693 是什么
693 的服务名是 connendp，IANA 登记说明为 almanid Connection Endpoint，登记人 Ronny Bremer，协议标为 TCP/UDP。almanid 是登记方名称，Endpoint 说明它承担连接端点的角色，但登记表没有留下协议格式、端口用途说明或可查实现。这类条目的共同来源是 1990 年代的产品登记：厂商为自家组件占一个端口，产品停售后条目仍留在表里。
基本信息
| 端口号 | 693（0-1023 系统端口区间） |
|---|---|
| 服务名 | connendp |
| IANA 登记说明 | almanid Connection Endpoint |
| 协议 | TCP、UDP 双登记 |
| 登记人 | Ronny Bremer |
| 规范与实现 | 无公开规范 |
| 常见程度 | 常规内网几乎观察不到 |
什么时候会碰到它
- 合规扫描报告里出现 connendp 字样，需要先核实是不是真的存在服务
- 防火墙策略评审时发现早年放行过 693，需要判断是否有设备仍依赖
- 同一网段出现 693 的周期性短连接，需要判断是业务心跳还是探测
- 做资产去重时想按端口名归类设备，但名字无法对应任何在售产品
监听与流量双查
监听与流量双查
# 查监听（含 UDP）
ss -lntup 'sport = :693'
# 查已建立连接
ss -tnp state established | grep ':693'
# 观察一段时间内是否有对端持续来连
watch -n 2 "ss -tnp | grep ':693'"
# 抓包看首包特征，判断是应用协议还是扫描
sudo timeout 20 tcpdump -nn -A -i any port 693 | head -40流量特征判读
| 特征 | 常见解释 | 下一步 |
|---|---|---|
| 固定周期、载荷长度稳定 | 业务心跳或轮询 | 沿对端 IP 找设备台账 |
| 来源分散、连接极短 | 端口扫描或探测 | 封禁扫描源，检查是否有资产被踩点 |
| 本机主动外连固定外部地址 | 回连或上报通道 | 按可疑外联流程处置 |
| 只有零星 TCP SYN 无后续 | 扫描未完成或连接被丢弃 | 确认防火墙是否已拒绝 |
判断这类端口有无价值，关键不是端口号本身，而是能否找到对端设备与业务方。找不到业务方、也找不到设备台账的端口，应当按未知服务处理并记录核查过程。
同一端口在 TCP 与 UDP 上的行为可能完全不同。排查时两者都要看，尤其是 UDP 无连接状态，ss 里只显示 UNCONN，不会出现 LISTEN，不要因此误判为没有监听。