Πώς να διαβάζετε ένα socket VPN χωρίς να εμπιστεύεστε ένα όνομα τομέα

Ο προβολέας τελικών σημείων σας εμφανίζει μια διεργασία VPN δίπλα στον τομέα μιας διαφημιστικής εταιρείας, και αυτό το ζεύγος ξεκινά μια ιστορία που τα δεδομένα δεν μπορούν να στηρίξουν. Το όνομα είναι μια αντίστροφη αναζήτηση ζωγραφισμένη πάνω από ένα αριθμητικό τελικό σημείο, και αλλάζει όποτε αλλάζει η αναζήτηση. Οι στήλες που αντέχουν στην εξέταση είναι οι διευθύνσεις, η κατάσταση της σύνδεσης και το PID που κατέχει το socket.

Τίποτα σε έναν πίνακα socket δεν περιγράφει τι ταξίδεψε μέσα σε μια σύνδεση. Οτιδήποτε φέρει όνομα κεντρικού υπολογιστή έχει ήδη ερμηνευτεί για εσάς.

Ένα επιλυμένο όνομα είναι μετάφραση, όχι πεδίο

Ο προβολέας ζητά από τον resolver να μετατρέψει μια διεύθυνση σε όνομα, με τον ίδιο τρόπο που λειτουργεί ένα ερώτημα PTR στο DNS. Η απάντηση μπορεί να φτάσει από μια τοπική κρυφή μνήμη, μια εγγραφή στο αρχείο hosts, μια ανακοίνωση ανακάλυψης γειτόνων ή έναν πάροχο που έδωσε τη διεύθυνση σε κάποιον άλλο την περασμένη εβδομάδα, και το εργαλείο δεν έχει τρόπο να ξεχωρίσει αυτές τις πηγές. Δύο μηχανήματα που παρακολουθούν μία σύνδεση μπορούν να εκτυπώσουν διαφορετικά ονόματα για την ίδια διεύθυνση ομοτίμου, κάτι που είναι δύσκολο να εξηγηθεί αν πιστεύετε ότι το όνομα ήρθε από το καλώδιο. Αντιμετωπίστε την ετικέτα ως ευκολία για ανθρώπινα μάτια και όχι ως δήλωση για το ποιος έλαβε τα byte.

Η τεκμηρίωση του TCPView περιγράφει τις στήλες τελικού σημείου, κατάστασης και διεργασίας και τεκμηριώνει την απενεργοποίηση των επιλυμένων ονομάτων, κάτι που αξίζει να κάνετε πριν διαβάσετε οτιδήποτε σε έναν τομέα. Η απενεργοποίηση της επίλυσης κάνει την αβεβαιότητα ορατή αντί να τη δημιουργεί: κρατάτε ακόμη μια διεύθυνση, και η εργασία να αποφασίσετε τι σημαίνει απλώς επέστρεψε σε εσάς.

Διαβάστε τις αριθμητικές στήλες με σειρά

Εργαστείτε από αριστερά προς τα δεξιά και σταματήστε στην πρώτη στήλη που απαντά στην ερώτησή σας. Το τοπικό τελικό σημείο δείχνει σε τι προσδέθηκε η διεργασία, το απομακρυσμένο τελικό σημείο δείχνει αν υπάρχει καθόλου ομότιμος, η κατάσταση δείχνει αν ο συσχετισμός είναι ζωντανός, και το PID συνδέει τη γραμμή με ένα εκτελέσιμο αρχείο.

Οι τρεις παρατηρήσεις παρακάτω είναι ενδεικτικά σχήματα και όχι έξοδος που καταγράφηκε από οποιοδήποτε μηχάνημα εδώ. Ομαδοποιούνται κατά το τι μπορεί να στηρίξει η καθεμία, γιατί αυτή είναι η ερώτηση που οι άνθρωποι θέτουν πραγματικά σε μια γραμμή socket:

Ένας ανοιχτός ακροατής που άλλα μηχανήματα δεν μπορούν να φτάσουν, δεσμευμένος στη διεύθυνση loopback, είναι ο τρόπος με τον οποίο πολλοί πελάτες VPN εκθέτουν το δικό τους κανάλι ελέγχου. Μια δέσμευση μπαλαντέρ σημαίνει ότι η διεργασία δέχτηκε συνδέσεις σε κάθε διασύνδεση, και το αν αυτό είναι επικίνδυνο εξαρτάται από το τείχος προστασίας του κεντρικού υπολογιστή και όχι από τη γραμμή. Μόνο ένας συσχετισμός που υπάρχει και φέρει μετρητές μοιάζει με την κατηγορία που συνήθως θέλουν να διατυπώσουν οι άνθρωποι, και ακόμη και αυτή η γραμμή σταματά πριν από το ωφέλιμο φορτίο.

