9P 文件服务与 564 端口
564 端口的 IANA 登记名是 plan 9 file service，对应贝尔实验室 Plan 9 操作系统的 9P 网络文件协议。9P 的理念是把文件这一抽象贯彻到进程、网络等一切资源上，客户端可以像访问本地目录一样访问远端文件树。今天它最常见的用途是虚拟化中的共享目录：虚拟化平台通过 virtfs 用 9P 把宿主机目录提供给虚拟机。
基本信息
| 服务 | 9pfs（Plan 9 file service） |
|---|---|
| 端口/协议 | TCP 564 与 UDP 564 |
| 协议归属 | 9P 网络文件协议 |
| 现状 | 虚拟机共享目录与边缘虚拟化仍在使用 |
| 典型实现 | 虚拟化平台的文件系统直通挂载 |
| 安全等级 | 仅宿主机与虚拟机之间可达 |
典型使用场景
- 虚拟机共享目录：把宿主机目录挂载进客户机
- 开发环境：在虚拟机内直接编辑宿主机上的代码
- 受限环境的文件导出：为隔离环境提供有限目录访问
- 遗留系统互通：与 Plan 9 生态的节点交换文件
- 排障：确认共享目录挂载失败的根因
挂载示例与核对
挂载示例与核对
mount -t 9p -o trans=tcp,port=564 192.0.2.10 /mnt/plan9 # Linux 客户端挂载示例
mount | grep 9p # 确认挂载参数与传输方式
ss -lntp | grep 564 # 核对监听端口
# 虚拟化侧通过共享文件系统配置暴露宿主目录，参数以所用平台为准
# 排障提示：确认客户机已加载 9p 相关内核模块挂载与传输要点
| 要素 | 说明 | 注意 |
|---|---|---|
| 传输方式 | TCP 或虚拟化本地通道 | 跨主机时缺少加密保护 |
| 端口 | 默认 564 | 自定义端口需两端一致 |
| 挂载选项 | 访问模式与缓存策略 | 缓存放宽可能导致数据不一致 |
| 权限映射 | 宿主机到客户机的用户映射 | 权限错位表现为拒绝访问 |
运维要点
- 只导出必要的目录，避免把宿主机的整个文件系统暴露给挂载方
- 读写模式按用途区分，仅调试场景才需要可写挂载
- 共享目录的权限与属主纳入检查，避免出现越权访问
- 跨主机使用需额外评估加密与来源限制
- 把挂载配置写入虚拟机模板，减少手工配置差异
9P 本身不带加密与强认证，跨主机时默认不做传输保护。虚拟机内部经本地通道使用的场景相对可控，把 564 暴露到网络则需要额外的访问控制。
共享目录的访问范围取决于服务端导出配置，导出到根目录会把整个文件系统交给挂载方。应只导出必要路径并限制访问来源。