摘要

  • RFC 1273 是一份 1991 年 11 月的研究计划，而非最终结果；它准备在 1992 年进行六轮测量，对约 12,700 个 Internet 域的 13 种 TCP 服务尝试连接。
  • 连接成功后立即关闭，不交换应用数据；连接拒绝与超时使用不同的停止规则。任何一个状态都不能单独证明服务可用、安全策略、机构意愿或断网原因。
  • 广泛通知可能让站点调整服务，逐站许可又可能产生较少断连的自选样本。方案用提前公开、可追溯来源、申请退出及只发布汇总数据来保留这些冲突。

先留下研究动作的身份证明

RFC 1273 计划在 1992 年 1、3、5、7、9、11 月各运行一轮程序，每轮持续一至两天。文档发布时，这六轮纵向结果还在未来。它能证明的是研究者公开了什么方案，而不是 Internet 的服务面后来怎样变化。

计划覆盖约 12,700 个域，尝试 daytime、netstat、FTP、Telnet、SMTP、DNS、Finger、Sun portmap、rlogin、rsh、UUCP、klogin 以及 krcmd/kshell。研究对象不是最底层的 IP 连通性，而是更靠上的服务可达性。

作者希望借此理解各机构参与跨组织计算的意愿。但“某台抽中机器在某一时刻接受 TCP 连接”，与“一个机构愿意协作”不是同一条记录。前者来自协议观察；后者牵涉组织决策、访问政策、人员与时间。研究可以提出关联，证据却不能跳过中间层。

成功被刻意压缩成一次握手

若连接建立，程序会立即关闭，并只记录成功，不在任何方向传送应用数据。RFC 1273 明确说，它不测试单项服务背后的安全机制，也不是网络安全研究。

因此，“成功”最多说明目标端当时接受了 TCP 建连。它不说明登录获准、文件可取、邮件送达、DNS 内容正确、应用事务完成，更不说明研究者取得了使用服务的权限。

失败也被分开保存。同一域中，一项服务出现三次连接拒绝，程序就在本轮停止尝试该服务；若域内机器累计三次超时，则暂时放弃整个域，并可能隔一天重试，以排除暂时性网络问题。拒绝是一个可见响应，超时是等待结束；二者不自动共享政策原因，也不自动等于永久断连。

研究团队曾考虑读取 DNS 的 Well Known Service 记录，以减少主动连接。但这类记录并非网络运行必需，RFC 1273 认为它们远不完整且不一致。目录中的声明与线上连接是两种投影：一个可以过时或缺失，另一个只能说明特定目标与时刻。两者都不能替整个组织发言。

采集上限不是运维附注

一旦某服务连接成功，本轮不再对该域尝试同一服务。拒绝和超时的三次上限控制失败路径。文档计算的最坏情况是每域 37 次连接请求，并预计平均值低得多。

1991 年 8 月的测试共执行 50,549 次 DNS 查询与 73,760 次连接尝试，约十小时完成，同时进行的网络操作从未超过 20 个。所有测量由单一地点控制，运行中观察连接日志与网络负载，也可以随时集中停止。

这些数字是测试运行的收据，不是未来六轮的完成证明，更不是今日扫描活动的成本标准。骨干网流量占比与某个站点管理员被告警打断的时间，属于不同影响面。

告知既是治理，也会进入样本

早期通知通过 alt.security 和逐站邮件发送。约一半管理邮件因无法投递而退回。RFC 1273 记载，通知造成的网络与管理负担远高于测量本身，有些站点认为这封说明信本身就在占用不必要的时间。

更棘手的是反应性。广泛预告可能促使站点调整对外服务；若逐站请求明确许可，愿意参加者又会形成一个自选群体，而这群站点本来就可能较少选择断连。治理安排并非站在实验之外，它能改变被统计的分布。

这不等于研究代表性凌驾于运营权。围绕该研究产生的 RFC 1262，另行保留了最小影响、联系服务提供方以及过度负担前须取得明确许可的一般边界。RFC 1273 记录的是这项具体研究的组合方案：先以 RFC 和邮件列表公开计划，从用户较少的机器上用 testnet 账户运行，并允许管理员通过 Finger 找到研究说明；负责人还提供了咨询、订阅结果和移除站点的直接联系方式。

可追溯不等于人人都收到通知。它解决的是另一件事：发现异常连接的人，能否识别行为来源、找到负责者并要求退出。

原始明细不能直接变成公共地图

按站点列出的可达服务，可能成为一张敏感路线图。方案因此把原始数据留作私有，只发布脱离具体站点的全球统计。这个承诺划定了数据保管和公开投影的边界，却不自动证明绝对匿名或每项隐私风险都已解决。

本文以 RFC 1273 为主要来源，并仅用 RFC 1262 标明相邻的一般测量规范。二者不包含完成后的纵向结论，不证明 1992 年六轮按计划执行，也不支持把一个端口、一台主机或一个域提升为机构整体意图与因果结论。

RFC 1273 的历史意义正在这个时间顺序里：答案还没出现，取证链已先接受审视。后来的结果无论多醒目，都不能把样本、探测、负担、通知、退出和隐私压成一个事实。