5720 是什么
5720 是 Windows 系统 services 文件中登记的微软许可服务端口（登记名 ms-licensing），用于企业批量授权环境下许可组件之间的通信。它和 KMS 激活不是同一件事：KMS 客户端默认连接 1688，5720 属于许可管理组件的登记口，普通终端上很少主动监听它，域内许可排查时可以在连接清单中见到。由于它跟激活体系相关，随意清理常导致批量激活失败，排查成本高于端口本身的价值。
基本信息
| 服务 | ms-licensing（Microsoft Licensing） |
|---|---|
| 协议 | TCP/UDP |
| 用途 | 批量许可组件通信 |
| 相关端口 | 1688（KMS 客户端激活） |
| 登记来源 | Windows services 文件 |
| 安全等级 | 仅企业内网 |
典型使用场景
- 批量激活排障：确认许可组件之间的通信没有被防火墙切断
- 资产扫描研判：5720 监听出现在域内主机上属正常许可组件行为
- 网络分区评估：许可服务器与控制台之间的策略按实际部署放行
- 内网加固：许可相关端口不应跨安全域开放，更不应暴露公网
- 变更评审：涉及许可服务器的网络调整需要配套验证流程
微软激活与许可端口
| 端口 | 服务 | 说明 |
|---|---|---|
| 1688 | KMS 服务端 | 客户端默认连接的激活入口 |
| 5720 | ms-licensing | 许可管理组件通信 |
| 5723/5724 | SCOM | 监控管理组（易混淆，注意区分） |
检查是否在监听
检查是否在监听
Get-NetTCPConnection -LocalPort 5720 -ErrorAction SilentlyContinue # TCP 监听
Get-NetUDPEndpoint -LocalPort 5720 -ErrorAction SilentlyContinue # UDP 端点
slmgr /dlv | Select-String 'KMS' # 本机激活与 KMS 信息
Get-Service | Where-Object {$_.Name -like '*licens*'} | Select Name,Status把许可组件当未知进程清理：批量激活会随机失败，故障现象与「密钥不对」高度相似，排查成本很高，处置前先核对组件归属。
KMS 主机需要被客户端长期可达：放行时按客户端网段收敛来源，避免把 1688 暴露到整个内网之外，激活服务的可用性与安全性要同时满足。
许可相关端口不承载业务数据，但它的存在本身就是资产标记：攻击者会用这类端口快速判断哪些主机属于域环境，因此收敛可见范围也有对抗价值。