rmonitor 与 560 端口
560 的登记名是 rmonitor，IANA 说明为 rmonitord，是早期远程监控守护进程使用的端口。它出现于主机监控集中化之前的年代：每台主机跑一个上报守护，由管理端收集状态。如今的监控体系普遍采用主动拉取、代理采集与统一时序数据库，这套机制已不再使用。
基本信息
| 服务名 | rmonitor（rmonitord） |
|---|---|
| 传输层 | TCP 与 UDP 各占一条登记记录 |
| 号码区间 | 0-1023 系统端口 |
| 用途 | 主机状态远程监控上报 |
| 现代对应 | 监控代理与集中采集平台 |
| 现状 | 被现代监控体系取代 |
什么情况下会遇到
- 老监控系统退役评估时，需要找出仍在运行的历史上报守护
- 内网出现周期性上报流量，需要确认来源与采集范围
- 监控改造要求区分新旧采集通道，避免指标重复或缺失
- 安全评估需说明监控通道的权限边界，因为采集代理权限通常较高
- 资产清点遇到无人认领的监听端口，需要排除历史监控组件
排查判定对照
| 观察到的情况 | 倾向判断 | 处理动作 |
|---|---|---|
| 守护进程定期向管理端上报 | 历史监控链路 | 确认无依赖后迁移并停用 |
| 上报使用明文协议 | 数据暴露 | 评估加密或改走受控通道 |
| 监控端已不存在但代理仍在跑 | 无效重试 | 清理代理，减少无谓连接 |
| 代理以高权限账号运行 | 权限过高 | 降权或拆分采集账号 |
| 无进程无流量 | 注册表条目 | 无需处置 |
四步定位
四步定位
ss -lntup 'sport = :560' # 是否监听
sudo lsof -i :560 -P -n # 进程归属
sudo ss -tnp 'dport = :560' # 上报方向与对端
ps -o pid,user,etime,cmd -p <PID> # 运行账号与时长
sudo grep -rnw 560 /etc /opt 2>/dev/null # 配置引用
sudo ls /etc/cron.d; crontab -l 2>/dev/null # 定时上报线索监控代理通常需要读取大量系统信息，部分实现还要求执行命令来采集指标。这类账号一旦被滥用，影响范围等同运维权限，因此监控通道应按管理面标准加固。
在监控改造期，新旧两套采集并存是常见现象。指标重复会导致告警风暴，指标缺失则会造成盲区，切换时应先核对指标清单再停用旧通道。
周期性上报流量的定位方法与其他定时任务一致：记录间隔与目标地址，再对照定时任务、代理配置与批处理脚本，通常很快能锁定来源。