H3C CR16000系列路由器所有接口的646端口是默认开启的吗？

默认开的，acl限制

1、 设备默认放通LDP端口（646端口），如使用了MPLS，不建议做封堵；

2、

不是默认开启的。​ CR16000（Comware V7 平台）上 TCP/UDP 646 端口对应的是 MPLS LDP（Label Distribution Protocol，RFC 5036），而 LDP 在 H3C 设备上无论全局还是接口都默认关闭，所以 646 端口出厂/空配置下不会处于监听状态。
646 端口在 CR16000 上的默认行为
646 是 LDP 协议的标准端口（TCP 646 建会话，UDP 646 发 Hello），但 CR16000 上的缺省状态是：
全局：mpls ldp未使能，默认不运行 LDP 进程
接口级：即便全局配了 mpls ldp，每个接口下还要单独 mpls ldp enable，而接口上 LDP 默认也是 disable 的（H3C 全系一致，CR16000/S 系列/交换机 VLAN 接口视图下同理）
只有 system-view → mpls ldp（全局）+ 接口下 mpls ldp enable都做完，设备才会在对应接口上通过 TCP 646 发起/接受 LDP 会话，此时 display tcp才能看到 646 监听
💡 顺带澄清一个容易混的点：H3C 还有个 DLDP（私有链路双向检测），名字像但跟 646 没关系，DLDP 是二层协议不走 TCP/UDP；LLDP​ 是 161/162 那套。扫到 646 基本可以锁定就是 MPLS LDP。
如果你在端口扫描里看到了 646 监听
说明这台 CR16000 已经被配过 MPLS LDP，不是出厂默认。可以上设备核实：
display mpls ldp # 看全局 LDP 是否 enable、LSR-ID
display mpls ldp interface # 看哪些接口下了 mpls ldp enable
display tcp verbose # 确认 646 监听在哪个地址
反过来：想关掉 646 监听
如果确认不用 MPLS LDP，要么接口级关，要么全局关：
# 接口级
interface GigabitEthernet x/x/x
mpls ldp disable

# 全局彻底关
undo mpls ldp
关完 display tcp里 646 就消失了。

646 端口（UDP/TCP LDP）不会全局默认全开，完全由 LDP 开关控制
不论 CR16000 还是 CR19000，全局 / 接口未开启 LDP 时，整机所有接口都不会监听、收发 646 端口报文；只有接口配置mpls ldp enable后，该接口才会启用 UDP 646 Hello、TCP 646 会话端口。
CR16000、CR19000 出厂默认行为完全一致：LDP 全局 / 接口均关闭，646 端口默认不开放
你观察到 CR16000 有 646 流量，是人为在接口下配置了mpls ldp enable；CR19000 没看到 646，是未开启任何接口 LDP。
不存在 “不管开不开 LDP，端口都强制开放” 的机制，LDP 协议未激活则 646 端口无监听。
二、两个关键细节说明
1. LDP 与 646 端口绑定关系
UDP 646：接口开 LDP 后，周期发组播 Hello 发现邻居；接口关 LDP 立刻停止发送、不监听 646 UDP。
TCP 646：仅 LDP 邻居建立会话时临时监听；无 LDP 邻居、接口未开 LDP 则无 TCP 646 监听。
缺省：接口mpls ldp enable关闭 → 接口无任何 646 报文收发。
2. 能否关闭 646 端口？（两种关闭方式）
方式 1：接口关闭 LDP（彻底关停该接口 646，推荐）
plaintext
system-view
interface Ten-GigabitEthernet 1/0/1
undo mpls ldp enable

执行后该接口不再收发 UDP/TCP 646 报文。
方式 2：全局 ACL 拦截 646（不推荐，仅临时封堵）
plaintext
acl number 4000
rule deny udp any any eq 646
rule deny tcp any any eq 646
interface Ten-GigabitEthernet 1/0/1
packet-filter inbound acl 4000
packet-filter outbound acl 4000

缺陷：LDP 仍运行，仅报文被拦截，会持续 LDP 邻居震荡，优先用undo mpls ldp enable。
三、CR16000 与 CR19000 差异澄清
二者出厂默认配置完全相同：全局 MPLS、接口 LDP 全部关闭，646 端口默认不启用。
你看到的区别仅为现场配置差异：
CR16000：业务需要 MPLS，接口手工开了mpls ldp enable → 出现 646 流量；
CR19000：未部署 MPLS/LDP，接口无 LDP 配置 → 无 646 端口流量。
四、验证命令（确认当前 LDP/646 状态）
plaintext
# 查看哪些接口开启了LDP（有输出代表该接口启用646）
display mpls ldp interface

# 查看LDP邻居（有邻居代表TCP 646已建立）
display mpls ldp peer

# 接口查看LDP开关
display this interface Ten-GigabitEthernet 1/0/1 | include mpls ldp

极简总结
CR16000/CR19000 出厂默认所有接口 646 端口均不开放，端口状态由接口mpls ldp enable控制；
未开启 LDP 的接口，不会收发、监听 646 端口；开启 LDP 才会启用 UDP/TCP 646；
想彻底关闭某接口 646：接口下undo mpls ldp enable即可；
两台机型无硬件 / 固件默认差异，646 有无仅取决于现场是否配置 LDP。

H3C CR16000系列路由器的646端口并非默认开启。其状态完全由MPLS LDP（标签分发协议）功能的开关控制。

• 端口未开启：当设备未配置或未启用LDP时，所有接口的646端口（包括TCP和UDP）都处于关闭状态，不会监听或收发任何报文。

• 端口开启：只有在全局（mpls ldp）和具体接口（mpls ldp enable）上都完成了LDP的配置后，该接口的646端口才会被启用。

关于CR19000系列

H3C CR19000系列路由器的行为与CR16000完全一致。两者都基于Comware V7操作系统，因此646端口的开关逻辑相同，均受LDP配置控制。你观察到的“CR19000默认没有开启”是符合设备默认行为的。

如何关闭646端口

如果你发现设备上的646端口处于监听状态，说明LDP功能已被启用。如需关闭，可根据情况选择以下方法：

1. 接口级关闭（推荐）：如果只需在特定接口上停止LDP，进入该接口视图并执行 mpls ldp disable 命令。

2. 全局关闭：如果确定不再需要使用MPLS LDP，可在系统视图下执行 undo mpls ldp 命令彻底关闭LDP功能。

⚠️ 操作注意事项

• 谨慎操作：646端口是LDP协议的标准端口。如果网络正在使用MPLS，直接封堵该端口会导致LDP邻居关系中断、标签交换路径（LSP）失效，进而影响业务。

• 配置验证：在实施任何封堵或关闭操作前，请务必确认业务影响。可以使用 display mpls ldp、display mpls ldp interface 和 display tcp verbose 等命令查看LDP的详细状态和端口监听情况。

• 安全加固建议：如果出于安全考虑需要限制646端口的访问，正确的做法是配置高级ACL，只允许可信的LDP对等体（邻居）的IP地址访问该端口，而不是直接全部封堵