464 是什么
464 是 Kerberos V5 的口令修改协议端口（RFC 4120）：域用户在取得票据后通过它与密钥分发中心通信，用旧凭据派生的密钥加密新口令并提交。它与 88（认证主端口）、749（管理通道）共同构成域内口令管理链路。
两个容易踩的细节
走 UDP 时对报文大小敏感：口令策略变复杂或目录信息变大后，请求可能被截断或超时，显式偏好 TCP 更稳妥。其次是时钟同步：客户端与密钥分发中心时间偏差超出允许范围时票据校验直接失败，表现与网络不通很像。
基本信息
| 服务 | kpasswd（Kerberos 口令修改） |
|---|---|
| 协议 | TCP 与 UDP 464 |
| 规范 | RFC 4120（Kerberos V5） |
| 相关端口 | 88 认证、749 管理 |
| 安全等级 | 仅域内网段 |
典型使用场景
- 域用户自助修改口令，无需管理员介入
- 排查改密失败时确认服务端可达与客户端时间同步
- 口令策略调整后验证新旧客户端能否正常改密
- 安全核查时确认 464 只对域内网段开放
- 排障时区分用户自助通道与管理员批量通道
自助改密与验证
自助改密与验证
kinit alice@EXAMPLE.COM # 先获取票据
kpasswd # 交互式修改口令
klist # 确认票据状态与有效期排查要点
排查要点
# 确认本机时间同步状态
timedatectl status | head -5
# 客户端侧可限制 UDP 报文大小，超过则改用 TCP（krb5.conf 片段）
# [libdefaults]
# udp_preference_limit = 1Kerberos 端口分工
| 端口 | 用途 | 说明 |
|---|---|---|
| 88 | 认证服务 | 票据签发与校验，核心端口 |
| 464 | 口令修改 | 用户自助改密 |
| 749 | 管理通道 | 管理员批量操作与库管理 |
时钟偏差是这类故障的高频原因：时间相差超出允许范围时票据校验失败，现象与网络中断非常相似。排查时先看一眼时间同步状态，再去看端口与防火墙。
改密链路经过哪些环节
集成目录服务的环境中，客户端改密看起来是单机操作，实际链路通常要经过目录服务再到密钥分发中心。定位问题时先确认目录服务侧是否记录到请求，可以快速判断故障发生在客户端、目录服务还是最后的密钥分发环节。
口令策略变更建议先在小范围用户验证流程：策略收紧后报文会变大，老客户端更容易出现截断或超时，先在试点组确认无误再全量推开。