SaltStack 回报端口
4506 是 SaltStack master 的第二个固定端口：minion 的认证握手、文件分发与执行结果回报都走这里。它与发布端口 4505 一起构成 Salt 的全部通信面——master 用 4505 广播命令，minion 用 4506 回报结果，两者缺一不可。
基本信息
| 服务 | SaltStack master（request 与 return） |
|---|---|
| 协议 | TCP，配套 4505 发布端口 |
| 用途 | minion 回报、文件分发、密钥认证 |
| 安全等级 | 仅管理网 |
典型使用场景
- minion 首次接入时的密钥认证握手
- 执行结果回传到 master 并在控制台展示
- 状态文件与文件分发的下发动作
- 排查命令下发后收不到结果，确认回报端口是否放行
- 安全评估时确认主从通道只走管理网
验证回报端口可达
验证回报端口可达
nc -zv salt-master.example.com 4506
ss -lntp | grep -E ':(4505|4506) '
salt-key -L # 查看密钥接受状态Salt 两个端口的分工
| 项目 | 端口 | 说明 |
|---|---|---|
| 发布总线 | 4505 | master 向 minion 广播命令 |
| 请求与回报 | 4506 | 认证、文件分发与结果回传 |
| 密钥状态 | 配置与命令行 | 未接受的主机不会被真正纳入管理 |
| 监听地址 | 配置项 | 默认绑定全部接口，应显式限制 |
4506 是认证入口，弱口令或长期未轮换的 master 密钥都可能被利用，务必限制来源网段。Salt 历史上出现过严重级别的漏洞，保持版本更新与网络收敛同样重要。
常见现象：只放行发布端口不开回报端口时，命令能下发但界面一直等待返回，看起来像任务卡住；反过来只开回报端口，命令根本发不出去。两个端口成对配置属于部署基线。
排障顺序：命令下发后没有返回，先确认回报端口可达，再检查密钥是否已被接受，最后看服务端自身日志。多数等待返回的问题出在前两步。
容量提示：受管主机数量大时，回报流量会集中打在服务端。批量任务应错峰或分批下发，避免短时间把服务端连接数打满。
安全提示：主从通道的密钥与配置应纳入备份与变更管理，密钥轮换要有明确流程，临时手工修改容易在后续升级时被覆盖掉。