entrust-sps 是什么
640 在 IANA 登记的服务名是 entrust-sps，注册人为 Marek Buchler，登记背景指向 Entrust 的 PKI 产品线。同一厂商在 600-699 段还登记了 680 entrust-aaas、681 entrust-aams，三个条目连着同一前缀，说明这是厂商为产品内部组件批量申请的端口块——这类命名按组件角色区分（sps、aaas、aams），而不是按公开协议分配。登记表没有 RFC 引用。640 属于系统端口段（0-1023），RFC 6335 之后这段只由 IETF Review 或 IESG Approval 分配。
基本信息
| 服务名 | entrust-sps |
|---|---|
| 背景 | Entrust PKI 产品线的组件端口 |
| 协议 | TCP 与 UDP（分别登记） |
| 登记 | IANA 早期登记，无 RFC 引用 |
| 端口区间 | 系统端口 600-699 |
| 登记人 | Marek Buchler |
典型使用场景
- 证书与密钥类系统梳理：把 PKI 相关通信纳入单独的管理面清单
- 厂商端口块识别：看到同前缀连续登记时优先按厂商产品线归类
- 维保期系统核查：确认证书服务仍在运行且端口依赖明确
- 网络策略评审：CA 与注册机构之间的通信应严格限制来源
- 系统替换评估：证书服务迁移时同步梳理所有组件端口依赖
定位占用进程
定位占用进程
sudo ss -lntup 'sport = :640' # 640 监听情况
sudo lsof -i :640 -P -n # 进程与用户
sudo ss -lntup | grep -E ':(640|680|681)\b' # 同一厂商端口块一起看
sudo openssl s_client -connect 127.0.0.1:640 -brief < /dev/null 2>&1 | head # 是否为 TLS
# 仅限自有资产；对外部系统探测需授权排查判断要点
| 检查项 | 正常表现 | 异常表现 |
|---|---|---|
| 同厂商端口块的开放情况 | 与产品实际部署规模匹配 | 多台主机开放但业务无对应系统 |
| 通信对端 | 固定的 CA、RA 或管理端 | 对端涉及多个不相干网段 |
| 证书有效期 | 在有效期内且有更新机制 | 长期未更新或使用过期证书 |
厂商端口块是识别资产归属的高效线索：同一前缀的连续登记项通常来自同一个产品线，排查时按块处理比逐端口处理更省事，也更不容易漏。
PKI 类服务的时间敏感度很高：证书过期、时钟偏差都会直接导致链路失败，排查连通性前先核对两端系统时间与证书有效期。