utime 与 519 端口
519 的登记名是 utime，IANA 的说明是 unixtime，作用是向客户端返回 Unix 时间的秒数。它出现于 NTP 尚未普及的年代，主机之间靠简单查询对齐时钟；这类协议只报时间、不做频率校正，精度和安全性都不满足现代要求，已被 NTP 与 PTP 取代。
基本信息
| 服务名 | utime（unixtime） |
|---|---|
| 传输层 | TCP 与 UDP 各占一条登记记录 |
| 号码区间 | 0-1023 系统端口 |
| 用途 | 读取系统时间（秒级） |
| 同族端口 | 37 time、123 NTP |
| 现状 | 被 NTP/PTP 取代 |
| 认证能力 | 无 |
什么情况下会遇到
- 内网时间同步梳理时，需要区分仍在使用的协议与历史遗留端口
- 老设备或专用硬件只支持简单时间查询，需要评估替代方案
- 扫描发现开放的低位时间类端口，要判断是否存在时间欺骗风险
- 日志时间错乱排查时，需要确认主机实际依赖的时间源
- 离线环境部署时，需要选择不依赖外网的时间同步方案
排查判定对照
| 观察到的情况 | 倾向判断 | 处理动作 |
|---|---|---|
| 端点为内网自建 NTP 服务器 | 正常时间同步 | 限源、开启认证或换受控时间源 |
| 端口为老式时间查询服务 | 遗留协议 | 评估迁移到 chrony/ntpd |
| 存在来自任意地址的请求 | 无鉴权暴露 | 网络层限源并记录 |
| 主机时间与基准偏差明显 | 同步链路失效 | 核查时间源可达性与服务状态 |
| 无监听无请求 | 历史登记 | 无需处置 |
四步定位
四步定位
ss -lntup 'sport = :519' # 是否监听
chronyc sources -v # 现代时间同步源状态
sudo ntpq -p 2>/dev/null # 旧版 ntp 客户端状态
timedatectl status # 系统时间与同步开关
sudo ss -tnp state established '( sport = :519 )'
getent services 519/tcp # 本地登记名核对时间类端口的安全影响常被低估：日志、审计、证书校验和分布式事务都依赖一致时钟。允许未授权主机从时间服务取时，或让其参与同步，都可能被用于扰乱时间线，进而影响事件溯源结论。
现代做法是使用 chrony 或 ntpd 与受控时间源同步，并在内网逐层下发。NTP 本身也支持对称密钥认证，关键环境应启用认证而不是仅依赖网络限源。
检查时间同步不能只看服务是否在跑，还要看实际偏差与源可用性：chronyc sources 里若长期没有可用源，服务运行正常但时间已经在漂移。