4949 是什么
4949 是 munin-node 的默认端口。Munin 采用典型的中心拉取模式：监控服务器定期连到被监控机的 4949，发送 list 与 fetch 命令获取各插件输出的指标文本，再绘图与告警。因此被监控端只要开一个端口、装好插件即可接入，配置集中在 munin-node.conf 中，其中允许来源的 cidr_allow 白名单是安全性的关键。这个端口的输出信息量很大，等于一份主机概况报告。
基本信息
| 服务 | munin-node（默认 4949） |
|---|---|
| 协议 | TCP（文本交互：list/fetch/config） |
| 用途 | 主机指标采集（CPU、磁盘、进程等） |
| 关键配置 | cidr_allow 来源白名单 |
| 采集方向 | 监控端 → 被监控端（拉取） |
| 安全等级 | 仅监控网段 |
典型使用场景
- 监控接入排障：确认监控服务器来源已列在 cidr_allow 内
- 插件治理：查看本机启用了哪些插件、采集是否报错
- 安全核查：确认端口未对全网开放，来源白名单是否收敛
- 指标对比：用 nc 手工 fetch 与监控系统展示值对照
- 迁移评估：从 munin 迁移到 exporter 与 Prometheus 体系的路径
- 容量规划：插件数量与采集周期对主机负载的影响
munin-node 交互命令
| 命令 | 作用 | 说明 |
|---|---|---|
| list | 列出可用插件 | 对照监控系统的采集范围 |
| fetch df | 取指定插件当前值 | 用于手工验证采集 |
| config df | 取插件元数据 | 含单位与阈值定义 |
| version | 协议版本 | 版本过老需评估升级 |
交互查询
交互查询
nc 10.0.0.5 4949 # 交互查询
# 输入: list / fetch df / config df
ss -lntp | grep 4949 # 监听核对
grep -E 'cidr_allow|allow' /etc/munin/munin-node.conf # 来源白名单
# 插件目录: /etc/munin/plugins 可核对启用的插件清单munin-node 的输出对攻击者很友好：进程列表、挂载点、磁盘使用、网络接口一应俱全，等同于主机侦察报告，因此来源白名单必须收紧而不是笼统放通。
插件脚本以较高权限运行：每次新增插件都应审查脚本内容，第三方插件在这个环境里等同于在本机执行代码。
老版本 munin 的传输不加密：即使在内网，指标在链路上也是明文可见，敏感环境应改走加密通道或更换采集方案。
监控图空白时先区分是「没有数据」还是「图没生成」：前者查采集，后者查绘图与定时任务，两者排查路径完全不同。