Как да четем VPN сокет, без да се доверяваме на име на домейн
Името на хост до процес е догадка за адрес. Четете числовите крайни точки, състоянието на връзката и PID, който я притежава, преди да обвините VPN клиент.
Вашият преглед на крайни точки показва VPN процес до домейн на рекламна компания и тази двойка започва история, която данните не могат да подкрепят. Името е обратно търсене, нарисувано върху числова крайна точка, и се променя всеки път, когато търсенето се промени. Колоните, които издържат на проверка, са адресите, състоянието на връзката и PID, който притежава сокета.
Нищо в таблицата на сокетите не описва какво е преминало вътре във връзката. Всичко, което носи име на хост, вече е било интерпретирано вместо вас.
Разрешеното име е превод, а не поле
Прегледът иска от резолвера да превърне адрес в име, точно както работи PTR заявка в DNS. Отговорът може да дойде от локален кеш, запис във файла hosts, обявление за откриване на съседи или доставчик, който е дал адреса на някой друг миналата седмица, и инструментът няма начин да различи тези източници. Две машини, които наблюдават една връзка, могат да отпечатат различни имена за адреса на един и същ партньор, което е трудно за обяснение, ако вярвате, че името е дошло по кабела. Отнасяйте се към етикета като удобство за човешкото око, а не като твърдение кой е получил байтовете.
Документацията на TCPView описва колоните за крайна точка, състояние и процес и документира изключването на разрешени имена, което си струва да се направи, преди да влагате смисъл в домейн. Изключването на разрешаването прави несигурността видима, вместо да я създава: вие все още държите адрес и работата по решаването какво означава той просто се е върнала при вас.
Четете числовите колони по ред
Работете отляво надясно и спрете на първата колона, която отговаря на въпроса ви. Локалната крайна точка показва към какво се е обвързал процесът, отдалечената крайна точка показва дали изобщо съществува партньор, състоянието показва дали връзката е жива, а PID свързва реда с изпълним файл.
Трите наблюдения по-долу са илюстративни форми, а не изход, заснет от която и да е машина тук. Те са групирани по това какво може да подкрепи всяко от тях, защото това е въпросът, който хората всъщност задават на ред от сокет:
| What the row shows | What it rules out | What it cannot show |
|---|---|---|
| An open listener with no peer address | Any remote party; nothing beyond this host has reached the port | Whether the local service is well configured, or who is allowed to use it |
| An association in the open state | That the entry is cosmetic; a peer address exists and was accepted | Which application data crossed it, or whether that peer is trustworthy |
| An association whose counters move | That the conversation is idle or already stale | What was requested, what came back, or who started it |
Отворен слушател, до който други машини не могат да достигнат, обвързан с адреса за обратна връзка, е начинът, по който много VPN клиенти излагат собствения си контролен канал. Обвързването с шаблон означава, че процесът е приел връзки на всеки интерфейс, и дали това е опасно зависи от защитната стена на хоста, а не от самия ред. Само връзка, която съществува и носи броячи, прилича на обвинението, което хората обикновено искат да отправят, и дори този ред спира преди полезния товар.
Проверете собствеността, преди да назовете виновник
Идентичността на процеса е мястото, където повечето обвинения всъщност се провалят. PID се използват повторно, програмите за актуализация и помощниците на браузъра създават краткотрайни деца, а VPN клиент може да предаде трафика си на привилегирована системна услуга. Сравнете пътя на изпълнимия файл и родителския процес вместо показваното име, защото показваното име се избира от този, който е изградил двоичния файл.
tcpvcon -n -a
Get-Process -Id 4188 | Select-Object Id, ProcessName, PathСъщото четене съществува в Linux, където статистиката на сокетите може да носи информация за процеса, когато имате достатъчно права да виждате сокетите на други потребители. Заявката за установени сокети, обвързани с порт 443 или от него, стеснява изхода до редовете, които имат значение:
ss -tunp state established '( sport = :443 or dport = :443 )'Запишете времевата марка заедно с реда. PID сам по себе си е движеща се препратка, защото докато отворите мениджър на процеси, сокетът може да принадлежи на наследник и пътят, който проверявате, може да не е този, който е държал връзката. Запишете двойката крайни точки, състоянието и PID като едно наблюдение и констатацията ще преживее рестарт или второ мнение.
Какво още струва едно име
Името на хост не е безполезно доказателство. То записва, че някой е свързал този адрес с това име в някакъв момент. Тази връзка заслужава внимание, когато адресът принадлежи на доставчик, който обслужва хиляди несвързани клиенти. Това е по-слабо твърдение от дестинация и е единственото твърдение, което етикетът може да подкрепи.
Когато името изглежда грешно, сравнете адреса с публикуваните диапазони на доставчика и след това попитайте какво е правил процесът в този момент: проверка за актуализация, обаждане за лиценз, телеметрично изпращане или ръкостискане на тунел. Тези дейности оставят различни форми на връзка и съпоставянето на формата с момента е по-показателно от съпоставянето на името с компания, на която не вярвате.
Запазете реда, преди да прекратите споделен помощник или да деинсталирате нещо. Защитимо заключение обхваща една наблюдавана крайна точка, нейното състояние и собственик; присъда за цяла марка, изградена върху разрешен етикет, не е доказателство, нито е успокоението, че познат хост за изтегляне трябва да е безвреден.