468 与 Photuris
468 的登记名是 photuris，是 1990 年代中期 IETF 的一份 IP 密钥管理协议，规范见 RFC 2522 与 RFC 2523，作者包括 Phil Karn 与 Bill Simpson。它要解决的是 IP 层通信的密钥协商与身份认证，供 IPsec 使用。Photuris 提出的若干设计被后来的 IKE 吸收，最典型的是用 cookie 先验证对端地址可达、再消耗计算资源做密钥运算，以此抵御拒绝服务。协议本身没有获得大规模实现，ISAKMP/IKE 成为 IPsec 密钥管理的事实标准，468 因此只留下名称登记。
基本信息
| 服务名 | photuris（IANA 登记说明写作 proturis） |
|---|---|
| 传输层 | TCP/UDP |
| 规范 | RFC 2522 / RFC 2523 |
| 登记人 | Bill Simpson |
| 关系 | 设计思路被 ISAKMP/IKE 体系吸收，协议本身未部署 |
典型使用场景
- VPN 资产梳理：确认现役 IPsec 环境使用的密钥管理版本与端口
- 资产核对：扫描结果里出现 468 时按进程定性，不要按协议名上报
- 安全基线与合规：核对 IKE 版本、加密套件与对端认证方式是否符合要求
- 技术演进参考：理解抗拒绝服务设计在密钥协商协议里的位置
- 变更评估：调整 IPsec 参数前确认对端设备支持的版本组合
核查命令
核查命令
ss -lntup 'sport = :468' # 是否监听
getent services photuris # 名称登记查询
sudo lsof -i :468 # 占用进程
ss -lunp 'sport = :500' # 对照现役 IPsec 密钥协商端口
ipsec statusall # strongSwan 环境下查看隧道与 IKE 版本（其他实现命令不同）
# 结论以进程与设备配置为准IPsec 密钥管理演进
| 方案 | 状态 | 典型端口 |
|---|---|---|
| Photuris | 未大规模实现，仅名称登记 | 468 |
| ISAKMP / IKEv1 | 长期事实标准，存量环境常见 | 500、4500（NAT 穿越） |
| IKEv2 | 现行主流，重连与移动性更好 | 500、4500 |
| 手工配置密钥 | 无协商过程 | 不涉及端口 |
Photuris 的 cookie 机制是抗拒绝服务的早期实践：先让发起方证明地址可达，再消耗计算资源做密钥运算。这一思路在 IKEv1 与 IKEv2 中都被保留，排障时看到 cookie 相关日志即源于此。
该协议没有实际部署，468 端口的价值主要在历史。判断现役环境时关注 UDP 500 与 4500 更有意义：前者是 IKE 协商，后者用于 NAT 穿越场景下的封装传输。