829 与 PKIX CA/RA 通道
829 的登记名是 pkix-3-ca-ra，指向 PKIX 体系中认证机构（CA）与注册机构（RA）之间的通信。PKIX 是 IETF 为 X.509 证书体系定义的一组规范：CA 负责签发与吊销证书，RA 负责受理申请、审核身份并把请求转交 CA，两者之间需要传递证书请求、审批结果与吊销信息。证书管理协议（CMP）早期把该端口列为默认承载，但实际部署普遍改走 HTTP 等既有通道，或直接使用厂商自研接口，因此 829 在现网很少出现。
基本信息
| 服务名 | pkix-3-ca-ra（PKIX-3 CA/RA） |
|---|---|
| 传输层 | TCP/UDP 829 |
| 框架背景 | PKIX 证书管理（CA 与 RA 之间的接口） |
| 关联协议 | CMP 早期默认端口，实践中多改走 HTTP 承载 |
| 登记人 | Carlisle Adams |
| 现状 | 规范框架端口，部署少见 |
典型使用场景
- PKI 资产盘点：理清 CA、RA、目录服务各自的角色与主机
- 证书链路排障：申请或更新证书失败时判断卡在审核、签发还是分发环节
- 合规审计：说明证书管理通道的加密方式与访问控制
- 安全评估：CA 私钥与 RA 凭证的保护措施是否到位
- 迁移评估：把老证书管理接口换成现行方案的代价与影响面
核查命令
核查命令
ss -lntup 'sport = :829' # 是否监听
getent services pkix-3-ca-ra # 名称登记查询
sudo lsof -i :829 # 占用进程与路径
openssl s_client -connect ca01:829 </dev/null 2>/dev/null | head -5 # 若该端口承载 TLS，可看握手结果
# 证书管理排障还要看 RA 侧应用日志与 CA 的签发队列，端口通不代表签发成功PKI 角色与通道
| 角色 | 职责 | 常见承载 |
|---|---|---|
| CA | 签发与吊销证书 | 管理接口与内部服务 |
| RA | 受理申请、审核身份 | 面向用户的门户或接口 |
| 目录服务 | 发布证书与吊销列表 | LDAP 389 / 636 |
| 管理协议 | 申请、更新、吊销的自动化 | CMP、SCEP 等，多走 HTTP |
证书体系的难点通常不在协议层，而在流程：注册审核材料、吊销响应时效、私钥保护与备份。这些内容无法从端口排查中得出，需要结合流程文档和责任人一起确认。
该端口在现网极少出现。扫描器报出 829 时优先按未知服务流程处置，再确认是否为企业自研或厂商产品的 PKI 组件占用。