dwr 是什么
644 在 IANA 登记的服务名是 dwr，注册人为 Bill Fenner，登记表没有说明字段，也没有 RFC 引用。三个字母的缩写在任何技术领域都能找到大量同形词，因此这个条目不具备任何识别价值，只能作为「该端口号已被命名占用」的记录。644 属于系统端口段（0-1023），RFC 6335 之后这段只由 IETF Review 或 IESG Approval 分配。判读方法与其他无说明条目一致：先看本机是否真的在监听，再看连接对端，最后才谈处置。
基本信息
| 服务名 | dwr |
|---|---|
| 协议 | TCP 与 UDP（分别登记） |
| 登记 | IANA 早期登记，无说明无 RFC |
| 端口区间 | 系统端口 600-699 |
| 现状 | 无公开规范与公开实现 |
| 登记人 | Bill Fenner |
典型使用场景
- 主机加固：确认系统端口段内没有无归属的监听
- 外联审计：核实本机主动连接 644 的原因与责任进程
- 容量与基线：记录该类端口的连接数基线，便于日后比对偏移
- 值班处置口径：明确无说明端口先取证再动的流程
- 资产交接：把无归属端口单列成清单，交接时逐项确认去向
定位占用进程
定位占用进程
sudo ss -lntup 'sport = :644' # 644 监听与 UDP 绑定
sudo ss -tanp '( dport = :644 )' | head # 主动外联到 644 的连接
sudo lsof -i :644 -P -n # 进程归属
sudo nstat -az | head -20 # 协议栈计数器，观察重传与丢包
# 无说明端口的判读顺序：进程 → 对端 → 首次出现时间 → 处置排查判断要点
| 现象 | 含义 | 处置 |
|---|---|---|
| 只有出站连接、无监听 | 本机是客户端角色 | 确认对端归属与业务必要性 |
| 入站连接来自多网段 | 对端不受控 | 按风险处置，必要时限制来源 |
| 重传计数持续增长 | 链路质量差或对端异常 | 先解决链路问题，再判定应用行为 |
nstat 依赖内核的 SNMP 计数器，能看到重传、丢弃这类全局指标；它不区分端口，但配合连接列表可以快速判断问题出在链路还是应用。
判断本机角色时先看方向：只有出站连接说明是被动客户端，只有监听说明是服务端，两者都有关键业务意义，处置方式也不同。