9993 是什么
9993 是虚拟组网工具 ZeroTier One 的默认通信端口：客户端通过 UDP 9993 与根服务器及对端通信，完成地址分配与点对点打洞，企业内也用它做跨地域组网。它的特点是绕开传统 VPN 的部署流程，员工可以自行安装并加入网络，因此安全团队盘点「影子组网」时，UDP 9993 是重要的筛查特征。
基本信息
| 服务 | ZeroTier One（默认 9993/UDP） |
|---|---|
| 协议 | UDP |
| 用途 | 虚拟二层组网与点对点隧道 |
| 安全等级 | 按企业策略管控 |
| 排查价值 | 影子组网的典型特征端口 |
典型使用场景
- 跨地域组网：把分散设备接入同一虚拟网络
- 设备远程维护：无公网地址的设备通过虚拟网络访问
- 开发测试：临时搭建测试网络
- 资产盘点：扫描 UDP 9993 发现未报备的组网工具
- 合规核查：确认组网工具是否经过审批
- 策略落地：需要时统一封禁或纳入白名单
排查监听与通信对端
排查监听与通信对端
ss -lunp | grep 9993 # Linux 确认 UDP 监听与进程
# Windows: netstat -ano | findstr 9993
ss -uanp | grep 9993 | head # 查看 UDP 会话与对端
# 对端地址分布可区分打洞通信与中继流量排查线索与含义
| 线索 | 含义 | 后续动作 |
|---|---|---|
| 本机存在 UDP 9993 监听 | 安装了组网客户端 | 确认使用者与用途 |
| 与大量陌生地址通信 | 正在打洞或经中继转发 | 评估是否符合内部策略 |
| 未报备即已加入网络 | 影子组网 | 按流程处置并评估数据流向 |
ZeroTier 的便利性正是风险所在：加入一个网络等于把主机接入对方的二层网络，数据流向很难被传统边界设备看见。
盘点这类工具不能只看端口，还要看虚拟网卡与路由表：安装后通常会新增一块虚拟接口，端口可以改而接口不容易隐藏。
如果业务确实需要，纳管方式一般是固定网络标识、限制成员权限并纳入变更流程，而不是一律封禁。
员工自建网络把生产资源连出企业边界，在合规审计里属于高危项，发现后应尽快确认数据流向与影响范围。