eyelink 是什么
eyelink 是 IANA 在 500-599 段登记的早期服务名，注册人为 Dave Stampe，登记表里没有 RFC 引用，也没有协议细节，所以它只说明「这个名字曾经和 589 号端口绑定过」，无法据此推断报文格式或端口职责。589 属于系统端口（0-1023）；RFC 6335 之后这一段的分配只走 IETF Review 或 IESG Approval，普通厂商已无法再申请。公开资料里查不到实际部署案例，因此网络上出现的 589 流量更可能是端口复用、扫描器随机挑选，或早就下线的老设备残留配置。
基本信息
| 服务名 | eyelink |
|---|---|
| 协议 | TCP 与 UDP（分别登记） |
| 登记 | IANA 早期登记，无 RFC 引用 |
| 端口区间 | 系统端口 500-599 |
| 现状 | 无公开规范与公开实现 |
| 登记人 | Dave Stampe |
典型使用场景
- 资产测绘发现某主机开放 589：先确认是本机进程真的在监听，还是中间设备误报
- 抓包看到目的端口 589：判断是业务流量还是扫描探测，决定是否在边界丢弃
- 起草安全组或防火墙规则时遇到 589：先确认没有业务依赖，再按默认拒绝处理
- 梳理历史遗留端口清单：把无规范、无实现的登记名单独归档，避免与在用服务混在一起
- 排查端口命名冲突：用登记表确认 589 的官方名字，而不是照搬来源不明的端口对照表
定位占用进程
定位占用进程
ss -lntup 'sport = :589' # 只看 589 的 TCP 监听与 UDP 套接字
sudo lsof -i :589 # 列出占用进程与 PID
grep -w 589 /etc/services # 本地服务名映射，可能与 IANA 登记不同步
sudo ss -tnp '( sport = :589 or dport = :589 )' # 已建立连接的两端
# Windows：netstat -ano | findstr :589，再 tasklist /fi "PID eq <pid>" 看进程名排查判断要点
| 现象 | 含义 | 处置 |
|---|---|---|
| 本机 589 处于 LISTEN | 确有进程绑定，不是扫描误报 | 用 -p 取 PID，核对进程路径与启动参数 |
| 抓包目的端口为 589 | 对端在探测或老设备回连 | 结合源 IP 与频次判断，必要时在边界丢弃 |
| 源端口落在 589 | 不符合临时端口分配范围 | 优先怀疑硬编码、隧道或人为构造 |
Linux 默认临时端口范围是 32768-60999（net.ipv4.ip_local_port_range），Windows 默认 49152-65535，所以 500-1023 段基本不会作为源端口出现；在这个区间看到大量源端口，说明对端在硬编码端口号。
IANA 登记表里 TCP 与 UDP 是两套独立命名空间，同号不同协议可以对应不同服务；本条目两条都写了，但登记存在不等于有实现。