- 排查 minion 长期处于待接受状态，先确认 4505 与 4506 是否连通
- 为自动化平台单独划出管理网段，隔离于业务网络
- 安全评估时确认 master 端口没有被暴露到办公网
检查端口与密钥状态
检查端口与密钥状态
ss -lntp | grep -E '4505|4506' # 确认发布与回报端口
salt-key -L # 查看已接受与待接受的 minion
salt '*' test.ping # 授权环境下测试连通Salt 端口分工
| 端口 | 方向 | 作用 |
|---|---|---|
| 4505 | master 到 minion | 发布总线，广播命令与事件 |
| 4506 | minion 到 master | 请求与回报通道，认证握手也在此发生 |
| 通信加密 | 两者之上 | 基于密钥的加密与认证，初始公钥接受环节是薄弱点 |
| 监听地址 | 配置项 interface | 默认绑定全部接口，应显式指定管理网地址 |
自动化能力等价于全网 root：任何能连上 4505 与 4506 并完成握手的主机都可能影响全部受管节点。Salt 历史上出现过严重级别很高的认证绕过与命令执行漏洞，必须保持升级，并用网络策略把主从通道锁在管理网内。
密钥环节：minion 首次连接会把公钥送到 master，需要管理员接受后才纳入管理。这个接受动作实质上是批准一台主机进入受管集群，应配合来源地址限制与人工核对，避免长期使用自动接受全部的模式。