6346 是什么
6346 是 Gnutella 对等网络客户端与路由节点的默认端口，登记名 gnutella-rtr。Gnutella 是最早的去中心化文件共享协议之一：客户端既是查询者也是转发者，查询请求以洪泛方式在网络里扩散，命中后由持有文件的节点直接响应。它没有中心服务器，抓包时能观察到特征明显的查询与命中报文，因此常被用作 P2P 流量识别与检测规则研究的经典样本。
基本信息
| 服务 | Gnutella（P2P 文件共享） |
|---|---|
| 协议 | TCP+UDP |
| 用途 | P2P 节点发现与查询 |
| 现状 | 早期 P2P 协议，仍在少量使用 |
| 登记来源 | IANA（gnutella-rtr） |
| 安全等级 | 企业网通常封禁 |
典型使用场景
- 出口策略治理：企业网普遍封禁 P2P 大类，6346 是典型命中项
- 终端合规排查：出口日志里出现 6346 意味着终端装了 P2P 客户端
- 流量特征分析：用于教学与检测规则调优的经典样本
- 终端清理：定位并卸载员工自带的 P2P 软件
- 带宽治理：识别占用出口带宽的非业务流量
P2P 流量识别要点
| 观察点 | 表现 | 含义 |
|---|---|---|
| 端口 | 6346 及周边端口段 | 传统客户端特征 |
| 连接数 | 大量并发小连接 | 洪泛式查询的表现 |
| 出站流量 | 上传远大于下载 | 充当转发节点的迹象 |
| 加密 | 较新客户端可能加密 | 端口特征失效，需行为分析 |
出口日志筛查与定位
出口日志筛查与定位
grep -E '6346|gnutella' firewall.log | head -20 # 出口日志筛查
ss -ntp | grep -c ':6346' # 本机连接数
sudo lsof -i :6346 # 占用进程
# 行为侧: 结合会话时长与上下行比例判断是否为 P2P现代 P2P 客户端大多改用随机端口并加密流量：端口清单只能识别老实现，治理要结合行为特征、终端管理与出口策略综合判断。
版权与合规风险往往先于技术风险到来：发现 P2P 流量后应同步走终端责任人与流程，而不是只做端口封禁了事。
P2P 节点会主动接受外部连接：一台内网终端如果被当作转发节点，出口流量与安全责任都会连带受影响，处置时要把内网主机一起排查。