带外管理安全通道与 664 端口
664 在 IANA 上有两条登记：TCP 侧是 oob-ws-https，即 DMTF 定义的带外管理 Web 服务安全通道；UDP 侧是 asf-secure-rmcp，即可作为 623 上非安全 RMCP 的加密替代。它服务的对象是服务器管理控制器这类带外管理设备，流量与会话独立于业务系统。这恰恰是风险所在：业务侧的安全加固管不到带外管理面。
基本信息
| IANA 登记名 | oob-ws-https（TCP）与 asf-secure-rmcp（UDP） |
|---|---|
| 端口/协议 | TCP 664 与 UDP 664 |
| 所属体系 | DMTF 带外管理与 IPMI 生态 |
| 对比端口 | 623 为对应的非安全通道 |
| 相关端口 | 16992 与 16993 为 Intel AMT 的明文与 TLS 通道 |
| 安全等级 | 仅管理网可达，绝不暴露公网 |
典型处置场景
- 服务器带外管理：远程开关机、挂载镜像、查看硬件告警
- 接口排查：确认管理控制器的服务是否可达并核对固件版本
- 安全评估：核查带外管理面是否与业务网隔离
- 应急响应：管理控制器被入侵时定位其通信端口与来源
- 合规检查：核对 BMC 的暴露范围与凭据管理方式
核查命令
核查命令
ss -lntu | grep -E ':(623|664) ' # 核对本机或跳板上的相关监听
getent services oob-ws-https # 查看系统服务名映射
# 交换机与防火墙侧：确认 BMC 所在网段与业务网段已经隔离
# 管理控制器自身的 Web 界面多为 HTTPS，具体端口以厂商文档为准
# 台账核对：逐台记录 BMC 地址、固件版本与管理账号归属带外管理端口对照
| 端口 | 名称 | 通道 |
|---|---|---|
| 623 | RMCP 与 IPMI | 非安全通道，UDP |
| 664 | oob-ws-https 与 asf-secure-rmcp | 安全 Web 服务与安全 RMCP，本条目 |
| 16992 | Intel AMT WS-Man | 明文 HTTP |
| 16993 | Intel AMT WS-Man over TLS | 加密通道 |
带外管理口的特点是主机只要通电就可用，与操作系统是否运行无关。它无法依靠主机侧防火墙保护，只能依赖网络隔离与控制器自身的账号策略。
管理控制器固件质量参差且更新缓慢，历史上多次出现认证绕过类问题。664 虽是加密通道，同样不应面向公网，管理网段也要限制到具体运维终端。