686 是什么
686 在 IANA 注册表里的服务名是 hcp-wismar，登记说明写明是 Hardware Control Protocol Wismar，登记人 David Merchant，协议为 TCP/UDP。名字里的 Wismar 是德国城市，命名方式像某厂商按自身所在地给自研硬件控制协议起的名字，公开资料中没有该协议的帧格式、握手流程或可下载的实现。它就属于那批「有名字、没规范」的历史登记项。
基本信息
| 端口号 | 686（0-1023 系统端口区间） |
|---|---|
| 服务名 | hcp-wismar |
| IANA 登记说明 | Hardware Control Protocol Wismar |
| 协议 | TCP、UDP 双登记 |
| 登记人 | David Merchant |
| 已知用途 | 硬件控制类私有协议，细节未公开 |
| 现实部署 | 公网与常规内网几乎观察不到 |
典型排查场景
- 工控或专用设备网段出现 686 通信，需要确认是不是某台老设备的控制协议
- 端口扫描把 686 标注为 hcp-wismar，被直接写进风险通报
- 防火墙迁移时翻出早年放行 686 的规则，需要判断是否还有设备依赖
- 主机被要求最小化开放端口，需要给 686 的存在与否下结论
确认它到底在不在用
确认它到底在不在用
# 本机是否真的有监听
ss -lntup 'sport = :686'
# 看历史连接与对端地址
sudo ss -tnp | grep ':686'
# 抓包 30 秒确认有无实际流量（需要 tcpdump）
sudo timeout 30 tcpdump -nn -i any port 686
# 结论：无监听也无流量，就可以按未使用端口处理现象与处理对照
| 现象 | 可能原因 | 建议动作 |
|---|---|---|
| 扫描报告列出 686 开放 | 扫描器按名字库标注，或真有进程监听 | 先在本机 ss 复核，再决定是否写进风险单 |
| 网段内有 686 双向流量 | 老式控制设备或自研协议仍在跑 | 记录对端 IP 与设备台账，评估能否隔离 |
| 只有偶发 686 出方向连接 | 客户端探测或异常程序外联 | 抓包看载荷特征，必要时阻断并走安全流程 |
| 完全没有监听与流量 | 登记项只是名字，从未部署 | 从防火墙与资产表单里清理该条目 |
这类硬件控制协议通常只在设备厂商的内部文档或随设备交付的手册里出现，互联网上没有规范可查。因此凡是声称「686 是某个知名产品端口」的说法都值得怀疑，除非能在现网找到对应设备与手册。
如果确认网段里真有设备在用 686，处置方向是把双方限制在专用 VLAN 或点对点放行，而不是简单关闭端口；工控类协议一旦被阻断，往往表现为设备离线而不会有明确报错。