5988 是什么
5988 是服务器标准 CIM/WBEM 远程管理的明文端口：SUSE、HPE、Dell 等厂商的监控代理通过它上报硬件健康、电源与磁盘状态。CIM 是 DMTF 制定的管理模型，Linux 上常见实现是 OpenPegasus，客户端可用 wbemcli 等工具查询。5989 是同一协议加 TLS 的版本。由于凭证就是系统账号、且 5988 明文传输，它通常只应出现在监控网段内部。
基本信息
| 服务 | CIM/WBEM over HTTP（OpenPegasus 等实现） |
|---|---|
| 协议 | TCP 5988，TLS 版为 5989 |
| 用途 | 服务器硬件监控与远程 CIM 查询 |
| 安全等级 | 仅监控网段，避免明文跨网 |
| 凭证特征 | 使用系统账号，权限面较大 |
典型使用场景
- 硬件监控接入：监控平台通过 CIM 采集磁盘、电源与温度状态
- 厂商管理工具：品牌服务器管理代理依赖 CIM 提供硬件信息接口
- 批量巡检：用 wbemcli 批量查询多台主机的硬件状态
- 迁移加固：把明文 5988 替换为带 TLS 的 5989
- 端口收敛：非监控网段不应放行 5988
- 故障排查：监控项缺失时先确认 CIM 服务与端口是否正常
探测与主机侧核对
探测与主机侧核对
wbemcli ecn http://host:5988 # 用 OpenPegasus 客户端连一次
ss -lntp | grep -E '5988|5989' # 核对监听端口与进程
systemctl status tog-pegasus | head -5 # 部分发行版的 CIM 服务名
systemctl status cimserver | head -5 # 另一些发行版的 CIM 服务名端口与传输方式对照
| 端口 | 传输 | 建议 |
|---|---|---|
| 5988 | 明文 HTTP | 仅限监控网段，禁止跨网 |
| 5989 | TLS 加密 | 优先使用，需维护证书 |
| 5985 与 5986 | WinRM 明文与 TLS | Windows 侧同类远程管理通道 |
CIM 凭证通常是系统账号，因此 5988 的暴露面等于系统管理面。排查时先看允许访问的来源范围，再看服务是否真的有必要开启。
从 5988 迁到 5989 需要为 CIM 服务配置证书；证书过期会导致监控整体断流，建议把证书到期时间纳入监控项。
监控项大面积缺失时，先确认 CIM 服务状态与 5988、5989 的连通性，再怀疑监控平台本身，这一步能省下大量排查时间。
厂商代理会自行启动 CIM 相关监听，卸载或停用前要确认监控平台是否依赖它，否则硬件告警会静默失效。