| 服务 | BitTorrent 客户端监听（历史默认 6881-6889） |
|---|---|
| 协议 | TCP+UDP（含 DHT/UDP 流量） |
| 用途 | P2P 文件分发、部分合法分发场景 |
| 安全等级 | 企业网严格管控 |
BT 流量特征明显：大量并发小连接、DHT UDP 探测。企业出口见到 6881 段意味着终端存在 P2P 活动。
出口识别线索
出口识别线索
grep -E ':688[1-9]' session.log | head
# 或流量侧: nDPI/Zeek 识别 BitTorrent 协议Linux 发行版官方 Torrent 分发是合理用途；策略应区分业务与娱乐，而非一并阻断。