UDP 服务分布在哪
UDP 端口散布在整条技术栈里：DNS、DHCP、NTP 属于基础设施，SNMP 与 syslog 属于监控采集，IPsec 与 WireGuard 属于隧道，STUN 与 TURN 支撑实时通信，QUIC 则把可靠性、拥塞控制与加密重新实现在 UDP 之上。因为 UDP 没有握手，端口是否可用不能像 TCP 那样一次探测就得出结论，扫描与判断都需要多试几次。
常见端口速查
| 端口 | 服务 | 说明 |
|---|---|---|
| 53 | DNS | 以 UDP 为主，响应过大被截断时改用 TCP |
| 67 与 68 | DHCP | 服务端与客户端，服务端监听 67 |
| 69 | TFTP | 简单的文件传输协议 |
| 123 | NTP | 时间同步，也是常见的放大攻击源 |
| 161 与 162 | SNMP | 查询与陷阱，注意团体字安全 |
| 514 | syslog | 日志集中收集 |
| 500 与 4500 | IPsec 的 IKE 与 NAT 穿越 | VPN 协商 |
| 3478 | STUN 与 TURN | 实时通信的穿透与中继 |
| 5353 | mDNS | 局域网内设备发现 |
| 4789 | VXLAN | overlay 网络的封装端口 |
| 51820 | WireGuard | VPN 的默认端口 |
| 443 与 853 | QUIC 与加密 DNS | HTTP3 与 DNS over QUIC |
查看本机与远端
查看本机与远端
ss -lunp # 看本机监听的 UDP 套接字与归属进程
ss -lun | wc -l # 快速统计监听数量，发布前后对比很有用
nmap -sU -p 53,123,161 10.0.0.9 # 仅在授权范围内扫描
nc -vzu -w 2 10.0.0.9 53 # 单端口试探，结果仅供参考
dig @10.0.0.9 example.com +short # 用应用层协议验证 DNS 真的可用ss -lunp 输出读法
| 列 | 含义 | 怎么看 |
|---|---|---|
| Netid | 套接字协议类型，这里是 udp | 确认自己看的是 UDP 而不是 TCP |
| State | UDP 通常显示 UNCONN | 无连接协议没有握手状态，属正常现象 |
| Recv-Q | 已到达但应用尚未读取的数据量 | 持续堆积说明应用处理不过来 |
| Local Address:Port | 本机监听地址与端口 | 绑定到 0.0.0.0 表示监听所有网卡 |
| Process | 归属进程与 pid | 需要足够的权限才能显示 |
典型使用场景
- 排查时间同步异常，确认 123 端口的 UDP 是否可达
- 做容器网络排查，确认 VXLAN 的 4789 是否被安全组放行
- 上线前梳理需要开放的 UDP 端口清单，避免被当成异常流量拦截
- 排查 WebRTC 通话失败，验证 STUN 与 TURN 相关端口的连通性
- 做资产盘点时对照监听列表，识别意外开放的 UDP 服务
UDP 端口开放不等于服务可用：没有握手就没有确定性的确认机制，探测结果受丢包与限速影响，判定是否可用要结合应用层验证，例如用 dig 验证 DNS 而不是只看 53 端口通不通。