new-rwho 与 550 端口
550 的登记名是 new-rwho，IANA 说明为 new-who，是 rwho 服务的更新版号码（Windows services 文件亦收录该名字）。rwho 通过守护进程把自己的登录用户状态定期广播到局域网，其他主机用 rwho 命令查看全网登录情况。这套机制依赖广播与主机信任，在现代网络里已基本停用。
基本信息
| 服务名 | new-rwho（new-who） |
|---|---|
| 传输层 | TCP 与 UDP 各占一条登记记录 |
| 号码区间 | 0-1023 系统端口 |
| 用途 | 查询局域网内各主机的登录用户状态 |
| 通信方式 | 守护进程定期广播状态 |
| 本地登记表 | Windows services 文件亦收录 |
| 现状 | 淘汰 |
什么情况下会遇到
- 老式 Unix 教学或实验环境仍在运行 rwhod，广播流量出现在抓包结果里
- 网络性能排查时发现异常广播或多播流量，需要追溯来源服务
- 安全评估要求识别基于主机信任的信息暴露面
- 资产梳理时遇到 UDP 端口开放但无人认领，需要排除历史服务
- 合规检查要求说明内网主机信息的可见范围
排查判定对照
| 观察到的情况 | 倾向判断 | 处理动作 |
|---|---|---|
| 主机定期发出广播且有多台接收 | rwho 类服务在用 | 评估必要性后停用，改用集中采集 |
| 存在跨网段广播 | 配置或边界问题 | 在边界阻断广播，避免扩散 |
| 端口开放但无广播流量 | 仅监听 | 确认无客户端后停用 |
| 任意主机可查询全网登录状态 | 信息暴露 | 限制访问来源，评估是否下线 |
| 无监听无流量 | 历史登记 | 无需处置 |
四步定位
四步定位
ss -lnu 'sport = :550' # UDP 监听面
ps -ef | grep '[r]whod' # 守护进程是否存在
ip -brief addr show # 确认广播域范围
sudo tcpdump -ni any port 550 -c 20 # 抽样看广播频率
sudo grep -rniE 'rwho' /etc /etc/rc.d 2>/dev/null | head
sudo nft list ruleset | grep -w 550 # 策略放行核对rwho 的核心思路是以广播方式同步主机状态，这类设计在现代网络里有明显缺点：广播不会跨网段，还容易被监听。功能上的替代方案是集中式采集与 CMDB 登记，既可控也能留痕。
广播类流量在虚拟化与无线网络中更值得警惕：可能造成泛洪并影响邻居主机。排查网络抖动时，先看是否有长期存在的周期性广播，再考虑其他成因。
登录用户信息本身也属于敏感数据：它暴露了账号命名规律与在线时段。若业务上并不需要这类查询能力，直接停用比做访问控制更省成本。