entrust-aaas 是什么
680 在 IANA 登记的服务名是 entrust-aaas，登记背景指向 Entrust 的 PKI 产品线，登记表没有 RFC 引用与协议说明，状态属于历史注册项。同一厂商在 640 号端口登记了 entrust-sps、在 681 号端口登记了 entrust-aams，三个条目共用同一前缀，说明这是厂商为产品内部组件批量申请的端口块，后缀按组件角色区分。680 属于系统端口段（0-1023），RFC 6335 之后这段只由 IETF Review 或 IESG Approval 分配。证书类系统多为闭环部署，公开资料向来稀少，评估应以现网配置为准。
基本信息
| 服务名 | entrust-aaas |
|---|---|
| 背景 | Entrust PKI 产品线的组件端口 |
| 协议 | TCP 与 UDP（分别登记） |
| 登记 | IANA 登记，无 RFC 引用 |
| 端口区间 | 系统端口 600-699 |
| 同族端口 | 640 entrust-sps、681 entrust-aams |
典型使用场景
- PKI 系统梳理：把证书签发、注册、审计相关的通信端口单独成册
- 合规检查：确认证书服务的访问控制与操作审计符合要求
- 系统迁移：替换证书服务前梳理所有组件的端口依赖
- 链路排查：证书服务异常时确认是端口策略还是服务状态问题
- 退役评估：确认三件套中哪些端口仍在使用
定位占用进程
定位占用进程
sudo ss -lntup 'sport = :680' # 680 监听情况
sudo lsof -i :680 -P -n # 进程与用户
sudo ss -lntup | grep -E ':(640|680|681)\b' # 同族端口一起核对
sudo openssl s_client -connect 127.0.0.1:680 -brief < /dev/null 2>&1 | head # 是否 TLS
# 证书服务排查还要看证书有效期与两端系统时间是否一致排查判断要点
| 检查项 | 正常表现 | 异常表现 |
|---|---|---|
| 同族端口开放情况 | 与部署规模匹配 | 大量主机开放但无对应系统 |
| 证书链完整性 | 链完整且在有效期内 | 链缺失或已过期 |
| 访问来源 | 受控的注册机构或管理端 | 来源超出预期范围 |
证书服务的问题常表现为握手失败而不是连接失败：先确认 TCP 能否建立，再看 TLS 握手与证书有效期，可以把网络问题与证书问题快速分开。
签发类接口的权限极高，一旦被未授权访问就可能签出可信证书；对这类端口的来源限制与操作审计应比普通业务更严格。