Επαληθεύστε την κυριότητα πριν ονομάσετε ένοχο

Η ταυτότητα της διεργασίας είναι το σημείο όπου οι περισσότερες κατηγορίες αποτυγχάνουν στην πραγματικότητα. Τα PID επαναχρησιμοποιούνται, τα προγράμματα ενημέρωσης και οι βοηθοί του προγράμματος περιήγησης δημιουργούν βραχύβια παιδιά, και ένας πελάτης VPN μπορεί να παραδώσει την κίνησή του σε μια προνομιούχα υπηρεσία συστήματος. Συγκρίνετε τη διαδρομή του εκτελέσιμου αρχείου και τη γονική διεργασία αντί για το εμφανιζόμενο όνομα, γιατί το εμφανιζόμενο όνομα το επιλέγει όποιος έφτιαξε το δυαδικό αρχείο.

tcpvcon -n -a
Get-Process -Id 4188 | Select-Object Id, ProcessName, Path

Η ίδια ανάγνωση υπάρχει στο Linux, όπου τα στατιστικά socket μπορούν να φέρουν πληροφορίες διεργασίας όταν έχετε αρκετά προνόμια ώστε να βλέπετε τα socket άλλων χρηστών. Το αίτημα για εγκατεστημένα socket δεσμευμένα στη θύρα 443 ή από αυτήν περιορίζει την έξοδο στις γραμμές που μετράνε:

ss -tunp state established '( sport = :443 or dport = :443 )'

Καταγράψτε τη χρονική σφραγίδα μαζί με τη γραμμή. Ένα PID από μόνο του είναι μια κινούμενη αναφορά, γιατί μέχρι να ανοίξετε έναν διαχειριστή διεργασιών το socket μπορεί να ανήκει σε διάδοχο και η διαδρομή που εξετάζετε μπορεί να μην είναι αυτή που κρατούσε τη σύνδεση. Καταγράψτε το ζεύγος τελικών σημείων, την κατάσταση και το PID ως μία παρατήρηση, και το εύρημα επιβιώνει από επανεκκίνηση ή δεύτερη γνώμη.

Τι αξίζει ακόμη ένα όνομα

Ένα όνομα κεντρικού υπολογιστή δεν είναι άχρηστη απόδειξη. Καταγράφει ότι κάποιος συσχέτισε αυτή τη διεύθυνση με αυτό το όνομα κάποια στιγμή. Αυτή η συσχέτιση αξίζει προσοχή όταν η διεύθυνση ανήκει σε πάροχο που εξυπηρετεί χιλιάδες άσχετους πελάτες. Είναι ασθενέστερος ισχυρισμός από έναν προορισμό, και είναι ο μόνος ισχυρισμός που μπορεί να στηρίξει η ετικέτα.

Όταν ένα όνομα φαίνεται λάθος, συγκρίνετε τη διεύθυνση με τα δημοσιευμένα εύρη του παρόχου και μετά ρωτήστε τι έκανε η διεργασία εκείνη τη στιγμή: έλεγχος ενημέρωσης, κλήση άδειας, αποστολή τηλεμετρίας ή χειραψία σήραγγας. Αυτές οι δραστηριότητες αφήνουν διαφορετικά σχήματα σύνδεσης, και η αντιστοίχιση του σχήματος με τη στιγμή είναι πιο κατατοπιστική από την αντιστοίχιση του ονόματος με μια εταιρεία που δυσπιστείτε.

Διατηρήστε τη γραμμή πριν τερματίσετε έναν κοινόχρηστο βοηθό ή απεγκαταστήσετε οτιδήποτε. Ένα υπερασπίσιμο συμπέρασμα καλύπτει ένα παρατηρημένο τελικό σημείο, την κατάστασή του και τον κάτοχό του· μια ετυμηγορία σε επίπεδο μάρκας χτισμένη σε μια επιλυμένη ετικέτα δεν είναι απόδειξη, και ούτε η καθησύχαση ότι ένας γνωστός κεντρικός υπολογιστής λήψεων πρέπει να είναι αβλαβής.