Sådan læser du en VPN-socket uden at stole på et domænenavn
Et værtsnavn ved siden af en proces er et gæt på en adresse. Læs de numeriske endepunkter, forbindelsestilstanden og den PID, der ejer den, før du bebrejder en VPN-klient.
Din endepunktsfremviser viser en VPN-proces ved siden af en reklamevirksomheds domæne, og den parring starter en historie, som dataene ikke kan understøtte. Navnet er et omvendt opslag malet oven på et numerisk endepunkt, og det ændrer sig, hver gang opslaget ændrer sig. De kolonner, der holder til en granskning, er adresserne, forbindelsestilstanden og den PID, der ejer socket'en.
Intet i en sockettabel beskriver, hvad der rejste inde i en forbindelse. Alt, der bærer et værtsnavn, er allerede blevet fortolket for dig.
Et opløst navn er en oversættelse, ikke et felt
Fremviseren beder resolveren om at gøre en adresse til et navn, på samme måde som en PTR-forespørgsel virker i DNS. Svaret kan komme fra en lokal cache, en post i hosts-filen, en meddelelse om naboopdagelse eller en udbyder, der gav adressen til en anden i sidste uge, og værktøjet har ingen måde at skelne de kilder. To maskiner, der overvåger én forbindelse, kan udskrive forskellige navne for den samme peer-adresse, hvilket er svært at forklare, hvis du tror, navnet kom fra ledningen. Behandl etiketten som en bekvemmelighed for menneskeøjne snarere end en udtalelse om, hvem der modtog bytes.
Dokumentationen for TCPView beskriver kolonnerne for endepunkt, tilstand og proces og dokumenterer, hvordan opløste navne slås fra, hvilket er værd at gøre, før du læser noget ind i et domæne. At slå opløsning fra gør usikkerheden synlig i stedet for at skabe den: du har stadig en adresse, og arbejdet med at afgøre, hvad den betyder, er bare flyttet tilbage til dig.
Læs de numeriske kolonner i rækkefølge
Arbejd fra venstre mod højre, og stop ved den første kolonne, der besvarer dit spørgsmål. Det lokale endepunkt viser, hvad processen bandt til, det fjerne endepunkt viser, om der overhovedet findes en peer, tilstanden viser, om forbindelsen er levende, og PID'en forbinder rækken med en eksekverbar fil.
De tre observationer nedenfor er illustrative former snarere end output fanget fra nogen maskine her. De er grupperet efter, hvad hver af dem kan understøtte, fordi det er det spørgsmål, folk faktisk stiller til en socket-række:
| What the row shows | What it rules out | What it cannot show |
|---|---|---|
| An open listener with no peer address | Any remote party; nothing beyond this host has reached the port | Whether the local service is well configured, or who is allowed to use it |
| An association in the open state | That the entry is cosmetic; a peer address exists and was accepted | Which application data crossed it, or whether that peer is trustworthy |
| An association whose counters move | That the conversation is idle or already stale | What was requested, what came back, or who started it |
En åben lytter, som andre maskiner ikke kan nå, bundet til loopback-adressen, er hvordan mange VPN-klienter blotlægger deres egen kontrolkanal. En wildcard-binding betyder, at processen accepterede forbindelser på hvert interface, og om det er farligt, afhænger af værts-firewallen snarere end af rækken selv. Kun en forbindelse, der findes og bærer tællere, ligner den anklage, folk normalt vil rejse, og selv den række stopper før nyttelasten.
Bekræft ejerskab, før du udpeger en skyldig
Procesidentitet er der, hvor de fleste anklager faktisk fejler. PID'er genbruges, opdateringer og browserhjælpere starter kortlivede børn, og en VPN-klient kan overdrage sin trafik til en privilegeret systemtjeneste. Sammenlign den eksekverbare sti og forældreprocessen i stedet for visningsnavnet, fordi visningsnavnet vælges af den, der byggede binæren.
tcpvcon -n -a
Get-Process -Id 4188 | Select-Object Id, ProcessName, PathDen samme læsning findes på Linux, hvor socket-statistik kan bære procesinformation, når du har privilegier nok til at se andre brugeres sockets. At bede om etablerede sockets bundet til eller fra port 443 indsnævrer outputtet til de rækker, der betyder noget:
ss -tunp state established '( sport = :443 or dport = :443 )'Registrer tidsstemplet sammen med rækken. En PID alene er en flyttende reference, fordi socket'en, når du åbner en proceshåndtering, kan tilhøre en efterfølger, og den sti, du undersøger, er måske ikke den, der holdt forbindelsen. Noter endepunktparret, tilstanden og PID'en som én observation, så overlever fundet en genstart eller en anden mening.
Hvad et navn stadig er værd
Et værtsnavn er ikke værdiløst bevis. Det registrerer, at nogen på et tidspunkt knyttede den adresse til det navn. Den tilknytning fortjener opmærksomhed, når adressen tilhører en udbyder, der betjener tusinder af ubeslægtede kunder. Det er en svagere påstand end en destination, og det er den eneste påstand, etiketten kan understøtte.
Når et navn ser forkert ud, sammenlign adressen med udbyderens offentliggjorte områder, og spørg derefter, hvad processen lavede i det øjeblik: et opdateringstjek, et licenskald, en telemetri-POST eller et tunnel-handshake. De aktiviteter efterlader forskellige forbindelsesformer, og at matche formen med øjeblikket er mere informativt end at matche navnet med en virksomhed, du ikke stoler på.
Bevar rækken, før du afslutter en delt hjælper eller afinstallerer noget. En forsvarlig konklusion dækker ét observeret endepunkt, dets tilstand og dets ejer; en dom over et helt brand bygget på en opløst etiket er ikke bevis, og det er beroligelsen om, at en velkendt download-vært må være uskadelig, heller ikke.