tpip 是什么
tpip 是 IANA 早期登记在 594 号端口上的服务名，注册人为 Brad Spear，登记表没有给出 RFC 引用与协议描述，因此除了「名字与端口号的对应关系」之外没有可核实的技术内容。594 位于系统端口段（0-1023），按 RFC 6335 的规定，这一段只接受 IETF Review 或 IESG Approval 的分配请求。这类「有名无实」的登记在 500-1023 段数量不少，处理原则一致：不预设它代表什么服务，只把它当作一个需要核实的端口号。
基本信息
| 服务名 | tpip |
|---|---|
| 协议 | TCP 与 UDP（分别登记） |
| 登记 | IANA 早期登记，无 RFC 引用 |
| 端口区间 | 系统端口 500-599 |
| 现状 | 无公开规范与公开实现 |
| 登记人 | Brad Spear |
典型使用场景
- 安全扫描后核对开放端口清单：把 594 归入「登记名无实现」一类单独标记
- 排查不明外联：确认本机是否主动连出 594，还是被扫
- 制定默认拒绝策略：为这类无实现的端口准备统一的例外审批流程
- 设备上电后的基线核查：老设备可能带着厂家私有服务监听这类端口
- 写端口说明文档：如实标注登记说明缺失，避免下游误以为它是标准协议
定位占用进程
定位占用进程
sudo ss -lntup 'sport = :594' # 需要 root 才能看到别的用户的进程
sudo lsof -i :594 -P -n # -P -n 关闭端口与主机名解析
grep -w 594 /etc/services # 本地服务名数据库
sudo fuser -v 594/tcp # 快速看谁占用，适合脚本化
timeout 3 bash -c 'exec 3<>/dev/tcp/127.0.0.1/594' && echo open || echo closed # 只做连通性判断排查判断要点
| 检查项 | 正常表现 | 异常表现 |
|---|---|---|
| 监听地址 | 绑定具体业务网卡或 127.0.0.1 | 监听 0.0.0.0 且无业务说明 |
| 连接来源 | 固定几个内网业务 IP | 来源分散、遍布公网网段 |
| 连接时长 | 长连接或周期性短连接 | 大量半开连接、秒级超时 |
ss 与 lsof 对同一端口的结论偶尔不一致：ss 看不到某些 netfilter 重定向与容器内的监听，遇到矛盾时以 lsof 加 /proc/net/tcp 交叉验证。
对来路不明的监听端口，先取证再关闭：记录进程路径、启动参数、连接对端与时间点，直接杀进程或改防火墙可能破坏仍在依赖它的业务。