端口与体系
543 对应 IANA 登记的 klogin（Kerberos rlogin），是在传统 rlogin 基础上引入 Kerberos 认证的远程登录服务端口。相比 513 的明文 rlogin，它解决了凭据在网络上明文传输的问题，但仍然属于被 SSH 取代的那一族服务。
为什么还需要认识它
Kerberos 化只是延长了这类服务的寿命，没有改变它的定位。现代环境里远程登录统一到 SSH，Kerberos 认证能力也以 GSSAPI 形式整合到了 SSH 之中，因此 543 基本只在老 Unix 集群中残留。
基本信息
| 服务名称 | klogin |
|---|---|
| IANA 登记说明 | Kerberos rlogin |
| 传输协议 | TCP 与 UDP |
| 所属体系 | Kerberos 化的 r 系列服务 |
| 配对端口 | 544 kshell |
| 当前状态 | 应弃用，建议改用 SSH |
典型使用场景
- 老集群服务清点：确认是否还有 Kerberos 化远程登录服务在监听
- 远程登录通道整改：把 r 系列登录统一替换为 SSH
- 信任配置审计：检查主机互信文件是否仍在生效
- 扫描报告解读：扫描器标注 klogin，与集群清单比对
- 放行规则回收：清理历史登录通道的策略条目
- 未知服务处置：无对应集群组件时按未知服务流程取证
定位与信任配置检查
定位与信任配置检查
# Linux：查看 543 与 544 的监听
ss -lntup | grep -E ':(543|544)\b'
# 检查主机级互信配置是否仍存在
cat /etc/hosts.equiv 2>/dev/null
ls -l ~/.rhosts 2>/dev/null
# 交叉验证进程归属
sudo lsof -i :543远程登录演变
| 方式 | 端口 | 说明 |
|---|---|---|
| rlogin | 513 | 明文传输，早已应淘汰 |
| klogin | 543 | 引入 Kerberos 认证，仍未改变体系定位 |
| SSH | 统一入口 | 支持密钥与 GSSAPI，现代标准做法 |
这类服务常与主机互信配置同时存在：关闭端口却不清信任配置，等于把入口留在原地。整改时应把服务停用与互信文件清理作为同一件事完成，并复查是否还有其他主机保留互信。
从 rlogin 迁到 SSH 时，脚本与自动化任务往往是最容易被忽略的使用方：人工登录早就换了方式，但定时任务仍调用老命令，直到某次服务重启后才集中失败。